网元异常行为自动检测方法及装置的制造方法
【专利摘要】本发明实施例提供一种网元异常行为自动检测方法及装置。该方法包括：获取通信网络的关键性能指标对应的历史数据集；对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进行聚类处理获得特征模式库，对特征模式库进行分类处理获得特征分类模型；依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维预测值；依据所述特征分类模型判别所述多维预测值所属的预测特征模式，判别下一时刻关键性能指标对应的多维观测值所属的观测特征模式；比较预测特征模式和观测特征模式判断网元行为是否异常。本发明实施例实现了对网元异常行为自动进行有效检测。
【专利说明】
网元异常行为自动检测方法及装置
技术领域
[0001] 本发明实施例设及通信技术领域，尤其设及一种网元异常行为自动检测方法及装 置。
【背景技术】
[0002] 随着移动通信技术的发展，移动通信网络的结构越来越复杂，移动通信网络中网 元数目不断增加，网元的多态性不断增加。
[0003] 如果网元发生异常需要对网元进行诊断或维修，因此，需要时刻检测网元行为，W 及时发现网元异常行为，同时减少人工网络异常监控的工作量。但是，现有技术中缺少对网 元异常行为进行自动有效检测的方法。
【发明内容】
[0004] 本发明实施例提供一种网元异常行为自动检测方法及装置，W对网元的异常行为 进行有效检测。
[0005] 本发明实施例的一个方面是提供一种网元异常行为自动检测方法，包括：
[0006] 获取通信网络的关键性能指标对应的历史数据集，所述历史数据集包括多维历史 数据集和一维历史数据集；
[0007] 对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进行聚 类处理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依据所述分类结 果和所述特征模式库构建分类模型获得特征分类模型；
[000引依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维预测值，依 据所述一维历史数据集预测下一时刻所述关键性能指标对应的一维预测值；
[0009] 依据所述特征分类模型判别所述多维预测值所属的预测特征模式，W及依据所述 特征分类模型判别下一时刻所述关键性能指标对应的多维观测值所属的观测特征模式；
[0010] 比较所述预测特征模式和所述观测特征模式获得第一比较结果，比较所述一维预 测值和下一时刻所述关键性能指标对应的一维观测值获得第二比较结果，依据所述第一比 较结果和所述第二比较结果判断网元行为是否异常。
[0011] 本发明实施例的另一个方面是提供一种网元异常行为自动检测装置，包括：
[0012] 获取模块，用于获取通信网络的关键性能指标对应的历史数据集，所述历史数据 集包括多维历史数据集和一维历史数据集；
[0013] 处理模块，用于对所述多维历史数据集或由多个一维历史数据组合成的多维历史 数据集进行聚类处理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依 据所述分类结果和所述特征模式库构建分类模型获得特征分类模型；
[0014] 预测模块，用于依据所述多维历史数据集预测下一时刻所述关键性能指标对应的 多维预测值，依据所述一维历史数据集预测下一时刻所述关键性能指标对应的一维预测 值；
[0015] 判别模块，用于依据所述特征分类模型判别所述多维预测值所属的预测特征模 式，W及依据所述特征分类模型判别下一时刻所述关键性能指标对应的多维观测值所属的 观测特征模式；
[0016] 比较判断模块，用于比较所述预测特征模式和所述观测特征模式获得第一比较结 果，比较所述一维预测值和下一时刻所述关键性能指标对应的一维观测值获得第二比较结 果，依据所述第一比较结果和所述第二比较结果判断网元行为是否异常。
[0017] 本发明实施例提供的网元异常行为自动检测方法及装置，通过对通信网络的关键 性能指标的多维历史数据集进行聚类处理获得特征模式库，并对特征模式库进行分类处理 获得分类结果，依据分类结果和特征模式库构建分类模型获得特征分类模型，另外，对多维 历史数据集进行预测获得多维预测值，对关键性能指标的一维历史数据集进行预测获得一 维预测值，通过判别比较预测值和观测值分析网元行为是否异常，实现了对网元异常行为 进行有效检测。
