动态特征集管理的制作方法

本申请要求2014年8月14日提交的题为“Dynamic Feature Set Management(动态特征集管理)”的美国非临时申请号14/459,933的优先权，所述申请通过引用结合在此。

技术领域

本申请涉及数据自动化领域，并且更具体地涉及一种用于动态特征集管理的系统和方法。

背景技术：

在某些已知或历史系统中，数据收集由将多个定制的传感器有目的地放置在已知位置处、以及配置控制系统来从传感器中收集数据组成。这些可以被用作例如开环或闭环控制系统的输入。众所周知的示例包括放置在有空调房间中的恒温器。所述恒温器测量房间中的温度，并且打开或关闭空调以便补偿当前温度。

在某些示例中，使用定制的传感器需要开发和部署定制软件。随着传感器数量的增加，软件的复杂度也增加。

附图说明

当与附图一起阅读时，将从以下详细描述中更好地理解本公开。强调的是，根据行业中的标准实践，不同特征未按比例绘制，并且仅用于说明性目的。实际上，为了讨论清楚，不同特征的尺寸可以被任意放大或减小。

图1是根据本说明书的一个或多个示例的被监测网络的网络图。

图2A是根据本说明书的一个或多个示例的数据源的框图。

图2B是根据本说明书的一个或多个示例的数据聚合器的框图。

图3是根据本说明书的一个或多个示例的聚合引擎的框图。

图4是根据本说明书的一个或多个示例的专家系统的框图。

图5是根据本说明书的一个或多个示例的特征合并和拆分的框图。

图6是根据本说明书的一个或多个示例的特征类的图解视图。

图7是根据本说明书的一个或多个示例的特征类的图解视图。

图8是根据本说明书的一个或多个示例的方法的流程图。

具体实施方式

本公开的示例实施例

以下公开内容提供了用于实施本公开的不同特征的许多不同实施例或示例。以下描述了部件和安排的具体示例以便简化本公开。当然，这些仅是示例并且并不旨在是限制性的。另外，本公开在不同示例中可以重复参考标号和/或字母。这种重复是出于简明性和清楚性的目的，并且本身并不决定所讨论的不同实施例和/或配置之间的关系。

不同实施例可以具有不同优点，并且不必需要任何实施例的特定优点。

物联网(IoT)的发展引起数百万乃至数十亿设备上网。这些设备可以生成大量不同类型的数据。由于设备的数量和类型不断增长，并且由于数据的量和种类也变得大且笨拙，因此可能遇到与这些不同设备的操作相关联的数据伪像。应对这样的环境可能需要获得不同类型的数据伪像并对其进行语义映射，并且需要基于所述映射数据进行情景分析和响应生成。

说明性示例是IoT环境中的安全性。一种安全性相关活动是实时检测异常现象以及相关联的硬件和/或软件故障和攻击，所述安全性相关活动可以通过使用先进的数值分析和大数据IoT环境完成。为了检测新类型的攻击和异常现象，并且为了有效阻止集中攻击(由短时间跨度和非常新的目标来表征)，系统可能需要能够迅速地消耗新输入(本文中指“特征”)。

大量且各种各样的特征使得手动地配置所有特征和输出并且手动地合并相似数据类型越来越不切实际。进一步地，可能需要对新特征进行自动评估、语义映射和智能应用。可能需要合并有用特征(包括重叠特征)，同时可能需要拆分或丢弃无效或错误特征。

在某些已知系统中，多特征问题的一种解决方案可能采用安全信息和事件管理系统(SIEM)的形式，所述解决方案使用在所述系统的数据采集层部件中执行的每数据源静态语义映射器来标准化并规范化特征。然而，在本说明书中应认识到，在某些实施例中，这种方法可能存在一些缺点，如比较昂贵且缓慢。在一些情况下，SIEM可能需要对多个产品做出相关改变。此外，随着数据表示标准的改变，通常需要对传统数据进行追溯修改。这还可能导致扩展的特征集以及增加的计算成本(每个特征通常是机器学习算法中的额外维度，有可能导致所需计算资源的显著增加)。对流体特征集的有效管理(如语义映射、创建、合并、传递、存储和删除)可能是互联网规模数据管理中的重大挑战。

根据本说明书的示例系统和方法，提供了用于提供如以下有用特征的能力：

自动评估新特征；

合并完全相同、相关或重叠特征，如通过语义映射；

相比于拆分的特征，评估合并特征的系统效率；以及

拆分错误合并的特征。

为此，提供了一种网络，如互联网或本地网。多个数据源被连接至网络，并且可以包括如传感器、计算机、换能器、数据聚合器以及其他类似类型的设备等不同设备。即使在单个设备类中，也可以提供各种各样的输出。例如，在传感器类中，仅通过非限制性示例的方式，可能存在温度传感器、湿度传感器、污染传感器、水分传感器、运动传感器、音频传感器、电磁干扰传感器、红外传感器以及振动传感器。

所述多个数据源中的每个数据源可以来自不同供应商，并且可以采用不同格式提供输出。每个数据源还可以通过不同类型的连接而连接至网络，并且可以具有不同目的。因此，随着数据源的数量大大增加，聚合数据源并提供对现实世界现象的有用简况、同时使用户或系统能够采用适当行动来响应那些现实世界现象变得越来越难。

仅采用一个示例，考虑服务器群的情况。通过非限制性示例的方式，服务器群自身可以托管许多不同类型的服务器，如机架式服务器、刀片式服务器、独立服务器、专用存储设备，并且每个服务器都具有若干种操作系统中的一种操作系统，如Microsoft Windows、企业UNIX、Linux或实时操作系统。

每个服务器都可以生成可用于网络的多个输出作为特征。例如，通过非限制性示例的方式，每个服务器都可以具有测量硬盘速度、CPU温度、防病毒状态、磁盘使用率、存储器使用率、外围设备连接以及正常运行时间的内部传感器。

除了由服务器自身所提供的输出外，许多其他设备可以在服务器群内可操作。例如，可以提供具有移动感应图像捕获算法的许多安全摄像机，这些移动感应图像捕获算法可操作用于当人员或物体在服务器群房间内移动时进行检测，并且用于捕获图像。然后，所述摄像机可以连同所述图像一起提供警告，指示服务器群中可能存在未授权人员。通过非限制性示例的方式，其他重要因素可能是HVAC(加热、通风以及空调)状态、环境温度、外部温度、电源状态和波动、环境条件(如辐射和污染)、入侵检测警告状态、其他环境传感器(如辐射传感器、污染传感器、湿度传感器、臭氧探测器以及烟雾探测器)的状态。还可能存在网络健康指示器、关于操作和访问服务器的多个用户的数据、关于外围设备的状态的数据以及具有各种用处的其他度量。

