基于自編碼器和隱馬爾可夫模型的時(shí)間序列異常檢測(cè)方法

霍緯綱，王慧芳

（中國(guó)民航大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院，天津300300）

（?通信作者電子郵箱wghuo@cauc.edu.cn）

0 引言

時(shí)間序列異常檢測(cè)是時(shí)序數(shù)據(jù)挖掘的重要研究問(wèn)題之一，已被廣泛地應(yīng)用于航天［1］、金融［2］、醫(yī)療［3］等領(lǐng)域。隱馬爾可夫模型（Hidden Markov Model，HMM）作為一種動(dòng)態(tài)時(shí)間序列統(tǒng)計(jì)分析模型，最早在20世紀(jì)60年代末引入和研究。由于其強(qiáng)大的數(shù)學(xué)基礎(chǔ)理論和完善的算法，HMM成為語(yǔ)音識(shí)別［4］、經(jīng)濟(jì)分析、機(jī)械工程等領(lǐng)域的主流技術(shù)。Rabiner［4］驗(yàn)證了HMM對(duì)具有時(shí)序性信息的識(shí)別能力較強(qiáng)。近年來(lái)，HMM方法已被成功引入到時(shí)間序列的故障診斷［5］和異常檢測(cè)領(lǐng)域［1-3，6］。

基于HMM的時(shí)間序列的異常檢測(cè)方法一般主要包含兩個(gè)重要步驟：1）符號(hào)化可觀測(cè)時(shí)間序列；2）參數(shù)學(xué)習(xí)與概率估計(jì)。符號(hào)化時(shí)間序列作為時(shí)間序列表示方法之一，旨在以字符串序列表示原始時(shí)間序列。符號(hào)化時(shí)間序列不但可以達(dá)到以低維數(shù)據(jù)表示高維數(shù)據(jù)的目的，而且符合HMM算法對(duì)觀測(cè)序列的要求。目前符號(hào)化時(shí)間序列的方法主要有分段符號(hào)化線性表示法［7］和聚類符號(hào)化表示方法［8-10］。分段符號(hào)化線性表示方法是將原始時(shí)間序列分段，并以時(shí)域和頻域信息表示為符號(hào)序列。文獻(xiàn)［7］將HMM應(yīng)用在心電圖（ElectroCardioGram，ECG）醫(yī)療數(shù)據(jù)的阻塞性睡眠呼吸暫停（Obstructive Sleep Apnea，OSA）病情檢測(cè)中，該方法選取均值、方差和偏度等信息構(gòu)成符號(hào)化序列，但是在轉(zhuǎn)化的過(guò)程中需要大量的先驗(yàn)知識(shí)和豐富的實(shí)驗(yàn)經(jīng)驗(yàn)，這不滿足現(xiàn)實(shí)對(duì)于時(shí)間序列異常檢測(cè)的需要。聚類符號(hào)化表示方法采用聚類的方法將時(shí)間序列的連續(xù)實(shí)數(shù)值映射到有限的符號(hào)表上，使得時(shí)間序列轉(zhuǎn)化為有限符號(hào)的有序集合［11］。文獻(xiàn)［8］將HMM應(yīng)用在飛機(jī)著陸操作數(shù)據(jù)的異常檢測(cè)中，采用K-means聚類算法將原始時(shí)間序列轉(zhuǎn)化成由K個(gè)簇標(biāo)記表示的符號(hào)序列；文獻(xiàn)［9］將聚類HMM應(yīng)用在快速存取記錄器（Quick Access Recorder，QAR）數(shù)據(jù)分析的研究中，采用二次廣度優(yōu)先鄰居搜索聚類算法將原始序列轉(zhuǎn)化成由聚類的符號(hào)表示的符號(hào)序列；文獻(xiàn)［10］將HMM應(yīng)用在多維時(shí)間序列上的異常檢測(cè)中，分別采用模糊C均值（Fuzzy C-Means，F(xiàn)CM）聚類和模糊積分技術(shù)將多維時(shí)間序列轉(zhuǎn)換成單維的符號(hào)序列，且提高了HMM的異常檢測(cè)能力。