【附图说明】
[0018] 图1为本发明实施例提供的网元异常行为自动检测方法流程图；
[0019] 图2为本发明另一实施例提供的网元异常行为自动检测方法流程图；
[0020] 图3为本发明实施例提供的网元异常行为自动检测方法流程图；
[0021 ]图4为本发明实施例提供的特征模式库的结构图；
[0022] 图5为本发明实施例提供的特征模式库的结构图；
[0023] 图6为本发明实施例提供的网元历史性能数据按网元进行降维后的数据集合示意 图；
[0024] 图7为本发明实施例提供的网元的建模结果示意图；
[0025] 图8为本发明实施例提供的预测值的示意图；
[0026] 图9为本发明实施例提供的模式识别的结果示意图；
[0027] 图10为本发明实施例提供的网元异常行为自动检测装置的结构图；
[0028] 图11为本发明另一实施例提供的网元异常行为自动检测装置的结构图。
【具体实施方式】
[0029] 图1为本发明实施例提供的网元异常行为自动检测方法流程图。本发明实施例针 对现有技术中缺少对网元异常行为进行有效检测的方法，提供了网元异常行为自动检测方 法，该方法具体步骤如下：
[0030] 步骤S101、获取通信网络的关键性能指标对应的历史数据集，所述历史数据集包 括多维历史数据集和一维历史数据集；
[0031 ] 获取通信网络的关键性能指标化巧Performance Indicator,简称KPI)对应的历 史数据集，该关键性能指标包括多维历史数据集和一维历史数据集，依据KPI历史数据集中 每个历史数据的维度确定出该历史数据集中的多维历史数据集和一维历史数据集。
[0032] 例如，信道质量指示(化annel如ality Indicator,简称CQI)为多维历史数据，该 历史数据集可W为720小时内CQI的统计数据。
[0033] 步骤S102、对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据 集进行聚类处理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依据所 述分类结果和所述特征模式库构建分类模型获得特征分类模型；
[0034] 所述对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进 行聚类处理获得特征模式库，包括:采用多个聚类算法分别对所述多维历史数据集或由多 个一维历史数据组合成的多维历史数据集进行聚类处理，并计算每个聚类算法的有效性指 标;依据有效性指标最高的聚类算法对所述多维历史数据集或由多个一维历史数据组合成 的多维历史数据集进行聚类处理获得特征模式库，所述特征模式库用于指示所述多维历史 数据集中每个多维历史数据所属的聚类，W及每个聚类的聚类中屯、。
[0035] 在本发明实施例中，具体采用多个聚类算法和预定的聚类数目分别对所述多维历 史数据集或由多个一维历史数据组合成的多维历史数据集进行聚类处理，并计算依据每种 聚类算法、每个目标聚类数目对所述多维历史数据集或由多个一维历史数据组合成的多维 历史数据集进行聚类处理的有效性指标，通过有效性指标比较可获得有效性指标最高的聚 类算法和目标聚类数目，依据有效性指标最高的聚类算法和目标聚类数目对所述多维历史 数据集或由多个一维历史数据组合成的多维历史数据集进行聚类处理获得特征模式库，所 述特征模式库用于指示所述多维历史数据集中每个多维历史数据所属的聚类，W及每个聚 类的聚类中屯、。例如，多维历史数据集为10个数组，该10个数组标记为数组1-10,每个数组 为16维数据，采用本步骤的方法将该10个数组分成3个聚类:聚类1、聚类2和聚类3,其中，聚 类1包括数组1-3，聚类2包括数组4-6，聚类3包括数组7-10。
[0036] 所述对所述特征模式库进行分类处理获得分类结果，依据所述分类结果和所述特 征模式库构建分类模型获得特征分类模型，包括:采用多个分类算法分别对所述特征模式 库进行分类处理获得分类结果，所述分类结果包括多个分类，W及每个分类包括的多维历 史数据;依据每个多维历史数据所属的聚类和分类计算所述分类算法的精准性;选择精准 性最高的分类算法构建分类模型获得所述特征分类模型。
