云虛擬機異常檢測場景下改進的LOF算法

賀寰燁 ，林果園 ，3，顧 浩 ，方夢華

1.中國礦業大學 計算機科學與技術學院，江蘇 徐州 221116

2.礦山數字化教務部工程研究中心，江蘇 徐州 221116

3.南京大學 計算機軟件新技術國家重點實驗室，南京 210023

1 引言

云服務是一種將物理資源虛擬化并向用戶出售資源的一種服務模式。目前已有研究發現，未采用超額預定策略的大部分云計算中心的CPU 平均使用率僅為40%[1]。超額預定策略可以減少云服務提供商資源空閑而造成的損失，但同時還存在一定的風險——當用戶對某類資源的使用峰值處于同一時間段時，就會造成資源搶占的情況發生，這將會造成云虛擬機卡頓甚至宕機等問題，這嚴重違反了服務等級協議（Service-Level Agreement，SLA）[2]。以CPU 資源超額預定為例，當大量用戶在某個時間同時大量使用CPU 時，會發生對CPU 資源的搶占。對于其中某臺云虛擬機，不僅在用戶體驗上有卡頓，其CPU 負載也將處于一種較低的水平。通過異常檢測可以盡早地發現云平臺中的各類異常狀況，對維護云服務的穩定性、魯棒性與安全性有著重要作用[3-5]。盡管云計算平臺采用了相對集中和專業的管理，被普遍認為具有相對較高的可用性，但目前沒有任何一種技術可以保證云服務不出現故障，而這些故障可能引起部分甚至所有服務失效[6-9]。當云虛擬機發生故障時，通過檢測云虛擬機運行數據來判斷異常是否發生。

為了減少云虛擬機故障對云服務提供商及用戶造成的損失，近年來云虛擬機異常檢測已成為云服務領域的熱門研究話題。何等人[10]針對上下文異常檢測提出了一種聚類中心選取策略，將具有相似上下文的虛擬機先聚類，然后將不同類別的虛擬機分別通過異常檢測模型判斷其中是否發生異常。Sauvanaud 等人[8]提出了一種異常檢測系統，他們首先訓練機器模型，然后通過這個模型來判斷云虛擬機是否發生異常，在判斷為異常的同時還可以提供異常種類。Farshchi 等人[7]分析了云服務活動日志與云服務虛擬資源之間的關系，提出了一種基于回歸分析的度量選擇方法，以解決針對云虛擬機操作方面的異常識別。在CPU資源超額預定所造成異常的例子中，異常云虛擬機由于得不到足夠的CPU資源，其內部CPU使用率處于一種較低水平。而大部分異常檢測的正常數據集由虛擬機在各個狀態下正常運行的數據所構成。而該異常云虛擬機的CPU數據往往處于這部分異常檢測訓練集中的正常數據。但通過上下文異常檢測則可以發現該數據與歷史同期的數據不同，從而識別出異常的發生。

云服務中存在多種任務類型，云虛擬機的運行數據與所執行的任務類型有關，執行同類任務的云虛擬機的運行數據是相似的，并且異常云虛擬機占比較小。前面的例子說明了CPU 資源超額預定可能存在的異常，而且產生的異常數據不僅有宏觀上明顯的異常數據，還存在宏觀上近似正常數據，而在局部才體現異常的數據。LOF 算法適合檢測這類數據。目前已有學者在云虛擬機異常檢測中采用LOF算法。Huang等人[9]在研究虛擬機在動態遷移過程中是否發生異常，他們先使用LOF算法判斷遷移數據是否為異常，再結合基于時間序列的符號化算法（Symbolic Aggregate Approximation，SAX）算法檢測這種異常情況是否為誤報，以此提高算法準確性。他們雖然提高了檢測精度，但是花費了大量計算時間與計算量。Wang 等人[11]針對云服務web 應用，先以負載向量對提供web服務的云虛擬機進行分組，采用增量聚類算法對工作負載進行訓練，最后采用LOF算法檢測工作負載是否發生異常。該方法可以提高對特定負載的檢測準確率。但該方法適用范圍小，只適用于某些云服務。呂等人[12]首先通過DBSCAN 算法先對數據集進行預處理，排除大量正常數據集，然后對剩余數據采用LOF 算法計算是否有異常點。這種算法改進方式通過排除大量正確云虛擬機來減少算法的時間花費，但是在異常檢測的過程中，缺少部分虛擬機會造成準確率降低以及誤判率偏高。楊等人[13]將iForest算法、LOF算法與DBSCAN 算法分別通過同類數據集進行訓練，再依據訓練結果對三種算法分配權重，最終通過加權的結果綜合實現對異常點的檢測。這種檢測架構雖然提高了檢測準確率，但是時間花費與計算花費非常大。

