时序行为的异常检测方法及其装置、电子设备及存储介质与流程

本发明涉及人工智能领域，具体而言，涉及一种时序行为的异常检测方法及其装置、电子设备及存储介质。

背景技术：

1、时间序列的异常检测一直是待解决的难点问题。随着信息技术和互联网的高速发展，网络系统结构日益复杂，基于系统的时序异常检测也逐渐变得越来越重要。在系统监控场景中，如何根据行为和系统的响应情况判断系统是否发生了系统异常通常只能通过人工判断。由于不同场景和行为的变化多样，导致基于规则匹配的系统时序异常检测方式存在局限性，因此，越来越多的人工智能模型用于系统时序异常检测。然而，由于基于监督学习的机器学习模型存在异常样本和正常样本数据十分不平衡的问题，导致当前人工智能模型在系统时序异常检测系统中的检测准确性较低。

2、相关技术中，系统时序异常检测的处理方法有通过基于人工经验设置规则匹配的方式检测是否发生了系统异常，然而，基于人工经验设置的规则往往需要依赖于专家经验，设置的规则也往往受限于专家经验，难以及时更新规则，在不同场景和不同行为下难以有效检测。因此，相关技术中还提出了基于人工标注的行为样本训练时序异常检测模型，以通过模型判断是否发生了系统异常，但由于实际生产环境中难以获取数量平衡且高质量的标注样本，往往导致训练得到的人工智能模型在实际的生产环境中检测效果并不理想。

3、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本发明实施例提供了一种时序行为的异常检测方法及其装置、电子设备及存储介质，以至少解决相关技术中对时序行为进行异常检测的准确性较低的技术问题。

2、根据本发明实施例的一个方面，提供了一种时序行为的异常检测方法，包括：采集目标系统的当前行为数据以及当前状态数据，并基于所述当前行为数据以及所述当前状态数据，确定时序行为集合中每个时序行为在每个预设指标下的真实状态表示向量；基于所述当前行为数据，确定每个所述时序行为的行为特征值；对于每个所述时序行为，将所述行为特征值输入至预设预测模型中，输出所述时序行为在每个所述预设指标下的预测状态表示向量，其中，所述预设预测模型包括：注意力模块以及多个预设预测器，通过所述注意力模块处理所述行为特征值，得到时序行为特征表示，通过每个所述预设指标对应的所述预设预测器处理所述时序行为特征表示，得到每个所述预设指标下的所述预测状态表示向量；基于所有所述预设指标的权重值以及告警值、所有所述时序行为在每个所述预设指标下的所述真实状态表示向量以及所述预测状态表示向量，确定所述目标系统的异常分数，并在所述异常分数大于预设异常阈值的情况下，确定所述目标系统处于异常状态。

3、进一步地，基于所述当前行为数据以及所述当前状态数据，确定时序行为集合中每个时序行为在每个预设指标下的真实状态表示向量的步骤，包括：基于所述目标系统执行的业务的业务需求，确定所述时序行为集合，其中，所述时序行为集合中每个所述时序行为对应有时间顺序；基于所述业务需求，确定预设指标集合，其中，所述预设指标集合包括：多个所述预设指标；基于所述当前行为数据以及所述当前状态数据，确定每个所述时序行为涉及的当前行为子数据以及当前状态子数据；对于每个所述时序行为，基于所述时序行为涉及的所述当前行为子数据以及所述当前状态子数据，确定所述时序行为在每个所述预设指标下的所述真实状态表示向量。

4、进一步地，在基于所述当前行为数据，确定每个所述时序行为的行为特征值之后，还包括：判断每个所述行为特征值是否为连续值；在所述行为特征值是连续值的情况下，对所述连续值进行离散处理，得到离散处理后的所述行为特征值。

5、进一步地，在将所述行为特征值输入至预设预测模型中，输出所述时序行为在每个所述预设指标下的预测状态表示向量之前，还包括：构建初始预测模型，其中，所述初始预测模型包括：初始注意力模块以及多个初始预设预测器，每个所述初始预设预测器对应一个所述预设指标；采集历史时间段内所述目标系统的历史行为数据以及历史状态数据；基于所述历史行为数据，确定每个所述时序行为的历史行为特征值集合，并基于所述历史行为数据以及所述历史状态数据，确定每个所述时序行为在每个所述预设指标下的历史状态表示向量；将所述历史行为特征值集合以及所有所述历史状态表示向量表征为训练数据；采用所述训练数据训练所述初始预测模型，直至交叉熵损失值小于预设损失阈值，得到预设参数集合中每个预设参数的参数值，其中，所述交叉熵损失值是基于初始状态表示向量以及所述历史状态表示向量采用预设损失函数计算得到的，所述初始状态表示向量是通过所述初始预测模型输出的状态表示向量，所述预设参数集合至少包括：所述初始注意力模块中的第一参数集合、提示参数以及每个所述初始预设预测器中的第二参数集合，所述第一参数集合至少包括：特征嵌入权重参数、特征嵌入偏置参数、位置嵌入权重参数、位置嵌入偏置参数以及每个解码器层参数，所述第二参数集合至少包括：预测权重参数、预测偏置参数；基于所有所述预设参数的所述参数值，调整所述初始预测模型，得到训练后的所述预设预测模型。