[0037] 另外，采用多个分类算法分别对所述特征模式库进行分类处理获得分类结果，所 述分类结果包括多个分类，W及每个分类包括的多维历史数据;依据每个多维历史数据所 属的聚类和分类计算所述分类算法的精准性;例如，多个分类算法包括分类算法A、分类算 法B和分类算法C，采用分类算法A将所述多维历史数据集例如上述的10个数组分为3个分 类，具体为分类1、分类2和分类3,分类1包括数组1-3,分类2包括数组4-6,分类3包括数组7- 10。
[0038] 同理，采用分类算法B将所述多维历史数据集例如上述的10个数组分为3个分类， 具体为分类1、分类2和分类3,分类1包括数组2-4,分类2包括数组5-7,分类3包括数组1、8- 10。
[0039] 同理，采用分类算法C将所述多维历史数据集例如上述的10个数组分为3个分类， 具体为分类1、分类2和分类3,分类1包括数组1-2,分类2包括数组3-6,分类3包括数组7-10。
[0040] 依据该分类1、分类2和分类3, W及每个分类包括的数组，可判断分类算法A对应的 分类结果与前述聚类结果一致，则说明分类算法A的精准性最高。选用分类算法A构建分类 模型获得所述特征分类模型。
[0041] 步骤S103、依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维 预测值，依据所述一维历史数据集预测下一时刻所述关键性能指标对应的一维预测值；
[0042] 具体地，依据时间序列模型对所述多维历史数据集进行建模预测下一时刻所述关 键性能指标对应的多维预测值，依据时间序列模型对所述一维历史数据集进行建模预测下 一时刻所述关键性能指标对应的一维预测值，具体预测过程将在下面实施中进行介绍。
[0043] 步骤S104、依据所述特征分类模型判别所述多维预测值所属的预测特征模式，W 及依据所述特征分类模型判别下一时刻所述关键性能指标对应的多维观测值所属的观测 特征模式；
[0044] 通过步骤S102获得的特征分类模型对步骤S103预测出的所述多维预测值进行判 另IJ，具体判别所述多维预测值所属的预测特征模式，另外，下一时刻所述关键性能指标对应 的值可通过观测技术获取到实际的多维观测值，通过步骤S102获得的特征分类模型对该实 际的多维观测值进行判别，具体判别该实际的多维观测值所属的观测特征模式。
[0045] 步骤S105、比较所述预测特征模式和所述观测特征模式获得第一比较结果，比较 所述一维预测值和下一时刻所述关键性能指标对应的一维观测值获得第二比较结果，依据 所述第一比较结果和所述第二比较结果判断网元行为是否异常。
[0046] 若所述预测特征模式和所述观测特征模式一致，则标记所述第一比较结果为正 常;若所述预测特征模式和所述观测特征模式不一致，则标记所述第一比较结果为异常。
[0047] 判断所述一维观测值是否在置信区间内，若在，则标记所述第二比较结果为正常； 若不在，则标记所述第二比较结果为异常。
[0048] 若所述第一比较结果和所述第二比较结果中有一个比较结果为异常，则判断网元 行为异常;若所述第一比较结果和所述第二比较结果均为正常，则判断网元行为正常。
[0049] 本发明实施例通过对通信网络的关键性能指标的多维历史数据集进行聚类处理 获得特征模式库，并对特征模式库进行分类处理获得分类结果，依据分类结果和特征模式 库构建分类模型获得特征分类模型，另外，对多维历史数据集进行预测获得多维预测值，对 关键性能指标的一维历史数据集进行预测获得一维预测值，通过判别比较预测值和观测值 分析网元行为是否异常，实现了对网元异常行为进行有效检测。
[0050] 图2为本发明另一实施例提供的网元异常行为自动检测方法流程图。本发明实施 例具体解释依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维预测值 的方法，该方法具体步骤如下：
[0051] 步骤S201、依据维度将所述多维历史数据集进行分割获得多个一维历史数据集；
[0052] 例如历史数据集夫
该历史数据集为6行5列的数组，按照维 度即列将该历史数据集分割为5列，每一列作为一个一维历史数据集，分割后的5个一维历 史数据集分别呆
[0053] 步骤S202、按照时间先后顺序对每个一维历史数据集中的多个一维历史数据进行 排序获得一维时间序列；
