基于GRU-Attention的無監督多變量時間序列異常檢測

鄭育靖,何強*,張長倫,2,王恒友

(1.北京建筑大學 理學院,北京 100044;2.北京建筑大學 北京未來城市設計高精尖創新中心,北京 100044)

0 引言

時間序列數據異常檢測一直是學術界和工業界的熱點問題。對異常點的檢測以及對異常區域的定位可以在關鍵時刻提供重要信息,人們才能有針對性地干預異常事件,達到防止或消除異常的效果。時間序列數據異常檢測在工業、金融、軍事、醫療、保險、關鍵系統安全、機器人、多智能體、網絡安全、物聯網等領域[1-2]都受到人們的關注。

所謂時間序列的異常檢測,就是在時間序列數據中檢測出少部分具有離群、震蕩等異常情況的點。通常情況下異常占整體時間序列的比例很低,人們希望通過算法,學習到原始數據的分布或其他特征來實現對異常點的成功捕捉。單變量異常檢測是對僅存在一個特征的時間序列上展開的,由于只有一個維度的數據,可以應用很多傳統濾波算法,例如Spectral Residual算法[3]。多變量時間序列異常檢測指對具有多個特征的時序數據進行異常檢測,這類問題是在單變量時序異常檢測的基礎上擴展而來。多變量時序數據異常的出現往往是由多個特征共同決定,對每個特征單獨分析無法準確判斷異常。所以更合理的方法是對多個特征序列綜合分析,進而識別出多個變量共同作用下的異常。

目前,多元時序異常檢測在深度學習領域的研究取得了顯著的進展。例如,Malhotra 等人[4]提出基于LSTM的編碼器解碼器網絡,該網絡對“正常”時間序列的重構概率進行建模,利用重構誤差在多個傳感器中檢測異常。Hundman等人[5]利用長短時記憶網絡(LSTM)來檢測基于預測誤差的航天器多元時間序列。Ding等人[6]提出了一個基于分層時間記憶(Hierarchical Temporal Memory, HTM)和貝葉斯網絡(Bayesian Network, BN)的實時異常檢測算法RADM,提高了實時異常檢測的性能。然而,已提出的模型往往依賴循環神經網絡學習數據的性質或分布,沒有考慮特征間的關系和數據固有的周期性等性質,故本文提出了基于GRU-Attention的無監督算法,從時間維度和特征維度兩個角度充分利用數據信息進行異常檢測。

本文的主要貢獻如下:

