王逸兮 余 錚 查志勇 馮 浩 王敬靖

（國網(wǎng)湖北省電力有限公司信息通信公司 武漢 430077）

1 引言

隨著我國進入了大數(shù)據(jù)時代以來，各類型企業(yè)的發(fā)展速度陡然提高，其中電力企業(yè)的業(yè)務(wù)規(guī)模也出現(xiàn)了大幅增加。國家電網(wǎng)公司由于各分部、省公司在資源配置方面差異較大，使得大規(guī)模數(shù)據(jù)協(xié)調(diào)處理的復(fù)雜度呈幾何級數(shù)上升，系統(tǒng)異常出現(xiàn)的概率大幅度增加，且故障排查效率相對低下，對信息系統(tǒng)的正常運行構(gòu)成了嚴重的影響，因此必須采取有效措施，對網(wǎng)絡(luò)性能異常進行精確快速的監(jiān)測［1］。

目前網(wǎng)絡(luò)異常檢測技術(shù)已經(jīng)研究出多種技術(shù)成果。如Roy 提出了提高檢測技術(shù)魯棒性的設(shè)計思路，指出流量規(guī)模在一定范圍內(nèi)的突變，不應(yīng)當作為明確的異常指征，而僅可以作為參考標準［2］；Jun Jiang 等人提出了網(wǎng)絡(luò)性能檢測的預(yù)判概念，采用預(yù)測算法對當前的網(wǎng)絡(luò)性能波動進行計算，一定程度上實現(xiàn)了對異常情況的提前判定［3］；Amon Goldman 等人將網(wǎng)絡(luò)性能指標的變化數(shù)據(jù)用統(tǒng)計學(xué)中的迭代統(tǒng)計算法進行分析，實現(xiàn)了動態(tài)調(diào)節(jié)性能指標閾值的目標［4］；以上檢測方法均為被動統(tǒng)計方法，存在滯后程度較高的問題，而網(wǎng)絡(luò)性能監(jiān)控卻需要將實時性作為首要指標，因此這些方法均不能實現(xiàn)對當前大規(guī)模網(wǎng)絡(luò)的及時調(diào)控。

主動監(jiān)控技術(shù)將原先針對某區(qū)域的總流量變化進行監(jiān)控的方法，轉(zhuǎn)變?yōu)獒槍^(qū)域內(nèi)預(yù)設(shè)的一系列性能參數(shù)的異常變化進行檢測和分析，即以網(wǎng)絡(luò)區(qū)域內(nèi)是否出現(xiàn)了相關(guān)類型的異常點為依據(jù)，判定當前該區(qū)域內(nèi)是否出現(xiàn)了對應(yīng)的問題［5～6］。在該類型的檢測過程中，主要依據(jù)兩個重要的參數(shù)來進行判定，其分別為基線和閾值?；€是指網(wǎng)絡(luò)在通信過程中的性能基礎(chǔ)值，反映網(wǎng)絡(luò)在不同環(huán)境下的平均性能，而閾值則是以基線為中心動態(tài)調(diào)整的，指明了某一時間段內(nèi)網(wǎng)絡(luò)性能波動的正常范圍。本文針對被動檢測方法的缺點進行改進，提出采用SVM機制參與到性能評價過程中，實現(xiàn)了對基線參數(shù)的實時動態(tài)調(diào)整，同時利用訓(xùn)練殘差的方法輔助確定網(wǎng)絡(luò)性能指標的置信區(qū)間，從而提高了閾值計算的可靠性和精確性。

2 SVM算法原理

支持向量機SVM 屬于智能型自適應(yīng)優(yōu)化算法，其特點是通過對解群體的分類與回歸，很好的提高了算法的泛化性。其基本算法流程如下。

首先根據(jù)分析對象特征設(shè)定初始樣本群體｛xi，yj｝，i，j=1，2，…n；xi與yj分別為算法的n維輸入量和輸出量。式（1）給出了SVM 算法的基本函數(shù)形式：