仅在一种环境中处理、聚合并有效地应用对数据的这种大量且不同的收集对人类操作员来说可能变得过于难管理。因此，有利的是使自动聚合和专家系统可用于智能地收集和聚合输入，并且智能地将它们应用于有源系统。

在一个示例中，存在连接至网络的数据聚合器，通过非限制性示例的方式，所述数据聚合器可以包括鉴别器、合并器、拆分器、转换器和评估器。所述数据聚合器可以被配置成用于接收大量特征，包括在一些实施例中描述每个特征的元数据。在一些情况下，元数据可以采用符合标准的格式(如可扩展标记语言(XML))来提供。例如，XML特征描述可以如下：

″featurename＝featurel″，″id＝1″，″previousid＝NUL″，

″type＝unsigned32″，″sourceproductgroup＝SIEM″，

″sourceversion＝9.3″，″min＝0″，″max＝10000″，

″keywords＝SIEM，featurel″，″attributel＝NUL″，

″featurecreated＝2014-01-01T13：10：02.47″，

″lastmerged＝2014-01-15T15：15：05.06″

在另一个特征的示例中，描述可以是：

″featurename＝detectionname″，″id＝2″，″previousid＝NUL″，

″type＝string″，″sourceproductgroup＝virusscan″，

″sourceversion＝8.8″，

″keywords＝malware，irus，detection，name″

″featurecreated＝2014-01-01T13：10：02.05″，

″lastmerged＝2014-01-15T15：15：05.06″

数据聚合器可以可操作用于智能地扫描元数据，并且做出关于应当合并哪些特征以及出于反馈目的应当向某些控制系统提供哪些特征的明智决策。例如，对人类用户来说可能明显的是，以上描述的两个特征是不同的并且不应当被合并。

尽管显而易见的是本说明书公开的系统和方法广泛的应用于各种各样的系统，但是可以通过说明和示例的方式有效地考虑服务器群的加热、通风以及空调(HVAC)系统。示例HVAC可以受益于遍及服务器群放置的多个温度传感器。

然而，其他温度输入可以从其他设备获得，并且如果其他温度输入能够有效地与来自HVAC的定制温度传感器的数据相关或聚合，那么它们可以为HVAC控制器提供更精确的反馈。因此，可以提供数据聚合器来聚合可组合特征。然而，可组合特征不可能总是采用兼容格式。例如，HVAC的定制温度传感器可以使用XML字段“featurename＝temp_hvac”来标识温度特征，而独立温度传感器可以使用如“output_type＝temperature等XML字段。对人类用户来说可能明显的是，这些特征是合并器的良好候选项。

本说明书的聚合器可以被配置成用于识别“featurename”和“output_type”两者均标识所讨论的特征，并且“temp_hvac”和“temperature”两者均标识温度测量。聚合器还可以得出其他有用结论。例如，例如，在意大利的温度传感器对基于加利福尼亚州圣何塞市的服务器群中操作的HVAC具有很少或者没有有用数据。实际上，将意大利数据与圣何塞数据进行聚合可能导致降低的运行效率。

因此，聚合器可以被配置有处理这些状况的智能等级。首先，聚合器可以从其他元数据中推断位置，如找到“sensor_location”字段(如果可用)，或者确定传感器的IP地址可能将其放置在服务器群中或附近。聚合器还可以接收反馈来确定合并的有效性。例如，在不经意地将意大利数据与圣何塞数据进行合并后，HVAC可能开始更加努力地工作以改变圣何塞服务器群中的温度，但是对聚合数据集的效果却差强人意。圣何塞传感器还可以显示与彼此的强跟踪，而意大利传感器可能对圣何塞HVAC的操作极不敏感。因此，聚合器可以确定具有意大利传感器的合并器没有帮助，并且可以拆分所述数据集。

在另一个示例中，数据聚合器可以确定CPU温度传感器应当与HVAC传感器相聚合。这可能使HVAC控制器相信在服务器房间中存在很大的温度瞬变，因为通常CPU温度将比周围环境温度高很多。因此，HVAC可以急剧地改变其冷却输出以试图补偿错误的温度瞬变。CPU温度传感器可以在某种程度上响应此增加的输出，像它们在服务器群中一样，但是所述响应可能是相对非弹性的，从而，相比于为所述结果占用的能量，在聚合特征中提供不满意的响应。因此，可以拆分所述特征，增加HVAC的效率。

图1是根据本说明书的一个或多个示例的被监测网络100的网络层次图。被监测网络100包括连接至网络170的多个数据源120。同样连接至网络170的是数据聚合器110，所述数据聚合器通信地耦合至控制受控系统140的专家系统130。受控系统140向数据聚合器110提供反馈142。

在一个或多个示例中，公开了数据源120-1至120-N。这是为了说明数据源120的数量可能很大，并且可能随着新数据源120添加到被监测网络100或从被监测网络100中移除而不断波动。如以上所描述的，通过大量数据源120以及通过被监测网络100的动态特性来管理数据源120可能都比较复杂。因此，在某些实施例中，对人类管理员来说，监测并管理各个数据源120中的所有数据源可能是不切实际的。此外，数据源120不可能静态地位于网络170上。例如，许多汽车运载数据收集设备，并且随着它们在移动网络上从节点跳到节点，可以向网络170提供数据。因此，提前预测数据将从哪个方向来或数据的特性可能是什么可能是不现实的。

通过进一步复杂化，多个数据源120可以提供类似或完全相同类型但格式稍微不同的数据特征。在一个示例中，每个数据源120被配置成用于提供数据流，伴随有标识数据类型和数据源的元数据包。然而，可能不存在针对这些元数据包的全球实施或可实施标准。在一个示例中，数据源120可以至少在递送格式上针对元数据进行标准化，如XML或类似的符合标准的数据格式。在这种情况下，元数据可以具有许多可识别字段名，从中可以推断出特征类型和源。还应注意的是，在一些情况下，数据源120可以提供属于兼容类型但采用不同格式的特征。此种情况的示例是由一个数据源120-1以华氏度提供的温度特征，以及由第二个数据源120-2以摄氏度提供的第二特性。以下任何情况都可能遭遇类似问题：两个或更多个数据源传送类似的特征，一个数据源以公制单位提供特征，并且另一个数据源以英制单位或美国常用单位提供特征。