為了解決上述問題，本文提出了一種基于密度空間的局部離群因子算法。該算法將同一時間內執行同類任務虛擬機的數據作為彼此的歷史數據，并參考DBSCAN 算法在密度空間中核心云虛擬機之間的密度相連、密度直達、密度可達等性質，提出了LOF計算過程中的判斷規則，達到減少對正常云虛擬機的計算量的目的，提高算法的計算效率。

2 LOFBDS算法

云服務中某臺云虛擬機表示為VMi，全部云虛擬機集合表示為：VM={VM1,VM2,…,VMi,…,VMn}。任意兩臺云虛擬機VMi與VMj之間的距離表示為d(VMi,VMj)= |VMi,VMj|，其中“ |·| ”表示兩個向量的歐氏距離。以云虛擬機VMi為例，距離VMi第k遠云虛擬機的距離稱為云虛擬機VMi的第k鄰近距離，表示為：

式（1）中dk(VMi)需滿足以下兩個條件：

（1）在云虛擬機VMi周圍至少有不包含該云虛擬機的k臺云虛擬機VMl∈VM，并符合?d(VMi,VMl)≤d(VMi,VMj)。

（2）在云虛擬機VMi周圍至多有不包括該云虛擬機的k-1 臺云虛擬機VMl∈VM，并符合 ?d(VMi,VMl)＜d(VMi,VMj)。

云虛擬機VMi的第k鄰近距離之內所有云虛擬機集合稱為VMi的第k鄰域，記為Nk(VMi)。可以得出|Nk(VMi) |≥k。云虛擬機VMi到云虛擬機VMj的第k可達距離表示為：

式（2）表示，若VMj處于VMi的第k鄰域內，則VMi到VMj的第k可達距離為dk(VMi)，否則為VMi到VMj的真實距離d(VMi,VMj) 。由此可以得出云虛擬機VMi的局部密度：

式（3）表示，云虛擬機VMi的局部密度為VMi的第k鄰域內的云虛擬機到云虛擬機VMi的平均第k可達距離的倒數。進而可以得出云虛擬機的局部離群因子：

式（4）表示，云虛擬機VMi局部離群因子為VMi的第k鄰域內的云虛擬機的局部密度與VMi的局部密度比值之和的均值。如果這個比值接近1，則表明VMi與其第k鄰域的云虛擬機的局部密度相似，VMi可能與其第k鄰域的云虛擬機屬于同一簇；如果這個比值小于1，則表明VMi的局部密度大于其第k鄰域的云虛擬機的局部密度，VMi可能為密集點；如果這個比值大于1，則表明的局部密度小于其第k鄰域的云虛擬機的局部密度，VMi可能為異常點。