上式中φ(·)為算法的特征映射函數(shù)，將其視為被測對象的回歸函數(shù)，將式（1）表述為

式（1）中的 ‖ω‖2為復(fù)雜度參數(shù)，用以描述f(·)的復(fù)雜度；C 為懲罰系數(shù)，用以設(shè)定算法對錯誤分類的懲罰程度，從而提高全局最優(yōu)解的存在概率；為經(jīng)驗風(fēng)險值，用來描述算法分類結(jié)果與真實結(jié)果之間的差值，其中ε為不靈敏損失函數(shù)，其作用等價于算法中的松弛變量［7］，用以清除真實值在某范圍內(nèi)的誤差，其滿足式（3）。

而經(jīng)驗風(fēng)險可描述為

通過式（3）和式（4）代入，可將式（2）轉(zhuǎn)變?yōu)?/p>

將拉格朗日乘子法用于上式，可將其轉(zhuǎn)變?yōu)閷ε純?yōu)化問題的求解，如式（6）所示。

上式中，K(xi，xj)為核函數(shù)，這也是確定算法有效性的關(guān)鍵函數(shù)，尤其在針對線性不可分的數(shù)據(jù)進行SVM優(yōu)化的過程中，必須根據(jù)被測對象的特征選取合適的K(xi，xj) ，目前常用的核函數(shù)有線性核函數(shù)、多項式核函數(shù)、Sigmoid 核函數(shù)和高斯（RBF）核函數(shù)等［8-9］，此處選取高斯（RBF）核函數(shù)，即高斯徑向基函數(shù)為例，如式（7）所示。

將代入后，式（8）即轉(zhuǎn)變?yōu)橐韵滦问剑?/p>

上式的求解即為二元分類問題的求解，f(x)的值有兩種，分別為+1 和-1，前者表示x歸為一類，后者則表示其歸為二類，根據(jù)分類的結(jié)果，就可以對被監(jiān)測對象的變化趨勢進行預(yù)判，如網(wǎng)絡(luò)性能參數(shù)是否會在時間序列中的下一時間點上出現(xiàn)異常。

3 基于SVM 的異常點檢測方案的優(yōu)化

3.1 網(wǎng)絡(luò)性能指標模型的構(gòu)建

本次優(yōu)化方案選取時間點序列作為監(jiān)測和分析對象，在構(gòu)建數(shù)據(jù)模型時，訓(xùn)練集（樣本群）中的每個個體均為時間序列中某一點上網(wǎng)絡(luò)性能的對應(yīng)指標［10］，傳統(tǒng)的建模方法是按照連續(xù)時間間隔的采樣得到初始訓(xùn)練集，如式（11）所示。上式中，U 和V 分別為算法的輸入和輸出向量；t 表示時間序列的末尾點；l表示元素數(shù)量；m 表示嵌入維數(shù)；該方法缺點是基線和閾值的設(shè)定往往存在較大的滯后情況，無法對網(wǎng)絡(luò)中各種性能指標快速且頻繁變化狀況進行實時的分析與識別，這就導(dǎo)致了許多異常點沒有被及時檢出，最終使得監(jiān)測系統(tǒng)經(jīng)常出現(xiàn)誤報和漏報的情況。

在檢索了電力企業(yè)累積的大量網(wǎng)絡(luò)性能監(jiān)測數(shù)據(jù)后發(fā)現(xiàn)，各個區(qū)域內(nèi)網(wǎng)元的性能波動規(guī)律雖然在短時間內(nèi)是無序的且隨機變化的，但在較長的監(jiān)測周期內(nèi)依然是遵循一定規(guī)律的，尤其在1d 的時間單位內(nèi)，同時間段的變化規(guī)律相似性極高，因此本文提出采用同點時間序列構(gòu)建網(wǎng)絡(luò)性能變化模型的設(shè)計思路，即多日內(nèi)同一時間點進行采樣的方式，以更好的貼合電力企業(yè)網(wǎng)絡(luò)性能的變化規(guī)律，如式（12）所示。