(1)提出了一種新的無監督多變量時間序列異常檢測框架,模型在三個公共數據集上展示了優越性能。

(2)模型在預測部分利用GRU-skip彌補傳統預測模塊在長期記憶上的缺陷。

(3)模型通過案例的圖像分析部分,驗證貢獻大的特征對識別異常的重要性。

(4)本文模型對于異常點具有較好的可解釋性。

本文在第1節給時間序列異常檢測相關工作。在第2節介紹基于GRU-Attention的無監督檢測方法。在第3節從實驗上驗證本文所提方法的有效性。最后總結全文。

1 時間序列異常檢測

異常檢測在其他相關領域也被稱為新穎性檢測、離群值檢測或事件檢測[7]。時間序列異常檢測是其中一個深受人們關注的問題。根據在訓練過程中是否使用標簽可以分為監督,半監督以及無監督異常檢測。監督學習方法[8]需要標記數據進行模型訓練,只能識別已知的異常類型[9],因此應用范圍有限。時序異常檢測研究方法主要關注無監督問題。根據數據中特征的個數可以將問題分為單變量時序異常檢測和多變量時序異常檢測。單變量時序異常檢測[3,10-11]只考慮特征是否符合長期特性,當數據值與總體分布有較大差異時將其視為異常實例[12-17]。多變量問題在每個時間戳上有多個特征[18]。現有的多元時間序列異常檢測方法主要可以分為兩類:一、基于單變量的異常檢測[19]:通過單變量算法對每個特征進行單獨監控,最后將結果匯總給出最終判斷。二、直接進行異常檢測[5,20-23]:將多個特征同時考慮,從而進行算法分析。Zong等人[24]提出的利用深度自編碼器來生成低維的數據,表示每個輸入數據點的重構誤差,輸入到高斯混合模型中(GMM)來進行多變量異常檢測。LSTM-VAE算法[7]是基于編碼解碼器的LSTM網絡,對時間序列進行誤差重構,運用重構誤差對若干傳感器進行異常檢測。LSTM-NDT[5]是一種無參數閾值選取的無監督算法,該文目標是在沒有利用隨機信息的情況下,建立一個異常檢測系統來監測航天器發回的由相關領域專家標記好的數據。Gugulothu等人[25]通過端到端學習框架,將非時間維度約簡技術和周期性自動編碼器結合起來,用于時間序列建模。OmniAnomaly[26]提出了一種隨機遞歸神經網絡,通過隨機變量建模數據分布,從而捕獲多變量時序的正常模式。

本文針對無監督的多維時間序列異常檢測,對多條線數據直接進行預測,并考慮異常點的可解釋性。模型的可解釋性部分與OmniAnomaly模型相比,不僅考慮了預測與實值的均方根誤差,還考慮了特征的信息,對于數據信息的利用更全面可靠。

1 基于GRU-Attention的無監督檢測方法

1.1 問題闡述

1.2 網絡結構

本文模型分為兩部分:預測部分與誤差閾值選取部分。如圖1所示,多變量時間序列數據同時輸入到基于時間預測層和基于特征預測層中,所得結果拼接后進行線性變換即為預測結果。預測結果與真實值的均方根誤差輸入到誤差閾值選取部分,超過設定的誤差上限則認為該時刻出現異常。

圖1 網絡結構Fig.1 Overall structure

模型從兩個方面對多變量時序進行預測:

1) 基于時間預測層:為了更好地捕捉時間序列長期特征,本文運用Gated Recurrent Unit (GRU)進行時序預測。考慮到數據可能存在周期性以及GRU無法記憶長期歷史數據,運用GRU-skip來彌補這些缺陷,捕獲時序數據之間的更深層關系。相關內容將在1.3節解釋。

2) 基于特征預測層:在特征維度上運用注意力機制,得到每個變量對預測時刻的貢獻,從而幫助進行時序預測。相關內容將于1.4節講述。

1.3 基于時間預測層

GRU細胞內的結構經過精心設計,以更好地記憶歷史信息,緩解RNN的梯度消失問題,從而捕獲信息之間的長期關系。然而,GRU在實際應用中往往不能捕捉到長時間變量的相關性,仍舊存在梯度消失的問題。根據文獻[27],可以在GRU中增加一個跳躍組件來緩解這個問題,本文將這一結構稱為GRU-skip。此組件針對具有周期性這一特性的數據,具體來說就是在當前隱藏單元與相鄰周期內同一相位的隱藏單元增加跳轉鏈接,更新過程如公式(1)。

rt=σ(Wr·[ht-p,xt])

zt=σ(Wz·[ht-p,xt])

yts=σ(Wo·ht) 。

(1)

GRU-skip的輸入是CNN的輸出。其中p是一個超參數,表示當前隱藏單元與其向前跨越p個單元建立了鏈接。這個跳躍鏈接的建立對于周期不太明顯或是具有動態周期的數據集而言效果欠佳。

(2)

圖2 基于時間預測層Fig.2 Time-based prediction layer

1.4 基于特征預測層

對于多維時間序列而言,不同變量的重要性不同,即對于待測點的權重不同。特征維度的信息對于異常檢測十分關鍵,以往模型并沒有重視此維度的信息。文獻[28]將注意力機制運用到時間序列預測中得到了良好的效果。因此為了充分利用特征維度上每個變量的重要性這一信息,本文在特征維度上應用了注意力機制。