来自不同源并且采用不同格式的不同类型的此较大特征集合经由网络170传送至数据聚合器110。数据聚合器110收集所述许多特征，并且尝试根据有用的分类法对这些特征进行分类。在一种情况下，数据聚合器110定义了具有任意数量分类等级的分类法，如类、子类、类属以及种类。例如，环境数据类可以包括温度子类，所述子类可以按照位置或源包括进一步的温度种类。在一个示例中，将所有环境特征分类为环境特征，将温度特征分类为温度特征，并且可以通过数据聚合器110将普通种类的温度特征聚合为可以有效地组合的种类。然后，数据聚合器110可以向专家系统130提供一个或多个输出。

专家系统130可以包括可操作用于收集特征并控制一个或多个受控系统140的一个或多个设备。专家系统130可以基于查找表、计算机模型、算法或机器学习技术做出决策。由数据聚合器110提供的特征可以将键盘输入提供到专家系统130必须做出的决策中。

受控系统140可以包括许多现实世界系统，如空调系统、环境系统、安全系统、交通系统、基于空间的系统、以及经受自动控制或数据驱动操作的任何其他系统。在某些实施例中，受控系统140可以包括用于测量受控系统140对来自专家系统130的输入的响应的设施。然后，受控系统140可以向数据聚合器110提供反馈142。这可能允许数据聚合器110测量组合或交叉关联某些特征的效果。在数据聚合器110确定组合或交叉关联某些特征对受控系统140产生最小影响或在某些情况下甚至对受控系统140产生负面影响的情况下，数据聚合器110可以选择拆分没有被发现是有用组合的某些特征。

图2A是根据本说明书的一个或多个示例的数据源120的框图。在各个实施例中，通过非限制性示例的方式，“数据源”可以是或者包括：传感器、检测器、外围设备、监测设备、换能器、智能控制系统、监测系统、卫星或基于空间的系统、计算机、嵌入式计算机、嵌入式控制器、嵌入式传感器、个人数字助理(PDA)、膝上型计算机、蜂窝电话、IP电话、智能电话、平板计算机、可转换平板计算机、手持式计算器、或用于处理和传递数据的任何其他电子、微电子或微机电设备。根据本说明书的数据源的定义特性是其根据本说明书的系统和方法提供了一个或多个特征。

数据源120包括连接至存储器220的处理器210，所述存储器具有存储在其中的用于提供操作系统222和数据收集引擎224的可执行指令。数据源120的其他部件包括存储设备250、网络接口280和外围设备接口240。

在示例中，处理器210经由存储器总线270-3通信地耦合至存储器220，所述存储器总线可以是例如直接存储器访问(DMA)总线。处理器210可以经由系统总线270-1通信地耦合至其他设备。如贯穿本说明书所使用的，“总线”包括任何有线或无线互连线、网络、连接、束、单条总线、多条总线、交叉式网络、单级网络、多级网络或可操作用于在计算设备的各个部分之间或计算设备之间承载数据、信号或功率的其他传导介质。应当注意的是，这些使用仅仅通过非限制性示例的方式公开，并且一些实施例可以省略前述总线中的一种或多种总线，而其他实施例可以采用附加或不同总线。

在各个示例中，“处理器”可以包括硬件、软件或提供可编程逻辑的固件的任何组合，通过非限制性示例的方式，包括微处理器、数字信号处理器、现场可编程门阵列、可编程逻辑阵列、专用集成电路或虚拟机处理器。

处理器210可以经由存储器总线270-3连接至DMA配置中的存储器220。为了简化本公开，存储器220被公开为单个逻辑块，但是在物理实施例中可以包括任何合适的易失性或非易失性存储器技术(或多项技术)的一个或多个块，包括例如DDR RAM、SRAM、DRAM、缓存、L1或L2存储器、片上存储器、寄存器、闪存、ROM、光介质、虚拟存储器区域、磁或磁带存储器或类似的存储设备。在某些实施例中，存储器220可以包括相对低延迟易失性主存储器，而存储设备250可以包括相对较高延迟非易失性存储器。然而，存储器220和存储设备250不需要是物理上独立的设备，并且在一些示例中，可能仅表示功能的逻辑分离。还应注意的是，尽管通过非限制性示例的方式公开了DMA，但是DMA不是与本说明书相一致的唯一协议，并且其他存储器架构是可用的。

存储设备250可以是任何种类的存储器220，或者可以是分离的设备，如硬盘驱动器、固态驱动器、外部存储设备、独立磁盘冗余阵列(RAID)、网络附接存储设备、光学存储设备、磁带驱动器、备份系统、云存储设备、或前述任何组合。存储设备250可以是或者其中可以包括一个或多个数据库或者存储在其他配置中的数据，并且可以包括操作软件的存储副本，如操作系统和操作系统222的副本以及数据收集引擎224的软件部分。许多其他配置也是可能的，并且旨在被涵盖在本说明书的广义范围内。

可以提供网络接口280来将数据源120与有线或无线网络通信地耦合。如贯穿本说明书所使用的“网络”可以包括可操作用于在计算设备内或在计算设备之间交换数据或信息的任何通信平台，通过非限制性示例的方式包括自组织本地网、提供具有电交互能力的通信设备的互联网架构、简易老式电话系统(POTS)(计算设备可以使用所述简易老式电话系统来执行交易，在所述交易中它们可以由人类操作员来帮助或在所述交易中它们可以自动地将数据键入到电话或其他合适的电子设备中)、提供通信接口或在系统中的任何两个节点之间进行交换的任何分组数据网络(PDN)、或任何局域网(LAN)、城域网(MAN)、广域网(WAN)、无线局域网(WLAN)、虚拟专用网(VPN)、内联网、本地数据总线或促进网络或电话环境中的通信的任何其他适当的架构或系统。