[0054] 优选的，该5个一维历史数据集均已按照时间先后顺序进行排序，从上到下的顺序 即为时间的先后顺序。
[0055] 步骤S203、采用多个时间序列模型分别对所述一维时间序列建模并计算拟合度；
[0056] 对于5个一维历史数据集中的每一个一维历史数据集均采用多个时间序列模型进 行建模并计算拟合度，例如，多个时间序列模型包括时间序列模型a、时间序列模型b、时间 序列模型c，W-维历史数据I
%例，分别采用时间序列模型a、时间序列模型b、时间序 列模型C对一维历史数据實
进行建模，并计算每一个时间序列模型的拟合度，假设时间 序列模型a的拟合度最高。
[0057] 步骤S204、采用拟合度最高的时间序列模型预测下一时刻所述关键性能指标在所 述维度对应的预测值；
[0化引采用时间序列模型a对一维历史数据實
里行建模并预测该一维历史数据集的 下一个元素值即61之后的值，假设预测出的值为71;同理，预测出
的下一个元素值为
的下一个元素值为75。
[0059] 步骤S205、合并所述关键性能指标在各个维度对应的预测值构成所述关键性能指 标对应的多维预测值。
[0060] 将上述步骤预测出的每个一维历史数据集的下一个元素值合并为一组5维数据即 [71 72 73 74 7引作为下一时刻所述关键性能指标对应的多维预测值。
[0061] 本发明实施例通过将多维历史数据集分割为多个一维历史数据集，采用多个时间 序列模型分别对每个一维时间序列建模并计算拟合度，采用拟合度最高的时间序列模型预 测下一时刻关键性能指标在所述维度对应的预测值，合并关键性能指标在各个维度对应的 预测值构成所述关键性能指标对应的多维预测值，提供了对多维数据的有效预测方法。
[0062] 图3为本发明实施例提供的网元异常行为自动检测方法流程图。该方法具体步骤 如下：
[0063] 步骤S301、获取关键性能指标对应的历史数据集；
[0064] 步骤S302、对历史数据集进行分割获得多维历史数据集和一维历史数据集；
[0065] 步骤S303、对多维历史数据集进行聚类处理和分类处理获得特征分类模型；
[0066] 步骤S304、对于多维历史数据集，依据时间序列模型预测下一时刻关键性能指标 对应的多维预测值；
[0067] 步骤S305、对于一维历史数据集，依据时间序列模型预测下一时刻关键性能指标 对应的一维预测值；
[0068] 步骤S306、获取关键性能指标对应的观测值；
[0069] 步骤S307、对观测数据集进行分割获得多维观测值和一维观测值；
[0070] 步骤S308、依据特征分类模型判别多维预测值所属的预测特征模式，判别多维观 测值所属的观测特征模式；
[0071] 步骤S309、依据一维历史数据集预测下一时刻关键性能指标对应的一维预测值；
[0072] 步骤S310、比较预测特征模式和观测特征模式获得第一比较结果；
[0073] 步骤S311、比较一维预测值和一维观测值获得第二比较结果；
[0074] 步骤S312、依据第一比较结果和第二比较结果判断网元行为是否异常。
[0075] 本发明实施例所述的方法与上述实施例一致，此处不再寶述。
[0076] 本发明实施例通过对通信网络的关键性能指标的多维历史数据集进行聚类处理 获得特征模式库，并对特征模式库进行分类处理获得分类结果，依据分类结果和特征模式 库构建分类模型获得特征分类模型，另外，对多维历史数据集进行预测获得多维预测值，对 关键性能指标的一维历史数据集进行预测获得一维预测值，通过判别比较预测值和观测值 分析网元行为是否异常，实现了对网元异常行为进行有效检测。
[0077] 为了清除说明上述实施例的方法，本发明实施例W某一实际运营的长期演进技术 化ong Term Evolution,简称LTE)移动通信网为例，网元选取LTE基站小区，KPI选取基站小 区每小时的无线信道指示(CQI)，CQI属于多维KPI，由16维数组构成反映无线网络质量。本 例中采用连续720小时KPI数据作为历史数据集，对该历史数据集的处理过程具体如下：
[0078] 1)建立特征模式库
[0079] 首先判定采样点总数为零的样本为网元丧失服务能力，剔除运部分数据后，再根 据每个样本的采样点总数使用两步聚类算法将历史网元行为数据分为两类:分区1和分区 2,分区1的总采样点数量较分区2要少。接着对分区1和分区2分别进行K均值聚类，分别得到 5类共10类特征模式，形成特征模式库，该特征模式库用于指示所述多维历史数据集中每个 多维历史数据所属的聚类，W及每个聚类的聚类中屯、，具体的，每个聚类的聚类中屯、如图4 所示，多维历史数据集中每个多维历史数据所属的聚类的对应关系如图5所示。