目前,注意力模型被廣泛應用于深度學習的各個領域,如圖像處理、自然語言處理、語音識別等。它的核心操作是從序列中學習每個元素的重要性,得到每個元素對應的權值參數,然后根據重要性合并元素,權重參數是由這個注意力系統分配給元素的系數。

如圖3所示，將原始數據Xt={xt-w,xt-w+1,…,xt-1,xt}∈Rw×m輸入到維持特征維度不變的GRU層中，得到輸出Gt={gt-w,gt-w+1,…,gt-1,gt}∈Rw×m，gt是t時刻GRU的輸出。之后，用k2個1×w的卷積核(w是滑動窗口大小)對Gt的行向量進行卷積操作，得到每個變量在時間維度上的深層特征，卷積結果用不同顏色正方形表示。所有卷積核掃過隱藏狀態的m個特征得到矩陣HC∈m×k2,此處激活函數仍選擇ReLu。卷積輸出指的是第j個卷積核掃過gt-w+1,gt-w+2,…,gt-1的第i個變量的結果，接下來通過得分函數計算每個變量的得分α，即每個變量對預測時刻的重要性。傳統的注意力機制的得分函數如下：

(3)

(4)

(5)

(6)

為減少參數提高效率，本文選擇(3)作為得分函數。得分函數：1×k2×Rk2×11,αi∈R1。αi越大意味著變量i對預測時刻t的貢獻越大，影響也越大。最后選擇sigmoid函數是因為在大多數情況下，softmax函數用于分類問題，輸出是互斥的。sigmoid函數的輸出并不互斥，意味著可以同時選擇多個變量。在這里，我們希望得到每個變量的重要性，而不僅僅是重要性最大的變量，故激活函數選擇sigmoid。

(7)

(8)

(9)

1.5 誤差閾值選取

預測模型的損失函數選擇均方根誤差(RMSE)：

(10)

將測試集輸入到訓練好的預測模型中，得到的測試集中每個觀測點的預測值與真實值的均方根誤差記為{l1,l2,…,lQ}∈Q，并運用極值理論(EVT)中的POT(Peaks over Threshold)模型對這個子序列選取閾值。

極值理論是尋找序列中極值規律的一種統計理論，一般認為極值在異常檢測問題中就是要尋找的異常點,它們在大多數情況下位于分布的尾部。極值理論的優勢在于無需對數據分布進行假設并且可以通過參數選取達到自動設置閾值的目的。其第二定理POT表明：大于某閾值的樣本服從廣義帕累托分布(GPD)。因此，通過POT去選取閾值th：

(11)

(12)

q是L>th的比例，Q是觀測值個數，Qth是L>th的個數。用POT做閾值選取，需要調參過程。

圖3 基于特征預測層Fig.3 Feature-based prediction layer

2 實驗與分析

2.1 數據集描述與數據預處理

為驗證該模型的有效性，在以下三個數據集上進行實驗:MSL (Mars Science Laboratory rover)、SMAP (Soil Moisture Active Passive satellite)和SMD (Server Machine Dataset)。其中，MSL和SMAP是美國NASA的兩個航天器公共數據集[29]。SMD數據集[26]來自一家大型互聯網公司長達五周的服務器數據，數據已發布在GitHub上。SMD分為數據大小相同的兩部分，第一部分是訓練集，第二部分是測試集。測試集上的異常數據已經由相關領域的專家進行了標記，其中，訓練集和測試集分別包含28組數據，需要分開訓練和測試，即訓練集中第1組數據訓練的模型，由測試集中第1組數據進行測試。最終SMD數據集中指標得分取的是28組數據的平均值。

MSL和SMAP數據集保持時間順序被分成訓練集(60%)、驗證集(20%)和測試集(20%)，SMD數據集是已經分好的28組訓練集與測試集中，分別訓練之后一一對應分別測試。