在一个示例中，数据收集引擎224是执行根据本说明书的方法的工具或程序。在各个实施例中，数据收集引擎224可以在硬件、软件、固件或其一些组合中被具体化。例如，在一些情况下，数据收集引擎224可以包括被设计成用于执行方法的专用集成电路，并且还可以包括可操作用于指示处理器执行所述方法的软件指令。可以将所述软件提供为“守护进程”程序，包括任何程序或一系列可执行指令，无论在硬件、软件、固件或其任何组合中实施与否，那些可执行指令都作为后台进程、终止并驻留程序、服务、系统扩展、控制面板、启动程序、BIOS子程序、或没有直接用户交互操作的任何类似程序的运行。还应注意的是，数据收集引擎224仅通过非限制性示例的方式被提供，并且包括交互式或用户模式软件的其他硬件和软件还可以结合、除了或替代数据收集引擎224而被提供，以便执行根据本说明书的方法。

在一个示例中，数据收集引擎224包括存储在可操作用于执行图8的方法800、或其软件部分、或根据本说明书的类似方法的非瞬态介质上的可执行指令。在适当时间上(如根据启动数据源120或根据来自操作系统或用户的命令)，处理器210可以从存储设备250中检索数据收集引擎224(或其软件部分)的副本并将其加载到存储器220中。然后，处理器210可以迭代地执行数据收集引擎224的指令。

外围设备接口240包括连接至数据源120但不一定是数据源120的核心架构的一部分的任何辅助设备。外围设备可以可操作用于向数据源120提供扩展功能，并且可以或可以不完全依赖于数据源120。在一些情况下，外围设备可以是其自身的计算设备。通过非限制性示例的方式，外围设备可以包括输入和输出设备，如显示器、终端、打印机、键盘、鼠标、调制解调器、网络控制器、传感器、换能器、致动器、控制器、数据采集总线、照相机、麦克风、扬声器、或外部存储设备。在示例中，外围设备包括一个或多个传感器290，所述一个或多个传感器可以被配置并且可操作用于收集关于现实世界现象的数据并且将数据处理成数字形式。

在一个操作性示例中，数据收集引擎224经由外围设备接口240从传感器290处收集数据。然后，将所收集的数据存储在存储设备250中和/或将其发送通过网络接口280。

图2B是根据本说明书的一个或多个示例的数据聚合器110的框图。在示例中，数据聚合器110是计算设备。如贯穿本说明书所使用的，通过非限制性示例的方式，“计算设备”可以是或者包括：计算机、嵌入式计算机、嵌入式控制器、嵌入式传感器、个人数字助理(PDA)、膝上型计算机、蜂窝电话、IP电话、智能电话、平板计算机、可转换平板计算机、手持式计算器、或用于处理和传递数据的任何其他电子、微电子或微机电设备。还参考图2A的相关联描述，其中，示例和定义还可以应用于图2B(在它们相关的程度上)。

数据聚合器110包括连接至存储器320的处理器310，所述存储器具有存储在其中的用于提供操作系统322和聚合引擎324的可执行指令。数据聚合器110的其他部件包括存储设备350、网络接口380和外围设备接口340。

在示例中，处理器310经由存储器总线370-3通信地耦合至存储器320，所述存储器总线可以是例如直接存储器访问(DMA)总线。处理器310可以经由系统总线370-1通信地耦合至其他设备。

处理器310可以经由存储器总线370-3连接至DMA配置中的存储器320。为了简化本公开，存储器320被公开为单个逻辑块，但是在物理实施例中可以包括任何合适的易失性或非易失性存储器技术(或多项技术)的一个或多个块。

存储设备350可以是任何种类的存储器320，或者可以是分离的设备。存储设备350可以是或其中可以包括一个或多个数据库或存储在其他配置中的数据，并且可以包括操作软件的存储副本，如操作系统和操作系统322的副本以及聚合引擎324的软件部分。许多其他配置也是可能的，并且旨在被涵盖在本说明书的广义范围内。

可以提供网络接口380来将数据聚合器110与有线或无线网络通信地耦合。

在一个示例中，聚合引擎324是执行根据本说明书的方法的工具或程序。在各个实施例中，聚合引擎324可以是硬件、软件、固件或其一些组合。例如，在一些情况下，聚合引擎324可以包括被设计成用于执行方法的专用集成电路，并且还可以包括可操作用于指示处理器执行所述方法的软件指令。还应当注意的是，聚合引擎324仅通过非限制性示例的方式被提供，并且包括交互式或用户模式软件的其他硬件和软件还可以结合、除了或替代聚合引擎324而被提供，以便执行根据本说明书的方法。

在一个示例中，聚合引擎324包括存储在可操作用于执行图8的方法800、或其软件部分、或根据本说明书的类似方法的非瞬态介质上的可执行指令。在适当时间上(如根据启动数据聚合器110或根据来自操作系统或用户的命令)，处理器310可以从存储设备350中检索聚合引擎324(或其软件部分)的副本并将其加载到存储器320中。然后，处理器310可以迭代的执行聚合引擎324的指令。

图3是根据本说明书的一个或多个示例的聚合引擎324的框图。应当注意的是，如以上描述的，聚合引擎324可以包括硬件、软件、固件或可操作用于提供聚合引擎324的功能的其他控制系统的任何组合。因此，本说明书的意图是，术语“聚合引擎”涵盖硬件、软件、固件或被配置并且可操作用于执行如在此描述的聚合引擎324的方法的其他结构。

在一些情况下，聚合引擎324可以是离散且分离的单元，如片上系统、单板计算机、专用集成电路、独立计算机设备或类似单元。在其他情况下，聚合引擎324的功能可以遍布计算设备或网络分布。因此，例如，可以由数据库服务器提供某种数据，同时可以由一个或多个串联操作的处理器提供一定的智能。因此，应当理解的是，聚合引擎324不一定需要是与被监测网络100的其他部件分离的单个单元。本领域的技术人员将理解到许多其他配置是可能的。

图3通过示例的方式公开了提供给聚合引擎324的新特征331。这是仅通过示例的方式公开的，并且在一些情况下，可以将多个新特征331作为单元或者分离地提供给聚合引擎324。

在本示例中，将新特征331提供给特征数据库330。特征数据库330通信地耦合至鉴别器332，所述鉴别器通信地耦合至合并器334。可以将合并器334通信地耦合至转换器339和专家系统130。还可以将转换器339通信地耦合至专家系统130。专家系统130控制受控系统140，所述受控系统向评估器338提供反馈。评估器338提供拆分器336，所述拆分器也通信地耦合至专家系统130以便提供拆分特征。应当注意的是，为了说明性目的，这种安排仅通过示例的方式提供，并且实际信号路径和操作细节可能与图3中公开的安排显著不同。

