鄭育靖,何強*,張長倫,2,王恒友

(1.北京建筑大學(xué) 理學(xué)院,北京 100044;2.北京建筑大學(xué) 北京未來城市設(shè)計高精尖創(chuàng)新中心,北京 100044)

0 引言

時間序列數(shù)據(jù)異常檢測一直是學(xué)術(shù)界和工業(yè)界的熱點問題。對異常點的檢測以及對異常區(qū)域的定位可以在關(guān)鍵時刻提供重要信息,人們才能有針對性地干預(yù)異常事件,達到防止或消除異常的效果。時間序列數(shù)據(jù)異常檢測在工業(yè)、金融、軍事、醫(yī)療、保險、關(guān)鍵系統(tǒng)安全、機器人、多智能體、網(wǎng)絡(luò)安全、物聯(lián)網(wǎng)等領(lǐng)域[1-2]都受到人們的關(guān)注。

所謂時間序列的異常檢測,就是在時間序列數(shù)據(jù)中檢測出少部分具有離群、震蕩等異常情況的點。通常情況下異常占整體時間序列的比例很低,人們希望通過算法,學(xué)習(xí)到原始數(shù)據(jù)的分布或其他特征來實現(xiàn)對異常點的成功捕捉。單變量異常檢測是對僅存在一個特征的時間序列上展開的,由于只有一個維度的數(shù)據(jù),可以應(yīng)用很多傳統(tǒng)濾波算法,例如Spectral Residual算法[3]。多變量時間序列異常檢測指對具有多個特征的時序數(shù)據(jù)進行異常檢測,這類問題是在單變量時序異常檢測的基礎(chǔ)上擴展而來。多變量時序數(shù)據(jù)異常的出現(xiàn)往往是由多個特征共同決定,對每個特征單獨分析無法準(zhǔn)確判斷異常。所以更合理的方法是對多個特征序列綜合分析,進而識別出多個變量共同作用下的異常。

目前,多元時序異常檢測在深度學(xué)習(xí)領(lǐng)域的研究取得了顯著的進展。例如,Malhotra 等人[4]提出基于LSTM的編碼器解碼器網(wǎng)絡(luò),該網(wǎng)絡(luò)對“正常”時間序列的重構(gòu)概率進行建模,利用重構(gòu)誤差在多個傳感器中檢測異常。Hundman等人[5]利用長短時記憶網(wǎng)絡(luò)(LSTM)來檢測基于預(yù)測誤差的航天器多元時間序列。Ding等人[6]提出了一個基于分層時間記憶(Hierarchical Temporal Memory, HTM)和貝葉斯網(wǎng)絡(luò)(Bayesian Network, BN)的實時異常檢測算法RADM,提高了實時異常檢測的性能。然而,已提出的模型往往依賴循環(huán)神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)數(shù)據(jù)的性質(zhì)或分布,沒有考慮特征間的關(guān)系和數(shù)據(jù)固有的周期性等性質(zhì),故本文提出了基于GRU-Attention的無監(jiān)督算法,從時間維度和特征維度兩個角度充分利用數(shù)據(jù)信息進行異常檢測。

本文的主要貢獻如下:

(1)提出了一種新的無監(jiān)督多變量時間序列異常檢測框架,模型在三個公共數(shù)據(jù)集上展示了優(yōu)越性能。

(2)模型在預(yù)測部分利用GRU-skip彌補傳統(tǒng)預(yù)測模塊在長期記憶上的缺陷。

(3)模型通過案例的圖像分析部分,驗證貢獻大的特征對識別異常的重要性。

(4)本文模型對于異常點具有較好的可解釋性。

本文在第1節(jié)給時間序列異常檢測相關(guān)工作。在第2節(jié)介紹基于GRU-Attention的無監(jiān)督檢測方法。在第3節(jié)從實驗上驗證本文所提方法的有效性。最后總結(jié)全文。