表1 數據集信息

表1給出了三個數據集的詳細信息，包括變量個數、訓練集大小、測試集大小以及測試集中異常樣本比例。對于多維時間序列而言不同變量的量綱不同，為了不讓這種數值大小差異影響模型預測和閾值選擇，運用最大最小歸一化方法對所有數據進行預處理：

(13)

表2 模型性能比較

2.2 評價指標與參數設置

與大多異常檢測問題相同，本文使用精度、召回率和F1-score來評估GRU-Attention和其他算法。計算方法如下：

Precision(P)=TP/(TP+FP)，

(14)

Recall(R)=TP/(TP+FN)，

(15)

(16)

其中，TP和FP分別表示真正例數和假正例數,FN指假負例數。上述三個指標的值越高，表明模型魯棒性越強。

模型參數設置：滑動窗口w都取100,使用Adam優化器訓練100次，學習率是0.1，GRU-skip中的p=20,兩個預測層中卷積核個數k1=k2=200，基于時間預測層中d=6,GRU隱藏層維度為300，閾值選取中q=0.001。

2.3 模型比較

本部分將展示與其他4種模型在三個數據集上的比較結果，比較的模型包括有LSTM-NDT[5]、LSTM-VAE[7]、DAGMM[24]、OmniAnomaly[26]。如表2所示，GRU-Attention具有良好的泛化能力,在兩個數據集上取得最高的F1值，在SMAP略低于最優結果。

LSTM-NDT在SMAP上有很高得分，但是在MSL和SMD數據集上表現較差，體現出該模型對不同場景十分敏感。而本文模型在不同數據集上表現穩定且性能優異。

短期信息對于多元時序也很重要，DAGMM的性能不夠理想的原因是沒考慮短期信息。模型GRU-Attention使用GRU以及GRU-skip來捕捉時序的短期和長期的依賴性，這些設計有助于獲得比DAGMM更好的魯棒性。本文還進行附加消融實驗(見2.4節)以比較不同部分設計的有效性。OmniAnomaly應用了隨機模型，將變量看成隨機變量進而學習其分布，在三個數據集上都有很高的性能體現。該模型局限性在于沒有利用特征維度上變量間的關系，GRU-Attention在特征維度應用注意力機制有效提高了模型性能，在三個數據集上得分都高于OmniAnomaly。

2.4 模塊有效性

為了更好說明預測部分每個組件設計的必要性和有效性，本文增加了四組對比試驗。分別在原始模型中的預測部分去掉基于時間預測部分、基于特征預測部分、基于時間預測部分的GRU和GRU-skip模塊再進行訓練，最后進行測試。并且對于去掉不同組件之后的模型，都將參數個數調整到與原始模型參數個數相近，從而避免模型復雜度對于各個模塊有效性分析的影響。

去掉時間預測層中的傳統預測部分GRU：模型記為w/o GRU。預測層的輸出直接為特征預測層與GRU-skip結果拼接后進行線性變換得到。

去掉時間預測層中的GRU-skip部分：模型記為w/o GRU-skip。預測層的輸出直接為特征預測層與GRU-skip結果拼接后進行線性變換得到。

從表3來看，不同模塊對于不同數據集的影響不同。對于MSL數據集而言，去掉特征預測層后F1值降低15%，GRU-skip對其影響次之。時間預測層對SMAP影響最大，其他部分的影響比較平均。在SMD上的數據顯示所有的組件對于異常檢測都很關鍵，F1值降低超過18%，尤其是GRU部分的缺失使得模型性能降低了近27%。通過這一部分的實驗，說明本文模型每個模塊的設計是必要且有效的。

2.5 異常點解釋性評估

多變量異常檢測比單變量異常檢測復雜的原因在于異常的出現可能是多個特征共同作用的結果，因此能否找到導致異常出現的特征至關重要。異常點解釋性評估指評估模型找到導致異常出現的關鍵特征的能力。SMD數據集的28個測試集標出了導致異常出現的特征，其他數據集均沒有相關信息，故本文僅在SMD數據集上做異常點解釋性的評估計算。將特征對觀測點xt的重要性定義為ASt：