在示例中，鉴别器332可操作用于接收来自特征数据库330的一个或多个特征。来自特征数据库330的特征可以包括新特征331。然后，鉴别器332可以根据在此所公开的分类法和方法来对新特征331进行分类。例如，鉴别器332可以确定被以不同方式标记(如在“featurename”字段中具有不同值，或具有多个不同值，一个在“featurename”字段中并且一个在“name”字段中)的两个特征是合并器的候选项。动态特征管理的有效性明显地取决于由鉴别器332所提供的鉴别质量。为了帮助鉴别器332做出正确的决策，可以提供特征的静态元数据描述。例如：

特征的元语言(例如，类型、标签、名称、描述、标记和关键词)的属性。任何组合都可以提供特征语义相关性的有用提示和/或针对可适用分析活动的线索。例如，一个特征中的“用户名(user name)”可以是另一个特征中的“用户名(username)”、第三个特征中的“登录名(login name)”以及第四个特征中的“账户(account)”。

内容的直接分析。例如，不同登录日志中的直接匹配(其中，一个标识为“username＝johndoe”，并且另一个具有“account＝johndoe”)将提示“username”＝＝“account”，并且这是可能的特征重叠。

特征词库。使用针对特征的词库可以提供“模糊”匹配，有可能具有伴随置信水平。例如，词库可以指示“username”＝＝“account”具有98％置信度。关联可以由外部源驱动，如云安全服务或互联网众包。词库可以基于特征的元语言描述中的语义相似度来帮助对特征进行分组。

在由专家系统130所使用的算法中的特征的适用性或实用性。

合并器334从鉴别器332处接收已经被标识为合并器候选项的两个或更多个特征。然后，合并器334可以做出关于新特征331是否可以与其他现有特征有效地合并的判定。如果合并器334确定新特征331可以有效地与其他特征组合，则合并器334可以形成新动态特征337。

如果合并器334确定新特征331与现有特征兼容，但它们采用不同格式(如使用不同单位)，则合并器334可以向转换器339提供这些特征。转换器339可以将新特征331转换为使得其可以与现有特征进行合并的格式。然后，聚合引擎324提供经转换且合并的特征作为动态特征337。

在示例中，合并器334保留关于合并过程的足够信息以便稍后如果需要则回退所述合并。

如本说明书中所描述的，然后，专家系统130可以基于动态特征337下发控制。在空调系统的示例中，专家系统130可以确定一旦动态特征337的值下降至低于某个温度，那么应当打开空调或应当增加空调的功率。然后，专家系统130将控制信号下发至受控系统140(在HVAC的情况下)以便尝试实现期望的现实世界现象(在这种情况下，将温度调节至期望值)。应当注意的是，专家系统130不需要是集中式的或单个专家系统。在一些情况下，每个受控系统140可以具有其自身的专家系统130，如内部控制器。因此，尽管这样的系统被预期为一个示例，但其并不旨在将本说明书限制在提供单个、单片式、集中式专家系统130的应用。

由于受控系统140执行专家系统130的指令，因此其可以经历效果和效率的可测量改变。例如，如果证明动态特征337是有用的合并，则相比于将先前单独静态特征操作为输入，利用动态特征337操作为输入，受控系统140可以更有效或更有效率地运行。然而，如果动态特征337提供很小的效率或有效性变化或者没有提供所述变化，或者甚至具有负面影响，则可能期望将这些特征拆分。

评估器338根据动态特征337评估受控系统140的有效性。因为并不期望合并器334是完美的，因此它有时将在其合并决策中犯错。如果评估器338确定动态特征337是无用的、几乎无用的、或有害的，则其可以向拆分器336提供动态特征337。一种标识此类错误的方法是采用可以在监督模式或非监督模式之一中操作的机器学习。评估器338还可以可操作用于确认基于合并的特征的异常检测在容忍度内具有与合并的特征相同的质量。

拆分器336可操作并被配置成用于从动态特征337中拆分新特征331。然后，拆分器336可以向专家系统130提供拆分的特征。

图4是根据本说明书的一个或多个示例的专家系统130的框图。在示例中，数据聚合器110是计算设备。还参考图2A和图2B的相关联描述，其中，示例和定义还可以应用于图4(在它们相关的程度上)。

专家系统130包括连接至存储器420的处理器410，所述存储器具有存储在其中的用于提供操作系统422和专家系统引擎424的可执行指令。数据聚合器110的其他部件包括存储设备450、网络接口480和外围设备接口440。

在示例中，处理器410经由存储器总线470-3通信地耦合至存储器420，所述存储器总线可以是例如直接存储器访问(DMA)总线。处理器410可以经由系统总线470-1通信地耦合至其他设备。

处理器410可以经由存储器总线470-3连接至DMA配置中的存储器420。为了简化本公开，存储器420被公开为单个逻辑块，但是在物理实施例中可以包括任何合适的易失性或非易失性存储器技术(或多项技术)的一个或多个块。

存储设备450可以是任何种类的存储器420，或者可以是分离的设备。存储设备450可以是或其中可以包括一个或多个数据库或存储在其他配置中的数据，并且可以包括操作软件的存储副本，如操作系统和操作系统422的副本以及专家系统引擎424的软件部分。许多其他配置也是可能的，并且旨在被涵盖在本说明书的广义范围内。

可以提供网络接口480来将数据聚合器110与有线或无线网络通信地耦合。

在一个示例中，专家系统引擎424是执行根据本说明书的方法的工具或程序。在各个实施例中，专家系统引擎424可以在硬件、软件、固件或其一些组合中被具体化。例如，在一些情况下，专家系统引擎424可以包括被设计成用于执行方法的专用集成电路，并且还可以包括可操作用于指示处理器执行所述方法的软件指令。还应当注意的是，专家系统引擎424仅通过非限制性示例的方式被提供，并且包括交互式或用户模式软件的其他硬件和软件还可以结合、除了或替代专家系统引擎424而被提供，以便执行根据本说明书的方法。

在一个示例中，专家系统引擎424包括存储在可操作用于执行图8的方法800、或其软件部分、或根据本说明书的类似方法的非瞬态介质上的可执行指令。在适当时间上(如根据启动数据聚合器110或根据来自操作系统或用户的命令)，处理器410可以从存储设备450中检索专家系统引擎424(或其软件部分)的副本并将其加载到存储器420中。然后，处理器410可以迭代的执行专家系统引擎424的指令。