符號(hào)化序列分析的結(jié)果主要由符號(hào)化算法和時(shí)間序列的相空間軌跡決定。值得注意的是，如果使用原始時(shí)間序列中的所有數(shù)據(jù)進(jìn)行分析，在符號(hào)化過(guò)程之前不進(jìn)行特征提取，符號(hào)序列可能過(guò)長(zhǎng)，噪聲的干擾對(duì)計(jì)算效率會(huì)造成影響［12］。上述文獻(xiàn)［7，8-10］在符號(hào)化步驟之前均無(wú)特征提取過(guò)程。文獻(xiàn)［12］結(jié)合感知重要點(diǎn)（Perceptually Important Point，PIP）［13］和HMM實(shí)現(xiàn)對(duì)液壓泵的故障診斷，該方法尋找對(duì)原始時(shí)間序列整體運(yùn)動(dòng)形狀影響較大的數(shù)據(jù)點(diǎn)，減少了時(shí)間序列壓縮過(guò)程中的信息損失，再根據(jù)重要點(diǎn)在符號(hào)空間位置劃分區(qū)域?qū)崿F(xiàn)符號(hào)化。文獻(xiàn)［14］采用奇異值分解代替主成分分析中的特征分解對(duì)含有高維度的流量數(shù)據(jù)包進(jìn)行降維，再應(yīng)用K-means方法為HMM創(chuàng)建有意義的觀測(cè)序列。以上兩種方法都是在符號(hào)化序列之前，對(duì)分段后的原始序列進(jìn)行特征提取和數(shù)據(jù)降維，并在故障分類和入侵檢測(cè)的準(zhǔn)確度中取得了較好的效果。但是基于感知重要點(diǎn)技術(shù)的符號(hào)化方法需要計(jì)算每個(gè)點(diǎn)對(duì)于時(shí)間序列的影響力，復(fù)雜的計(jì)算過(guò)程降低了異常檢測(cè)的效率，而基于改進(jìn)主成分分析的符號(hào)化方法在特征提取時(shí)會(huì)將數(shù)據(jù)方差較小的數(shù)據(jù)信息忽略，使得模型對(duì)非線性特征提取效果較差。

自編碼網(wǎng)絡(luò)是Hinton在2006年提出的一種由編碼器和解碼器構(gòu)成的無(wú)監(jiān)督學(xué)習(xí)算法，旨在從大量無(wú)標(biāo)記的數(shù)據(jù)中學(xué)習(xí)數(shù)據(jù)的有效信息，并實(shí)現(xiàn)對(duì)輸入數(shù)據(jù)的非線性壓縮和重構(gòu)［15］。為克服目前已有HMM建模時(shí)間序列符號(hào)化過(guò)程中特征提取方法的不足，本文通過(guò)自編碼器提取時(shí)間序列片段中的非線性特征。具體方法為：通過(guò)滑動(dòng)窗口對(duì)時(shí)間序列樣本進(jìn)行分段，據(jù)此生成若干時(shí)間序列分段樣本集，由正常時(shí)間序列上的不同位置上分段樣本集訓(xùn)練自編碼器。利用訓(xùn)練后的自編碼器得到每個(gè)分段時(shí)間序列樣本的低維特征表示。低維特征表示向量集采用K-means算法進(jìn)行聚類處理，從而實(shí)現(xiàn)時(shí)間序列樣本集的符號(hào)化。正常時(shí)間序列的符號(hào)序列集構(gòu)建HMM，并通過(guò)待測(cè)樣本在生成的HMM上的輸出概率值進(jìn)行異常檢測(cè)。單變量和多變量時(shí)間序列數(shù)據(jù)集上的實(shí)驗(yàn)表明了文中所提方法具有較好的異常檢測(cè)效果。