表3 模塊有效性比較

圖4 案例分析Fig.4 Case study

ASt=losst+at，

(17)

losst=(yt-xt)2∈Rm，

(18)

其中，yt是預測模型對t時刻的預測值，xt是真實值，losst為預測值與真實值的均方根誤差，yt,i與xt,i(i=1,2,…,m)之間誤差越大意味著第i個特征出現異常的可能性越大，對xt的影響也越大。αt∈1×m是特征預測層中注意力機制得到的每個特征對預測點的貢獻，αt越大顯然對xt影響越大。因此，本文將這兩部分相加定義為特征對于待測點的重要性。

之后，將ASt中的值按重要性大小排序，將其對應的特征記錄在ASLt中，故ASLt中就是按照重要性大小排序的特征。將SMD數據集中提供的對xt起主要影響的特征記為GTt，由于尚無評估異常點解釋性的標準度量，故本文采用文獻[17]相同的評估方法：

(19)

此處，|GTt|是真實情況下造成t時刻出現異常的特征個數。Hit@P×|GTt|是指ASLt中的前P×|GTt|個特征與GTt中的特征重疊的個數，P取1和1.5。假設xt是異常點，模型得到的導致異常出現的特征降序為ASLt={3，6，15，21，10，18}，GTt={6，15}，則P=1時，HitRate@P=0.5；P=1.5時，HitRate@P=1。在SMD中的28個數據集分別進行上述過程后取平均值之后得到HitRate@1=0.740 8；HitRate@1.5=0.794 3。可見，多數導致異常出現的特征都能被準確找到。

2.6 案例研究

前文提到注意力機制旨在將多條線對當前預測結果的貢獻度進行量化，為了驗證注意力機制獲得得分的實際價值，在本節通過圖4展示正常和異常點部分特征的原始圖像進行分析。圖4(a)展示數據正常時的情況：抽取該時間點的8個特征，按照注意力機制得到的得分α降序畫出8個特征的原始數據曲線圖,綠線是正常點的對應時刻。這個正常點得分高的特征有特征23、6、14、24。具有較高貢獻度的特征23和特征6具有顯著的周期性，并且周期性沒有出現明顯的震蕩或者波動，貢獻度較低的特征同樣處于穩定狀態。說明正常情況下，注意力機制側重于關注周期性明顯的特征，這些特征對于預測更為重要，故給予較高權重。對于長期是定值或是正常情況下取值范圍波動較小的特征給予較少關注。

圖4(b)展示數據異常時的情況，紅線是異常點出現的時刻。可以看到貢獻度最高的特征23的周期性被打破，明顯出現異常。第二和第三條曲線代表的特征14和9都出現了明顯的尖峰，顯著的區別于之前正常情況下的平穩狀態。第四條曲線可以看到異常時刻特征24的取值發生下降，顯然不在正常時刻的取值范圍內。得分較低的后四個特征取值沒有出現異常。

通過以上的案例分析，得知注意力機制能夠有效得到每個特征對于待測點xt的權重(即每個特征的重要性)。因此，注意力機制中得到的每個特征的得分可以作為衡量特征對預測點重要性ASt值(2.5節提到)的一部分。

3 結論

本文提出了一種新的多變量時間序列異常檢測框架。通過利用多元時間序列的時間關系和特征關系聯合進行預測。模型在三個公共數據集上優于其他的4種模型。除此之外，該模型擁有良好的異常點解釋性，能夠有效幫助人們尋找異常事件的實際根源，定位到出現異常的特征。未來的工作可能來自于兩方面，第一，嘗試將預測模型與重構模型結合，有望進一步提升模型的精度；第二,目前的異常診斷是在相對簡單的場景下進行的，之后可以將模型來應用于復雜案例。