[0080] 2)时间序列预测
[0081] 将1个月30天共720小时的历史网元行为数据按网元进行降维，WCQI-0为例，CQI- 0的数据集合如图6所示。
[0082] 使用降维后单维数据对每个网元进行时间序列建模和预测，网元的建模结果示例 如图7所示。
[0083] 再将各维预测值合并后得到网元行为预测，合并后的预测值如图8所示。
[0084] 3)模式识别
[0085] 将预测和观测得到的统计数据在模式识别模块进行分类。通过计算分类算法的整 体精准性选择C&R决策树做为分区判别算法，采用Logistic回归模型做为特征模式判别算 法，得到的结果如图9所示。
[0086] 4)异常检测
[0087] 检测结果如表1所示：
[0088] 表 1
[0089]
[0090] 本发明实施例所述的方法与上述实施例一致，此处不再寶述。
[0091] 本发明实施例通过对通信网络的关键性能指标的多维历史数据集进行聚类处理 获得特征模式库，并对特征模式库进行分类处理获得分类结果，依据分类结果和特征模式 库构建分类模型获得特征分类模型，另外，对多维历史数据集进行预测获得多维预测值，对 关键性能指标的一维历史数据集进行预测获得一维预测值，通过判别比较预测值和观测值 分析网元行为是否异常，实现了对网元异常行为进行有效检测。
[0092] 图10为本发明实施例提供的网元异常行为自动检测装置的结构图。本发明实施例 提供的网元异常行为自动检测装置可W执行网元异常行为自动检测方法实施例提供的处 理流程，如图10所示，网元异常行为自动检测装置100包括:获取模块101、处理模块102、预 测模块103、判别模块104、比较判断模块105,其中，获取模块101用于获取通信网络的关键 性能指标对应的历史数据集，所述历史数据集包括多维历史数据集和一维历史数据集;处 理模块102用于对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进 行聚类处理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依据所述分 类结果和所述特征模式库构建分类模型获得特征分类模型;预测模块103用于依据所述多 维历史数据集预测下一时刻所述关键性能指标对应的多维预测值，依据所述一维历史数据 集预测下一时刻所述关键性能指标对应的一维预测值;判别模块104用于依据所述特征分 类模型判别所述多维预测值所属的预测特征模式，W及依据所述特征分类模型判别下一时 刻所述关键性能指标对应的多维观测值所属的观测特征模式；比较判断模块105用于比较 所述预测特征模式和所述观测特征模式获得第一比较结果，比较所述一维预测值和下一时 刻所述关键性能指标对应的一维观测值获得第二比较结果，依据所述第一比较结果和所述 第二比较结果判断网元行为是否异常。
[0093] 本发明实施例通过对通信网络的关键性能指标的多维历史数据集进行聚类处理 获得特征模式库，并对特征模式库进行分类处理获得分类结果，依据分类结果和特征模式 库构建分类模型获得特征分类模型，另外，对多维历史数据集进行预测获得多维预测值，对 关键性能指标的一维历史数据集进行预测获得一维预测值，通过判别比较预测值和观测值 分析网元行为是否异常，实现了对网元异常行为进行有效检测。
[0094] 图11为本发明另一实施例提供的网元异常行为自动检测装置的结构图。在上述实 施例的基础上，处理模块102包括聚类处理单元1021，聚类处理单元1021用于采用多个聚类 算法分别对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进行聚 类处理，并计算每个聚类算法的有效性指标;依据有效性指标最高的聚类算法对所述多维 历史数据集或由多个一维历史数据组合成的多维历史数据集进行聚类处理获得特征模式 库，所述特征模式库用于指示所述多维历史数据集中每个多维历史数据所属的聚类，W及 每个聚类的聚类中屯、。
[00M]处理模块102还包括分类处理单元1022,分类处理单元1022用于采用多个分类算 法分别对所述特征模式库进行分类处理获得分类结果，所述分类结果包括多个分类，W及 每个分类包括的多维历史数据;依据每个多维历史数据所属的聚类和分类计算所述分类算 法的精准性;选择精准性最高的分类算法构建分类模型获得所述特征分类模型。
