基于改進SVM 的電力企業信息系統異常檢測方案的優化*

王逸兮 余 錚 查志勇 馮 浩 王敬靖

（國網湖北省電力有限公司信息通信公司 武漢 430077）

1 引言

隨著我國進入了大數據時代以來，各類型企業的發展速度陡然提高，其中電力企業的業務規模也出現了大幅增加。國家電網公司由于各分部、省公司在資源配置方面差異較大，使得大規模數據協調處理的復雜度呈幾何級數上升，系統異常出現的概率大幅度增加，且故障排查效率相對低下，對信息系統的正常運行構成了嚴重的影響，因此必須采取有效措施，對網絡性能異常進行精確快速的監測［1］。

目前網絡異常檢測技術已經研究出多種技術成果。如Roy 提出了提高檢測技術魯棒性的設計思路，指出流量規模在一定范圍內的突變，不應當作為明確的異常指征，而僅可以作為參考標準［2］；Jun Jiang 等人提出了網絡性能檢測的預判概念，采用預測算法對當前的網絡性能波動進行計算，一定程度上實現了對異常情況的提前判定［3］；Amon Goldman 等人將網絡性能指標的變化數據用統計學中的迭代統計算法進行分析，實現了動態調節性能指標閾值的目標［4］；以上檢測方法均為被動統計方法，存在滯后程度較高的問題，而網絡性能監控卻需要將實時性作為首要指標，因此這些方法均不能實現對當前大規模網絡的及時調控。

主動監控技術將原先針對某區域的總流量變化進行監控的方法，轉變為針對區域內預設的一系列性能參數的異常變化進行檢測和分析，即以網絡區域內是否出現了相關類型的異常點為依據，判定當前該區域內是否出現了對應的問題［5～6］。在該類型的檢測過程中，主要依據兩個重要的參數來進行判定，其分別為基線和閾值。基線是指網絡在通信過程中的性能基礎值，反映網絡在不同環境下的平均性能，而閾值則是以基線為中心動態調整的，指明了某一時間段內網絡性能波動的正常范圍。本文針對被動檢測方法的缺點進行改進，提出采用SVM機制參與到性能評價過程中，實現了對基線參數的實時動態調整，同時利用訓練殘差的方法輔助確定網絡性能指標的置信區間，從而提高了閾值計算的可靠性和精確性。

2 SVM算法原理

支持向量機SVM 屬于智能型自適應優化算法，其特點是通過對解群體的分類與回歸，很好的提高了算法的泛化性。其基本算法流程如下。

首先根據分析對象特征設定初始樣本群體｛xi，yj｝，i，j=1，2，…n；xi與yj分別為算法的n維輸入量和輸出量。式（1）給出了SVM 算法的基本函數形式：

上式中φ(·)為算法的特征映射函數，將其視為被測對象的回歸函數，將式（1）表述為

式（1）中的 ‖ω‖2為復雜度參數，用以描述f(·)的復雜度；C 為懲罰系數，用以設定算法對錯誤分類的懲罰程度，從而提高全局最優解的存在概率；為經驗風險值，用來描述算法分類結果與真實結果之間的差值，其中ε為不靈敏損失函數，其作用等價于算法中的松弛變量［7］，用以清除真實值在某范圍內的誤差，其滿足式（3）。

而經驗風險可描述為

通過式（3）和式（4）代入，可將式（2）轉變為

將拉格朗日乘子法用于上式，可將其轉變為對偶優化問題的求解，如式（6）所示。

上式中，K(xi，xj)為核函數，這也是確定算法有效性的關鍵函數，尤其在針對線性不可分的數據進行SVM優化的過程中，必須根據被測對象的特征選取合適的K(xi，xj) ，目前常用的核函數有線性核函數、多項式核函數、Sigmoid 核函數和高斯（RBF）核函數等［8-9］，此處選取高斯（RBF）核函數，即高斯徑向基函數為例，如式（7）所示。