2.1 基于密度空間改進LOF

由于異常點是少數存在的，通過LOF算法對大量正常點計算浪費了計算資源。文獻[11]提出的算法只是機械地組合了DBSCAN 與LOF 算法，并通過剪枝操作刪除正常云虛擬機，只對剩余云虛擬機進行異常檢測，這種檢測方法由于云虛擬機數量減少而造成部分云虛擬機局部密減少，使得檢測準確率降低，誤判率增高。在減少計算量的前提下，為了保障檢測準確率與誤判率，不能直接去除正常云虛擬機，LOFBDS算法通過引入密度空間中局部核心云虛擬機概念及相關性質，并增加判斷規則，實現對大部分云虛擬機的快速判斷。

（1）局部核心云虛擬機的概念及性質

核心云虛擬機為局部密度大于一定閾值γ的云虛擬機。但是面對密度不同的集群，其中的異常云虛擬機與該虛擬機所在集群之間的差異也不同，因此無法有統一確定核心云虛擬機的標準。為此，在核心云虛擬機的基礎上提出局部核心云虛擬機。局部核心云虛擬機為局部密度大于一定閾值γ的云虛擬機，并且有效范圍為該云虛擬機的第k鄰域，即局部核心云虛擬機針對這臺云虛擬機及其第k鄰域內的云虛擬機生效。局部核心云虛擬機具有以下四點性質：

①密度直達。若云虛擬機VMj屬于局部核心云虛擬機VMi的第k鄰域，而且VMj也是一臺局部核心云虛擬機，則可以表示VMj由VMi密度直達。

②密度可達。對于任意兩臺局部核心云虛擬機VMi與VMj，若存在這樣一條局部核心云虛擬機序列{vm1,vm2,…,vmm} ，其中vm1=VMi，vmm=VMj，并且vmi+1由vmi密度直達，則稱VMj由VMi密度可達。

③密度相連。對于任意兩臺局部核心云虛擬機VMi與VMj，若存在局部核心云虛擬機VMk使得VMi與VMj均由VMk密度可達，稱VMi與VMj密度相連。

④范圍延伸。密度相連的局部核心云虛擬機其第k鄰域都為其有效范圍。

（2）局部核心云虛擬機的判斷方式

局部核心云虛擬機是LOFBDS 算法能夠快速檢測云虛擬機是否異常的重要部分。LOFBDS 算法在判斷一臺云虛擬機是否為局部核心云虛擬機時會有兩種情況，若該虛擬機處于某臺局部核心云虛擬機的第k領域，則通過方式①判斷，其他需要檢測該云虛擬機的局部離群因子的情況，通過方式②判斷：

①在某一臺局部核心云虛擬機的第k鄰域內，并滿足局部密度γ的云虛擬機。具體情況如下：

若VMi為正常云虛擬機，VMj為VMi第k鄰域內的云虛擬機。若滿足local_dk(VMj)≥γ，則VMj也為良局部核心云虛擬機。

若VMi為異常云虛擬機，VMj為VMi第k鄰域內的云虛擬機。若滿足local_dk(VMj)＜γ，則VMj也為劣局部核心云虛擬機。

②經過計算局部離群因子的云虛擬機為局部核心云虛擬機。若為正常云虛擬機，則稱其為良局部核心云虛擬機。若為異常云虛擬機，則稱其為劣局部核心云虛擬機。

（3）與局部核心云虛擬機相關的密度參數γ

密度參數γ是由局部核心云虛擬機所確定的，該局部核心云虛擬機是通過計算局部離群因子而判定的。密度參數為該局部核心云虛擬機的局部密度，即local_dk(VMi)=γ。密度參數是用來判斷該局部核心云虛擬機第k鄰域內的云虛擬機是否滿足局部核心云虛擬機的標準。與局部核心云虛擬機相同，密度參數γ也是在局部核心云虛擬機的第k鄰域內有效。

2.2 LOFBDS算法判斷規則

在LOFBDS算法的執行過程中，計算并檢測某臺云虛擬機的局部離群因子后，其第k領域內的云虛擬機可以不需要依次計算其局部離群因子就能夠快速確定是否為異常云虛擬機。根據式（4）可知，云虛擬機VMi的局部離群因子LOFK(VMi)是根據該云虛擬機與其第k領域內的其他云虛擬機的局部密度之比的均值來判定的。那么云虛擬機VMi的第k鄰域內其他云虛擬機VMj將存在兩種情況：

