CN111240939A - 电网信息系统的运维数据异常检测方法、装置 - Google Patents

Abstract

本发明公开了一种电网信息系统的运维数据异常检测方法、装置，所述方法包括：将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；使用训练数据进行训练，使用测试数据分别输入第一检测模型和第二检测模型，计算第一检测模型的检测结果与测试数据之间的偏差，和第二检测模型的检测结果与测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；在与时间期间对应的时间期限内使用应用检测模型对所述电网信息系统进行异常检测。采用上述方案，可以在异常数据数量较小的情况下，实现最终准确度较高的异常检测结果。

Description

电网信息系统的运维数据异常检测方法、装置

技术领域

本发明涉及数据处理领域，尤其涉及电网信息系统的运维数据异常检测方法、装置。

背景技术

电网信息系统对于各行各业的影响都十分巨大。因此，对于电网信息系统的运维工作十分重要。

现有技术中，对电网信息系统异常检测的方案通常是采用由异常数据作为训练集对检测模型进行训练得到异常检测模型，使用异常检测模型对电网信息系统进行异常检测。

但现有技术中存在的问题是，在电网信息系统进行正常运行状态下，较少出现异常的运维数据，由于可以用于训练的异常数据的数量较小，因此，训练得到异常检测模型的准确率较低。

发明内容

发明目的：本发明旨在提供一种电网信息系统的运维数据异常检测方法、装置。

技术方案：本发明实施例中提供一种电网信息系统的运维数据异常检测方法，包括：从所述电网信息系统获取预设的时间期间内的运维数据；将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型进行训练；使用所述测试数据分别输入所述第一检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

具体的，从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

具体的，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

具体的，根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

具体的，若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

本发明实施例中还提供一种电网信息系统的运维数据异常检测装置，包括：获取单元、划分单元、训练单元、筛选单元和检测单元，其中：所述获取单元，用于从所述电网信息系统获取预设的时间期间内的运维数据；所述划分单元，用于将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；所述训练单元，用于使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型进行训练；所述筛选单元，用于使用所述测试数据分别输入所述第一检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；所述检测单元，用于在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

具体的，所述获取单元，还用于从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

具体的，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

具体的，所述筛选单元，还用于根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

具体的，所述筛选单元，还用于若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

有益效果：与现有技术相比，本发明具有如下显著优点：在电网信息系统正常运行状态下，具有大量的正常数据可以作为训练集。因此，可以通过将正常数据作为训练集对检测模型进行训练得到应用检测模型，判断运维数据是否属于正常范围，如果不属于正常范围，该运维数据则属于异常数据范围。由于正常运维数据的数量较大，且可以通过对不同算法构建的检测模型分别进行训练选取其中准确度较高的检测模型，因此最终的异常检测结果准确度较高。

附图说明

图1为本发明实施例中提供的电网信息系统的运维数据异常检测方法的流程示意图；

图2为本发明实施例中根据检测结果得到的ROC曲线；

图3为本发明实施例中提供的电网信息系统的运维数据异常检测装置的结构示意图。

具体实施方式

下面结合附图对本发明的技术方案作进一步说明。

参阅图1，其为本发明实施例中提供的电网信息系统的运维数据异常检测方法的流程示意图，包括具体步骤，以下进行详细说明。

步骤S101，从所述电网信息系统获取预设的时间期间内的运维数据。

本发明实施例中，从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

本发明实施例中，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

在具体实施中，时间节点是平均分布于预设的时间期间内的。例如，预设的时间期间为30个连续的自然日，在时间期间内每10分钟采集相应的运维数据，则每个自然日有144个运维数据采集点。

在具体实施中，运维数据的种类可以为一个也可以为多个，当运维数据的种类为多个时，可以按种类分别进行后续的运维数据处理。

步骤S102，将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除。

在具体实施中，异常运维数据是指电网信息系统运行异常时出现的运维数据，通过将训练数据中的异常运维数据排除，保留正常运维数据，通过大量的正常运维数据可以保障检测结果的准确度。

在具体实施中，测试数据中可以同时保留正常运维数据和异常运维数据。

在具体实施中，训练数据和测试数据之间的划分比例可以由用户根据实际应用场景进行设定。例如，将获得的运维数据90％作为训练数据，10％作为测试数据。

步骤S103，使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型进行训练。

在具体实施中，SVDD(support vector data description,SVDD)算法可以采用高斯核函数。

在具体实施中，第一检测算法包括SVDD算法(支持向量数据描述算法)，第二检测算法包括KNN算法(最邻近算法)(k-NearestNeighbor，KNN)分别构建的第一检测模型和第二检测模型，通过对两个检测模型分别进行训练，确定在检测结果准确度较高的检测模型进行应用，可以进一步的提升检测结果的准确度。

步骤S104，使用所述测试数据分别输入所述第一检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型。

在具体实施中，检测结果与测试数据之间的偏差较小的检测模型，可以作为应用于当前场景下的应用检测模型。

本发明实施例中，根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

参阅图2，其为本发明实施例中根据检测结果得到的ROC曲线，其中曲线a为第一检测模型对应的曲线，曲线b为第二检测模型对应的曲线。

在具体实施中，图2是根据实际的运维数据得到，在运维数据变化时，图2中的曲线也会相应产生变化。

在具体实施中，ROC曲线(接收者操作特征曲线)(receiver operatingcharacteristic，ROC)上每个点反映着对同一信号刺激的感受性。ROC曲线通过跟踪阈值的变化，可获得正常数据检测的准确率和异常数据的漏检率的动态变化曲线。正常数据检测的准确率变低，意味着检测模型倾向未知数据不容易被判定为正常数据，而更倾向于被判定为异常数据，这样异常数据被判定为异常的比率，即异常检测率，将会升高，漏检率则降低；正常数据检测的准确率变高，意味着检测模型倾向于接受更多的未知数据作为正常数据，异常数据被判定为异常的比率会降低，即异常检测率降低，漏检率则升高。由于理想的检测模型应该是在接受全部正常数据的同时拒绝全部异常数据，因此ROC曲线越接近左上方，检测模型的性能越好，与测试数据之间的偏差越小，检测结果越准确。因此，在图2中，第一检测模型的性能、检测结果的准确度优于第二检测模型。

