CN117591983A - 一种多指标异常检测方法、装置、电子设备和存储介质 - Google Patents

Abstract

本发明涉及数据处理技术领域，具体公开了一种多指标异常检测方法、装置、电子设备和存储介质。其中，该方法包括：根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。本发明实施例能够有效利用数据缺失度量序列衡量原始多指标时序数据中序列值的缺失状况，使得预设异常检测网络模型可以学习到缺失模式，能够很好地适用于大规模数据缺失的多指标异常检测场景，提高了多指标异常检测的普适性和准确率。

Description

一种多指标异常检测方法、装置、电子设备和存储介质

技术领域

本发明涉及数据处理技术领域，尤其涉及一种多指标异常检测方法、装置、电子设备和存储介质。

背景技术

随着互联网的快速发展，越来越多的企业都开始依赖于在线服务来支持日常运营。为了确保这些关键服务的可靠性和稳定性，运维团队通常会使用监控系统来实时跟踪多个指标的时序数据，并采用一些算法对其进行异常检测，以便及时发现并解决任何潜在的异常情况。

现有的多指标异常检测方法尚存在一些不足：例如基于统计学的异常检测算法，只能适用于假设数据服从某种特定分布的情况，对于多时序数据的复杂变化模式的情况并不适用；基于时间序列分解的异常检测算法，其优点在于可以捕捉到周期性和趋势性的异常情况，但无法检测出非周期性的异常，且多时序数据情况通常较为复杂，可能既包含周期性特征的指标，也包含非周期性特征的指标；基于深度神经网络的多指标异常检测算法，优点在于可自动地适应不同类型的数据，可自动学习指标之间的关联关系，但是这些深度学习模型高度依赖数据质量，当数据中存在大量缺失时，其检测准确率低，难以适用于大规模缺失多指标异常检测。

发明内容

本发明提供了一种多指标异常检测方法、装置、电子设备和存储介质，以解决现有多指标异常检测方法在大规模数据缺失的多指标异常检测场景下存在的普适性和检测准确率较低的问题。

根据本发明的一方面，提供了一种多指标异常检测方法，该方法包括：

根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；

根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。

根据本发明的另一方面，提供了一种多指标异常检测装置，该装置包括：

缺失度量模块，用于根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；

异常检测模块，用于根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的多指标异常检测方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的多指标异常检测方法。

本发明实施例的技术方案，通过根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。本发明实施例通过根据原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再将原始多指标时序数据以及对应的数据缺失度量序列共同输入至预先训练好的预设异常检测网络模型中，以得到最终的多指标异常检测结果，利用数据缺失度量序列衡量原始多指标时序数据中序列值的缺失状况，使得预设异常检测网络模型可以很好地学习到缺失模式，提高了在多指标异常检测场景下的普适性和检测准确率。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例一提供的一种多指标异常检测方法的流程图；

图2是根据本发明实施例二提供的一种多指标异常检测方法的流程图；

图3是根据本发明实施例三提供的一种多指标异常检测方法的流程图；

图4是根据本发明实施例三提供的一种OmniPlus网络模型的网络结构示意图；

图5是根据本发明实施例四提供的一种多指标异常检测装置的结构示意图；

图6是实现本发明实施例的多指标异常检测方法的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1为本发明实施例一提供了一种多指标异常检测方法的流程图，本实施例可适用于对多指标时序数据进行异常检测的情况，该方法可以由多指标异常检测装置来执行，该多指标异常检测装置可以采用硬件和/或软件的形式实现，该多指标异常检测装置可配置于电子设备中，该电子设备例如可以是移动终端、PC端或服务器等。如图1所示，本实施例一提供的一种多指标异常检测方法，具体包括如下步骤：

S110、根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列。

其中，原始多指标时序数据可以是指待执行异常检测的多指标时序数据，可以理解的是，根据业务场景的不同，指标的种类和维度也可有所不同，示例性的，在服务器运维监控体系中，可以包括中央处理器（Central Processing Unit，CPU）使用率、内存使用率、磁盘空间占用率等指标。序列值缺失情况可以用于表征原始多指标时序数据中序列值的缺失状况，序列值缺失情况可以至少包括：序列值单点缺失情况、序列值连续缺失程度等。数据缺失度量序列可以理解为用于表征原始多指标时序数据的序列值缺失情况的对应序列，数据缺失度量序列可以至少包括：用于衡量原始多指标时序数据的序列值单点缺失情况的数据缺失值二元掩码序列、用于衡量原始多指标时序数据的序列值连续缺失程度的数据连续缺失个数序列等。