（1）local_dk(VMi)≤local_dk(VMj)，由此可得出推論1與推論2。

推論1如果一臺云虛擬機VMi是正常的，那么它第k鄰域內的所有云虛擬機(VMj∈Nk(VMi))都為正常云虛擬機。

證明如果一臺云虛擬機發生異常，那么這臺云虛擬機與同類云虛擬機相似度就很低，這臺云虛擬機在密度空間的位置將遠離正常云虛擬機集合。假定異常云虛擬機VManomaly為VMi的第k臺鄰近云虛擬機，那么總是可以從正常云虛擬機集合中找到一臺云虛擬機VMj，滿足 ?d(VMi,VMj)＜d(VMi,VManomaly)。所以VManomaly不是VMi的第k臺鄰近云虛擬機。由此推廣，正常云虛擬機的第k鄰域內不會有異常云虛擬機的存在。正常云虛擬機的第k鄰域內的所有云虛擬機都為正常云虛擬機。證畢。

推論2如果一臺云虛擬機VMi是正常的，那么它第k鄰域(Nk(VMi))內局部密度大于等于VMi的云虛擬機VMj的第k鄰域(Nk(VMj))內的云虛擬機也是正常的。

證明由推論1可知，如果云虛擬機VMi是正常的，那么VMi為良局部核心云虛擬機，此時Nk(VMi)內的云虛擬機都是正常的。假設存在云虛擬機VMj，局部密度local_dk(VMj)＞local_dk(VMi)。那么VMj為良局部核心云虛擬機，Nk(VMj)內的云虛擬機將更加靠近VMj，那么Nk(VMj)內的云虛擬機比Nk(VMi)表現更為正常。根據推論1得出，VMj的第k鄰域（Nk(VMj)）內的云虛擬機也是正常的。證畢。

（2）local_dk(VMi)＞local_dk(VMj)，由此可得出推論3。

推論3如果一臺云虛擬機VMi是異常的，那么它第k鄰域（Nk(VMi)）內局部密度小于VMi的云虛擬機VMj也是異常的。

證明若云虛擬機VMi為異常云虛擬機，那么該云虛擬機將遠離正常云虛擬機集合。假設VMj∈Nk(VMi)，并且local_dk(VMj)＜local_dk(VMi)，說明VMj第k領域內的云虛擬機更加稀疏，則云虛擬機VMj較VMi更加遠離正常云虛擬機集合，并且LOFK(VMj)＜LOFK(VMi)，所以VMj一定是異常云虛擬機。證畢。

LOFBDS 算法通過優化對大部分云虛擬機的判斷方式，通過判斷規則對不同的云虛擬機進行相對應的判斷過程。LOFBDS 算法的判斷規則根據以上3 點推論所得，具體規則如下：

規則1對于非局部核心云虛擬機第k領域內的云虛擬機，通過檢測云虛擬機VMi局部離群因子與閾值ε的關系判斷其是否為異常。結果分為以下兩種情況：

（1）LOFK(VMi)≤ε，說明VMi為正常云虛擬機，同時記為良局部核心云虛擬機。

（2）LOFK(VMi)＞ε，說明VMi為異常云虛擬機，同時記為劣局部核心云虛擬機。

規則2對局部核心云虛擬機第k領域內的云虛擬機進行判斷：

（1）若VMi為良局部核心云虛擬機，根據推論1 可知，Nk(VMi)內的云虛擬機VMj都為正常云虛擬機，并將滿足local_dk(VMj)≥local_dk(VMi)的云虛擬機記為良局部核心云虛擬機。依據推論2，Nk(VMj)內的云虛擬機也可通過此規則進行進一步判斷。