图5是根据本说明书的一个或多个示例的特征合并的框图。示出了多个静态特征512-1至512-N，在本示例中，每个静态特征源自不同的数据源120。静态特征512被提供给数据聚合器110。数据聚合器110经由合并/拆分137来适当地合并特征，以便提供动态特征510。合并动作可能仅需要将特征标记为与特征的元数据存储设备中完全相同。可选地，除了以上内容以外，可以提供用于将一个特征转换成另一个特征的规则。作为非限制性示例，规则可以被表示为用于将以摄氏度表达的温度转换成华氏度的公式。在数据聚合器110进行的这种标记之后(以及在可选转换之后)，专家系统130将把这些特征视为完全相同。代替标记，还可以在不同数据位置之间转移特征(例如，从一个数据库表/行复制到另一个数据库表/行中)。标记是用于拆分特征的简便方法——通过丢弃所述标记，可以快速且无缝地拆分特征。

在受控系统140已经使用动态特征510充分时间之后，向数据聚合器110提供反馈142。基于反馈142，数据聚合器110可以维护合并的特征、合并新特征、或拆分特征。

图6是根据本说明书的一个或多个示例的多个上层类的维恩类型图。如在本示例中所展示的，提供了六个顶层类：设备健康610、网络健康620、网络安全630、物理安全640、用户数据650、和环境数据660。在此示例中，设备健康610、网络健康620、和环境数据660都在某种程度上相互重叠。网络健康620还在某种程度上与网络安全630重叠。网络安全630在某种程度上与物理安全640重叠。在本示例中，用户数据650不与其他类别中的任何类相重叠。而且，在本示例中，物理安全640不与环境数据660、网络健康620、或设备健康610重叠。应当注意的是，这些分类、重叠和非重叠仅通过示例的方式提供。在其他实施例中，存在其他配置是可能的情况。

图7是根据本说明书的一个或多个示例的若干类的维恩图。在这种情况下，为了说明和讨论的目的而更加详细地公开了设备健康610和环境数据660。如前所述，应当注意的是，这些分类仅通过示例的方式提供，并且并不旨在是限制性的。

在这种情况下，设备健康610和环境660具有重叠区域710。重叠区域710包括如环境温度712、环境湿度714和辐射716等特征。这些重叠因为环境温度而可以是环境因素以及可能对设备健康有影响的因素两者。例如，环境温度712可能影响计算系统中的处理器的工作温度、以及人类操作员的舒适和对其他机械的操作。

应当注意的是，不一定暗示双向关联，特别是对于特定受控系统140。例如，虽然环境温度可能对处理器具有重大影响，但是单个处理器的工作温度可能对环境温度712不具有重大影响。因此，环境温度712既是设备健康也是环境特征，而处理器温度740被严格维持为设备健康特征。对计算机冷却系统进行操作的专家系统130可以得益于将环境温度712接收作为合并的特征337，而HVAC控制器无法得益于接收处理器温度740。

类似地，环境温度既是环境特征本身，也是可能影响计算机的性能和设备健康的特征。再次，计算机内的湿度控制器由此可以得益于包括环境湿度714的动态特征337。

最后，辐射716既是环境特征本身，对人类安全和幸福具有直接和重大影响，同时也直接影响设备健康610。在这种情况下，因为适当运行的计算机本身就不是实质辐射源(特别是电离辐射)，所以计算设备内的辐射传感器可以有效地与环境辐射传感器合并。如果这些传感器中的任一传感器检测到实质性辐射增加，那么向在所述区域内进行操作的用户提供警报以便向他们警告增加的辐射是有用的。这是双向有效的特征合并的示例。

在另一方面，附加环境特征不可能有效地与设备健康特征合并。例如，子类污染水平720还包括烟雾722，烟雾不可能对计算机造成重大影响。类似地，虽然环境光水平730对人类操作员极其重要，但是其对计算机基本上无意义。

在设备健康类别中，从环境情境来看，存在同样无意义的许多特征。通过非限制性示例的方式，这些特征包括处理器温度740、计算机正常运行时间742、附接打印机中的调色剂水平744、存储器使用率746、磁盘使用率750、和处理器使用率760。

图8是根据本说明书的一个或多个示例的方法800的流程图。应当注意的是，方法800可由一个或多个设备执行。例如，元块804可由一个或多个数据源120执行，而元块806在各个实施例中可由结合专家系统130工作的数据聚合器110执行。

在元块804中，在框810处，数据源120可以发送信息，请求描述当前支持的特征的当前元数据列表。可以经由来自任何邻居的客户端-服务器请求或采用对等方式来完成这一点。无论哪种方式，数据源120等待新特征数据可用，例如，可从特征数据库330中获得，并当其变得可用时收集所述特征数据。

在框820中，数据源120解析出特征元数据。

在框822中，数据源120检查所检测到的特征是否为现有特征。如果其是现有特征，那么可以立刻开始传输，并且在框842中，数据源120例如向数据聚合器110提交特征。在其他示例中，数据聚合器110可以与数据源120串联或并联工作，从而使得数据源120直接向专家系统130提交特征，而同时，数据聚合器110操作用于对特征进行分类、归类并以其他方式进行管理。

返回到框822，如果这不是现有特征，那么在框830中，数据源120可以使用自动或手动特征输入来填充特征元数据，并发布新的经更新的元数据。

在框840中，数据源120传递经更新的元数据，并且在框842中，数据源120例如在数据包中向数据聚合器110提交特征数据。

在元块806中，在框850中，数据聚合器110的鉴别器332等待新特征数据并接收新特征数据。

在框852中，如果特征所到达的数据包包括元数据，那么数据聚合器110从所述数据包中解析出元数据。然而，注意，分离地从数据包中提供元数据可能是方便的。然后，鉴别器332查看现有元数据标签并确定相似之处。其还可以例如检查数据本身，以便判定合并是否合适。

在框854中，评估器338可以将合并质量评估器应用到现有特征元数据上。在框860中，评估器338可以判定特征是否需要拆分。如果需要，则在框862中，拆分器336更新特征元数据并拆分来自动态特征337的特征(例如，通过移除以上所描述的标签和规则来执行)。然后，控制传送至框890，在所述框中，数据聚合器110将特征存储在特征数据库330中。如果特征不需要拆分，那么在框870中，合并器334更新特征“拆分”元数据，其可以在必要时用于进行拆分。注意，在某些实施例中，框854、860、862和870可以被执行为并行过程。还应当注意的是，在某些实施例中，框854、860、862、870为可选的。

