基于變分自編碼器的MVB網絡異常檢測方法

楊岳毅，王立德，陳 煌，王 沖

(北京交通大學 電氣工程學院, 北京 100044)

多功能車輛總線(Multiple Vehicle Bus，MVB)是一種基于串行數據通信總線的通信網絡，廣泛應用于高速動車組和地鐵列車[1]。MVB連接中央控制單元、網關、遠程IO模塊RIOM等車載列車網絡控制設備，傳輸牽引制動控制指令、列車運行狀態等重要信息[2]。由于惡劣的工作環境，許多因素都可能造成MVB網絡通信性能退化，嚴重時造成通信故障，危及列車運行安全[3]。目前，MVB網絡檢修仍處于故障檢修模式，依賴于專家經驗進行故障排查，無法有效監測網絡狀態，不能及時發現網絡異常。因此，有效的MVB網絡異常檢測方法對于保障列車運行安全和降低運維成本具有重要意義。

傳統總線型網絡的異常檢測多通過監測數據鏈路層信息來實現。文獻[4]選用CAN總線消息接收延遲時間來反映消息響應時間的變化，提出一種基于巴氏距離的故障檢測方法。文獻[5]提出一種基于自適應神經模糊推理系統的故障診斷方法，根據一定時間窗口內總線錯誤幀數評估網絡健康狀態。文獻[6]設計了一種MVB協議分析裝置，能夠對MVB過程數據、消息數據等進行實時獲取和解析，為檢修維護提供了必備工具。文獻[7]提出一種基于貝葉斯規則后驗概率模型的MVB誤碼率估計算法，能夠用于測試MVB通信質量。然而，對于因線纜性能退化、連接器老化等引起的MVB網絡異常，由于其主要造成信號物理波形畸變，且通常在列車運行時才會出現丟包率、誤碼率等鏈路層指標大幅升高的現象，因此傳統方法無法實現有效的異常檢測。

總線型網絡的物理層包含大量網絡狀態和故障信息，可用于網絡狀態監測和異常檢測。文獻[8]提出一種基于動態集成學習的城軌列車制動系統CAN總線異常檢測方法，提取穩態幅值、超調、位時間等9種CAN總線信號物理波形特征用于模型訓練。文獻[9]從CAN總線信號物理波形中提取17種時域和頻域特征，采用3種經典機器學習算法實現入侵檢測。文獻[10]提取MVB網絡信號物理波形一致性特征，采用多核學習支持向量機進行端接故障診斷。文獻[11]提取6種MVB網絡信號物理波形特征，提出一種基于支持向量描述的MVB網絡健康評估方法。然而，這些方法通常依賴專家經驗選擇和提取信號物理波形特征，在缺乏先驗知識的情況下存在檢測準確率不高、效率低等問題，只適用于特定應用場景。

實際中，由于缺乏大量標記的異常數據，造成正常數據和異常數據的嚴重不平衡，因此相比于監督學習，無監督學習和半監督學習更適用于異常檢測領域[12]。變分自編碼器(Variational Autoencoder，VAE)是一種無監督的深度生成模型，由于其比自編碼器(Autoencoder，AE)具有更好的泛化能力，近年來已經成功應用于異常檢測領域[13]。VAE通過訓練學習到正常數據集的概率分布，將偏離這個概率模型的數據檢測為異常數據[14]。其中，閾值選擇對基于VAE的異常檢測方法十分重要。文獻[15]通過采用交叉驗證的方法進行閾值選擇，但需要足夠的驗證數據集。文獻[16]通過測試集對模型進行評估，選擇最佳模型對應的閾值，但其泛化能力較差。

本文提出一種基于VAE的MVB網絡異常檢測方法，無需人工特征提取，直接將MVB網絡原始信號物理波形作為模型輸入，采用重構誤差作為異常檢測判斷依據。模型訓練采用半監督學習方式，訓練階段只需要正常數據集，并利用核密度估計(Kernel Density Estimation，KDE)設置異常檢測閾值。在實驗室環境搭建MVB網絡實驗平臺，驗證本文所提方法的有效性。

