基于用戶(hù)行為模式特征的時(shí)間序列異常檢測(cè).pdf

1、時(shí)間序列的異常點(diǎn)是用戶(hù)（或系統(tǒng)）產(chǎn)生的不符合預(yù)期行為模式的數(shù)據(jù)。研究異常點(diǎn)的起因和可能引起的后果，可以輔助用戶(hù)（或系統(tǒng)）提供有效的決策支持。例如拒絕服務(wù)（Denial of service，DoS）攻擊會(huì)產(chǎn)生大量異常的網(wǎng)絡(luò)流量。研究這些異常數(shù)據(jù)的起因，并預(yù)測(cè)可能癱瘓的鏈路，為系統(tǒng)管理員調(diào)整路由策略、避免網(wǎng)絡(luò)擁塞提供決策支持。由于技術(shù)的發(fā)展，當(dāng)前時(shí)間序列數(shù)據(jù)之間關(guān)系的復(fù)雜化以及異常種類(lèi)的增多導(dǎo)致已有的異常檢測(cè)算法很難有效的發(fā)現(xiàn)異常。因此，

2、如何從這些異常數(shù)據(jù)中提取特征，精確的對(duì)異常進(jìn)行檢測(cè)是當(dāng)前時(shí)間序列研究中的一個(gè)重要方向。
　　本研究主要內(nèi)容包括：⑴數(shù)據(jù)預(yù)處理階段，實(shí)際采集到的數(shù)據(jù)是海量未被標(biāo)記的時(shí)間序列。針對(duì)該問(wèn)題，采用集成學(xué)習(xí)的思想，提出基于多種異常檢測(cè)算法聯(lián)合檢測(cè)的數(shù)據(jù)清理策略。⑵存在“變異”或者類(lèi)型未知的異常導(dǎo)致已有的異常檢測(cè)算法失效或者具有很高的誤檢率。為解決上述問(wèn)題，基于用戶(hù)（或網(wǎng)絡(luò)）的正常行為模式提出基函數(shù)生成算法，實(shí)現(xiàn)正常流量空間的構(gòu)建，并將無(wú)法投

3、影到該空間的數(shù)據(jù)看做異常。⑶實(shí)際應(yīng)用中，時(shí)間序列數(shù)據(jù)的動(dòng)態(tài)變化導(dǎo)致已有的基函數(shù)無(wú)法表示新數(shù)據(jù)。針對(duì)該問(wèn)題，基于用戶(hù)（或網(wǎng)絡(luò)）的正常行為模式緩慢變化的特性，利用增量學(xué)習(xí)的思想，提出基函數(shù)更新算法。⑷對(duì)大規(guī)模時(shí)間序列的異常檢測(cè)通常會(huì)產(chǎn)生大量的異常點(diǎn)，需要消耗大量的資源進(jìn)行分析處理。針對(duì)該問(wèn)題，在異常檢測(cè)階段基于相同原因生成異常點(diǎn)的時(shí)間集中性，提出異常點(diǎn)的聚類(lèi)算法和評(píng)價(jià)準(zhǔn)則。⑸基于預(yù)測(cè)的異常檢測(cè)就是通過(guò)比較未來(lái)時(shí)間序列數(shù)據(jù)的評(píng)估值和實(shí)際值進(jìn)行

4、異常檢測(cè)。針對(duì)基于神經(jīng)網(wǎng)絡(luò)（Artificial neural networks，ANNs）的預(yù)測(cè)模型在構(gòu)建時(shí)需要大量訓(xùn)練時(shí)間的問(wèn)題，提出基于趨勢(shì)預(yù)測(cè)模型的時(shí)間序列異常檢測(cè)方法。⑹針對(duì)推薦系統(tǒng)中項(xiàng)目的評(píng)分時(shí)間序列異常檢測(cè)問(wèn)題，提出基于動(dòng)態(tài)時(shí)間區(qū)間分割和假設(shè)檢驗(yàn)的異常檢測(cè)模型（Dynamic time interval segmentation and hypothesis test detection-based framework，S

5、DF）。該模型分析了用戶(hù)的異常行為模式（主要是異常評(píng)分行為），提取異常評(píng)分特征，實(shí)現(xiàn)對(duì)異常的實(shí)時(shí)檢測(cè)。另外，提出了算法的穩(wěn)定性準(zhǔn)則用于評(píng)價(jià)時(shí)間序列異常檢測(cè)算法的性能。⑺提出動(dòng)態(tài)分割項(xiàng)目評(píng)分時(shí)間序列的算法，對(duì)相鄰評(píng)分進(jìn)行聚類(lèi)，并以假設(shè)檢驗(yàn)的形式對(duì)每個(gè)類(lèi)進(jìn)行異常檢測(cè)。該算法解決了在線(xiàn)異常檢測(cè)的實(shí)時(shí)性要求。⑻不同時(shí)間尺度下，同一個(gè)算法對(duì)同一個(gè)數(shù)據(jù)點(diǎn)的異常檢測(cè)可能產(chǎn)生不同的結(jié)果。針對(duì)該問(wèn)題，我們分析了檢測(cè)結(jié)果不一致的起因和后果，并設(shè)計(jì)了算法的穩(wěn)