1 時間序列異常檢測

異常檢測在其他相關(guān)領(lǐng)域也被稱為新穎性檢測、離群值檢測或事件檢測[7]。時間序列異常檢測是其中一個深受人們關(guān)注的問題。根據(jù)在訓(xùn)練過程中是否使用標(biāo)簽可以分為監(jiān)督,半監(jiān)督以及無監(jiān)督異常檢測。監(jiān)督學(xué)習(xí)方法[8]需要標(biāo)記數(shù)據(jù)進行模型訓(xùn)練,只能識別已知的異常類型[9],因此應(yīng)用范圍有限。時序異常檢測研究方法主要關(guān)注無監(jiān)督問題。根據(jù)數(shù)據(jù)中特征的個數(shù)可以將問題分為單變量時序異常檢測和多變量時序異常檢測。單變量時序異常檢測[3,10-11]只考慮特征是否符合長期特性,當(dāng)數(shù)據(jù)值與總體分布有較大差異時將其視為異常實例[12-17]。多變量問題在每個時間戳上有多個特征[18]?，F(xiàn)有的多元時間序列異常檢測方法主要可以分為兩類:一、基于單變量的異常檢測[19]:通過單變量算法對每個特征進行單獨監(jiān)控,最后將結(jié)果匯總給出最終判斷。二、直接進行異常檢測[5,20-23]:將多個特征同時考慮,從而進行算法分析。Zong等人[24]提出的利用深度自編碼器來生成低維的數(shù)據(jù),表示每個輸入數(shù)據(jù)點的重構(gòu)誤差,輸入到高斯混合模型中(GMM)來進行多變量異常檢測。LSTM-VAE算法[7]是基于編碼解碼器的LSTM網(wǎng)絡(luò),對時間序列進行誤差重構(gòu),運用重構(gòu)誤差對若干傳感器進行異常檢測。LSTM-NDT[5]是一種無參數(shù)閾值選取的無監(jiān)督算法,該文目標(biāo)是在沒有利用隨機信息的情況下,建立一個異常檢測系統(tǒng)來監(jiān)測航天器發(fā)回的由相關(guān)領(lǐng)域?qū)＜覙?biāo)記好的數(shù)據(jù)。Gugulothu等人[25]通過端到端學(xué)習(xí)框架,將非時間維度約簡技術(shù)和周期性自動編碼器結(jié)合起來,用于時間序列建模。OmniAnomaly[26]提出了一種隨機遞歸神經(jīng)網(wǎng)絡(luò),通過隨機變量建模數(shù)據(jù)分布,從而捕獲多變量時序的正常模式。

本文針對無監(jiān)督的多維時間序列異常檢測,對多條線數(shù)據(jù)直接進行預(yù)測,并考慮異常點的可解釋性。模型的可解釋性部分與OmniAnomaly模型相比,不僅考慮了預(yù)測與實值的均方根誤差,還考慮了特征的信息,對于數(shù)據(jù)信息的利用更全面可靠。

1 基于GRU-Attention的無監(jiān)督檢測方法

1.1 問題闡述

1.2 網(wǎng)絡(luò)結(jié)構(gòu)

本文模型分為兩部分:預(yù)測部分與誤差閾值選取部分。如圖1所示,多變量時間序列數(shù)據(jù)同時輸入到基于時間預(yù)測層和基于特征預(yù)測層中,所得結(jié)果拼接后進行線性變換即為預(yù)測結(jié)果。預(yù)測結(jié)果與真實值的均方根誤差輸入到誤差閾值選取部分,超過設(shè)定的誤差上限則認(rèn)為該時刻出現(xiàn)異常。

圖1 網(wǎng)絡(luò)結(jié)構(gòu)Fig.1 Overall structure

模型從兩個方面對多變量時序進行預(yù)測:

1) 基于時間預(yù)測層:為了更好地捕捉時間序列長期特征,本文運用Gated Recurrent Unit (GRU)進行時序預(yù)測。考慮到數(shù)據(jù)可能存在周期性以及GRU無法記憶長期歷史數(shù)據(jù),運用GRU-skip來彌補這些缺陷,捕獲時序數(shù)據(jù)之間的更深層關(guān)系。相關(guān)內(nèi)容將在1.3節(jié)解釋。

2) 基于特征預(yù)測層:在特征維度上運用注意力機制,得到每個變量對預(yù)測時刻的貢獻,從而幫助進行時序預(yù)測。相關(guān)內(nèi)容將于1.4節(jié)講述。