1 MVB網絡異常

MVB網絡采用非歸零差分曼徹斯特編碼，波特率為1.5 Mbps。實際應用中，MVB網絡通常選用電氣短距離和電氣中距離2種傳輸介質，采用RS-485傳輸物理層差分電信號，通信線纜規定為截面積0.34 mm2(AWG22)～0.56 mm2(AWG20)的屏蔽雙絞線[17]。MVB網絡雙絞線等效回路見圖1。

圖1 MVB網絡雙絞線等效回路

圖1中R、L、C、G分別為單位長度線纜回路的有效電阻、電感、電容、電導。當等效回路中施加正弦波電壓、電流時，設初始端的電壓和電流分別為U0和I0，線纜長度為l，可以得到線纜l處的電壓Ul和電流Il為

(1)

式中：Zc為特征阻抗；λ為傳播參數。

由式(1)可知，線纜l處的電壓和電流由入射電壓或電流(-λl)和反射電壓或電流(λl)兩部分組成，入射電壓與輸入電流之比和反射電壓與反射電流之比都等于特征阻抗Zc。協議規定的MVB特征阻抗Zc為120 Ω。

當終端電阻Zt=Zc時，網絡阻抗匹配，雙絞線電壓信號傳遞函數F=|Ul/U0|=e-λl，只與傳播參數λ、線纜長度l有關，因此可以避免出現反射現象。

當阻抗不匹配時，雙絞線電壓信號傳遞函數為

(2)

函數由傳播參數λ、線纜長度l、終端電阻Zt和特性阻抗Zc共同決定。阻抗不匹配會引起能耗增加、物理波形畸變，導致MVB網絡通信質量下降，嚴重時引發網絡通信故障。

MVB線纜反射系數定義為線纜反射波電壓與入射波電壓之比，則線纜終端處反射系數Γt為

(3)

由于長時間處于復雜惡劣的工作環境中，多種原因都可能造成MVB網絡故障，常見的MVB網絡異常有：

(1)斷路故障。網絡斷路故障常發生于通信線纜和設備網卡連接器，造成部分設備離線，同時剩余網絡設備因阻抗不匹配而引起嚴重的信號物理波形畸變。

(2)短路故障。芯片擊穿、管腳短接、通信線纜破損等原因會造成MVB網絡差分通信線路短路故障，導致網絡通信中斷。

(3)端接故障。振動或者維護不當等原因會使MVB網絡終端電阻缺失或者配置位置不正確，造成網絡阻抗不匹配，引起網絡信號物理波形畸變，通信性能退化，嚴重時造成網絡通信中斷。

(4)傳輸介質故障。由于MVB網絡工作環境復雜惡劣、不合理的檢修維護等原因，長時間運行會造成網絡線纜、線纜連接器、通信網卡電子元器件等性能退化，造成網絡原有特性阻抗發生改變，從而使得網絡阻抗不匹配，引起網絡信號物理波形畸變，抗干擾能力降低，網絡通信性能退化。

(5)電磁干擾。MVB網絡長期處于列車復雜電磁環境下，不合理的布線、屏蔽層破損、不正確的接地等原因，都可能干擾網絡信號正常傳輸，引起網絡通信故障。

2 異常檢測方法

2.1 變分自編碼器

變分自編碼器VAE是一種有向概率圖模型，包括概率編碼器和概率解碼器，其模型結構見圖2。

圖2 變分自編碼器模型結構

由于無法得到準確的真實后驗概率pθ(z|x)，因此采用變分推斷的方法，通過訓練概率編碼器得到后驗概率qφ(z|x)來近似逼近pθ(z|x)。概率解碼器相當于一個生成模型pθ(x|z)，其中z為隱變量。邊際似然由單個數據點的邊際似然lnpθ(xi)(i=1,2,…,n)的總和得到，n為訓練樣本數。對單個數據點的邊際似然可以表示為

lnpθ(xi)=DKL(qφ(z|xi)‖pθ(z|xi))+

L(θ,φ;xi)≥L(θ,φ;xi)

(4)

式中：DKL為散度，是衡量兩個概率分布間差異性的指標，為非負數；L(θ,φ;xi)為數據邊際似然的變分下界；φ為變分參數；θ為生成參數。

由于lnpθ(xi)為定值，為了使pθ(x|z)和qφ(z|x)間的散度最小化，需要最大化L(θ,φ;xi)。同時，采用神經網絡訓練得到變分參數φ和生成參數θ，這也是VAE與AE相關聯的地方。