上式中U和V同樣為系統(tǒng)的輸入及輸出向量，t、l、m與式（11）設(shè)定相同，n 為一日內(nèi)時間點設(shè)定數(shù)量。根據(jù)電力企業(yè)信息傳輸異常事件的特征分析，當網(wǎng)絡(luò)出現(xiàn)異常點時，其造成的持續(xù)影響往往覆蓋了多個時間點，導(dǎo)致了評估結(jié)果的偏差；而在本模型中，所有的時間點均為分散的，時間點之間的間隔也并不固定，這就顯著地減少了異常點多發(fā)的時間段內(nèi)的采樣次數(shù)，提高了系統(tǒng)異常檢測與評價方案穩(wěn)定性與客觀性。

3.2 核函數(shù)的選擇及參數(shù)優(yōu)化

如前文所述，在SVM 算法中，起到關(guān)鍵影響作用的是核函數(shù)的選定與使用，針對電力企業(yè)網(wǎng)絡(luò)性能波動特點，本文選取了高斯徑向基函數(shù)為SVM算法的核函數(shù)，在設(shè)置參數(shù)的過程中，最關(guān)鍵的兩個參數(shù)即為懲罰參數(shù)c 和核函數(shù)參數(shù)g［11］。本文對SVM 算法的改進也主要體現(xiàn)在對這兩個參數(shù)的選定過程中，提出將參數(shù)尋優(yōu)的工作分為兩步進行，并通過交叉驗證的方式快速逼近最優(yōu)的c 和g 組合。

1）粗略尋優(yōu)環(huán)節(jié)的驗證與分析

圖1 給出了粗略尋優(yōu)環(huán)節(jié)的分析結(jié)果，本次參數(shù)尋優(yōu)采用臺灣林智仁教授研發(fā)的LibSVM軟件來完成，x、y軸分別表示c、g取以2為底的對數(shù)后的值，而選定參數(shù)后的SVM 分類器輸出結(jié)果的準確率則通過z 軸上的值來表示。利用LibSVM 軟件中的SVMcgForClass 函數(shù)進行計算，在粗略尋優(yōu)環(huán)節(jié)中，參數(shù)c 的估值區(qū)間確定為(2-2，24)，隨機選擇為2.3965，而參數(shù) g 則估值在 (2-4，24)之間，隨機選定為4。將此組參數(shù)帶入SVM 算法，實現(xiàn)對訓(xùn)練集的二元化分類，通過大量的真實數(shù)據(jù)驗證，其結(jié)果的準確率略超過93%。

圖1 參數(shù)兩步尋優(yōu)效果-粗略尋優(yōu)環(huán)節(jié)

2）精細尋優(yōu)環(huán)節(jié)的驗證與分析

在完成粗略尋優(yōu)的基礎(chǔ)上，通過精細尋優(yōu)環(huán)節(jié)進一步參數(shù)準確性。將參數(shù)c和g分別在其估值區(qū)間內(nèi)執(zhí)行離散化操作，隨后再次執(zhí)行SVMcg-ForClass函數(shù)，進一步縮小了兩個參數(shù)的取值范圍，最終得到的最優(yōu)參數(shù)組合為c=1.3272，g=1，將其分別帶入懲罰系數(shù)與核函數(shù)后，SVM分類器輸出結(jié)果的準確性上升至了95.58%，優(yōu)化效果較為明顯，如圖2所示。

圖2 參數(shù)兩步尋優(yōu)效果-精細尋優(yōu)環(huán)節(jié)

3.3 置信區(qū)間的確定

在完成了參數(shù)優(yōu)化的工作之后，即可根據(jù)訓(xùn)練參差計算得到網(wǎng)絡(luò)性能指標在時間序列模型上的置信區(qū)間。為了提高算法的真實度，在確定置信區(qū)間的過程中添加高斯白噪聲干擾e～N（0，σ2）作為算法約束條件，并將其代入式（10）可得：

考慮到樣本訓(xùn)練集的規(guī)模足夠龐大，因此可將樣本方差近似等價與總體方差，簡化可得：

由于高絲白噪聲是服從標準正態(tài)分布的，因此根據(jù)分位點α的定義可將上式轉(zhuǎn)變?yōu)?/p>

進一步推導(dǎo)得到：

上式中的1-α即為根據(jù)被控對象預(yù)先設(shè)定的置信度，根據(jù)式（16）則可計算出給對應(yīng)的閾值波動范圍。分別以選定置信度為95%和97%為例，前者通過檢索正態(tài)分布表，得z0.052=1.96 ≈2，對應(yīng)的閾值波動范圍則為后者同理查詢可 得z0.032≈3 ，計算出閾值波動范圍為。