1.3 基于時間預(yù)測層

GRU細(xì)胞內(nèi)的結(jié)構(gòu)經(jīng)過精心設(shè)計,以更好地記憶歷史信息,緩解RNN的梯度消失問題,從而捕獲信息之間的長期關(guān)系。然而,GRU在實際應(yīng)用中往往不能捕捉到長時間變量的相關(guān)性,仍舊存在梯度消失的問題。根據(jù)文獻[27],可以在GRU中增加一個跳躍組件來緩解這個問題,本文將這一結(jié)構(gòu)稱為GRU-skip。此組件針對具有周期性這一特性的數(shù)據(jù),具體來說就是在當(dāng)前隱藏單元與相鄰周期內(nèi)同一相位的隱藏單元增加跳轉(zhuǎn)鏈接,更新過程如公式(1)。

rt=σ(Wr·[ht-p,xt])

zt=σ(Wz·[ht-p,xt])

yts=σ(Wo·ht) 。

(1)

GRU-skip的輸入是CNN的輸出。其中p是一個超參數(shù),表示當(dāng)前隱藏單元與其向前跨越p個單元建立了鏈接。這個跳躍鏈接的建立對于周期不太明顯或是具有動態(tài)周期的數(shù)據(jù)集而言效果欠佳。

(2)

圖2 基于時間預(yù)測層Fig.2 Time-based prediction layer

1.4 基于特征預(yù)測層

對于多維時間序列而言,不同變量的重要性不同,即對于待測點的權(quán)重不同。特征維度的信息對于異常檢測十分關(guān)鍵,以往模型并沒有重視此維度的信息。文獻[28]將注意力機制運用到時間序列預(yù)測中得到了良好的效果。因此為了充分利用特征維度上每個變量的重要性這一信息,本文在特征維度上應(yīng)用了注意力機制。

目前,注意力模型被廣泛應(yīng)用于深度學(xué)習(xí)的各個領(lǐng)域,如圖像處理、自然語言處理、語音識別等。它的核心操作是從序列中學(xué)習(xí)每個元素的重要性,得到每個元素對應(yīng)的權(quán)值參數(shù),然后根據(jù)重要性合并元素,權(quán)重參數(shù)是由這個注意力系統(tǒng)分配給元素的系數(shù)。

如圖3所示，將原始數(shù)據(jù)Xt={xt-w,xt-w+1,…,xt-1,xt}∈Rw×m輸入到維持特征維度不變的GRU層中，得到輸出Gt={gt-w,gt-w+1,…,gt-1,gt}∈Rw×m，gt是t時刻GRU的輸出。之后，用k2個1×w的卷積核(w是滑動窗口大小)對Gt的行向量進行卷積操作，得到每個變量在時間維度上的深層特征，卷積結(jié)果用不同顏色正方形表示。所有卷積核掃過隱藏狀態(tài)的m個特征得到矩陣HC∈m×k2,此處激活函數(shù)仍選擇ReLu。卷積輸出指的是第j個卷積核掃過gt-w+1,gt-w+2,…,gt-1的第i個變量的結(jié)果，接下來通過得分函數(shù)計算每個變量的得分α，即每個變量對預(yù)測時刻的重要性。傳統(tǒng)的注意力機制的得分函數(shù)如下：

(3)

(4)

(5)

(6)

為減少參數(shù)提高效率，本文選擇(3)作為得分函數(shù)。得分函數(shù)：1×k2×Rk2×11,αi∈R1。αi越大意味著變量i對預(yù)測時刻t的貢獻越大，影響也越大。最后選擇sigmoid函數(shù)是因為在大多數(shù)情況下，softmax函數(shù)用于分類問題，輸出是互斥的。sigmoid函數(shù)的輸出并不互斥，意味著可以同時選擇多個變量。在這里，我們希望得到每個變量的重要性，而不僅僅是重要性最大的變量，故激活函數(shù)選擇sigmoid。

(7)

(8)

(9)

1.5 誤差閾值選取

預(yù)測模型的損失函數(shù)選擇均方根誤差(RMSE)：

(10)