1 AHMM-AD方法

本文提出的基于自編碼器和HMM的時(shí)間序列異常檢測(cè)（Autoencoder and HMM-based Anomaly Detection，AHMM-AD）方法的具體流程如圖1所示。該方法首先把樣本集劃分為帶有正常時(shí)間序列樣本的訓(xùn)練集、帶有正常和異常時(shí)間序列樣本的驗(yàn)證集和測(cè)試集；其次采用滑動(dòng)窗口將正常時(shí)間序列樣本集進(jìn)行等長(zhǎng)有重疊分段，由相同位置的正常時(shí)間序列片段樣本集訓(xùn)練自編碼器，訓(xùn)練集樣本通過(guò)訓(xùn)練后的自編碼器進(jìn)行特征表示，并得到低維特征表示向量集；然后采用K-means聚類算法對(duì)向量集進(jìn)行聚類處理，并實(shí)現(xiàn)對(duì)訓(xùn)練集樣本的符號(hào)化；最后采用Baum-Welch算法對(duì)樣本符號(hào)化序列集進(jìn)行HMM建模，得到HMM的模型參數(shù)。驗(yàn)證集和測(cè)試集的樣本經(jīng)過(guò)與訓(xùn)練集相同的符號(hào)化處理過(guò)程得到符號(hào)化序列。驗(yàn)證集的每個(gè)樣本通過(guò)訓(xùn)練完成的HMM計(jì)算輸出概率，并在輸出概率的最大值和最小值之間均勻劃分1 000個(gè)值，根據(jù)F1值最大原則來(lái)確定閾值。根據(jù)測(cè)試集樣本符號(hào)化序列的輸出概率和驗(yàn)證集樣本計(jì)算所得閾值對(duì)測(cè)試集進(jìn)行異常檢測(cè)。

圖1 本文時(shí)間序列異常檢測(cè)方法流程Fig.1 Flowchart of the time series anomaly detection method in thispaper

1.1 基于滑動(dòng)窗口的時(shí)間序列分段

時(shí)間序列的分段方法通常有兩種：序列關(guān)鍵點(diǎn)（間斷點(diǎn)和突變點(diǎn)）分段［12，16］和等長(zhǎng)有重疊時(shí)間窗口分段［11，17-18］。第一種方法通過(guò)序列中的間斷點(diǎn)和突變點(diǎn)來(lái)分段描述時(shí)間序列，然而當(dāng)數(shù)據(jù)在連續(xù)上升或下降的幅度較小時(shí)，序列存在的轉(zhuǎn)折點(diǎn)或突變點(diǎn)無(wú)法識(shí)別［9］，這將會(huì)影響時(shí)間序列的分段表示。為此，大部分的方法研究采用第二種方法將原始時(shí)間序列創(chuàng)建為固定大小的段。這樣的方法不僅能夠保證將持續(xù)時(shí)間較長(zhǎng)的數(shù)據(jù)模式被完整地分割出來(lái)［17］，還保持了原有時(shí)間序列數(shù)據(jù)在時(shí)序上的依賴性［11］。文獻(xiàn)［11］采用固定滑動(dòng)窗口的方法分段并分析分段中存在的形態(tài)模式特征，較好地實(shí)現(xiàn)時(shí)間序列局部特征的符號(hào)化。文獻(xiàn)［17］采用有重疊滑動(dòng)窗口分段視頻數(shù)據(jù)，并建立行為識(shí)別模型。本文采用等長(zhǎng)有重疊時(shí)間窗口分段方法的具體實(shí)現(xiàn)為：設(shè)包含N個(gè)多維時(shí)間序列的樣本集記為其中單個(gè)長(zhǎng)度為T(mén)的樣本可表示為表示第n個(gè)樣本t時(shí)刻m維的向量。樣本集中每個(gè)樣本X n應(yīng)用滑動(dòng)窗口以窗口大小w和步長(zhǎng)s滑動(dòng)截取，樣本的劃分表示如下：

其中：X sn表示第n個(gè)樣本片段集，表示分段后第n個(gè)樣本的第i個(gè)時(shí)間序列片段，f(x)表示滑動(dòng)窗口函數(shù)，d為切片后的時(shí)間序列的片段總數(shù)，d=(T-w)s+1。