數據xi的邊際似然下界L(θ,φ;xi)可表示為

L(θ,φ;xi)=

-DKL(qφ(z|xi)‖pθ(z)+Eqφ(z|x)[lnpθ(xi|z)]

(5)

式中：E為期望。

設一個輸入數據x∈Rd，d為樣本維度，qφ(z|x) 和pθ(z)服從高斯分布，變分自編碼的優化函數LVAE可定義為

LVAE=LMSE(x,xc)+wLKLD(μ,δ)

(6)

LMSE(x,xc)=‖x-xc‖2

(7)

LKLD(μ,δ)=DKL(qφ(z|x)‖pθ(z))=

DKL(N(z;μ,δ2)‖N(z;0,1)=

(8)

式中：LMSE(x,xc)為重構誤差優化函數，用于實現模型輸出近似重構模型輸入；LKLD(μ,σ)為正則化項，用于實現近似后驗概率qφ(z|x)逼近先驗概率pθ(z)；w為權重超參數；μ、δ分別為qφ(z|x)的平均值、方差；N為正態分布函數。

基于VAE的異常檢測方法屬于基于重構的方法，假設異常數據是無法有效進行重構的，相比于基于AE的異常檢測方法，基于VAE的異常檢測方法具有以下優點：

(1)相比于AE的確定性映射關系，VAE是一個隨機生成模型，其使用概率編碼器構建隱變量分布，在采樣過程中考慮隱空間的可變性。當正常數據和異常數據具有相同平均值時，VAE依然可以通過隱空間的方差進行判斷。

(2)VAE重構誤差不僅考慮輸入數據與重構數據之間的差異，同時考慮重構的可變性，可以根據隱變量方差選擇性地進行重構。當隱變量方差較大時，VAE能夠容忍輸入數據和重構數據之間的較大差異，而減小方差較小時的重構概率。

(3)VAE 根據先驗概率從隱空間進行多次采樣，計算平均重構誤差作為重構概率，比AE在異常檢測領域具有更高的魯棒性。

(9)

由式(9)可得異常檢測得分向量S={s(x1),s(x2),…，s(xn)}。對于正常數據，訓練好的模型能夠很好地對其重構，異常檢測得分較低；對于異常數據，模型無法正確對其重構，異常檢測得分較高。同時，可以將MVB網絡節點通信性能的健康指標HI定義為

(10)

(11)

式中：c0為尺度常數[18]；cpre為常數，根據專家經驗設定，一般取值范圍為[0.90,0.99]。

2.2 閾值設定

對于基于VAE的異常檢測方法，閾值選擇直接影響模型的檢測性能。KDE為一種估計隨機變量概率密度函數的非參數方法，無需假設所研究變量的分布函數形式。選擇MVB正常數據的異常檢測得分作為訓練數據，采用KDE估計正常數據異常檢測得分的概率密度函數，然后通過累積分布函數(Cumulative Distribution Function，CDF)得到小于等于設定閾值的所有數據的概率分布，并通過顯著性水平來平衡模型漏檢率和誤報率。相比于專家經驗的閾值設定方法，該方法更加客觀和合理。

設訓練集數據的異常檢測得分為向量S，通過KDE可以得到其概率密度函數為

(12)

式中：si為第i個訓練樣本的異常檢測得分；K(·)為核函數；h為帶寬。

徑向基核函數(Radial Basis Functions，RBF)是一種最常用的概率密度估計核函數，其估計訓練集的概率密度函數可表示為

(13)

帶寬h對KDE的性能影響很大，本文選擇文獻[19]提出的一種選擇準則：

(14)

采用KDE得到訓練集異常檢測得分的概率密度函數后，CDF可以表示為

(15)

然后，根據顯著性水平α∈[0,1]和CDF，可以設定閾值為sa，滿足F(sa)=1-α。在這種情況下，一個數據點的異常檢測得分s≥sa時，(1-α)·100%的概率為異常點。α值越大表示越低的漏檢率，表明模型將異常數據誤判為正常數據的概率越小；α值越小表示越低的誤報率，表明模型將正常數據誤判為異常數據的概率越小。因此，為了平衡模型的誤報率和漏檢率，在異常檢測應用領域中推薦設置α值為0.1。