（2）當VMi為劣局部核心云虛擬機，根據推論3 可知，Nk(VMi)內的云虛擬機VMj滿足local_dk(VMj)≤local_dk(VMi)為異常云虛擬機，同時也記為劣局部核心云虛擬機。Nk(VMj)內的云虛擬機也可通過此規則進行進一步判斷。

規則3對于無法通過規則2判斷的云虛擬機，將其視為非局部核心云虛擬機第k領域內的云虛擬機，并通過規則1進行判斷。

至此，在檢測云虛擬機VMi的狀態后，可以得出Nk(VMi)之內部分云虛擬機的狀態，進而可以得到這些云虛擬機第k鄰域內部分云虛擬機的狀態。以此類推，計算一次局部離群因子可以判斷多臺云虛擬機的狀態，并且在這個過程中不需要檢測這些云虛擬機的局部離群因子，減少了計算量。

2.3 LOFBDS算法偽代碼

LOFBDS 算法在檢測過程中將云虛擬機分至4 種云虛擬機集合，分別是還未進行檢測的虛擬機集合VM′，根據判斷規則尚無法直接推斷，還需要進一步計算局部離群因子的待測云虛擬機集合wait_VM′，已確認為正常云虛擬機的正常云虛擬機集合normal_VM以及已確認為異常云虛擬機的異常云虛擬機集合anormaly_VM。LOFBDS算法偽代碼如算法1所示。

算法1LOFBDS算法偽代碼

輸入：VM，云服務虛擬機集合

TASK，云服務任務類型集合

ε，局部離群因子閾值

輸出：anormaly_VM，異常云虛擬機集合

Begin

1.Forjin range（1，m）：

2.Computelocal_dk(VMj)

3.VM′←local_dk(VMj)

4.End for #計算全體云虛擬機局部密度

5.While（wait_VM′＞ 0 orVM′＞ 0）：

6.IfwaitVM′==null：

7.VM′→VMi

8.Else：

9.wait_VM′→VMi

10.End if #選擇一臺云虛擬機VMi

11.ComputeLOFK(VMi)#計算VMi的局部離群因子

12.IfLOFK(VMi)＜ε：

13.normal_VM←VMi

14.Forrin range（1，k）：

15.Iflocal_dk(VMr)≥local_dk(VMi)：

16.normal_VM←VMr

17.Else：

18.wait_VM←VMr

19.End if

20.End for

21.Else：

22.anomaly_VM←VMi

23.Forrin range（1，k）：

24.Iflocal_dk(VMr)≤local_dk(VMi)：

25.anormaly_VM←VMr

26.Else：

27.wait_VM←VMr

28.End if

29.End for

30.End if #依據判斷規則判斷Nk(VMi)內云虛擬機

31.End while

3 實驗

3.1 實驗環境

實驗數據通過收集實驗云平臺獲得，該云平臺基于OpenStack搭建，使用服務器一臺，其他主機10臺，具體參數如表1所示。

OpenStack 的控制節點搭建在戴爾服務器上，所有物理節點上配置相同配置的虛擬機。其中虛擬機配置CPU算力1 GHz，內存2 GB，存儲20 GB，網絡等采用默認配置。虛擬機部署Ubuntu16.04操作系統。其中服務器部署90臺虛擬機，每臺聯想主機配置14臺虛擬機，每臺宏碁主機配置8 臺虛擬機，總計200 臺虛擬機。實驗室云平臺網絡拓撲圖如圖1所示。

本次實驗通過CPU 利用率來檢測算法的有效性。虛擬機安裝實驗室測試使用的模塊，可以通過浮點計算模擬CPU 使用，并通過atop 監控虛擬機，收集運行數據。在對虛擬機分配任務時，保證每臺物理機上均有虛擬機分配到任務。