在框872中，数据聚合器110将特征鉴别器应用到元数据和特征数据上，以便判定合并是否合适。

在框880中，如果特征需要合并，那么在框882中，合并器334更新特征的元数据和合并数据(借助于通过在元数据中标记完全相同的特征来对这些特征进行标记并且可选地提供可由专家系统130创建的或者从像本地创建的或在网络上或在互联网或云中提供的关联表那样的任何其他源中检索的转换规则)，其可以包括关于合并器的足以在需要时执行未来拆分的数据。

在框890中，数据聚合器110将数据存储在特征数据库330中。返回到框880，如果特征不需要合并，那么控制传送回框850，以便等待新特征。

前述内容概述了若干实施例的特征，从而使得本领域的技术人员可以更好地理解本公开的方面。本领域的技术人员应该认识到，他们可以容易地将本公开用作设计或修改其他过程以及结构的基础，以便于实施相同的目的和/或实现在此介绍的实施例的相同优点。本领域的技术人员还应意识到，这些等同构造没有背离本公开的精神和范围，并且在不背离本公开的精神和范围的情况下，可在此做出各种改变、替换和替代。

本公开的特定实施例可以容易地包括片上系统(SOC)中央处理单元(CPU)封装体。SOC表示将计算机或其他电子系统的部件整合到单个芯片中的集成电路(IC)。其可以包含数字、模拟、混合信号、以及射频功能，所有这些功能都可以在单个芯片基底上提供。其他实施例可以包括多芯片模块(MCM)，多个芯片位于单个电子封装体内并且被配置成用于通过电子封装体彼此密切交互。在各个其他实施例中，数字信号处理功能可以在专用集成电路(ASIC)、现场可编程门阵列(FPGA)和其他半导体芯片中的一个或多个硅核中实施。

在示例实施方式中，在此概述的处理活动的至少一些部分也可以在软件中实施。在一些实施例中，这些特征中的一个或多个特征可以在所公开的附图的元件外部提供的或者采用任何适当方式合并的硬件中实施，以便实现预期功能。各个元件可以包括可以协调以便实现如在此概述的操作的软件(或往复式软件)。在仍其他实施例中，这些元件可以包括促进其操作的任何适合的算法、硬件、软件、部件、模块、接口或对象。

此外，可以移除或者以其他方式合并与所描述的微处理器相关联的部件中的一些部件。在一般意义上，在附图中描绘的安排在其表示上可以更合逻辑，而物理架构可以包括各种排列、组合和/或这些元件的混合。必须注意，可以使用无数可能的设计配置来实现在此概述的操作目标。相应地，相关联的基础设施具有大量替代安排、设计选择、设备可能性、硬件配置、软件实施方式、设备选项等。

任何适当配置的处理器部件可以执行与数据相关联的任何类型的指令以便实现在此详细说明的操作。在此公开的任何处理器可以将元件或物品(例如，数据)从一个状态或一种东西转换为另一个状态或另一种东西。在另一个示例中，在此概述的一些活动可以利用固定逻辑或可编程逻辑(例如，由处理器执行的软件和/或计算机指令)实现，并且在此标识的元件可以是某种类型的可编程处理器；可编程数字逻辑(例如，现场可编程门阵列(FPGA)；可擦除可编程只读存储器(EPROM)；电可擦除可编程只读存储器(EEPROM)；包括数字逻辑、软件、代码、电子指令、闪速存储器、光盘、CD-ROM、DVD ROM、磁性或光学卡、适合于存储电子指令的其他类型的机器可读介质、或其任何合适组合的ASIC。在操作中，处理器可以将信息存储在任何合适类型的非瞬态存储介质(例如，随机存取存储器(RAM)、只读存储器(ROM)、现场可编程门阵列(FPGA)、可擦除可编程只读存储器(EPROM)、电可擦除可编程ROM(EEPROM)等)、软件、硬件中或者在适当情况下并基于特定需要存储在任何其他合适的部件、设备、元件或物体中。进一步地，基于特定需要和实施方式，可以在任何数据库、寄存器、表格、缓存器、队列、控制列表、或存储结构(所有这些可以在任何合适的时间帧被引用)中提供在处理器中被跟踪、发送、接收或存储的信息。在此所讨论的存储器项中的任何存储器项应当被解释为涵盖在宽泛术语‘存储器’内。类似地，在此所描述的可能的处理元件、模块、和机器中的任何一者应当被解释为涵盖在宽泛术语‘微处理器’或‘处理器’内。此外，在各个实施例中，在此描述的处理器、存储器、网卡、总线、存储设备、相关外围设备、以及其他硬件元件可由软件或固件配置来模仿或虚拟化这些硬件元件的功能的处理器、存储器和其他相关设备来实现。

采用各种形式来具体化实施在此描述的功能中的所有或部分功能的计算机程序逻辑，包括但决不限于源代码形式、计算机可执行的形式、以及各种中间形式(例如，由汇编器、编辑器、链接器或定位器生成的形式)。在示例中，源代码包括以各种编程语言实施的一系列计算机程序指令，如目标代码、汇编语言、或高级语言(比如，与各种操作系统或操作环境一起使用的OpenCL、Fortran、C、C++、JAVA或HTML)。源代码可以限定并使用各种数据结构和通信消息。源代码可以采用计算机可执行的形式(例如，经由解释器)，或者源代码可以被转换(例如，经由转换器、汇编器、或编译器)成计算机可执行的形式。

在对以上实施例的讨论中，可以容易地替换、替代或以其他方式修改电容器、缓冲器、图形元件、互连板、时钟、DDR、相机传感器、除法器、电感器、电阻器、放大器、开关、数字核、晶体管和/或其他部件，以便满足特定电路需要。此外，应当注意的是，对互补电子设备、硬件、非瞬态软件等的使用提供了同等可行的选项，以便实施本公开的教导。