在本发明实施例中，可以首先从本地或者云端服务器存储的业务指标数据中获取待检测的原始多指标时序数据，然后确定原始多指标时序数据对应的序列值缺失情况，例如原始多指标时序数据的序列值单点缺失情况、序列值连续缺失程度等先验知识，再根据该序列值缺失情况确定对应的数据缺失度量序列，其中，数据缺失度量序列可以至少包括：数据缺失值二元掩码序列、数据连续缺失个数序列等。在一具体实施例中，根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列的方式可以为：首先对获取到的原始多指标时序数据按照时间维度执行数据对齐操作，然后按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况确定数据缺失值二元掩码序列，以及按照各时间点位置对应的序列值连续缺失程度确定数据连续缺失个数序列，最后将上述的数据缺失值二元掩码序列以及数据连续缺失个数序列共同作为数据缺失度量序列。

S120、根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。

其中，预设异常检测网络模型可以是指预先构建的用于实现多指标异常检测的网络模型，该预设异常检测网络模型可以包括但不限于：自编码器（Auto Encoder，AE）、变分自编码器（Variational Auto Encoder，VAE）、随机循环网络等。

在本发明实施例中，可以将原始多指标时序数据以及对应的数据缺失度量序列一同输入至预先训练好的预设异常检测网络模型中，经模型处理后得到原始多指标时序数据对应的重构结果，再根据该重构结果以及对应的异常检测阈值确定出多指标异常检测结果，其中，预设异常检测网络模型可以包括但不限于：AE、VAE、随机循环网络等。在一具体实施例中，若预设异常检测网络模型由VAE组成，则根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果的方式可以为：利用预设异常检测网络模型的编码器将原始多指标时序数据以及对应的数据缺失度量序列映射到隐藏层，得到对应的编码特征，再利用预设异常检测网络模型的解码器对该编码特征进行解码还原，以得到对应的多指标重构序列；然后基于峰值过阈值（Peak Over Threshold，POT）模型对上述多指标重构序列执行POT阈值选择操作，确定出各指标数据对应异常分数的最优阈值，进而得到对应的异常分数阈值序列；最后按照多指标重构序列以及对应的异常分数阈值序列确定多指标异常检测结果。

本发明实施例的技术方案，通过根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。本发明实施例通过根据原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再将原始多指标时序数据以及对应的数据缺失度量序列共同输入至预先训练好的预设异常检测网络模型中，以得到最终的多指标异常检测结果，利用数据缺失度量序列衡量原始多指标时序数据中序列值的缺失状况，使得预设异常检测网络模型可以很好地学习到缺失模式，提高了在多指标异常检测场景下的普适性和检测准确率。

实施例二

图2为本发明实施例二提供的一种多指标异常检测方法的流程图，基于上述实施方式进一步进行优化与扩展，并可以与上述实施方式中各个可选技术方案结合。如图2所示，本实施例二提供的一种多指标异常检测方法，具体包括如下步骤：

S210、获取原始多指标时序数据，并对原始多指标时序数据按照时间维度进行对齐。

在本发明实施例中，由于各指标的采样频率不一致、采集起始点不一致等原因，导致获取到的各指标数据在时间维度存在数据不对齐的情况，因此在获取到原始多指标时序数据之后，可以对原始多指标时序数据按照时间维度执行数据对齐操作。

S220、按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况确定数据缺失值二元掩码序列。

其中，序列值单点缺失情况可以用于表征原始多指标时序数据中各时间点位置对应的序列值是否为空值。数据缺失值二元掩码序列可以理解为根据序列值单点缺失情况确定的用于表征原始多指标时序数据的单点位置缺失状况的对应二元掩码序列，数据缺失值二元掩码序列中的序列值可以用0和1表示，例如可以用1表示时序数据中某个时间点位置对应的序列值为空，用0表示对应的序列值为非空。

在本发明实施例中，在对原始多指标时序数据按照时间维度进行对齐后，可以确定各指标数据中各时间点位置对应的序列值是否为空，即序列值单点缺失情况，并根据该序列值单点缺失情况确定原始多指标时序数据对应的数据缺失值二元掩码序列。在一具体实施例中，可以创建出一个与原始多指标时序数据相同大小的空序列，然后根据各指标数据中各时间点位置对应的序列值单点缺失情况，使用元素0和1对上述空序列中的对应位置进行填充，其中，元素1表示时序数据中某个时间点位置对应的序列值为空，元素0表示对应的序列值为非空。

S230、确定数据缺失值二元掩码序列中对应数据缺失位置的各时间点位置，以及确定各时间点位置对应的序列值连续缺失数量。

其中，序列值连续缺失数量可以理解为以数据缺失值二元掩码序列中对应某个时间点为起点，距离该起点的序列值连续缺失个数。

在本发明实施例中，为了评估原始多指标时序数据的序列值连续缺失程度，可以基于S220获取到的数据缺失值二元掩码序列，先确定该序列中对应数据缺失位置的各时间点位置，即序列值为1对应的时间点位置（假设数据缺失值二元掩码序列中使用元素1表示序列值为空的情况下），再以该时间点位置为起点，统计距离该起点的序列值连续缺失个数作为该时间点位置对应的序列值连续缺失数量，示例性的，若某个目标时间点位置对应的序列值为1，以该目标时间点位置为起点，在其后面有连续5个时间点位置对应的序列值均为1，则确定上述目标时间点位置对应的序列值连续缺失数量为5。