6、进一步地，通过所述注意力模块处理所述行为特征值，得到时序行为特征表示的步骤，包括：对于每个所述时序行为，基于所述行为特征值，确定所述时序行为的特征编码，并基于所述时序行为的时间顺序，确定所述时序行为的位置编码；基于所述特征编码、所述注意力模块中特征嵌入层的特征嵌入权重参数值以及特征嵌入偏置参数值，确定第一向量表示，并基于所述位置编码、所述注意力模块中位置嵌入层的位置嵌入权重参数值以及位置嵌入偏置参数值，确定第二向量表示；拼接所述第一向量表示以及所述第二向量表示，得到特征向量表示；拼接所述特征向量表示以及提示参数的提示向量表示，得到预设向量表示；所述预设向量表示经过所述注意力模块中每个解码器层的处理，得到所述时序行为特征表示。

7、进一步地，通过每个所述预设指标对应的所述预设预测器处理所述时序行为特征表示，得到每个所述预设指标下的所述预测状态表示向量的步骤，包括：对于每个所述预设指标，基于所述时序行为特征表示以及所述预设指标对应的所述预设预测器的预测权重参数值、预测偏置参数值，采用所述预设预测器确定所述预设指标下的概率分布；将所述概率分布表征为所述预设指标下的所述预测状态表示向量。

8、进一步地，基于所有所述预设指标的权重值以及告警值、所有所述时序行为在每个所述预设指标下的所述真实状态表示向量以及所述预测状态表示向量，确定所述目标系统的异常分数的步骤，包括：确定每个所述预设指标的所述权重值以及所述告警值，并确定预设温度参数值；基于所述预设温度参数值、所有所述权重值、所有所述告警值、所有所述真实状态表示向量以及所有所述预测状态表示向量，采用预设评分公式确定所述目标系统的所述异常分数。

9、根据本发明实施例的另一方面，还提供了一种时序行为的异常检测装置，包括：第一确定单元，用于采集目标系统的当前行为数据以及当前状态数据，并基于所述当前行为数据以及所述当前状态数据，确定时序行为集合中每个时序行为在每个预设指标下的真实状态表示向量；第二确定单元，用于基于所述当前行为数据，确定每个所述时序行为的行为特征值；输入单元，用于对于每个所述时序行为，将所述行为特征值输入至预设预测模型中，输出所述时序行为在每个所述预设指标下的预测状态表示向量，其中，所述预设预测模型包括：注意力模块以及多个预设预测器，通过所述注意力模块处理所述行为特征值，得到时序行为特征表示，通过每个所述预设指标对应的所述预设预测器处理所述时序行为特征表示，得到每个所述预设指标下的所述预测状态表示向量；第三确定单元，用于基于所有所述预设指标的权重值以及告警值、所有所述时序行为在每个所述预设指标下的所述真实状态表示向量以及所述预测状态表示向量，确定所述目标系统的异常分数，并在所述异常分数大于预设异常阈值的情况下，确定所述目标系统处于异常状态。

10、进一步地，所述第一确定单元包括：第一确定模块，用于基于所述目标系统执行的业务的业务需求，确定所述时序行为集合，其中，所述时序行为集合中每个所述时序行为对应有时间顺序；第二确定模块，用于基于所述业务需求，确定预设指标集合，其中，所述预设指标集合包括：多个所述预设指标；第三确定模块，用于基于所述当前行为数据以及所述当前状态数据，确定每个所述时序行为涉及的当前行为子数据以及当前状态子数据；第四确定模块，用于对于每个所述时序行为，基于所述时序行为涉及的所述当前行为子数据以及所述当前状态子数据，确定所述时序行为在每个所述预设指标下的所述真实状态表示向量。

11、进一步地，所述异常检测装置还包括：第一判断模块，用于在基于所述当前行为数据，确定每个所述时序行为的行为特征值之后，判断每个所述行为特征值是否为连续值；第一处理模块，用于在所述行为特征值是连续值的情况下，对所述连续值进行离散处理，得到离散处理后的所述行为特征值。