2.3 檢測流程

基于VAE的異常檢測方法流程見圖3，主要包括以下部分：

Step1數據預處理。將MVB信號物理波形數據進行歸一化處理；然后，將數據集劃分為訓練集和測試集，其中訓練集只有正常數據，測試集包括正常數據和異常數據。

Step2離線訓練階段。將訓練集X輸入VAE進行訓練，得到正常數據異常檢測得分向量S∈Rn×d。

Step3閾值設定。由KDE得到訓練集異常檢測得分s的概率密度函數p(s)，根據得到的CDF和顯著性水平α來設定閾值st。

Step4在線測試階段。將測試集的一個樣本Xnew輸入訓練好的VAE模型，得到其異常檢測得分snew，如果snew≥st則判為異常樣本，反之為正常樣本。

Step5為了防止因噪聲干擾引起過多誤告警，在實際應用時可增加一個計數器，設定一個告警閾值f。當在設定的時間窗口內檢測到的網絡異常數大于f時，MVB網絡協議分析儀告警，提示需要對網絡進行檢修維護。

圖3 異常檢測方法流程

3 實驗驗證

在實驗室環境下搭建MVB網絡實驗平臺，包括列車邏輯控制單元LCU、UIC網關、Duagon D113網卡、自主研制的故障注入板卡、自制MVB通信板、自主研制的MVB協議分析儀等設備。

在實際應用中，MVB網絡線纜長度l和傳輸參數λ通常保持不變，由式(2)可知，MVB網絡故障的類型和嚴重程度主要由終端電阻Zt和特性阻抗Zc共同決定。在MVB網絡實驗平臺上，通過自制故障注入板卡進行故障模擬。故障注入示意見圖4。模擬故障類型包括：斷路故障(Fault1)、去掉一個終端電阻模擬的端接故障(Fault2)、并聯電阻模擬的傳輸介質故障(Fault3)、串聯電阻模擬的傳輸介質故障(Fault4)、短路故障(Fault5)。當發生短路或斷路故障時，特性阻抗Zc或終端電阻Zt為零，Γt=1或-1，MVB網絡發生信號全反射，發射波被完全反射，波形畸變嚴重。當發生端接、連接器老化以及傳輸線纜性能退化等故障時，0<Γt<1，MVB網絡發生部分反射，造成網絡波形質量下降，無法滿足協議規定的一致性要求。

圖4 故障注入示意

采用MVB協議分析儀進行信號物理波形數據采集，采樣頻率為100 MSa/s，主要數據描述見表1。由于短路故障(Fault5)導致信號物理波形嚴重畸變，無法準確識別數據發送節點，因此數據來源不區分具體節點。將5 000個正常數據構成訓練數據集，將從所有節點得到的5 000個正常數據和所有故障類型得到的5 000個故障數據構成測試數據集。

表1 主要數據描述 個

考慮MVB數據幀的起止分界符不因數據不同而改變，本文選取MVB信號物理波形數據前800個采樣點作為VAE模型輸入，VAE網絡結構為800-512-256-10-256-512-800，AE具有相同網絡結構。VAE和AE均采用Adam優化器，學習率在[0.001,0.01,0.05,0.1]中選擇，batch_size=100，epochs=500。輸出層神經元激活函數為Sigmoid，其他層神經元激活函數選擇ReLu。所有算法實驗運行于配置為Intel 5 2.8 GHz 雙核CPU、16 GB 內存的電腦，系統為Ubuntu V18.04.2，編程語言采用Python3.6。

3.1 實驗結果可視化

為了直觀展示VAE的異常檢測性能，采用t-分布鄰域嵌入算法(t-distributed stochastic neighbor embedding，t-SNE)將VAE隱變量降至二維。測試集二維隱變量分布見圖5。

圖5 測試集二維隱變量分布

由圖5可知，訓練好的VAE模型已經基本將正常數據和異常數據的隱變量進行了分離，更易被解碼器進行識別。

采用t-SNE將測試集的隱變量降至二維后，繪制每一維的KDE曲線二維隱變量KDE曲線見圖6。由圖6可看出，每一維度的正常數據的隱空間與異常數據的隱空間均只有很少的重疊，表明VAE具有很強的識別正常數據和異常數據的能力。