S240、将序列值连续缺失数量作为对应各时间点位置的序列值，以得到数据连续缺失个数序列，并将数据缺失值二元掩码序列和数据连续缺失个数序列作为数据缺失度量序列。

其中，数据连续缺失个数序列可以理解为根据数据缺失值二元掩码序列中各时间点位置对应的序列值连续缺失数量确定的用于表征原始多指标时序数据的连续缺失程度的对应序列。

在本发明实施例中，在确定数据缺失值二元掩码序列中各时间点位置对应的序列值连续缺失数量之后，可以将该序列值连续缺失数量作为对应时间点位置的序列值，进而得到数据连续缺失个数序列，可以将数据缺失值二元掩码序列和数据连续缺失个数序列一起作为用于原始多指标时序数据的序列值缺失情况的数据缺失度量序列。可以理解的是，对于数据缺失值二元掩码序列中对应非数据缺失位置的各时间点位置，无需确定该时间点位置对应的序列值连续缺失数量，可以将数据缺失值二元掩码序列中该时间点位置对应的序列值（例如元素0）直接作为数据连续缺失个数序列中对应时间点位置的序列值。

S250、对原始多指标时序数据中的数据缺失位置执行补零操作。

在本发明实施例中，可以先识别出原始多指标时序数据中的所有数据缺失位置，然后对数据缺失位置执行补零操作。

S260、将数据缺失度量序列以及执行补零操作后的原始多指标时序数据，输入至由变分自编码器构成的预设异常检测网络模型中，利用预设异常检测网络模型的推理网络将原始多指标时序数据以及数据缺失度量序列映射到隐变量空间，得到原始多指标时序数据以及数据缺失度量序列对应的编码特征，并利用预设异常检测网络模型的生成网络对编码特征进行解码还原，以得到原始多指标时序数据对应的未填充重构序列。

其中，变分自编码器（VAE）是一种以自编码器结构为基础的深度生成模型，自编码器在降维和特征提取等领域应用广泛，基本结构是通过编码（Encoder）过程将样本映射到低维空间的隐变量，然后通过解码（Decoder）过程将隐变量还原为重构样本。未填充重构序列可以是指利用预设异常检测网络模型对原始多指标时序数据进行重构后得到的含有缺失值的重构序列。

在本发明实施例中，可以预先使用多指标时序训练数据以及对应的数据缺失度量序列对由VAE构成的预设异常检测网络模型进行迭代训练，让模型能够学习到缺失模式，在模型训练完成后，将待检测的执行补零操作后的原始多指标时序数据以及对应的数据缺失度量序列作为预设异常检测网络模型的输入，利用预设异常检测网络模型的推理网络将原始多指标时序数据以及对应数据缺失度量序列映射到隐变量空间，得到对应的编码特征，再利用预设异常检测网络模型的生成网络对上述编码特征进行解码还原，进而得到原始多指标时序数据对应的未填充重构序列，其中，未填充重构序列中各序列值表示各指标数据对应的重构概率，也可以用于表示对应指标数据的异常分数，重构序列中的序列值越小代表对应指标越异常。

S270、调用预设马尔可夫链蒙特卡洛算法对未填充重构序列进行预设采样次数的采样处理，并利用采样处理得到的所有采样结果的平均值对未填充重构序列中的缺失位置进行填充，以得到原始多指标时序数据对应的填充后重构序列。

其中，预设马尔可夫链蒙特卡洛（Markov Chain Monte Carlo，MCMC）算法可以是指预先配置的用于对未填充重构序列进行采样的算法。填充后重构序列可以是指针对未填充重构序列中的缺失位置，使用预设MCMC算法进行采样并利用采样值进行填充后得到的重构序列。

在本发明实施例中，在得到原始多指标时序数据对应的未填充重构序列之后，可以调用预设MCMC算法对该未填充重构序列中的数据缺失位置进行预设采样次数的采样处理，将采样处理后得到的所有采样值的平均值作为本轮缺失的填充值，并利用该填充值对未填充重构序列中的数据缺失位置进行填充，进而原始多指标时序数据对应的填充后重构序列。