1.2 基于autoencoder的時(shí)間序列符號(hào)化

自編碼器能夠在壓縮高維數(shù)據(jù)的同時(shí)保留數(shù)據(jù)中重要特征，本文采用多個(gè)自編器提取不同時(shí)間序列片段中的特征。圖2為本文的自編碼器訓(xùn)練過(guò)程示意圖。

3.2.4 性傳播疾病（sexually transmitted diseases，STD） STD患者生殖道黏膜常有破損和炎癥反應(yīng)，HIV靶細(xì)胞--CD4+細(xì)胞常浸潤(rùn)在此，為HIV入侵提供了有利條件［19］，而有生殖道感染的HIV患者，其生殖道分泌物中的HIV病毒含量也會(huì)顯著增加［26］，從而增加HIV感染風(fēng)險(xiǎn)。有研究發(fā)現(xiàn)陰性配偶最近一年有生殖道異常的HIV感染風(fēng)險(xiǎn)增加3.74倍（HR=3.74，95%CI：1.05～13.33）［25］。

圖2 自編碼器訓(xùn)練過(guò)程示意圖Fig.2 Schematic diagram of training process of autoencoder

第n個(gè)樣本X sn經(jīng)自編碼器特征表示后得到的特征序列

1.3 本文的時(shí)間序列異常檢測(cè)算法

本文時(shí)間序列異常檢測(cè)的算法具體為：HMM是由隱藏狀態(tài)序列和觀測(cè)序列構(gòu)成的雙重隨機(jī)過(guò)程，序列的每一個(gè)位置對(duì)應(yīng)一個(gè)時(shí)刻的隱藏狀態(tài)和觀測(cè)狀態(tài)。HMM由G，M，π，A，B來(lái)確定，其中，G表示HMM的隱藏狀態(tài)集合；M表示時(shí)間序列符號(hào)化后有限的觀測(cè)狀態(tài)集合，且M中的觀測(cè)狀態(tài)個(gè)數(shù)由肘部方法確定；π表示初始狀態(tài)概率向量，是由各個(gè)隱藏狀態(tài)的初始概率組成；A表示狀態(tài)轉(zhuǎn)移概率矩陣，是由隱藏狀態(tài)之間的轉(zhuǎn)換概率組成；B表示輸出概率矩陣，是由隱藏狀態(tài)下輸出觀測(cè)值的概率組成。

文中將樣本集按比例劃分為訓(xùn)練集Xtrain、驗(yàn)證集Xval和測(cè)試集Xtest。Xtrain用于訓(xùn)練HMM，目的在于對(duì)訓(xùn)練集的正常時(shí)序行為建模。由1.2節(jié)描述的基于autoencoder模型的符號(hào)化方法處理Xtrain，得到訓(xùn)練集的樣本符號(hào)化序列Otrain。由于在HMM的訓(xùn)練數(shù)據(jù)只包含觀測(cè)序列沒(méi)有對(duì)應(yīng)的隱藏狀態(tài)序列，所以HMM的訓(xùn)練過(guò)程運(yùn)用非監(jiān)督學(xué)習(xí)算法——Baum-Whelm算法，學(xué)習(xí)HMM的參數(shù)λ=(π，A，B)。驗(yàn)證集Xval用來(lái)計(jì)算本文異常檢測(cè)方法的閾值τ，測(cè)試集Xtest用來(lái)測(cè)試本文方法的異常檢測(cè)效果。Xval和Xtest同樣經(jīng)符號(hào)化處理后得到Oval和Otest，并依次輸入到訓(xùn)練后的HMM中，計(jì)算每個(gè)樣本的輸出概率。在驗(yàn)證集樣本的輸出概率的最大值與最小值之間均勻劃分1 000個(gè)值作為異常檢測(cè)的閾值候選值，F(xiàn)1值最高時(shí)所取的τ值即為本文方法的閾值，F(xiàn)1值的計(jì)算如式（4）～（6）所示。測(cè)試集的符號(hào)化樣本序列Otest計(jì)算的輸出概率表示為Ptest={ptest1，ptest2，…，ptestn，…，ptestN}，其中ptestn表示測(cè)試集的第n個(gè)樣本的輸出概率。結(jié)合閾值τ，當(dāng)ptestn＜τ時(shí)，判定當(dāng)前樣本為異常樣本；否則，判定其為正常樣本。由于本文是采用正常時(shí)間序列建模，所以ptestn的值越小表示發(fā)生異常的可能性越大。