3.2 網絡狀態評估

不同網絡狀態下的異常檢測得分見圖7。網絡斷路、短路故障的故障現象較為明顯，信號物理波形嚴重畸變，異常檢測得分較高。網絡端接故障和傳輸介質故障的故障現象不明顯，信號物理波形畸變較輕微，其異常檢測得分與正常數據的較為接近。實驗結果表明，VAE已經很好地學習到正常數據的內部模式，定義的異常檢測得分能很好地量化異常數據偏離正常數據的程度。

圖6 二維隱變量KDE曲線

圖7 不同網絡狀態下的異常檢測得分

LCU節點不同狀態下發送信號物理波形的健康指標見圖8。正常狀態下的健康指標基本大于90，斷路故障和短路故障下的健康指標均低于35。結果表明，本文設計的健康指標能夠準確反映節點信號物理波形偏離正常的程度，可以作為MVB網絡狀態監視和狀態檢修的依據。

圖8 不同狀態下LCU節點健康指標

3.3 對比實驗

為了驗證本文提出方法的優越性，將其與幾種經典異常檢測方法進行對比實驗。局部異常因子算法(Local Outlier Factor，LOF)是一種基于密度的無監督異常檢測方法，鄰域數從[20,50,100]中選擇；孤立森林(Ioslation Forest，iForest )是一種基于集成學習的異常檢測方法，決策樹數量從[50,100,200]中選擇；一分類支持向量機(One-Class Support Vector Machine，OCSVM)是一種基于邊界的半監督學習異常檢測方法，核函數選擇RBF，參數v從[0.01,0.05,0.1,0.2]中選擇；基于角度的離群點檢測(Angle-based Outlier Detection，ABOD)通過估計一個點到另一個點的差分向量夾角的方差來進行異常檢測，無需任何參數選擇。

本文選擇AUC、精度、召回率和F1值4種常用異常檢測評價指標進行算法比較。不同方法的ROC曲線見圖9。

圖9 ROC曲線比較

由圖9可以看出，VAE的AUC值為0.992 6，略高于AE的0.988 7，高于其他傳統方法，表明VAE能夠更好地對MVB正常數據進行建模，并對多種不同異常數據具有更強的檢測能力。實驗結果對比見表2。VAE的F1值為0.945 3，高于AE的0.909 1，說明相比于AE的確定性映射關系，VAE是一種隨機生成模型，具有更強的異常檢測能力。VAE、AE的F1值均高于其他傳統方法，這主要是因為深度神經網絡在處理高維度數據和挖掘高可分性特征方面具有優勢。同時，傳統方法通常都有嚴格的數據假設，當訓練數據與數據假設不一致時，其異常檢測表現會受到較大影響。

在本文訓練集下，VAE、AE的訓練時間分別為429.15、347.18 s。由于VAE需要根據隱空間分布對隱變量進行多次采樣，并計算輸入測試數據與其平均重構數據之間的重構誤差，因此其訓練時間大于AE。在實際應用中可以通過提升計算性能來降低離線訓練時間。在本文測試集下，VAE、AE的在線測試時間分別為0.217、0.186 s，兩者相差不大，能夠滿足實際需要。

4 結論

(1)本文提出了一種基于VAE的MVB網絡異常檢測方法，無需人工特征提取，直接將MVB網絡信號物理波形數據作為模型輸入，選擇模型重構誤差作為異常檢測指標。

(2)采用半監督學習方式，訓練階段只需要正常數據，解決了實際應用中異常數據不足的問題。

(3)利用KDE方法，不依賴于異常數據和專家經驗，只需要正常數據就可以自動設置異常檢測閾值。

(4)設計了MVB網絡設備通信性能健康指標，為MVB網絡設備通信狀態監測提供了依據。

(5)在實驗室環境下搭建MVB網絡實驗平臺，模擬斷路、端接、短路等5種典型故障，通過對比實驗驗證了本文提出方法的優越性和有效性。

未來將重點探討本文方法對于電磁干擾故障、通信節點軟硬件故障等更多故障類型的適用性。