进一步地，在上述发明实施例的基础上，S270中调用预设MCMC算法确定的本轮缺失的填充值为：

（1）

其中，表示填充值，N表示预设采样次数，/>表示指标i对应的时序数据，/>表示异常检测当前时间点，/>表示指标i对应的异常分数。

S280、调用预设峰值过阈值模型确定填充后重构序列对应的异常分数阈值序列。

其中，预设峰值过阈值（POT）模型可以是指预先配置的一种基于极值分布的模型，利用该预设POT模型可以自动获取各指标数据对应异常分数的阈值，预设POT模型的优点是不需要假设数据的分布，其基本思想是运用极值理论，通过广义帕累托分布（GeneralizedPareto Distribution，GPD）来拟合数据的极值分布，通过最大似然估计来得到GPD的参数，从而确定最优阈值。

在本发明实施例中，可以调用预设POT模型对获取到的填充后重构序列进行阈值选择操作，通过执行该POT阈值选择操作，拟合填充后重构序列中极值的分布，确定出各指标数据对应异常分数的最优阈值，进而得到对应的异常分数阈值序列。

进一步地，在上述发明实施例的基础上，S280具体包括如下步骤：

S2801、基于填充后重构序列确定对应的广义帕累托分布；

S2802、利用极大似然估计法确定广义帕累托分布中形状参数和尺度参数分别对应的估计值，按照估计值确定各指标时序数据对应的分位数阈值作为异常分数阈值序列。

在本发明实施例中，以填充后重构序列中某一指标对应的重构序列为例，其对应的GPD表示如下：

（2）

式中，表示重构序列对应的GPD分布，th表示重构序列的初始异常阈值，S表示重构序列中的序列值，/>表示GPD分布中的形状参数，/>表示GPD分布中的尺度参数。

利用极大似然估计法确定形状参数和尺度参数/>分别对应的估计值/>和/>，并利用上述估计值/>和/>确定各指标时序数据对应的分位数阈值作为异常分数阈值序列。

再次以填充后重构序列中某一指标对应的重构序列为例，其对应的分位数阈值TH表示如下：

（3）

其中，q表示初始设置的异常概率，也称为置信度；n表示重构序列的序列值总数；表示峰值数，即/>的序列值个数。

S290、按照填充后重构序列以及对应的异常分数阈值序列确定多指标异常检测结果。

在本发明实施例中，可以针对填充后重构序列中各指标分别对应的重构序列，在异常分数阈值序列中查找对应的分位数阈值即异常检测阈值，并按照各重构序列以及对应的异常检测阈值确定多指标异常检测结果。

进一步地，在上述发明实施例的基础上，本发明实施例提供的一种多指标异常检测方法，还包括：

基于数据缺失度量序列修正多指标异常检测结果，以得到原始多指标时序数据对应的修正后多指标异常检测结果。

其中，修正后多指标异常检测结果可以理解为针对上述S290得到的多指标异常检测结果，对其按照数据缺失度量序列对执行修正处理后得到的多指标异常检测结果。

在上述明实施例中，是基于MCMC采样实现对缺失位置数据的填充，并基于填充数据进行异常检测。然而，从业务角度来看，对缺失位置进行异常检测的意义不大，且算法对其进行检测结果可能为异常或正常，这将会影响算法检测的准确率。因此，需要对上述S290得到的多指标异常检测结果进行修正，即将缺失位置检测结果为异常的修正为正常，进而得到原始多指标时序数据对应的修正后多指标异常检测结果。

具体的，确定修正后多指标异常检测结果的过程，可以包括如下步骤：

A、按照数据缺失度量序列中的数据缺失值二元掩码序列，确定原始多指标时序数据中的目标缺失位置；

B、在多指标异常检测结果中对应目标缺失位置的目标异常检测结果为异常时，将目标异常检测结果修正为正常，进而得到修正后多指标异常检测结果。

本发明实施例的技术方案，通过获取原始多指标时序数据，并对原始多指标时序数据按照时间维度进行对齐；按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况确定数据缺失值二元掩码序列；确定数据缺失值二元掩码序列中对应数据缺失位置的各时间点位置，以及确定各时间点位置对应的序列值连续缺失数量；将序列值连续缺失数量作为对应各时间点位置的序列值，以得到数据连续缺失个数序列，并将数据缺失值二元掩码序列和数据连续缺失个数序列作为数据缺失度量序列；对原始多指标时序数据中的数据缺失位置执行补零操作；将数据缺失度量序列以及执行补零操作后的原始多指标时序数据，输入至由变分自编码器构成的预设异常检测网络模型中，利用预设异常检测网络模型的推理网络将原始多指标时序数据以及数据缺失度量序列映射到隐变量空间，得到原始多指标时序数据以及数据缺失度量序列对应的编码特征，并利用预设异常检测网络模型的生成网络对编码特征进行解码还原，以得到原始多指标时序数据对应的未填充重构序列；调用预设马尔可夫链蒙特卡洛算法对未填充重构序列进行预设采样次数的采样处理，并利用采样处理得到的所有采样结果的平均值对未填充重构序列中的缺失位置进行填充，以得到原始多指标时序数据对应的填充后重构序列；调用预设峰值过阈值模型确定填充后重构序列对应的异常分数阈值序列；按照填充后重构序列以及对应的异常分数阈值序列确定多指标异常检测结果。本发明实施例通过根据原始多指标时序数据的序列值单点缺失情况和序列值连续缺失程度，确定对应的数据缺失值二元掩码序列和数据连续缺失个数序列，通过预先训练好的预设异常检测网络模型确定原始多指标时序数据以及数据缺失度量序列对应的未填充重构序列，再利用预设MCMC算法对未填充重构序列进行采样以填充序列中的缺失位置，最后利用预设POT模型自动确定填充后重构序列对应的异常分数阈值序列，进而按照填充后重构序列以及对应的异常分数阈值序列确定多指标异常检测结果，利用了原始多指标时序数据的序列值单点缺失情况、序列值连续缺失程度等先验知识，能够很好地适用于大规模数据缺失的多指标异常检测场景，提高了多指标异常检测的普适性和准确率。