其中：TP（True Positives）表示檢測(cè)為正常的正常樣本數(shù)；FP（False Positives）表示檢測(cè)為正常的異常樣本數(shù)；FN（False Negatives）表示檢測(cè)為異常的正常樣本數(shù)；TN（True Negatives）表示檢測(cè)為異常的異常樣本數(shù)。

算法描述如下所示：

輸 出 測(cè) 試 集 樣 本 的 輸 出 概 率Ptest=｛ptest1，ptest2，…，ptestn，…，ptestN｝。

將最大F1值對(duì)應(yīng)的概率值Pvaln作為文中的閾值τ；在(min(Pval)，max(Pval))范圍內(nèi)均勻劃分1000個(gè)值，將每個(gè)值作為異常檢測(cè)閾值，根據(jù)式（4）、（5）、（6）分別計(jì)算Xval上的F1值；將最大F1值對(duì)應(yīng)的概率值Pvaln作為文中的閾值τ；

2 實(shí)驗(yàn)與分析

2.1 實(shí)驗(yàn)設(shè)置

為驗(yàn)證本文方法的有效性，選用了6個(gè)數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)。數(shù)據(jù)集描述如下：

1）雅虎（Yahoo）數(shù)據(jù)集是記錄Yahoo會(huì)員的登錄狀態(tài)的單維時(shí)間序列數(shù)據(jù)集。樣本數(shù)目300，每個(gè)樣本長(zhǎng)1420，樣本異常率為33.33%（https：//webscope.sandbox.yahoo.com/）。

2）電力需求（Power Demand）數(shù)據(jù)集是記錄一個(gè)家庭一年的電力需求的單維時(shí)間序列。實(shí)驗(yàn)中將長(zhǎng)為35000的數(shù)據(jù)集等長(zhǎng)截為100個(gè)樣本，每個(gè)樣本長(zhǎng)350，樣本異常率為9%（https：//www.cs.ucr.edu/～eamonn/discords/）。

3）呼吸（Respiration）數(shù)據(jù)集是記錄病人醒來(lái)時(shí)胸腔擴(kuò)張頻率的單維時(shí)間序列。實(shí)驗(yàn)將長(zhǎng)為42 000數(shù)據(jù)集等長(zhǎng)截為140個(gè)樣本，每個(gè)樣本長(zhǎng)300，樣本異常率為7.86%（https：//www.cs.ucr.edu/～eamonn/discords/）。

4）簡(jiǎn)易電子傳輸協(xié)議（Simple Mail Transfer Protocol，SMTP）數(shù)據(jù)集是記錄網(wǎng)絡(luò)流量和攻擊手段的三維時(shí)間序列。實(shí)驗(yàn)將長(zhǎng)為95 040數(shù)據(jù)集等長(zhǎng)截為264個(gè)樣本，每個(gè)樣本長(zhǎng)360，異常樣本占有率7.86%（https：//www.openml.org/）。

5）基于多傳感器數(shù)據(jù)融合的活動(dòng)識(shí)別系統(tǒng)（Activity Recognition system based on Multisensor data fusion，AReM）數(shù)據(jù)集記錄了一個(gè)人七種動(dòng)作的六維時(shí)間序列數(shù)據(jù)集，樣本數(shù)目78，每個(gè)樣本長(zhǎng)480，實(shí)驗(yàn)使用動(dòng)作類型作為標(biāo)簽，其中將走路動(dòng)作的15個(gè)樣本作為異常樣本，樣本異常率為19.23%（https：//archive.ics.uci.edu/ml/datasets/）。

