CN115168443B 一种基于gcn-lstm和注意力机制的异常检测方法及系统 （广东工业大学）

EP3593722A1,2020.01.15一种基于GCN-LSTM和注意力机制的异常检本发明公开了一种基于GCN-LSTM和注意力2S1.构建结合了GCN网络和LSTM网络的GCN-LSTM模型，并构建基于GCN-LSTM模型的序列重构模型；所述的序列重构模型为融入了注意力模型的基于GCN-LSTM模型的编码器-解通过解码器结合特征与加权向量生成重构序列；在所述步骤S3中，将待检测数据序列以时序排列并输入训练序列输入序列重构模型中的编码器-解码器模型中的编码器，通过编码器提取待检测数据在所述步骤S301中，将排列好的待检测数据序列输入序列重构模型中的编码器-解码待检测数据序列表示为待检测数据序列；A2.结合GCN网络的边集合E，通过第1个GCN-LSTM模型的GCN网络单元提序列中数据的空间特征，将得到的空间特征输其时间特征并得到的隐藏层状态hr,；将得到的隐藏层状态hr,输入下一个GCN-LSTM模型A3.结合上一个GCN-LSTM模型得到的隐藏层状态hr,和GCN网络的边集合E，通过第2个GCN-LSTM模型的GCN网络提取待检测数据序列中数据的空间特征，将得到的空间特征序列的隐藏层状态，将整个待检测数据序列的隐藏层状态整理为特征的序列;S302.将特征的序列输入注意力模型，通过注意力在所述的步骤S302中，将特征的序列输入注意力模型，通3B2.通过softmax函数对得到的各个时间的注意力权重系数进行归一化处理，得到时=S602.根据得到的测试数据集的每一个维度异常样本在概率分布的左尾部以及右尾S603.根据测试数据集中每一个时间快照的empiricalcopula观测值获得偏度系数S604.根据得到的测试数据集中每一个时间快照的empiricalcopula观测值和偏度C1.使用非参数方法估计d维测试数据集E=(e,i,ez,p…,eai)中左尾部的经验累积联合4。系数的empiricalcopula观测值的过D1.计算每个时间快照的左尾部的empiricalcopula观测值iu和右尾部的;;D2.根据测试数据集的d维偏度系数bu的值确定偏度系数的empiricalcopula观测值,若bu20，则wau-au反之wau=iau。第i个时间快照的偏度的尾部概率，i,为第j个i个时间快照的左尾部empiricalcopula观照的右尾部偏度系数的empiricalc快照对应的异常分数和异常阈值，并将每一个时间快照对应的异常分数与异常阈值对比，5若o(ei)>ornershou(ei)时，当前时间快7.一种基于GCN-LSTM和注意力机建模块用于构建结合了GCN网络和LSTM网络的GCN-LSTM模型，并构建基于GCN-LSTM模型的训练好的异常检测模型进行异常检测得到检测6分利用对时间序列上下文变量之间的变化和空间分布的变化是需要考虑的7归一化将每个样本的异常得分映射到[0,1]，计算接收者操作特征曲线下的面积作为评估序列重构模型；所述的序列重构模型为融入了注意力模型的基于GCN-LSTM模型的编码器-[0017]S3.将待检测数据序列以时序排提取待检测数据序列的特征，并通过注意力模型得到待检测数据序列的特征的加权向量，最后通过解码器结合特征与加权向量生成重构序列；[0019]S5.构建基于Copula函数的异常检测模[0020]S6.将测试数据集输入训练好的异常[0023]S302.将特征的序列输入注意力模型中的编码器-解码器模型中的编码器，通过编码器提取待检测数据序列的特征的过程具体[0027]A2.结合GCN网络的边集合E，通过第1个GCN-LS8提取其时间特征并得到xt,的隐藏层状态hr,S将得到的隐藏层状态hu,输入下一个GCN-LSTM个GCN-LSTM模型的GCN网络提取待检测数据序列中数据的空间征输入第2个GCN-LSTM模型的LSTM网络中，提取其时间特征并得到xto+1的隐藏层状态检测数据序列的隐藏层状态，将整个待检测数据序列的隐藏层状态整理为特征的序列型以分配权重的方式计算得到加权向量的过[0041]S601.面向测试数据集的每一个维[0042]S602.根据得到的测试数据集的每一个维度异常样本在概率分布的左尾部以及右尾部的经验累积联合分布，计算测试数据集中每一个时间快照的empiricalcopula观测[0043]S603.根据测试数据集中每一个时间快照的empiricalcopula观测值获得偏度系[0044]S604.根据得到的测试数据集中每一个时间快照的empiricalcopula观测值和偏9积联合分布以及右尾部的经验累积联合分布hte),具体为：copula观测值获得偏度系数的empirical[0053]D1.计算每个时间快照的左尾部的empiricalcopula观测值和右尾部的[0056]D2.