12、进一步地，所述异常检测装置还包括：第一构建模块，用于在将所述行为特征值输入至预设预测模型中，输出所述时序行为在每个所述预设指标下的预测状态表示向量之前，构建初始预测模型，其中，所述初始预测模型包括：初始注意力模块以及多个初始预设预测器，每个所述初始预设预测器对应一个所述预设指标；第一采集模块，用于采集历史时间段内所述目标系统的历史行为数据以及历史状态数据；第五确定模块，用于基于所述历史行为数据，确定每个所述时序行为的历史行为特征值集合，并基于所述历史行为数据以及所述历史状态数据，确定每个所述时序行为在每个所述预设指标下的历史状态表示向量；第一表征模块，用于将所述历史行为特征值集合以及所有所述历史状态表示向量表征为训练数据；第一训练模块，用于采用所述训练数据训练所述初始预测模型，直至交叉熵损失值小于预设损失阈值，得到预设参数集合中每个预设参数的参数值，其中，所述交叉熵损失值是基于初始状态表示向量以及所述历史状态表示向量采用预设损失函数计算得到的，所述初始状态表示向量是通过所述初始预测模型输出的状态表示向量，所述预设参数集合至少包括：所述初始注意力模块中的第一参数集合、提示参数以及每个所述初始预设预测器中的第二参数集合，所述第一参数集合至少包括：特征嵌入权重参数、特征嵌入偏置参数、位置嵌入权重参数、位置嵌入偏置参数以及每个解码器层参数，所述第二参数集合至少包括：预测权重参数、预测偏置参数；第一调整模块，用于基于所有所述预设参数的所述参数值，调整所述初始预测模型，得到训练后的所述预设预测模型。

13、进一步地，所述输入单元包括：第六确定模块，用于对于每个所述时序行为，基于所述行为特征值，确定所述时序行为的特征编码，并基于所述时序行为的时间顺序，确定所述时序行为的位置编码；第七确定模块，用于基于所述特征编码、所述注意力模块中特征嵌入层的特征嵌入权重参数值以及特征嵌入偏置参数值，确定第一向量表示，并基于所述位置编码、所述注意力模块中位置嵌入层的位置嵌入权重参数值以及位置嵌入偏置参数值，确定第二向量表示；第一拼接模块，用于拼接所述第一向量表示以及所述第二向量表示，得到特征向量表示；第二拼接模块，用于拼接所述特征向量表示以及提示参数的提示向量表示，得到预设向量表示；第二处理模块，用于所述预设向量表示经过所述注意力模块中每个解码器层的处理，得到所述时序行为特征表示。

14、进一步地，所述输入单元还包括：第八确定模块，用于对于每个所述预设指标，基于所述时序行为特征表示以及所述预设指标对应的所述预设预测器的预测权重参数值、预测偏置参数值，采用所述预设预测器确定所述预设指标下的概率分布；第二表征模块，用于将所述概率分布表征为所述预设指标下的所述预测状态表示向量。

15、进一步地，所述第三确定单元包括：第九确定模块，用于确定每个所述预设指标的所述权重值以及所述告警值，并确定预设温度参数值；第十确定模块，用于基于所述预设温度参数值、所有所述权重值、所有所述告警值、所有所述真实状态表示向量以及所有所述预测状态表示向量，采用预设评分公式确定所述目标系统的所述异常分数。

16、根据本发明实施例的另一方面，还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述任意一项时序行为的异常检测方法。

17、根据本发明实施例的另一方面，还提供了一种电子设备，包括一个或多个处理器和存储器，所述存储器用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现上述任意一项时序行为的异常检测方法。

18、在本发明中，采集目标系统的当前行为数据以及当前状态数据，并基于当前行为数据以及当前状态数据，确定时序行为集合中每个时序行为在每个预设指标下的真实状态表示向量，基于当前行为数据，确定每个时序行为的行为特征值，对于每个时序行为，将行为特征值输入至预设预测模型中，输出时序行为在每个预设指标下的预测状态表示向量，基于所有预设指标的权重值以及告警值、所有时序行为在每个预设指标下的真实状态表示向量以及预测状态表示向量，确定目标系统的异常分数，并在异常分数大于预设异常阈值的情况下，确定目标系统处于异常状态。在本发明中，可以根据采集的目标系统的当前行为数据以及当前状态数据，确定每个时序行为在每个预设指标下的真实状态表示向量，并根据当前行为数据，确定每个时序行为的行为特征值，然后将行为特征值输入至预设预测模型中，以得到相应时序行为在每个预设指标下的预测状态表示向量，之后根据所有预设指标的权重值以及告警值、所有时序行为在每个预设指标下的真实状态表示向量以及预测状态表示向量，计算目标系统的异常分数，如果异常分数大于预设异常阈值，则确定目标系统处于异常状态，能够提高对时序行为进行异常检测的效率以及准确性，进而解决了相关技术中对时序行为进行异常检测的准确性较低的技术问题。