实施例三

图3为本发明实施例三提供的一种多指标异常检测方法的流程图，本实施例在上述实施例的基础上，提供了一种多指标异常检测方法的一个实施方式，能够实现平滑识别大规模缺失序列中的正常点并在缺失处不报异常，提高了多指标异常检测方法的普适性和鲁棒性。如图3所示，本发明实施例三提供的一种多指标异常检测方法，具体包括如下步骤：

S310、获取待检测的原始多指标时序数据，并对原始多指标时序数据按照时间维度执行数据对齐操作。

S320、按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况生成数据缺失值二元掩码序列。

在本发明实施例中，在多指标时序数据分析场景中，由于各指标的采样频率不一致，且各指标数据在收集时可能存在数据缺失，在按时间维度对齐后很多位置上的数据为空，因此，需要提取相应的数据缺失值二元掩码序列，用于后续过程分析。假设原始多指标时序数据可表示为多维随机变量，其中，n表示指标个数，变量/>表示指标i对应的时序数据。

多维随机变量X按时间维度对齐后可以表示为：，其中，，且

（4）

式中，表示对齐时间间隔，/>，符号/>表示向下取整函数，/>表示异常检测窗口的起始时间点，/>表示异常检测当前时间点。

基于按时间维度对齐后得到的序列Y，通过判断其序列值是否为空，生成对应的数据缺失值二元掩码序列，其中，/> ，且

（5）

S330、基于数据缺失值二元掩码序列生成数据连续缺失个数序列。

在本发明实施例中，在上述生成的数据缺失值二元掩码序列中，只包含原始多指标时序数据的单点位置是否缺失信息，无法去衡量其连续缺失情况。因此，为评估原始多指标时序数据的连续缺失程度，本发明实施例提出利用统计距离连续缺失起点的点个数，生成数据连续缺失个数序列。具体的，基于数据缺失值二元掩码序列M，生成的对应数据连续缺失个数序列为，其中，/>，且

（6）

式中，当j=0时，。

S340、将执行补零操作后的原始多指标时序数据以及对应的数据缺失值二元掩码序列和数据连续缺失个数序列，共同输入至预先训练好的OmniPlus网络模型中，得到多指标异常检测结果。

在本发明实施例中，选择基于变分自编码器VAE的深度学习模型作为特征提取器，用于生成重构序列，具体参考了一种用于多维时间序列异常检测的随机递归神经网络OmniAnomaly，其通用性强，与具体应用场景解耦，核心思想是通过学习随机变量的时间依赖性和随机性获取多维时间序列的正常模式，重构输入数据，并利用重构概率来确定异常。为了让OmniAnomaly网络模型能够适用于复杂数据环境条件下的多指标异常检测，本发明实施例对其进行了改进，使其能够平滑识别大规模缺失序列中的正常点，改进后的网络模型为OmniPlus。如图4所示，OmniPlus网络模型的网络结构由两部分组成：推理网络和生成网络。左侧的推理网络qnet，使用门控循环单元（Gate Recurrent Unit，GRU）捕获X空间中多维随机变量观测值之间的前后时间依赖性，经过VAE推理网络将X空间中的输入观测值映射到隐变量Z空间中，由于多维随机变量数据的分布是复杂不同的，采用平面归一化流(planar Normalizing Flows, Planar NF)方法使用一系列可逆映射来学习Z空间中潜在的非高斯后验分布。右侧生成网络pnet，为使用类似的推理网络结构用Z重构X，采用随机变量连接技术,即使用线性高斯状态空间模型（Linear Gaussian State space model，LGSSM）使得Z空间与X空间具有时间相关性，最终得到多维随机变量的重构概率分布。