將測試集輸入到訓(xùn)練好的預(yù)測模型中，得到的測試集中每個觀測點的預(yù)測值與真實值的均方根誤差記為{l1,l2,…,lQ}∈Q，并運用極值理論(EVT)中的POT(Peaks over Threshold)模型對這個子序列選取閾值。

極值理論是尋找序列中極值規(guī)律的一種統(tǒng)計理論，一般認(rèn)為極值在異常檢測問題中就是要尋找的異常點,它們在大多數(shù)情況下位于分布的尾部。極值理論的優(yōu)勢在于無需對數(shù)據(jù)分布進行假設(shè)并且可以通過參數(shù)選取達到自動設(shè)置閾值的目的。其第二定理POT表明：大于某閾值的樣本服從廣義帕累托分布(GPD)。因此，通過POT去選取閾值th：

(11)

(12)

q是L>th的比例，Q是觀測值個數(shù)，Qth是L>th的個數(shù)。用POT做閾值選取，需要調(diào)參過程。

圖3 基于特征預(yù)測層Fig.3 Feature-based prediction layer

2 實驗與分析

2.1 數(shù)據(jù)集描述與數(shù)據(jù)預(yù)處理

為驗證該模型的有效性，在以下三個數(shù)據(jù)集上進行實驗:MSL (Mars Science Laboratory rover)、SMAP (Soil Moisture Active Passive satellite)和SMD (Server Machine Dataset)。其中，MSL和SMAP是美國NASA的兩個航天器公共數(shù)據(jù)集[29]。SMD數(shù)據(jù)集[26]來自一家大型互聯(lián)網(wǎng)公司長達五周的服務(wù)器數(shù)據(jù)，數(shù)據(jù)已發(fā)布在GitHub上。SMD分為數(shù)據(jù)大小相同的兩部分，第一部分是訓(xùn)練集，第二部分是測試集。測試集上的異常數(shù)據(jù)已經(jīng)由相關(guān)領(lǐng)域的專家進行了標(biāo)記，其中，訓(xùn)練集和測試集分別包含28組數(shù)據(jù)，需要分開訓(xùn)練和測試，即訓(xùn)練集中第1組數(shù)據(jù)訓(xùn)練的模型，由測試集中第1組數(shù)據(jù)進行測試。最終SMD數(shù)據(jù)集中指標(biāo)得分取的是28組數(shù)據(jù)的平均值。

MSL和SMAP數(shù)據(jù)集保持時間順序被分成訓(xùn)練集(60%)、驗證集(20%)和測試集(20%)，SMD數(shù)據(jù)集是已經(jīng)分好的28組訓(xùn)練集與測試集中，分別訓(xùn)練之后一一對應(yīng)分別測試。

表1 數(shù)據(jù)集信息

表1給出了三個數(shù)據(jù)集的詳細(xì)信息，包括變量個數(shù)、訓(xùn)練集大小、測試集大小以及測試集中異常樣本比例。對于多維時間序列而言不同變量的量綱不同，為了不讓這種數(shù)值大小差異影響模型預(yù)測和閾值選擇，運用最大最小歸一化方法對所有數(shù)據(jù)進行預(yù)處理：

(13)

表2 模型性能比較

2.2 評價指標(biāo)與參數(shù)設(shè)置

與大多異常檢測問題相同，本文使用精度、召回率和F1-score來評估GRU-Attention和其他算法。計算方法如下：

Precision(P)=TP/(TP+FP)，

(14)

Recall(R)=TP/(TP+FN)，

(15)

(16)

其中，TP和FP分別表示真正例數(shù)和假正例數(shù),FN指假負(fù)例數(shù)。上述三個指標(biāo)的值越高，表明模型魯棒性越強。

模型參數(shù)設(shè)置：滑動窗口w都取100,使用Adam優(yōu)化器訓(xùn)練100次，學(xué)習(xí)率是0.1，GRU-skip中的p=20,兩個預(yù)測層中卷積核個數(shù)k1=k2=200，基于時間預(yù)測層中d=6,GRU隱藏層維度為300，閾值選取中q=0.001。