異常通過人為方式注入，云平臺在執行浮點運算任務時，選取非服務器的一臺物理主機，人為對多臺處于待機狀態中的虛擬機增加浮點計算任務，以實現CPU資源的搶占，模擬用戶對某種資源的使用峰值處于同一時間段。

實驗結果通過準確率、誤判率、檢測速度來對比各個算法之間的優劣，其中準確率、誤判率的計算公式如下：

式（5）及式（6）中，TP表示正確識別正常云虛擬機的數量，TN表示正確識別異常云虛擬機的數量，FN表示錯誤識別異常云虛擬機的數量，ALL表示全部云虛擬機的數量。

3.2 實例分析

某虛擬機在異常注入后的CPU利用率如圖2所示，該虛擬機在正常執行任務180 s 時，對其所在的宿主機進行異常注入，可以發現該虛擬機內部檢測到CPU 利用率突然降低，從98%左右降至60%左右，并且CPU 利用率波動增大。

表1 實驗云平臺物理設備配置表

圖1 云平臺網絡拓撲圖

圖2 某虛擬機的CPU利用率

圖3 為一組實驗數據經過t-SNE（t-distributed Stochastic Neighbor Embedding）算法降維得到的二維可視化圖。其中C1 虛擬機集群運行浮點運算，主要使用CPU資源；C2虛擬機集群執行連續存儲及刪除操作，主要使用磁盤I/O資源。

圖3 虛擬機數據二維可視化圖

如圖3 所示，經過對CPU 資源搶占的異常注入，三個異常虛擬機發生異常，分別是C1集群的O1與O2，C2集群的O3。其中O1與O2的成因與圖3中虛擬機相同，所以這兩個異常虛擬機向CPU利用率較小的C2集群靠近；O3由于CPU資源不足，導致無法在指定時間內向磁盤發送指令，從而造成了磁盤I/O 異常。并且O1 及O2表現為局部異常，O3為全局異常。可以看出C1集群中O1 虛擬機與其所在的集群之間的差異較小，而且這個差異小于C2 集群中正常虛擬機之間的差異，所以證實了無法通過統一標準確定核心云虛擬機。因此LOF 算法更適合應對此類數據。

由圖3還可以看出C1集群與C2集群內部分別比較均勻，并且C1集群比C2集群更加緊密。這是由于在大量使用CPU資源時，CPU處于一種穩定滿載的狀態；而對連續存儲及刪除操作，只是CPU 在某一時間發布若干次命令，所以CPU 利用率波動較大。這表明了執行同類任務的正常虛擬機各項數據是相似的。所以本文提出的將同一時間內執行同類任務虛擬機的數據作為彼此的歷史數據是可行的。

3.3 異常檢測及結果分析

為了驗證LOFBDS 算法在云虛擬機異常檢測方面的效率，本部分采用原始LOF算法、文獻[6]的算法（LOFSAX）及文獻[11]的算法（DBSCAN-LOF）作為對比進行驗證。實驗分為兩部分，第一部分檢測算法的檢測精度，通過對30 組數據進行測試，得到檢測準確率如圖4所示，檢測誤判率如圖5 所示；第二部分為檢測算法的時間花費，檢測結果如圖6所示。

圖4 四種算法在30組實驗中的檢測準確率

圖5 四種算法在30組實驗中的檢測誤判率

圖6 云虛擬機數量與算法檢測時間花費的關系

如圖4所示，四種算法的檢測準確率都達到94%以上，其中LOFBDS 算法表現最好，準確率達到98.0%以上，并且誤差僅在0.21%之內；LOF-SAX算法表現次之，準確率接近LOFBDS 算法，達到97.6%以上，誤差在0.31%之內；原始LOF算法表現一般，準確率約為97.3%左右，誤差為0.96%左右；DBSCAN-LOF算法表現最差，準確率為94.2%至96.3%之間，誤差高達2.40%。