4 仿真實驗及結(jié)果分析

電力企業(yè)信息系統(tǒng)中需檢測的性能指標有多種，本次仿真實驗選取服務(wù)器節(jié)點的CPU負荷作為檢測對象，所有的信息數(shù)據(jù)均來自電力企業(yè)系統(tǒng)服務(wù)器自 2018年3月31日17：00至4月2日16：50 的監(jiān)控記錄，樣本群規(guī)模為316 個采樣點。通過對監(jiān)測記錄的逐一篩查，總共發(fā)現(xiàn)并核實了17 個異常點，其中4 個異常點較為分散，而其余異常點則連續(xù)集中出現(xiàn)，隨機分散的異常點表現(xiàn)為CPU負荷大幅度突變的特征，連續(xù)集中的異常點則表現(xiàn)出CPU負荷持續(xù)處于低位的特征。采取連續(xù)和同點這兩種時間序列模型同時進行預(yù)測的方法，計算相關(guān)的基線和閾值，置信度均設(shè)置為95%，仿真實驗結(jié)果的分別如圖3和圖4所示。

首先對圖3 中的仿真曲線進行分析，可以明顯的觀察到，預(yù)測線較好地逼近了觀察線，而且針對觀察線上的異常點，預(yù)測線也在較短時間內(nèi)給出了較為準確的預(yù)測結(jié)果，尤其對于4 個分散異常點，系統(tǒng)均在第一時間做出了檢出響應(yīng)，體現(xiàn)了較高的實時性。但與此同時，檢測系統(tǒng)也出現(xiàn)了檢出錯誤并發(fā)出誤報警的情況，將兩個處于閾值范圍內(nèi)的正常點也誤判為了異常點；對于13 個連續(xù)集中異常點，該方案檢出率較差，只能夠檢出第一個異常點，此外還出現(xiàn)了6 例錯判和誤報警的情況。由此可以看出，連續(xù)時間序列模型下的SVM 檢測算法敏感性過高，而魯棒性相對較差，容易出現(xiàn)誤報警的情況，導(dǎo)致檢測方案的實用性受到了限制。

圖3 連續(xù)時間序列仿真結(jié)果

圖4 同點時間序列仿真結(jié)果

圖4 則采用同點時間序列模型，可以看出預(yù)測線相較于圖3 中的曲線要更為平滑，即檢測方法的敏感性得到了合理的控制，雖然各個預(yù)測點對于正常點的逼近程度稍弱于前一模型，但這種弱化程度是有限且平均的，因此不會對正常點的預(yù)測造成影響。在對異常點的檢出率方面，同點時間序列模型的預(yù)測方法則表現(xiàn)出明顯的優(yōu)勢，17 個異常點均被及時地檢測出，同時也沒有因誤判而發(fā)生任何一次誤報警，體現(xiàn)了良好的魯棒性與可靠性，同時大幅度降低了檢測失誤的概率，已實際具備了持續(xù)監(jiān)控能力。

5 結(jié)語

本文提出了將SVM 算法機制引入到信息系統(tǒng)異常檢測過程中，并采用粗略尋優(yōu)和精細尋優(yōu)的兩步交叉驗證法，提高了SVM 核函數(shù)參數(shù)的尋優(yōu)效率，并從而更加合理地確定了電力企業(yè)網(wǎng)絡(luò)性能異常檢測工作所需的基線和閾值參數(shù)。隨后根據(jù)網(wǎng)絡(luò)性能異常特征，構(gòu)建了基于同點時間序列的檢測模型，并同傳統(tǒng)檢測方法所采用的連續(xù)時間序列模型相對比，分別通過仿真實驗對異常檢測結(jié)果進行了分析，論證了本方法的有效性和可靠性。