將代入后，式（8）即轉變為以下形式：

上式的求解即為二元分類問題的求解，f(x)的值有兩種，分別為+1 和-1，前者表示x歸為一類，后者則表示其歸為二類，根據分類的結果，就可以對被監測對象的變化趨勢進行預判，如網絡性能參數是否會在時間序列中的下一時間點上出現異常。

3 基于SVM 的異常點檢測方案的優化

3.1 網絡性能指標模型的構建

本次優化方案選取時間點序列作為監測和分析對象，在構建數據模型時，訓練集（樣本群）中的每個個體均為時間序列中某一點上網絡性能的對應指標［10］，傳統的建模方法是按照連續時間間隔的采樣得到初始訓練集，如式（11）所示。上式中，U 和V 分別為算法的輸入和輸出向量；t 表示時間序列的末尾點；l表示元素數量；m 表示嵌入維數；該方法缺點是基線和閾值的設定往往存在較大的滯后情況，無法對網絡中各種性能指標快速且頻繁變化狀況進行實時的分析與識別，這就導致了許多異常點沒有被及時檢出，最終使得監測系統經常出現誤報和漏報的情況。

在檢索了電力企業累積的大量網絡性能監測數據后發現，各個區域內網元的性能波動規律雖然在短時間內是無序的且隨機變化的，但在較長的監測周期內依然是遵循一定規律的，尤其在1d 的時間單位內，同時間段的變化規律相似性極高，因此本文提出采用同點時間序列構建網絡性能變化模型的設計思路，即多日內同一時間點進行采樣的方式，以更好的貼合電力企業網絡性能的變化規律，如式（12）所示。

上式中U和V同樣為系統的輸入及輸出向量，t、l、m與式（11）設定相同，n 為一日內時間點設定數量。根據電力企業信息傳輸異常事件的特征分析，當網絡出現異常點時，其造成的持續影響往往覆蓋了多個時間點，導致了評估結果的偏差；而在本模型中，所有的時間點均為分散的，時間點之間的間隔也并不固定，這就顯著地減少了異常點多發的時間段內的采樣次數，提高了系統異常檢測與評價方案穩定性與客觀性。

3.2 核函數的選擇及參數優化

如前文所述，在SVM 算法中，起到關鍵影響作用的是核函數的選定與使用，針對電力企業網絡性能波動特點，本文選取了高斯徑向基函數為SVM算法的核函數，在設置參數的過程中，最關鍵的兩個參數即為懲罰參數c 和核函數參數g［11］。本文對SVM 算法的改進也主要體現在對這兩個參數的選定過程中，提出將參數尋優的工作分為兩步進行，并通過交叉驗證的方式快速逼近最優的c 和g 組合。

1）粗略尋優環節的驗證與分析

圖1 給出了粗略尋優環節的分析結果，本次參數尋優采用臺灣林智仁教授研發的LibSVM軟件來完成，x、y軸分別表示c、g取以2為底的對數后的值，而選定參數后的SVM 分類器輸出結果的準確率則通過z 軸上的值來表示。利用LibSVM 軟件中的SVMcgForClass 函數進行計算，在粗略尋優環節中，參數c 的估值區間確定為(2-2，24)，隨機選擇為2.3965，而參數 g 則估值在 (2-4，24)之間，隨機選定為4。將此組參數帶入SVM 算法，實現對訓練集的二元化分類，通過大量的真實數據驗證，其結果的準確率略超過93%。

圖1 參數兩步尋優效果-粗略尋優環節

2）精細尋優環節的驗證與分析

在完成粗略尋優的基礎上，通過精細尋優環節進一步參數準確性。將參數c和g分別在其估值區間內執行離散化操作，隨后再次執行SVMcg-ForClass函數，進一步縮小了兩個參數的取值范圍，最終得到的最優參數組合為c=1.3272，g=1，將其分別帶入懲罰系數與核函數后，SVM分類器輸出結果的準確性上升至了95.58%，優化效果較為明顯，如圖2所示。