[0096] 预测模块103包括:分割单元1031、排序单元1032、计算单元1033、建模单元1034和 合并单元1035,其中，分割单元1031用于依据维度将所述多维历史数据集进行分割获得多 个一维历史数据集;排序单元1032用于按照时间先后顺序对每个一维历史数据集中的多个 一维历史数据进行排序获得一维时间序列;计算单元1033用于采用多个时间序列模型分别 对所述一维时间序列建模并计算拟合度;建模单元1034用于采用拟合度最高的时间序列模 型预测下一时刻所述关键性能指标在所述维度对应的预测值;合并单元1035用于合并所述 关键性能指标在各个维度对应的预测值构成所述关键性能指标对应的多维预测值。
[0097] 比较判断模块105包括:标记单元1051和判断单元1052,其中，标记单元1051用于 若所述预测特征模式和所述观测特征模式一致，则标记所述第一比较结果为正常;若所述 预测特征模式和所述观测特征模式不一致，则标记所述第一比较结果为异常；判断单元 1052用于判断所述一维观测值是否在置信区间内；标记单元1051还用于若所述一维观测值 在置信区间内，则标记所述第二比较结果为正常;若所述一维观测值不在置信区间内，则标 记所述第二比较结果为异常;判断单元1052还用于若所述第一比较结果和所述第二比较结 果中有一个比较结果为异常，则判断网元行为异常;若所述第一比较结果和所述第二比较 结果均为正常，则判断网元行为正常。
[0098] 本发明实施例提供的网元异常行为自动检测装置可W具体用于执行上述图1所提 供的方法实施例，具体功能此处不再寶述。
[0099] 本发明实施例通过将多维历史数据集分割为多个一维历史数据集，采用多个时间 序列模型分别对每个一维时间序列建模并计算拟合度，采用拟合度最高的时间序列模型预 测下一时刻关键性能指标在所述维度对应的预测值，合并关键性能指标在各个维度对应的 预测值构成所述关键性能指标对应的多维预测值，提供了对多维数据的有效预测方法。
[0100] 综上所述，本发明实施例通过对通信网络的关键性能指标的多维历史数据集进行 聚类处理获得特征模式库，并对特征模式库进行分类处理获得分类结果，依据分类结果和 特征模式库构建分类模型获得特征分类模型，另外，对多维历史数据集进行预测获得多维 预测值，对关键性能指标的一维历史数据集进行预测获得一维预测值，通过判别比较预测 值和观测值分析网元行为是否异常，实现了对网元异常行为进行有效检测;通过将多维历 史数据集分割为多个一维历史数据集，采用多个时间序列模型分别对每个一维时间序列建 模并计算拟合度，采用拟合度最高的时间序列模型预测下一时刻关键性能指标在所述维度 对应的预测值，合并关键性能指标在各个维度对应的预测值构成所述关键性能指标对应的 多维预测值，提供了对多维数据的有效预测方法。
[0101] 在本发明所提供的几个实施例中，应该理解到，所掲露的装置和方法，可W通过其 它的方式实现。例如，W上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅 仅为一种逻辑功能划分，实际实现时可W有另外的划分方式，例如多个单元或组件可W结 合或者可W集成到另一个系统，或一些特征可W忽略，或不执行。另一点，所显示或讨论的 相互之间的禪合或直接禪合或通信连接可W是通过一些接口，装置或单元的间接禪合或通 信连接，可W是电性，机械或其它的形式。
[0102] 所述作为分离部件说明的单元可W是或者也可W不是物理上分开的，作为单元显 示的部件可w是或者也可w不是物理单元，即可w位于一个地方，或者也可w分布到多个 网络单元上。可W根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目 的。
[0103] 另外，在本发明各个实施例中的各功能单元可W集成在一个处理单元中，也可W 是各个单元单独物理存在，也可W两个或两个W上单元集成在一个单元中。上述集成的单 元既可W采用硬件的形式实现，也可W采用硬件加软件功能单元的形式实现。
