[发明专利]云网络多阶段异常检测方法及系统

权利要求书

1.一种云网络多阶段异常检测方法，其特征在于，包括以下步骤：

S1：使用基于动态窗口的时序预测方法覆盖云网络设备和实例进行异常检测，先将设备和实例的时序数据进行归档，接着基于云网络数据周期性特征，计算不同周期子时序间相似度，根据相似度设置窗口长度，并根据窗口长度使用极值算法提取时序的上、下包络；

S2：对提取到的上、下包络使用自适应的STL算法对历史数据和未来数据进行时序预测，并基于历史实际数据和历史预测数据的误差计算缩放系数，用缩放系数对上、下包络未来预测数据进行自适应调节，定时对比云网络设备和实例指标的实际值和缩放后的上、下包络预测数据生成数据异常；

S3：对S2生成的数据异常进行基于拓扑的异常检测，具体是根据异常所属的设备和实例构成的拓扑关系生成拓扑图，将具有拓扑关系的数据异常聚合，并使用图卷积神经网络进行嵌入学习获取数据异常对应的嵌入向量，再将嵌入向量输入到深度学习模型进行二分类，分类结果包括真异常和假异常，最后对真异常进行告警通知。

2.根据权利要求1所述的方法，其特征在于，将设备和实例的时序数据进行归档，具体为进行排序、去重、缺失值填充，每一条时序数据是t,v键值对组成的数组，其中t为时间戳，v为采集的设备和实例的流量或丢包数据。

3.根据权利要求1所述的方法，其特征在于，根据云网络数据周期性特征将长时序划分为子时序，并使用DTW算法计算子时序间的相似度，根据相似度设置窗口长度，并根据窗口长度使用极值算法提取时序的上、下包络，其中上包络使用窗口内的极大值，下包络使用窗口内的极小值。

4.根据权利要求1所述的方法，其特征在于，将历史实际数据和历史预测数据的平均绝对百分比误差作为缩放系数，对未来预测结果进行对应的缩放，实现预测自适应调节。

5.根据权利要求1所述的方法，其特征在于，获取云网络设备和实例间的拓扑关系，根据数据采集、数据加工的数据流图构建拓扑图，并用三元组h,r,t进行表示，其中h为头节点，t为尾节点，r为节点间关系。

6.根据权利要求1所述的方法，其特征在于，使用图卷积神经网络对设备和实例的拓扑图进行嵌入表示，具体是使用Node2Vec将拓扑图中的节点和边表示为相同维度的嵌入向量。

7.根据权利要求1所述的方法，其特征在于，将嵌入向量输入到深度学习模型进行二分类，具体是将嵌入向量输入到LSTM模型，模型结构为(Input,LSTM,LSTM,LSTM,Dense,Output)，其中Input层为全连接层，接收输入的嵌入向量，LSTM用于提取时序的长短期特征，Dense层进行维度转换，Output层为激活函数，用于实现二分类。

8.一种基于权利要求1-7中任一项所述方法实现的云网络多阶段异常检测系统，其特征在于，包括以下模块：

时序数据存储模块：将云网络设备和实例上传的流量和丢包指标存入离线表中；

监控引擎模块：输入设备和实例所属多条时序数据，结合对应的监控规则，实时计算时序数据是否满足监控规则条件，即是否数据异常，对满足条件的监控规则发出告警；

时序数据预测模块：每隔固定周期对云网络数据进行时序预测，获取预测结果，并将预测结果和实际结果输入监控引擎模块，用于生成数据异常；

时序数据异常检测模块：在实时计算引擎中对于数据异常进行基于拓扑的异常检测，生成高准确率的数据异常，发出告警；

告警响应模块：运维人员对于发出的告警事件进行故障响应、根因定义和故障处理，保障云网络设备和实例的稳定运行。

9.根据权利要求8所述的系统，其特征在于，所述时序数据存储模块中，所述离线表中数据是按照小时为分区，每个分区的数据独立存储、读取，存储前进行数据预处理，包括排序、去重、填充缺失值。