相比与OmniAnomaly网络模型，改进后的OmniPlus网络模型至少具备以下两点改进点：①推理网络qnet的输入不再只有原始数据，而是包括三部分/>，其中，为原始多指标时序数据，缺失部分补零；/>为数据缺失值二元掩码序列；/>为数据连续缺失个数序列，这样可以保证异常检测模型能够学习到缺失模式；②在生成网络pnet上对重构的/>进行多次MCMC采样，以对缺失值填充并保留原始非缺失数据。

（1）改进后的OmniPlus网络模型最终可输出重构概率分数为：

（7）

式中，表示通过OmniPlus网络模型将原始多指标时序数据X、数据缺失值二元掩码序列M和数据连续缺失个数序列C编码进Z后，再重构生成X的条件概率密度，可以定义为整体的异常分数；/>表示指标i的异常分数，记为/>。

（2）在生成网络pnet上对重构的进行多次MCMC采样后，考虑采样分布的随机性，本发明实施例取多次采样结果的均值作为本轮缺失的填充值，对于非缺失位置数据则不进行采样。设采样次数为N，一轮缺失的填充值为/>，具体公式如下：

（8）

（3）为了从众多指标中识别异常指标，通常采用阈值分析法，但由于分析指标众多，通过手动设置阈值识别异常，会带来大量的人力开销，因此本发明实施例选择一种基于极值理论的POT模型，该模型优点在于不需要假设数据分布，通过选择参数自动设置阈值。通过POT模型对多指标重构序列自动设置的阈值为/>。最终多指标异常检测结果为：

（9）

其中，1表示异常，0表示正常，。

S350、利用数据缺失值二元掩码序列对多指标异常检测结果进行修正。

在本发明实施例中，基于MCMC采样可实现对缺失位置数据的填充，并基于填充数据进行异常检测。然而，从业务角度来看，对缺失位置进行异常检测意义不大，且算法对其进行检测结果可能为异常或正常，影响算法检测的准确率。因此，需要对上述得到的多指标异常检测结果进行修正，即对于缺失位置检测结果为异常的，将其修正为正常。修正后的多指标异常检测结果为：

（10）

以下是本发明实施例三提供的另一种多指标异常检测方法的具体实现流程：

本发明实施例的技术方案，通过获取待检测的原始多指标时序数据，并对原始多指标时序数据按照时间维度执行数据对齐操作；按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况生成数据缺失值二元掩码序列；基于数据缺失值二元掩码序列生成数据连续缺失个数序列；将执行补零操作后的原始多指标时序数据以及对应的数据缺失值二元掩码序列和数据连续缺失个数序列，共同输入至预先训练好的OmniPlus网络模型中，得到多指标异常检测结果；利用数据缺失值二元掩码序列对多指标异常检测结果进行修正。本发明实施例具备以下有益效果：①利用原始多指标时序数据的序列值单点缺失情况生成数据缺失值二元掩码序列，该掩码序列可以精确标识原始多指标时序数据的数据缺失信息；②利用统计距离连续缺失起点的点个数而生成数据连续缺失个数序列，该序列可以很好地衡量原始多指标时序数据的数据连续缺失程度；③通过结合单点缺失位置掩码信息和连续缺失趋势信息，并加入MCMC采样过程，使得本实施例提供的多指标异常检测方法能够很好地适用于大规模数据缺失的多指标异常检测场景；④结合数据缺失二元掩码信息对异常检测结果进行修正，通过将缺失位置检测结果为异常的修正为正常的策略，提高了异常检测准确率。

实施例四

图5为本发明实施例四提供的一种多指标异常检测装置的结构示意图。如图5所示，该装置包括：

缺失度量模块41，用于根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；

异常检测模块42，用于根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。

本发明实施例的技术方案，通过缺失度量模块根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再通过异常检测模块根据预设异常检测网络模型确定原始多指标时序数据和数据缺失度量序列对应的多指标异常检测结果。本发明实施例通过根据原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，再将原始多指标时序数据以及对应的数据缺失度量序列共同输入至预先训练好的预设异常检测网络模型中，以得到最终的多指标异常检测结果，利用数据缺失度量序列衡量原始多指标时序数据中序列值的缺失状况，使得预设异常检测网络模型可以很好地学习到缺失模式，提高了在多指标异常检测场景下的普适性和检测准确率。

进一步地，在上述发明实施例的基础上，缺失度量模块41包括：

数据获取及对齐单元，用于获取原始多指标时序数据，并对原始多指标时序数据按照时间维度进行对齐；

数据缺失值二元掩码序列确定单元，用于按照对齐后的原始多指标时序数据中各时间点位置对应的序列值单点缺失情况确定数据缺失值二元掩码序列；

序列值连续缺失数量确定单元，用于确定数据缺失值二元掩码序列中对应数据缺失位置的各时间点位置，以及确定各时间点位置对应的序列值连续缺失数量；

数据缺失度量序列确定单元，用于将序列值连续缺失数量作为对应各时间点位置的序列值，以得到数据连续缺失个数序列，并将数据缺失值二元掩码序列和数据连续缺失个数序列作为数据缺失度量序列。