圖2 參數兩步尋優效果-精細尋優環節

3.3 置信區間的確定

在完成了參數優化的工作之后，即可根據訓練參差計算得到網絡性能指標在時間序列模型上的置信區間。為了提高算法的真實度，在確定置信區間的過程中添加高斯白噪聲干擾e～N（0，σ2）作為算法約束條件，并將其代入式（10）可得：

考慮到樣本訓練集的規模足夠龐大，因此可將樣本方差近似等價與總體方差，簡化可得：

由于高絲白噪聲是服從標準正態分布的，因此根據分位點α的定義可將上式轉變為

進一步推導得到：

上式中的1-α即為根據被控對象預先設定的置信度，根據式（16）則可計算出給對應的閾值波動范圍。分別以選定置信度為95%和97%為例，前者通過檢索正態分布表，得z0.052=1.96 ≈2，對應的閾值波動范圍則為后者同理查詢可 得z0.032≈3 ，計算出閾值波動范圍為。

4 仿真實驗及結果分析

電力企業信息系統中需檢測的性能指標有多種，本次仿真實驗選取服務器節點的CPU負荷作為檢測對象，所有的信息數據均來自電力企業系統服務器自 2018年3月31日17：00至4月2日16：50 的監控記錄，樣本群規模為316 個采樣點。通過對監測記錄的逐一篩查，總共發現并核實了17 個異常點，其中4 個異常點較為分散，而其余異常點則連續集中出現，隨機分散的異常點表現為CPU負荷大幅度突變的特征，連續集中的異常點則表現出CPU負荷持續處于低位的特征。采取連續和同點這兩種時間序列模型同時進行預測的方法，計算相關的基線和閾值，置信度均設置為95%，仿真實驗結果的分別如圖3和圖4所示。

首先對圖3 中的仿真曲線進行分析，可以明顯的觀察到，預測線較好地逼近了觀察線，而且針對觀察線上的異常點，預測線也在較短時間內給出了較為準確的預測結果，尤其對于4 個分散異常點，系統均在第一時間做出了檢出響應，體現了較高的實時性。但與此同時，檢測系統也出現了檢出錯誤并發出誤報警的情況，將兩個處于閾值范圍內的正常點也誤判為了異常點；對于13 個連續集中異常點，該方案檢出率較差，只能夠檢出第一個異常點，此外還出現了6 例錯判和誤報警的情況。由此可以看出，連續時間序列模型下的SVM 檢測算法敏感性過高，而魯棒性相對較差，容易出現誤報警的情況，導致檢測方案的實用性受到了限制。

圖3 連續時間序列仿真結果

圖4 同點時間序列仿真結果

圖4 則采用同點時間序列模型，可以看出預測線相較于圖3 中的曲線要更為平滑，即檢測方法的敏感性得到了合理的控制，雖然各個預測點對于正常點的逼近程度稍弱于前一模型，但這種弱化程度是有限且平均的，因此不會對正常點的預測造成影響。在對異常點的檢出率方面，同點時間序列模型的預測方法則表現出明顯的優勢，17 個異常點均被及時地檢測出，同時也沒有因誤判而發生任何一次誤報警，體現了良好的魯棒性與可靠性，同時大幅度降低了檢測失誤的概率，已實際具備了持續監控能力。

5 結語

本文提出了將SVM 算法機制引入到信息系統異常檢測過程中，并采用粗略尋優和精細尋優的兩步交叉驗證法，提高了SVM 核函數參數的尋優效率，并從而更加合理地確定了電力企業網絡性能異常檢測工作所需的基線和閾值參數。隨后根據網絡性能異常特征，構建了基于同點時間序列的檢測模型，并同傳統檢測方法所采用的連續時間序列模型相對比，分別通過仿真實驗對異常檢測結果進行了分析，論證了本方法的有效性和可靠性。