[0104] 上述W软件功能单元的形式实现的集成的单元，可W存储在一个计算机可读取存 储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用W使得一台计算机 设备(可W是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个 实施例所述方法的部分步骤。而前述的存储介质包括:U盘、移动硬盘、只读存储器(Read? only Memoir, ROM)、随机存取存储器 （Random Access Memory, RAM)、磁碟或者光盘等各种 可W存储程序代码的介质。
[0105] 本领域技术人员可W清楚地了解到，为描述的方便和简洁，仅W上述各功能模块 的划分进行举例说明，实际应用中，可W根据需要而将上述功能分配由不同的功能模块完 成，即将装置的内部结构划分成不同的功能模块，W完成W上描述的全部或者部分功能。上 述描述的装置的具体工作过程，可W参考前述方法实施例中的对应过程，在此不再寶述。
[0106] 最后应说明的是：W上各实施例仅用W说明本发明的技术方案，而非对其限制;尽 管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解:其依 然可W对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进 行等同替换；而运些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术 方案的范围。
【主权项】
1. 一种网元异常行为自动检测方法，其特征在于，包括： 获取通信网络的关键性能指标对应的历史数据集，所述历史数据集包括多维历史数据 集和一维历史数据集； 对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据集进行聚类处 理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依据所述分类结果和 所述特征模式库构建分类模型获得特征分类模型； 依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维预测值，依据所 述一维历史数据集预测下一时刻所述关键性能指标对应的一维预测值； 依据所述特征分类模型判别所述多维预测值所属的预测特征模式，以及依据所述特征 分类模型判别下一时刻所述关键性能指标对应的多维观测值所属的观测特征模式； 比较所述预测特征模式和所述观测特征模式获得第一比较结果，比较所述一维预测值 和下一时刻所述关键性能指标对应的一维观测值获得第二比较结果，依据所述第一比较结 果和所述第二比较结果判断网元行为是否异常。2. 根据权利要求1所述的方法，其特征在于，所述对所述多维历史数据集或由多个一维 历史数据组合成的多维历史数据集进行聚类处理获得特征模式库，包括： 采用多个聚类算法分别对所述多维历史数据集或由多个一维历史数据组合成的多维 历史数据集进行聚类处理，并计算每个聚类算法的有效性指标； 依据有效性指标最高的聚类算法对所述多维历史数据集或由多个一维历史数据组合 成的多维历史数据集进行聚类处理获得特征模式库，所述特征模式库用于指示所述多维历 史数据集中每个多维历史数据所属的聚类，以及每个聚类的聚类中心。3. 根据权利要求2所述的方法，其特征在于，所述对所述特征模式库进行分类处理获得 分类结果，依据所述分类结果和所述特征模式库构建分类模型获得特征分类模型，包括： 采用多个分类算法分别对所述特征模式库进行分类处理获得分类结果，所述分类结果 包括多个分类，以及每个分类包括的多维历史数据； 依据每个多维历史数据所属的聚类和分类计算所述分类算法的精准性； 选择精准性最高的分类算法构建分类模型获得所述特征分类模型。4. 根据权利要求3所述的方法，其特征在于，所述依据所述多维历史数据集预测下一时 刻所述关键性能指标对应的多维预测值，包括： 依据维度将所述多维历史数据集进行分割获得多个一维历史数据集； 按照时间先后顺序对每个一维历史数据集中的多个一维历史数据进行排序获得一维 时间序列； 采用多个时间序列模型分别对所述一维时间序列建模并计算拟合度； 采用拟合度最高的时间序列模型预测下一时刻所述关键性能指标在所述维度对应的 预测值； 合并所述关键性能指标在各个维度对应的预测值构成所述关键性能指标对应的多维 预测值。5. 