进一步地，在上述发明实施例的基础上，异常检测模块42包括：

数据补零单元，用于对原始多指标时序数据中的数据缺失位置执行补零操作；

未填充重构序列确定单元，用于将数据缺失度量序列以及执行补零操作后的原始多指标时序数据，输入至由变分自编码器构成的预设异常检测网络模型中，利用预设异常检测网络模型的推理网络将原始多指标时序数据以及数据缺失度量序列映射到隐变量空间，得到原始多指标时序数据以及数据缺失度量序列对应的编码特征，并利用预设异常检测网络模型的生成网络对编码特征进行解码还原，以得到原始多指标时序数据对应的未填充重构序列；

填充后重构序列确定单元，用于调用预设马尔可夫链蒙特卡洛算法对未填充重构序列进行预设采样次数的采样处理，并利用采样处理得到的所有采样结果的平均值对未填充重构序列中的缺失位置进行填充，以得到原始多指标时序数据对应的填充后重构序列；

异常分数阈值序列确定单元，用于调用预设峰值过阈值模型确定填充后重构序列对应的异常分数阈值序列；

多指标异常检测结果确定单元，用于按照填充后重构序列以及对应的异常分数阈值序列确定多指标异常检测结果。

进一步地，在上述发明实施例的基础上，调用预设马尔可夫链蒙特卡洛算法确定的本轮缺失的填充值为：

；

其中，表示填充值，N表示预设采样次数，/>表示指标i对应的时序数据，/>表示异常检测当前时间点，/>表示指标i对应的异常分数。

进一步地，在上述发明实施例的基础上，异常分数阈值序列确定单元，具体用于：

基于填充后重构序列确定对应的广义帕累托分布；

利用极大似然估计法确定广义帕累托分布中形状参数和尺度参数分别对应的估计值，按照估计值确定各指标时序数据对应的分位数阈值作为异常分数阈值序列。

进一步地，在上述发明实施例的基础上，多指标异常检测装置，还包括：

结果修正模块，用于基于数据缺失度量序列修正多指标异常检测结果，以得到原始多指标时序数据对应的修正后多指标异常检测结果。

进一步地，在上述发明实施例的基础上，结果修正模块包括：

目标缺失位置确定单元，用于按照数据缺失度量序列中的数据缺失值二元掩码序列，确定原始多指标时序数据中的目标缺失位置；

结果修正单元，用于在多指标异常检测结果中对应目标缺失位置的目标异常检测结果为异常时，将目标异常检测结果修正为正常，进而得到修正后多指标异常检测结果。

本发明实施例所提供的多指标异常检测装置可执行本发明任意实施例所提供的多指标异常检测方法，具备执行方法相应的功能模块和有益效果。

实施例五

图6示出了可以用来实施本发明的实施例的电子设备50的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备（如头盔、眼镜、手表等）和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图6所示，电子设备50包括至少一个处理器51，以及与至少一个处理器51通信连接的存储器，如只读存储器（ROM）52、随机访问存储器（RAM）53等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器51可以根据存储在只读存储器（ROM）52中的计算机程序或者从存储单元58加载到随机访问存储器（RAM）53中的计算机程序，来执行各种适当的动作和处理。在RAM 53中，还可存储电子设备50操作所需的各种程序和数据。处理器51、ROM 52以及RAM 53通过总线54彼此相连。输入/输出（I/O）接口55也连接至总线54。

电子设备50中的多个部件连接至I/O接口55，包括：输入单元56，例如键盘、鼠标等；输出单元57，例如各种类型的显示器、扬声器等；存储单元58，例如磁盘、光盘等；以及通信单元59，例如网卡、调制解调器、无线通信收发机等。通信单元59允许电子设备50通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器51可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器51的一些示例包括但不限于中央处理单元（CPU）、图形处理单元（GPU）、各种专用的人工智能（AI）计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器（DSP）、以及任何适当的处理器、控制器、微控制器等。处理器51执行上文所描述的各个方法和处理，例如多指标异常检测方法。