6）美國(guó)國(guó)家航空航天局飛行（NASA Flight）數(shù)據(jù)集是美國(guó)宇航局在多核異常檢測(cè)（Multiple Kernel Anomaly Detection，MKAD）項(xiàng)目中記錄B_777飛機(jī)飛行過(guò)程的五維時(shí)間序列數(shù)據(jù)集。樣本數(shù)目300，每個(gè)樣本長(zhǎng)1000，樣本異常率為4%（https：//c3.nasa.gov/dashlink/resources/136/）。

實(shí)驗(yàn)的軟件環(huán)境為：tensorflow1.10.0，Python3.6.2，Windows10 64位操作系統(tǒng)；硬件環(huán)境為：Intel Core i7-3770處理器，4 GB內(nèi)存。

2.2 參數(shù)選取

影響本文異常檢測(cè)方法的性能主要有兩個(gè)參數(shù)：一個(gè)是時(shí)間序列分段個(gè)數(shù)d；另一個(gè)是符號(hào)化序列所需符號(hào)的個(gè)數(shù)K。下面以Yahoo數(shù)據(jù)集的實(shí)驗(yàn)為例，討論上述兩個(gè)參數(shù)的選擇過(guò)程。

實(shí)驗(yàn)選擇10～50長(zhǎng)度范圍的重構(gòu)序列來(lái)測(cè)試計(jì)算效率、平均重構(gòu)誤差和F1值，結(jié)果如表1。從表1中可看出，當(dāng)樣本序列隨著時(shí)間序列分段個(gè)數(shù)的增多，訓(xùn)練時(shí)間將會(huì)變長(zhǎng)，但時(shí)間持續(xù)較短對(duì)模型整個(gè)訓(xùn)練影響較小；平均重構(gòu)誤差也相差較小；F1值在序列長(zhǎng)度為23時(shí)最高為0.63，綜合分析Yahoo數(shù)據(jù)集的重構(gòu)長(zhǎng)度可設(shè)置在20～30范圍內(nèi)較為合適。

表1 時(shí)間序列不同分段個(gè)數(shù)的實(shí)驗(yàn)結(jié)果對(duì)比Tab.1 Experimental results comparison of different time series segmentation number

實(shí)驗(yàn)使用K-means聚類方法對(duì)經(jīng)過(guò)特征表示的樣本序列進(jìn)行符號(hào)化，K值由肘部方法確定。圖3為Yahoo數(shù)據(jù)集在對(duì)比實(shí)驗(yàn)基于HMM異常檢測(cè)方法中符號(hào)化的肘部曲線，當(dāng)K=8時(shí)，平均畸變程度變化較高，即符號(hào)個(gè)數(shù)取為8。圖4是該數(shù)據(jù)集在本文異常檢測(cè)方法中符號(hào)化的肘部曲線，由圖4可看出K值被確定為40。

圖3 肘部方法確定基于HMM異常檢測(cè)方法的K值實(shí)驗(yàn)圖Fig.3 Experimental diagram of K value of HMM-based anomaly detection method determined by elbow method

圖4 肘部方法確定本文方法的K值實(shí)驗(yàn)圖FIG.4 Experimental diagram of K valueof themethod in this paper determined by elbow method

按此原理，所有數(shù)據(jù)集上的時(shí)間序列分段個(gè)數(shù)d和符號(hào)化序列所需符號(hào)個(gè)數(shù)K值設(shè)置如表2所示。

2.3 實(shí)驗(yàn)結(jié)果與分析

實(shí)驗(yàn)中對(duì)比方法有：基于HMM的時(shí)間序列異常檢測(cè)的方法 （Hidden Markov Model-based Anomaly Detection，HMM-AD）［8］，該方法中采用聚類方法對(duì)原始時(shí)間序列聚類處理并進(jìn)行符號(hào)化；基于自編碼器模型的時(shí)間序列異常檢測(cè)方法（Autoencoder-based Anomaly Detection，AE-AD）［19］，該方法通過(guò)學(xué)習(xí)重構(gòu)正常的時(shí)序行為，并利用重構(gòu)誤差檢測(cè)異常。采用精確率（Precision）、召回率（Recall）和F1值作為異常檢測(cè)的評(píng)判標(biāo)準(zhǔn)。實(shí)驗(yàn)結(jié)果如下：