如圖5所示，總體來說LOFBDS算法的檢測誤判率較低并檢測結果穩定，誤判率為0.7%以下，誤差在0.18%之內；LOF-SAX 算法檢測誤判率次之，并且檢測結果也比較穩定，誤判率為0.96%以下，誤差在0.28%之內；原始LOF算法檢測誤判率一般，檢測結果穩定性較差，誤判率在2.4%之下，誤差在1.03%之內；DBSCANLOF 算法不論在檢測誤判率還是穩定性方面都表現最差，誤判率在5.9%之下，誤差約在2.2%之內。

造成以上情況原因可能在于對邊緣云虛擬機處理情況的差異。以原始LOF 算法的檢測方式為基準，LOFBDS算法在處理邊緣云虛擬機時增加了判斷規則，可以更加準確地識別邊緣云虛擬機是否為異常云虛擬機，減少了誤判的發生，提高了檢測準確率；LOF-SAX算法在LOF 算法對數據進行異常檢測之后，還通過SAX 算法對LOF 算法的檢測結果進行核實，減少了誤報的發生；DBSCAN-LOF 算法在檢測之前為了減少計算花銷對數據集進行了剪枝操作，這不僅增加了邊緣云虛擬機的數量，同時還造成了邊緣云虛擬機密度的降低，造成了檢測準確率降低、檢測誤報率增加以及誤差增大。

四種算法的計算時間花費如圖6所示，趨勢線皆使用多項式來擬合。在有限的數據集中，LOF算法的時間花費成指數式增長，這符合LOF 算法的時間復雜度為O(n2)；LOF-SAX算法在云虛擬機較少時時間花費就比較高，隨著云虛擬機臺數的增加，該算法的時間花費成指數式增加，其原因是該算法相對于原始LOF算法增加了使用SAX 算法檢測LOF 算法檢測結果的步驟，雖然提高了檢測效率，但是計算時間花費大大增加；LOFBDS算法在云虛擬機較少時時間花費較低，隨著云虛擬機臺數的增多，其計算時間也隨之增加，其趨勢線更加趨向于線性，說明本文提出的算法在減少時間花費方面有著良好的效果；DBSCAN-LOF 算法在這次實驗中表現結果最優，其擬合的趨勢線較LOFBDS算法更加趨向于線性，這是其對數據集剪枝產生的結果。

綜上所述，LOFBDS 與LOF-SAX 算法在異常檢測過程中檢測準確率與檢測誤判率有著良好的效果，但是LOF-SAX 算法的時間花費過大，不適用于存在大量云虛擬機的云服務中。DBSCAN-LOF算法雖然有著最好的時間花費，但是該算法的檢測準確率與檢測誤判率非常不理想。所以本文提出的LOFBDS 算法更加適用于云虛擬機異常檢測。

4 結束語

云服務提供商為了提高服務器使用率、降低成本采用了超額預售策略。該策略在某種物理資源使用殆盡時會引發虛擬機異常，具體表現為資源搶占的發生，從而使虛擬機可用資源減少，導致虛擬機發生卡頓甚至宕機。針對這種異常提出了一種適用于云虛擬機異常檢測的LOFBDS算法。該算法采用上下文異常檢測策略，將執行同類任務的配置相同的虛擬機的運行數據作為彼此的歷史數據，再將DBSCAN 算法中密度空間的相關性質引入LOF算法，提出了檢測過程中的判斷規則，優化對云虛擬機的檢測。實驗表明，本文提出的算法有著良好的檢測效果，同時具有較低的時間花費。

本文算法是針對將任務進行分布式處理的云平臺所提出的，要求云平臺中虛擬機配置相同或者執行同類任務的虛擬機配置相同，并且要求子任務在不同服務器上的虛擬機中完成，而且本文檢測算法中的輸入數據皆采用原始數據，因此在計算和時間消耗上還存在優化空間，今后的工作內容主要集中在尋找適合于大規模云檢測數據的降維算法。