2.3 模型比較

本部分將展示與其他4種模型在三個數(shù)據(jù)集上的比較結(jié)果，比較的模型包括有LSTM-NDT[5]、LSTM-VAE[7]、DAGMM[24]、OmniAnomaly[26]。如表2所示，GRU-Attention具有良好的泛化能力,在兩個數(shù)據(jù)集上取得最高的F1值，在SMAP略低于最優(yōu)結(jié)果。

LSTM-NDT在SMAP上有很高得分，但是在MSL和SMD數(shù)據(jù)集上表現(xiàn)較差，體現(xiàn)出該模型對不同場景十分敏感。而本文模型在不同數(shù)據(jù)集上表現(xiàn)穩(wěn)定且性能優(yōu)異。

短期信息對于多元時序也很重要，DAGMM的性能不夠理想的原因是沒考慮短期信息。模型GRU-Attention使用GRU以及GRU-skip來捕捉時序的短期和長期的依賴性，這些設(shè)計有助于獲得比DAGMM更好的魯棒性。本文還進行附加消融實驗(見2.4節(jié))以比較不同部分設(shè)計的有效性。OmniAnomaly應(yīng)用了隨機模型，將變量看成隨機變量進而學(xué)習(xí)其分布，在三個數(shù)據(jù)集上都有很高的性能體現(xiàn)。該模型局限性在于沒有利用特征維度上變量間的關(guān)系，GRU-Attention在特征維度應(yīng)用注意力機制有效提高了模型性能，在三個數(shù)據(jù)集上得分都高于OmniAnomaly。

2.4 模塊有效性

為了更好說明預(yù)測部分每個組件設(shè)計的必要性和有效性，本文增加了四組對比試驗。分別在原始模型中的預(yù)測部分去掉基于時間預(yù)測部分、基于特征預(yù)測部分、基于時間預(yù)測部分的GRU和GRU-skip模塊再進行訓(xùn)練，最后進行測試。并且對于去掉不同組件之后的模型，都將參數(shù)個數(shù)調(diào)整到與原始模型參數(shù)個數(shù)相近，從而避免模型復(fù)雜度對于各個模塊有效性分析的影響。

去掉時間預(yù)測層中的傳統(tǒng)預(yù)測部分GRU：模型記為w/o GRU。預(yù)測層的輸出直接為特征預(yù)測層與GRU-skip結(jié)果拼接后進行線性變換得到。

去掉時間預(yù)測層中的GRU-skip部分：模型記為w/o GRU-skip。預(yù)測層的輸出直接為特征預(yù)測層與GRU-skip結(jié)果拼接后進行線性變換得到。

從表3來看，不同模塊對于不同數(shù)據(jù)集的影響不同。對于MSL數(shù)據(jù)集而言，去掉特征預(yù)測層后F1值降低15%，GRU-skip對其影響次之。時間預(yù)測層對SMAP影響最大，其他部分的影響比較平均。在SMD上的數(shù)據(jù)顯示所有的組件對于異常檢測都很關(guān)鍵，F(xiàn)1值降低超過18%，尤其是GRU部分的缺失使得模型性能降低了近27%。通過這一部分的實驗，說明本文模型每個模塊的設(shè)計是必要且有效的。

2.5 異常點解釋性評估

多變量異常檢測比單變量異常檢測復(fù)雜的原因在于異常的出現(xiàn)可能是多個特征共同作用的結(jié)果，因此能否找到導(dǎo)致異常出現(xiàn)的特征至關(guān)重要。異常點解釋性評估指評估模型找到導(dǎo)致異常出現(xiàn)的關(guān)鍵特征的能力。SMD數(shù)據(jù)集的28個測試集標(biāo)出了導(dǎo)致異常出現(xiàn)的特征，其他數(shù)據(jù)集均沒有相關(guān)信息，故本文僅在SMD數(shù)據(jù)集上做異常點解釋性的評估計算。將特征對觀測點xt的重要性定義為ASt：

表3 模塊有效性比較

圖4 案例分析Fig.4 Case study

ASt=losst+at，

(17)

losst=(yt-xt)2∈Rm，

(18)

