[发明专利]物联网多上下文场景的分布式异常检测方法

权利要求书

1.物联网多上下文场景的分布式异常检测方法，其特征在于，包括以下步骤：

S1、特征提取：为了应用iForest算法，首先需要提取异常特征；

S2、单点异常检测：通过孤立森林进行初步异常检测，得到单点异常检测的异常分数；

S3、多上下文异常检测：进行单点异常检测后，进行多上下文异常检测，得到多上下文异常分数。

2.根据权利要求1所述的物联网多上下文场景的分布式异常检测方法，其特征在于，在所述步骤S1中，所述特征提取的具体步骤为：

S101、我们采用了几种经典的时间序列预测模型作为特征提取工具，即差分(Difference)、移动平均(MA)、加权MA(WMA)、指数加权MA(EWMA)、自回归积分MA(ARIMA)和Holt-Winters。

3.根据权利要求2所述的物联网多上下文场景的分布式异常检测方法，其特征在于，在所述步骤S101中，所述几种特征中：

移动平均模型(MA)关注的是自回归模型中的误差项的累加，移动平均法能有效地消除预测中的随机波动。MA是某变数之前n个数值的未作加权算术平均。例如，收市价的10日简单移动平均指之前10日收市价的平均数。若设收市价为P1至Pn，则方程式为：

加权移动平均(英语：weighted moving average，WMA)指计算平均值时将个别数据乘以不同数值，在技术分析中，n日WMA的最近期一个数值乘以n、次近的乘以n-1，如此类推，一直到0：

指数移动平均(英语：exponential moving average，EMA或EXMA)是以指数式递减加权的移动平均。各数值的加权影响力随时间而指数式递减，越近期的数据加权影响力越重，但较旧的数据也给予一定的加权值。

4.根据权利要求3所述的物联网多上下文场景的分布式异常检测方法，其特征在于，在所述步骤S2中，所述单点异常检测(孤立森林)的步骤包括：

S201、从训练数据中随机选取Ψ样本点作为子样本，放入树的根节点中。

S202、随机指定一个维度，在当前节点数据中随机生成一个切割点p——切割点在当前节点数据中指定维度的最大值和最小值之间生成。

S203、从这个切割点生成一个超平面,然后当前节点的数据空间分为两个子空间:指定的尺寸小于p中的数据作为当前节点的左孩子,大于或等于p的数据作为当前节点的右孩子。

S204、在子节点中重复步骤2和步骤3，并不断构造新的子节点，直到子节点中只有一个数据(不能再被切割)或子节点达到限制高度。

S205、对特征进行预测，预测所述特征的步骤为：将提取的特征沿所述树上的条件分支往下走，到达叶子节点后，记录经过的路径长度h(x)；

S206、根据所述路径长度h(x)，计算每条所述特征的单点异常分数。

5.根据权利要求4所述的物联网多上下文场景的分布式异常检测方法，其特征在于，在所述步骤S2中，所述单点异常检测异常分数的计算公式为：

其中，c(z-p)为树的平均路径长度，z-p是样本数，E(h(x))为样本x在一批孤立树中的路径长度的期望。

6.根据权利要求5所述的物联网多上下文场景的分布式异常检测方法，其特征在于，所述树的平均路径长度的计算公式为:

7.根据权利要求1所述的物联网多上下文场景的分布式异常检测方法，其特征在于，在所述步骤S3中，所述本地异常分数判断公式如下：

其中，是传感器i的本地异常分数，若所述本地异常分数为1，则检测结果异常，即认为当前传感器为异常状态，若所述本地异常分数为0，则检测结果正常，即认为当前传感器为正常状态。