基于用戶行為模式特征的時(shí)間序列異常檢測.pdf

1、時(shí)間序列的異常點(diǎn)是用戶（或系統(tǒng)）產(chǎn)生的不符合預(yù)期行為模式的數(shù)據(jù)。研究異常點(diǎn)的起因和可能引起的后果，可以輔助用戶（或系統(tǒng)）提供有效的決策支持。例如拒絕服務(wù)（Denial of service，DoS）攻擊會(huì)產(chǎn)生大量異常的網(wǎng)絡(luò)流量。研究這些異常數(shù)據(jù)的起因，并預(yù)測可能癱瘓的鏈路，為系統(tǒng)管理員調(diào)整路由策略、避免網(wǎng)絡(luò)擁塞提供決策支持。由于技術(shù)的發(fā)展，當(dāng)前時(shí)間序列數(shù)據(jù)之間關(guān)系的復(fù)雜化以及異常種類的增多導(dǎo)致已有的異常檢測算法很難有效的發(fā)現(xiàn)異常。因此，

2、如何從這些異常數(shù)據(jù)中提取特征，精確的對異常進(jìn)行檢測是當(dāng)前時(shí)間序列研究中的一個(gè)重要方向。
　　本研究主要內(nèi)容包括：⑴數(shù)據(jù)預(yù)處理階段，實(shí)際采集到的數(shù)據(jù)是海量未被標(biāo)記的時(shí)間序列。針對該問題，采用集成學(xué)習(xí)的思想，提出基于多種異常檢測算法聯(lián)合檢測的數(shù)據(jù)清理策略。⑵存在“變異”或者類型未知的異常導(dǎo)致已有的異常檢測算法失效或者具有很高的誤檢率。為解決上述問題，基于用戶（或網(wǎng)絡(luò)）的正常行為模式提出基函數(shù)生成算法，實(shí)現(xiàn)正常流量空間的構(gòu)建，并將無法投

3、影到該空間的數(shù)據(jù)看做異常。⑶實(shí)際應(yīng)用中，時(shí)間序列數(shù)據(jù)的動(dòng)態(tài)變化導(dǎo)致已有的基函數(shù)無法表示新數(shù)據(jù)。針對該問題，基于用戶（或網(wǎng)絡(luò)）的正常行為模式緩慢變化的特性，利用增量學(xué)習(xí)的思想，提出基函數(shù)更新算法。⑷對大規(guī)模時(shí)間序列的異常檢測通常會(huì)產(chǎn)生大量的異常點(diǎn)，需要消耗大量的資源進(jìn)行分析處理。針對該問題，在異常檢測階段基于相同原因生成異常點(diǎn)的時(shí)間集中性，提出異常點(diǎn)的聚類算法和評價(jià)準(zhǔn)則。⑸基于預(yù)測的異常檢測就是通過比較未來時(shí)間序列數(shù)據(jù)的評估值和實(shí)際值進(jìn)行

4、異常檢測。針對基于神經(jīng)網(wǎng)絡(luò)（Artificial neural networks，ANNs）的預(yù)測模型在構(gòu)建時(shí)需要大量訓(xùn)練時(shí)間的問題，提出基于趨勢預(yù)測模型的時(shí)間序列異常檢測方法。⑹針對推薦系統(tǒng)中項(xiàng)目的評分時(shí)間序列異常檢測問題，提出基于動(dòng)態(tài)時(shí)間區(qū)間分割和假設(shè)檢驗(yàn)的異常檢測模型（Dynamic time interval segmentation and hypothesis test detection-based framework，S

5、DF）。該模型分析了用戶的異常行為模式（主要是異常評分行為），提取異常評分特征，實(shí)現(xiàn)對異常的實(shí)時(shí)檢測。另外，提出了算法的穩(wěn)定性準(zhǔn)則用于評價(jià)時(shí)間序列異常檢測算法的性能。⑺提出動(dòng)態(tài)分割項(xiàng)目評分時(shí)間序列的算法，對相鄰評分進(jìn)行聚類，并以假設(shè)檢驗(yàn)的形式對每個(gè)類進(jìn)行異常檢測。該算法解決了在線異常檢測的實(shí)時(shí)性要求。⑻不同時(shí)間尺度下，同一個(gè)算法對同一個(gè)數(shù)據(jù)點(diǎn)的異常檢測可能產(chǎn)生不同的結(jié)果。針對該問題，我們分析了檢測結(jié)果不一致的起因和后果，并設(shè)計(jì)了算法的穩(wěn)