其中，yt是預(yù)測模型對t時刻的預(yù)測值，xt是真實值，losst為預(yù)測值與真實值的均方根誤差，yt,i與xt,i(i=1,2,…,m)之間誤差越大意味著第i個特征出現(xiàn)異常的可能性越大，對xt的影響也越大。αt∈1×m是特征預(yù)測層中注意力機制得到的每個特征對預(yù)測點的貢獻，αt越大顯然對xt影響越大。因此，本文將這兩部分相加定義為特征對于待測點的重要性。

之后，將ASt中的值按重要性大小排序，將其對應(yīng)的特征記錄在ASLt中，故ASLt中就是按照重要性大小排序的特征。將SMD數(shù)據(jù)集中提供的對xt起主要影響的特征記為GTt，由于尚無評估異常點解釋性的標(biāo)準(zhǔn)度量，故本文采用文獻[17]相同的評估方法：

(19)

此處，|GTt|是真實情況下造成t時刻出現(xiàn)異常的特征個數(shù)。Hit@P×|GTt|是指ASLt中的前P×|GTt|個特征與GTt中的特征重疊的個數(shù)，P取1和1.5。假設(shè)xt是異常點，模型得到的導(dǎo)致異常出現(xiàn)的特征降序為ASLt={3，6，15，21，10，18}，GTt={6，15}，則P=1時，HitRate@P=0.5；P=1.5時，HitRate@P=1。在SMD中的28個數(shù)據(jù)集分別進行上述過程后取平均值之后得到HitRate@1=0.740 8；HitRate@1.5=0.794 3。可見，多數(shù)導(dǎo)致異常出現(xiàn)的特征都能被準(zhǔn)確找到。

2.6 案例研究

前文提到注意力機制旨在將多條線對當(dāng)前預(yù)測結(jié)果的貢獻度進行量化，為了驗證注意力機制獲得得分的實際價值，在本節(jié)通過圖4展示正常和異常點部分特征的原始圖像進行分析。圖4(a)展示數(shù)據(jù)正常時的情況：抽取該時間點的8個特征，按照注意力機制得到的得分α降序畫出8個特征的原始數(shù)據(jù)曲線圖,綠線是正常點的對應(yīng)時刻。這個正常點得分高的特征有特征23、6、14、24。具有較高貢獻度的特征23和特征6具有顯著的周期性，并且周期性沒有出現(xiàn)明顯的震蕩或者波動，貢獻度較低的特征同樣處于穩(wěn)定狀態(tài)。說明正常情況下，注意力機制側(cè)重于關(guān)注周期性明顯的特征，這些特征對于預(yù)測更為重要，故給予較高權(quán)重。對于長期是定值或是正常情況下取值范圍波動較小的特征給予較少關(guān)注。

圖4(b)展示數(shù)據(jù)異常時的情況，紅線是異常點出現(xiàn)的時刻?？梢钥吹截暙I度最高的特征23的周期性被打破，明顯出現(xiàn)異常。第二和第三條曲線代表的特征14和9都出現(xiàn)了明顯的尖峰，顯著的區(qū)別于之前正常情況下的平穩(wěn)狀態(tài)。第四條曲線可以看到異常時刻特征24的取值發(fā)生下降，顯然不在正常時刻的取值范圍內(nèi)。得分較低的后四個特征取值沒有出現(xiàn)異常。

通過以上的案例分析，得知注意力機制能夠有效得到每個特征對于待測點xt的權(quán)重(即每個特征的重要性)。因此，注意力機制中得到的每個特征的得分可以作為衡量特征對預(yù)測點重要性ASt值(2.5節(jié)提到)的一部分。

3 結(jié)論

本文提出了一種新的多變量時間序列異常檢測框架。通過利用多元時間序列的時間關(guān)系和特征關(guān)系聯(lián)合進行預(yù)測。模型在三個公共數(shù)據(jù)集上優(yōu)于其他的4種模型。除此之外，該模型擁有良好的異常點解釋性，能夠有效幫助人們尋找異常事件的實際根源，定位到出現(xiàn)異常的特征。未來的工作可能來自于兩方面，第一，嘗試將預(yù)測模型與重構(gòu)模型結(jié)合，有望進一步提升模型的精度；第二,目前的異常診斷是在相對簡單的場景下進行的，之后可以將模型來應(yīng)用于復(fù)雜案例。