1）在Yahoo、Power demand和Respiration三個(gè)單變量時(shí)間序列上的實(shí)驗(yàn)結(jié)果如表3所示。從3個(gè)數(shù)據(jù)集的實(shí)驗(yàn)結(jié)果可以看出，本文提出的AHMM-AD方法均取得了較好的結(jié)果。與HMM-AD模型相比，本文方法在3個(gè)數(shù)據(jù)集的檢測(cè)中，Precision、Recall和F1值均有所改進(jìn)，對(duì)比實(shí)驗(yàn)結(jié)果說(shuō)明僅僅在原始數(shù)據(jù)進(jìn)行符號(hào)化分析，不能避免噪聲的負(fù)面干擾，但是在符號(hào)化之前的特征表示有利于符號(hào)化過(guò)程對(duì)原始時(shí)間序列的表征。然而，與AE-AD方法相比，本文將autoencoder融合于HMM的方法在3個(gè)數(shù)據(jù)集的F1值平均提高0.339，表明先采用自編碼器對(duì)樣本片段分別進(jìn)行局部提取表示，再用HMM對(duì)低維的樣本片段建模的方法在時(shí)間序列異常檢測(cè)中是有效的。

表2 實(shí)驗(yàn)參數(shù)設(shè)置Tab.2 Settingof experimental parameters

2）在NASA Flight、SMTP和AReM三個(gè)多變量時(shí)間序列的實(shí)驗(yàn)結(jié)果如表3所示。從表中可看出，AReM數(shù)據(jù)集的檢測(cè)效果在多變量時(shí)間序列中表現(xiàn)最好，其原因是該數(shù)據(jù)集的異常樣本是不同于正常樣本的行為動(dòng)作，異常樣本模式突出。值得注意的是，AE-AD模型在多變量時(shí)間序列的檢測(cè)效果沒(méi)有和單變量時(shí)間序列的樣本的一樣優(yōu)于HMM-AD，因此，HMM-AD模型在多變量時(shí)間序列的異常檢測(cè)中有一定的優(yōu)越性。而本文所提出的模型與HMM-AD模型相比，在Recall值上具有較高的檢測(cè)得分，分別為0.916，0.700和0.890，且在F1值也有明顯的提高。實(shí)驗(yàn)表明了文中的AHMM-AD能在HMM-AD的基礎(chǔ)上能進(jìn)一步提高在多變量時(shí)間序列集上異常檢測(cè)效果。

表3 單變量和多變量時(shí)間序列實(shí)驗(yàn)結(jié)果Tab.3 Experimental results of univariate and multivariate time series

3 結(jié)語(yǔ)

針對(duì)已有基于隱馬爾可夫模型的時(shí)間序列異常檢測(cè)模型的符號(hào)化方法不能很好地表征原始時(shí)間序列的問(wèn)題，本文提出了基于自編碼器和HMM的時(shí)間序列異常檢測(cè)方法。該方法利用自編碼器對(duì)時(shí)間序列片段的特征表示優(yōu)化符號(hào)化方法，進(jìn)而提高了HMM表達(dá)正常時(shí)間序列的建模能力。在單變量和多變量時(shí)間序列上的實(shí)驗(yàn)表明了文中方法的有效性。由

于本文方法在對(duì)時(shí)間序列片段的特征表示過(guò)程中沒(méi)有考慮片段內(nèi)的時(shí)序關(guān)系，下一步將采用長(zhǎng)短時(shí)間記憶網(wǎng)絡(luò)學(xué)習(xí)時(shí)間序列片段的特征表示，以進(jìn)一步提高文中所提方法的異常檢測(cè)效果。