在一些实施例中，多指标异常检测方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元58。在一些实施例中，计算机程序的部分或者全部可以经由ROM 52和/或通信单元59而被载入和/或安装到电子设备50上。当计算机程序加载到RAM 53并由处理器51执行时，可以执行上文描述的多指标异常检测方法的一个或多个步骤。备选地，在其他实施例中，处理器51可以通过其他任何适当的方式（例如，借助于固件）而被配置为执行多指标异常检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列（FPGA）、专用集成电路（ASIC）、专用标准产品（ASSP）、芯片上系统的系统（SOC）、负载可编程逻辑设备（CPLD）、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或快闪存储器）、光纤、便捷式紧凑盘只读存储器（CD-ROM）、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置（例如，CRT（阴极射线管）或者LCD（液晶显示器）监视器）；以及键盘和指向装置（例如，鼠标或者轨迹球），用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈（例如，视觉反馈、听觉反馈、或者触觉反馈）；并且可以用任何形式（包括声输入、语音输入或者、触觉输入）来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统（例如，作为数据服务器）、或者包括中间件部件的计算系统（例如，应用服务器）、或者包括前端部件的计算系统（例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互）、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信（例如，通信网络）来将系统的部件相互连接。通信网络的示例包括：局域网（LAN）、广域网（WAN）、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种多指标异常检测方法，其特征在于，所述方法包括：

根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；

根据预设异常检测网络模型确定所述原始多指标时序数据和所述数据缺失度量序列对应的多指标异常检测结果。

2.根据权利要求1所述的方法，其特征在于，所述根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列，包括：

获取所述原始多指标时序数据，并对所述原始多指标时序数据按照时间维度进行对齐；

按照对齐后的所述原始多指标时序数据中各时间点位置对应的序列值单点缺失情况确定数据缺失值二元掩码序列；

确定所述数据缺失值二元掩码序列中对应数据缺失位置的所述各时间点位置，以及确定所述各时间点位置对应的序列值连续缺失数量；

将所述序列值连续缺失数量作为对应所述各时间点位置的序列值，以得到数据连续缺失个数序列，并将所述数据缺失值二元掩码序列和所述数据连续缺失个数序列作为所述数据缺失度量序列。

3.根据权利要求1所述的方法，其特征在于，所述根据预设异常检测网络模型确定所述原始多指标时序数据和所述数据缺失度量序列对应的多指标异常检测结果，包括：

对所述原始多指标时序数据中的数据缺失位置执行补零操作；

将所述数据缺失度量序列以及所述执行补零操作后的所述原始多指标时序数据，输入至由变分自编码器构成的所述预设异常检测网络模型中，利用所述预设异常检测网络模型的推理网络将所述原始多指标时序数据以及所述数据缺失度量序列映射到隐变量空间，得到所述原始多指标时序数据以及所述数据缺失度量序列对应的编码特征，并利用所述预设异常检测网络模型的生成网络对所述编码特征进行解码还原，以得到所述原始多指标时序数据对应的未填充重构序列；

调用预设马尔可夫链蒙特卡洛算法对所述未填充重构序列进行预设采样次数的采样处理，并利用所述采样处理得到的所有采样结果的平均值对所述未填充重构序列中的缺失位置进行填充，以得到所述原始多指标时序数据对应的填充后重构序列；

调用预设峰值过阈值模型确定所述填充后重构序列对应的异常分数阈值序列；

按照所述填充后重构序列以及对应的所述异常分数阈值序列确定所述多指标异常检测结果。

4.根据权利要求3所述的方法，其特征在于，调用所述预设马尔可夫链蒙特卡洛算法确定的本轮缺失的填充值为：

；

其中，表示所述填充值，N表示所述预设采样次数，/>表示指标i对应的时序数据，/>表示异常检测当前时间点，/>表示指标i对应的异常分数。

5.根据权利要求3所述的方法，其特征在于，所述调用预设峰值过阈值模型确定所述填充后重构序列对应的异常分数阈值序列，包括：

基于所述填充后重构序列确定对应的广义帕累托分布；

利用极大似然估计法确定所述广义帕累托分布中形状参数和尺度参数分别对应的估计值，按照所述估计值确定各指标时序数据对应的分位数阈值作为所述异常分数阈值序列。

6.根据权利要求1所述的方法，其特征在于，还包括：

基于所述数据缺失度量序列修正所述多指标异常检测结果，以得到所述原始多指标时序数据对应的修正后多指标异常检测结果。

7.根据权利要求6所述的方法，其特征在于，所述基于所述数据缺失度量序列修正所述多指标异常检测结果，以得到所述原始多指标时序数据对应的修正后多指标异常检测结果，包括：

按照所述数据缺失度量序列中的数据缺失值二元掩码序列，确定所述原始多指标时序数据中的目标缺失位置；

在所述多指标异常检测结果中对应所述目标缺失位置的目标异常检测结果为异常时，将所述目标异常检测结果修正为正常，进而得到所述修正后多指标异常检测结果。

8.一种多指标异常检测装置，其特征在于，所述装置包括：

缺失度量模块，用于根据待检测的原始多指标时序数据的序列值缺失情况确定对应的数据缺失度量序列；

异常检测模块，用于根据预设异常检测网络模型确定所述原始多指标时序数据和所述数据缺失度量序列对应的多指标异常检测结果。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的多指标异常检测方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的多指标异常检测方法。