本发明实施例中，若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

在具体实施中，通过F-Score的数值也可以在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。若F-Score数值越大，则说明检测结果与测试数据之间的偏差越小，检测结果越准确。

步骤S105，在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

在具体实施中，由于电网信息系统的运行根据实际情况的变化，具有一定周期性和规律性，因此根据在预设的时间期间内获取的运维数据训练得到的应用检测模型，难以持续的应对电网信息系统的所有运行变化，因此，可以使用应用检测模型在一定的时间期限内使用，用于检测电网信息系统的异常，在时间期限内应用检测模型的检测结果的准确度可以很高。在时间期限经过后，为了维持较高的检测结果准确度，可以重新获取运维数据对检测模型进行重新训练。

在具体实施中，时间期限与预设的时间期间相对应，即时间期限内的电网信息系统的周期变化规律与时间期限内相对应、匹配。

在具体实施中，本发明实施中所提供的技术方案，相比现有技术中采用孤立森林(Isolation Forest)等通过异常运维数据进行训练学习实现异常检测的算法而言，通过大量正常运维数据进行训练学习得到的单类分类器，异常检测结果的准确度的提升十分显著。

参阅图3，其为本发明实施例中提供的电网信息系统的运维数据异常检测装置30的结构示意图，具体包括：获取单元301、划分单元302、训练单元303、筛选单元304和检测单元305，其中：所述获取单元301，用于从所述电网信息系统获取预设的时间期间内的运维数据；所述划分单元302，用于将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；所述训练单元303，用于使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型；所述筛选单元304，用于使用所述测试数据分别输入所述检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；所述检测单元305，用于在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

本发明实施例中，所述获取单元301，还用于从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

本发明实施例中，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

本发明实施例中，所述筛选单元304，还用于根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

本发明实施例中，所述筛选单元304，还用于若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (10)

1.一种电网信息系统的运维数据异常检测方法，其特征在于，包括：

从所述电网信息系统获取预设的时间期间内的运维数据；

将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；

使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型进行训练；

使用所述测试数据分别输入所述第一检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；

在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

2.根据权利要求1所述的电网信息系统的运维数据异常检测方法，其特征在于，所述从所述电网信息系统获取预设的时间期间内的运维数据，包括：

从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

3.根据权利要求2所述的电网信息系统的运维数据异常检测方法，其特征在于，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

4.根据权利要求2所述的电网信息系统的运维数据异常检测方法，其特征在于，所述计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型，包括：

根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；

将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

5.根据权利要求3所述的电网信息系统的运维数据异常检测方法，其特征在于，所述在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型，包括：

若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

6.一种电网信息系统的运维数据异常检测装置，其特征在于，包括：获取单元、划分单元、训练单元、筛选单元和检测单元，其中：

所述获取单元，用于从所述电网信息系统获取预设的时间期间内的运维数据；

所述划分单元，用于将获得的运维数据划分为训练数据和测试数据，将训练数据中的异常运维数据排除；

所述训练单元，用于使用所述训练数据，分别对采用第一检测算法构建的第一检测模型和采用第二检测算法构建的第二检测模型进行训练；

所述筛选单元，用于使用所述测试数据分别输入所述第一检测模型和所述第二检测模型，计算所述第一检测模型的检测结果与所述测试数据之间的偏差，和所述第二检测模型的检测结果与所述测试数据之间的偏差，在第一检测模型与第二检测模型中根据偏差的大小确定应用于当前场景下的应用检测模型；

所述检测单元，用于在与所述时间期间对应的时间期限内使用所述应用检测模型对所述电网信息系统进行异常检测。

7.根据权利要求6所述的电网信息系统的运维数据异常检测装置，其特征在于，所述获取单元，还用于从所述电网信息系统获取预设的时间期间内多个时间节点下的运维数据；每个时间节点之间的时间间隔相同。

8.根据权利要求7所述的电网信息系统的运维数据异常检测装置，其特征在于，所述运维数据包括以下至少一种：CPU、内存、存储利用率、I/O带宽、网络延时、带宽、服务器温度、风扇转数、环境温度、湿度。

9.根据权利要求7所述的电网信息系统的运维数据异常检测装置，其特征在于，所述筛选单元，还用于根据检测结果，以检测模型对测试数据里的正常数据的检测准确率为纵坐标，以检测模型对测试数据里的异常数据的漏检率为横坐标，绘制ROC曲线；越接近坐标轴左上方的ROC曲线对应的检测模型，与所述测试数据之间的偏差越小；将第一检测模型的ROC曲线与第二检测模型的ROC曲线进行比对，在第一检测模型与第二检测模型中确定应用于当前场景下的应用检测模型。

10.根据权利要求8所述的电网信息系统的运维数据异常检测装置，其特征在于，所述筛选单元，还用于若F-Score的数值较大，则对应的检测模型确定为应用检测模型，F-Score采用以下公式进行计算：

F-Score＝2PR/(P+R)，

其中，P＝TP/(TP+FP)，R＝TP/(TP+FN)，TP表示检测结果中正常数据被正确地划分至正常数据范围的数量，FP表示检测结果中异常数据被错误地划分至正常数据范围的数量；FN表示检测结果中正常数据被错误地划分至异常数据范围的数量。

Images