根据权利要求4所述的方法，其特征在于，所述比较所述预测特征模式和所述观测特 征模式获得第一比较结果，包括： 若所述预测特征模式和所述观测特征模式一致，则标记所述第一比较结果为正常； 若所述预测特征模式和所述观测特征模式不一致，则标记所述第一比较结果为异常； 所述比较所述一维预测值和下一时刻所述关键性能指标对应的一维观测值获得第二 比较结果，包括： 判断所述一维观测值是否在置信水平90 %的置信区间内； 若在，则标记所述第二比较结果为正常； 若不在，则标记所述第二比较结果为异常； 所述依据所述第一比较结果和所述第二比较结果判断网元行为是否异常，包括： 若所述第一比较结果和所述第二比较结果中有一个比较结果为异常，则判断网元行为 异常； 若所述第一比较结果和所述第二比较结果均为正常，则判断网元行为正常。6. -种网元异常行为自动检测装置，其特征在于，包括： 获取模块，用于获取通信网络的关键性能指标对应的历史数据集，所述历史数据集包 括多维历史数据集和一维历史数据集； 处理模块，用于对所述多维历史数据集或由多个一维历史数据组合成的多维历史数据 集进行聚类处理获得特征模式库，对所述特征模式库进行分类处理获得分类结果，依据所 述分类结果和所述特征模式库构建分类模型获得特征分类模型； 预测模块，用于依据所述多维历史数据集预测下一时刻所述关键性能指标对应的多维 预测值，依据所述一维历史数据集预测下一时刻所述关键性能指标对应的一维预测值； 判别模块，用于依据所述特征分类模型判别所述多维预测值所属的预测特征模式，以 及依据所述特征分类模型判别下一时刻所述关键性能指标对应的多维观测值所属的观测 特征模式； 比较判断模块，用于比较所述预测特征模式和所述观测特征模式获得第一比较结果， 比较所述一维预测值和下一时刻所述关键性能指标对应的一维观测值获得第二比较结果， 依据所述第一比较结果和所述第二比较结果判断网元行为是否异常。7. 根据权利要求6所述的网元异常行为自动检测装置，其特征在于，所述处理模块包括 聚类处理单元，所述聚类处理单元用于采用多个聚类算法分别对所述多维历史数据集或由 多个一维历史数据组合成的多维历史数据集进行聚类处理，并计算每个聚类算法的有效性 指标;依据有效性指标最高的聚类算法对所述多维历史数据集或由多个一维历史数据组合 成的多维历史数据集进行聚类处理获得特征模式库，所述特征模式库用于指示所述多维历 史数据集中每个多维历史数据所属的聚类，以及每个聚类的聚类中心。8. 根据权利要求7所述的网元异常行为自动检测装置，其特征在于，所述处理模块还包 括分类处理单元，所述分类处理单元用于采用多个分类算法分别对所述特征模式库进行分 类处理获得分类结果，所述分类结果包括多个分类，以及每个分类包括的多维历史数据;依 据每个多维历史数据所属的聚类和分类计算所述分类算法的精准性;选择精准性最高的分 类算法构建分类模型获得所述特征分类模型。9. 根据权利要求8所述的网元异常行为自动检测装置，其特征在于，所述预测模块包 括： 分割单元，用于依据维度将所述多维历史数据集进行分割获得多个一维历史数据集； 排序单元，用于按照时间先后顺序对每个一维历史数据集中的多个一维历史数据进行 排序获得一维时间序列； 计算单元，用于采用多个时间序列模型分别对所述一维时间序列建模并计算拟合度； 建模单元，用于采用拟合度最高的时间序列模型预测下一时刻所述关键性能指标在所 述维度对应的预测值； 合并单元，用于合并所述关键性能指标在各个维度对应的预测值构成所述关键性能指 标对应的多维预测值。10.根据权利要求9所述的网元异常行为自动检测装置，其特征在于，所述比较判断模 块包括： 标记单元，用于若所述预测特征模式和所述观测特征模式一致，则标记所述第一比较 结果为正常;若所述预测特征模式和所述观测特征模式不一致，则标记所述第一比较结果 为异常； 判断单元，用于判断所述一维观测值是否在置信区间内； 所述标记单元还用于若所述一维观测值在置信区间内，则标记所述第二比较结果为正 常;若所述一维观测值不在置信区间内，则标记所述第二比较结果为异常； 所述判断单元还用于若所述第一比较结果和所述第二比较结果中有一个比较结果为 异常，则判断网元行为异常;若所述第一比较结果和所述第二比较结果均为正常，则判断网 元行为正常。
【文档编号】H04L29/06GK105871879SQ201610299154
【公开日】2016年8月17日
【申请日】2016年5月6日
【发明人】曾柏森, 韩振东
【申请人】中国联合网络通信集团有限公司