在一个示例实施例中，可以在相关联的电子设备的板上实施附图的任何数量的电路。所述板可以是能够容纳电子设备的内部电子系统的各个部件并进一步为其他外围设备提供连接器的一般电路板。更具体地，所述板可以提供电连接，系统的其他部件可以通过这些电连接来进行电通信。可以基于特定配置需要、处理需求、计算机设计等来将任何合适的处理器(包括数字信号处理器、微处理器、支持芯片组等)、存储器元件等适当地耦合至所述板。如外部存储设备、附加传感器、用于音频/视频显示的控制器、以及外围设备等其他部件可以作为插入卡而经由线缆附接至所述板，或者整合到所述板本身中。在另一个示例实施例中，附图的电路可以被实施为独立的模块(例如，具有相关联的部件的设备和被配置成用于执行特定应用或功能的电路)，或者被实施为到电子设备的专用硬件的插入模块。

注意，使用在此所提供的许多示例，可以关于两个、三个、四个或更多个电气部件来对交互进行描述。然而，这样做只是出于清楚和示例的目的。应理解的是，可以采用任何合适方式来合并所述系统。根据类似的设计替代方案，可以在各个可能的配置中组合附图中所展示的部件、模块和元件中的任一者，所有这些配置在本说明书的广泛范围内。在某些情况下，通过仅参照有限数量的电气元件，可能更容易描述一组给定流程的功能中的一个或多个功能。应当理解的是，附图的电路及其教导是可容易扩展的，并且可以容纳大量部件以及更复杂/成熟的安排和配置。相应地，所提供的示例不应限制如潜在地应用到无数其他架构上的电路的范围或抑制其宽泛教导。

本领域技术人员可以确定各种其他改变型式、替换型式、变化型式、更改型式和修改型式，并且本公开旨在涵盖如落入所附权利要求范围内的所有这种改变型式、替换型式、变化型式、更改型式和修改型式。为了帮助美国专利和商标局(USPTO)以及另外在此申请上发布的任何专利的任何阅读者解释在此所附权利要求书，申请人希望注意的是，申请人：(a)并不旨在所附权利要求书中的任何一项当出现于其提交日期时调用美国专利法第35章第112节第(6)段，除非具体权利要求中特别适用了单词“用于……的装置”或“用于……的步骤”；并且(b)并不旨在借助说明书中的任何声明以任何所附权利要求书中未另外反应的方式限制本公开。

示例实施例

示例1中公开了一种装置，包括：

特征数据库；以及

鉴别器，所述鉴别器可操作用于：

接收新特征；并且

根据特征分类法对所述新特征进行分类，其中，分类包括：检查特征元数据，将所述特征与所述特征数据库中的现有特征进行比较，并且基于所述比较为所述特征分配类或种类。

示例2中公开了如示例1所述的装置，进一步包括合并器，所述合并器可操作用于将所述新特征与所述现有特征进行合并以便创建组合特征。

示例3中公开了如示例2所述的装置，进一步包括网络接口，并且其中，所述装置可操作用于通过所述网络接口发送所述组合特征。

示例4中公开了如示例3所述的装置，进一步包括评估器，所述评估器可操作用于从所述网络接口处接收反馈，并且消耗来自所述合并器的所述组合特征。

示例5中公开了如示例4所述的装置，进一步包括拆分器，所述拆分器可操作用于确定用于创建所述组合特征的所述合并不是实质有益的，并且用于将所述组合特征拆分成所述新特征和所述现有特征。

示例6中公开了如示例1所述的装置，进一步包括转换器，所述转换器可操作用于将所述新特征转换为与所述现有特征的值相兼容的形式。

示例7中公开了如示例6所述的装置，其中，转换所述新特征包括从一个单位系统转换到另一个单位系统。

示例8中公开了如示例1所述的装置，其中，特征转换可操作用于使用所述分类法将所述特征与其他特征进行合并。

示例9中公开了如示例1所述的装置，其中，所述特征元数据采用符合标准的格式。

示例10中公开了如示例9所述的装置，其中，所述格式是可扩展标记语言。

示例11中公开了如示例1所述的装置，其中，分类进一步包括基于所述元数据中的特征名称来推断分类。

示例12中公开了如示例1所述的装置，其中，分类进一步包括基于所述元数据中的数据类型名称来推断分类。

示例13中公开了如示例12所述的装置，其中，分类包括模糊匹配。

示例14公开了一种或多种计算机可读介质，具有存储在其上的可执行指令，所述可执行指令可操作用于指示处理器执行以下操作：

接收新特征；并且

根据特征分类法对所述新特征进行分类，其中，分类包括：检查特征元数据，将所述特征与特征数据库中的现有特征进行比较，并且基于所述比较为所述特征分配类或种类。

示例15中公开了如示例14所述的一种或多种介质，进一步可操作用于将所述新特征与所述现有特征进行合并以便创建组合特征。

示例16中公开了如示例15所述的一种或多种介质，进一步可操作用于通过网络接口发送所述组合特征。

示例17中公开了如示例16所述的一种或多种介质，进一步可操作用于从所述网络接口处接收反馈，并且用于判定用于创建所述组合特征的所述合并是否是实质有益的。

示例18中公开了如示例17所述的一种或多种介质，进一步可操作用于确定用于创建所述组合特征的所述合并不是实质有益的，并且用于将所述组合特征拆分成所述新特征和所述现有特征。

示例19中公开了如示例14所述的一种或多种介质，进一步可操作用于将所述新特征转换为与所述现有特征相兼容的形式。

示例20中公开了如示例19所述的一种或多种介质，其中，转换所述新特征包括从一个单位系统转换到另一个单位系统。

示例21中公开了如示例14所述的一种或多种介质，其中，所述特征元数据采用符合标准的格式。

示例22中公开了如示例14所述的一种或多种介质，其中，分类进一步包括基于所述元数据中的特征名称来推断分类。

示例23中公开了如示例14所述的一种或多种介质，其中，分类进一步包括基于所述元数据中的数据类型名称来推断分类。

一种方法，包括：

接收新特征；以及

根据特征分类法对所述新特征进行分类，其中，分类包括：检查特征元数据，将所述特征与特征数据库中的现有特征进行比较，并且基于所述比较为所述特征分配类或种类。

如示例24所述的方法，进一步包括：

将所述新特征与所述现有特征进行合并以便创建组合特征；通过网络接口发送所述组合特征；

从所述网络接口处接收反馈，并且用于判定用于创建所述组合特征的所述合并是否是实质有益的；以及

确定用于创建所述组合特征的所述合并不是实质有益的，并且用于将所述组合特征拆分成所述新特征和所述现有特征。