根据测试数据集的d维偏度系数bd的值确定偏度系数的empiricalcopula观ps为第i个时间快照的偏度的尾部概率，为第j个i个时间快照的左尾部empirical个时间快照的右尾部偏度系数的empiricalcopu[0069]E3.将每一个时间快照对应的用于将测试数据集输入训练好的异常检测模型进行异常检测得到检[0075]本发明构建结合了GCN网络和LSTM网络的GCN-LSTM模型，并构建融入了注意力模型的基于GCN-LSTM模型的编码器-解码器模型，在编码器和解码器之间融入了注意力模型序列重构模型；所述的序列重构模型为融入了注意力模型的基于GCN-LSTM模型的编码器-[0088]S2.获取云计算服务器的指标数据训练集和[0089]S3.将待检测数据序列以时序排提取待检测数据序列的特征，并通过注意力模型得到待检测数据序列的特征的加权向量，最后通过解码器结合特征与加权向量生成重构序列；[0091]S5.构建基于Copula函数的异常检测模[0092]S6.将测试数据集输入训练好的异常[0096]本实施例中，所述的GCN-LSTM模型包括用于提取空间特征的GCN网络和用于提取[0100]S302.将特征的序列输入注意力模型列输入序列重构模型中的编码器-解码器模型中的编码器，通过编码器提取待检测数据序[0104]A2.结合GCN网络的边集合E，通过第1个GCN-LS提取其时间特征并得到的隐藏层状态huo:将得到的隐藏层状态h,输入下一个GCN-LSTM征输入第2个GCN-LSTM模型的LSTM网络中，提取其时间特征并得到的隐藏层状态检测数据序列的隐藏层状态，将整个待检测数据序列的隐藏层状态整理为特征的序列注意力模型以分配权重的方式计算得到加权向′it],E)[0119]其中g表示简化的解码器GCN-LSTM模型的函数，使得编码器中更多信息参与到解i个解码器的GCN-LSTM模型输出的隐藏层状态。按按照2:1的比例分为训练数据集和测试数据到LSTM网络当中学习时间特征，从而提升重构数据的准确性。本实施例设计出融合GCN和序列重构模型；所述的序列重构模型为融入了注意力模型的基于GCN-LSTM模型的编码器-[0126]S3.将待检测数据序列以时序排提取待检测数据序列的特征，并通过注意力模型得到待检测数据序列的特征的加权向量，最后通过解码器结合特征与加权向量生成重构序列；[0128]S5.构建基于Copula函数的异常检测模[0129]S6.将测试数据集输入训练好的异常[0132]S302.将特征的序列输入注意力模型重构模型中的编码器-解码器模型中的编码器，通过编码器提取待检测数据序列的特征的[0136]A2.结合GCN网络的边集合E，通过第1个GCN-LS提取其时间特征并得到的隐藏层状态hr,S将得到的隐藏层状态hn输入下一个GCN-LSTM列的隐藏层状态，将整个待检测数据序列的隐藏层状态整理为特征的序列注意力模型以分配权重的方式计算得到加权向[0147]S601.面向测试数据集的每一个维[0148]S602.根据得到的测试数据集的每一个维度异常样本在概率分布的左尾部以及右尾部的经验累积联合分布，计算测试数据集中每一个时间快照的empiricalcopula观测[0149]S603.根据测试数据集中每一个时间快照的empiricalcopula观测值获得偏度系[0150]S604.根据得到的测试数据集中每一个时间快照的empiricalcopula观测值和偏是哪些维度造成的提供一些可解释性，例如运维人员可以直接找到造成异常最多的维度，empiricalcopula观测值获得偏度系数的empirical[0161]D1.计算每个时间快照的左尾部的empiricalcopula观测值Dau和右尾部的[0164]D2.根据测试数据集的d维偏度系数bd的值确定偏度系数的empiricalcopula观ps为第i个时间快照的偏度的尾部概率，为第j个i个时间快照的左尾部empirical个时间快照的右尾部偏度系数的empiricalcopu[0177]E3.将每一个时间快照对应的MBD数据集对本基于GCN-LSTM和注意力机制的异常检测方法进行实验，该数据集来自运行度的LOF、COF方法，基于树的iForest方法，基于概率的ABOD方法以及基于深度学习的方法KNNCOFiForestCOPODAELSTM_COPODLOFABODGL2GL-Att-Co准确率0.680.840.890.870.880.890.740.780.93精确率0.870.880.880.860.900.880.900.890.910.680.840.890.870.880.890.740.770.93AUC0.580.600.630.640.660.700.710.710.74[0185]从实验结果可以得出，本发明提出的一种GCN-LSTM和注意力机制的异常检测方值，相比起其他方法提高了大约2040意味着本方法在面向异常的有效程度和检测[0186]在可解释性方面，本发明使用的异常检测方法可以看作是一个Copula函数的特[0187]本发明构建结合了GCN网络和LSTM网络的GCN-LSTM模