一种基于解耦特征原型演化的动态符号超图异常检测方法及系统

本发明涉及时间序列异常检测和人工智能，具体涉及一种基于解耦特征原型演化的动态符号超图异常检测方法及系统。

背景技术：

1、多变量时间序列广泛存在于工业生产、服务器运维、通信网络、能源系统、交通系统和传感器网络等实际应用场景中。在这类数据中，一个系统通常由多个变量或传感器共同描述，系统状态不仅取决于单个变量自身的数值变化，也取决于多个变量之间的依赖关系、协同模式和动态演化规律。因此，如何从多变量时间序列中及时、准确地发现异常状态，是智能监测与故障预警领域的重要技术问题。

2、现有多变量时间序列异常检测方法主要包括基于重构的方法、基于预测的方法、基于概率建模的方法以及基于图结构建模的方法。基于重构的方法通常利用编码器—解码器结构学习正常样本的表示，并根据输入序列与恢复序列之间的误差判断异常；基于预测的方法通过历史窗口预测未来状态，并根据预测误差识别异常；基于概率建模的方法通过估计正常数据分布，将低概率样本视为异常；基于图结构建模的方法则尝试利用变量之间的相关性或邻接关系增强异常检测能力。

3、上述方法在处理单变量显著突变、局部时间片段异常或明显重构失败的异常情形时具有一定效果，但在复杂多变量场景中仍存在不足。尤其在实际系统中，异常并不总是表现为某个变量的剧烈变化，也不一定表现为某一时间片段的明显失真。很多异常是由多个变量共同形成的：每个变量单独观察时可能仅发生轻微偏移，甚至仍处于正常波动范围内，但这些变量之间原本稳定的依赖关系和协同结构已经发生破坏。此时，如果仅依赖单点误差、局部恢复误差或单一正常模板匹配结果，往往难以稳定识别此类异常。

4、进一步地，现有方法在正常模式表示方面仍存在局限。部分方法将正常模式理解为单个变量状态或局部时间片段的正常性，缺少对多个变量共同组成的群体模式的显式建模；部分方法虽然引入变量关系或图结构，但通常依赖固定邻接矩阵或静态相关性，难以根据当前窗口的状态动态组织变量群体；还有部分基于原型或记忆机制的方法，通常将原型作为单点模板或局部特征中心，缺少对“原型对应正常群体模式中心”的高阶语义约束。因此，这些方法难以充分刻画变量集合在群体层面是否仍然保持正常协同关系。

5、同时，在在线或连续检测场景中，正常模式系统还面临污染问题。如果模型允许当前样本、临时波动样本或异常片段直接更新正常模式库，则异常信息可能被误写入正常参照，导致模型逐渐将异常模式吸收为正常模式，进而降低后续异常检测的敏感性。因此，如何在适应系统正常演化的同时，防止异常片段或低置信群体污染正常模式库，也是多变量时间序列异常检测中的关键问题。

6、此外，现有异常检测模型的输出通常偏重于观测层面的误差，例如重构误差或预测误差。然而，对于多个弱偏离共同破坏协同结构的异常，仅观测层面的误差可能并不明显。此时，异常更可能体现为当前变量集合相对于正常模式流形的偏离，以及当前候选群体相对于正常群体结构的偏离。因此，现有方法如果缺少关系层面的连续异常读出机制，就难以对复杂关系异常形成充分、稳定的异常证据。

7、因此，亟需一种能够显式建模高阶群体正常性、能够动态构造变量群体结构、能够受保护维护正常原型系统，并能够联合观测偏离与关系偏离进行连续异常读出的多变量时间序列异常检测方法及系统。

技术实现思路

1、本发明针对现有多变量时间序列异常检测方法在处理复杂协同异常时存在的不足提出一种基于解耦特征原型演化的动态符号超图异常检测方法及系统。

2、本发明所采取的技术方案如下：一种基于解耦特征原型演化的动态符号超图异常检测方法，其步骤为：

3、步骤1：输入多变量时间序列窗口，并对所述多变量时间序列窗口进行前端表示构造，得到变量级节点状态、匹配空间节点状态以及群体候选特征。

4、前端表示构造的具体方法为：

5、步骤101：获取输入多变量时间序列窗口，所述输入多变量时间序列窗口包括多个变量在连续时间范围内的观测值；

6、步骤102：将每个变量在时间维度上划分为若干时间片段，并通过共享编码器提取每个变量在各时间片段上的局部历史表示；

7、步骤103：在时间片段维度上对局部历史表示进行加权聚合，得到变量级节点状态；

8、步骤104：将变量级节点状态映射到用于原型匹配的匹配空间，得到匹配空间节点状态；

9、步骤105：保留时间片段级局部历史表示作为群体候选特征，用于后续候选群体构造和原型更新。

10、步骤2：基于稳定原型库构造原型诱导的动态超图，通过计算变量节点与稳定原型之间的匹配关系，生成节点—超边关联矩阵。

11、步骤2中，动态超图构造的具体方法为：

12、步骤201：读取或初始化稳定原型库，所述稳定原型库包括若干用于表示正常群体模式的原型，每个原型对应一种正常群体模式中心；

13、步骤202：计算匹配空间节点状态与稳定原型之间的相似性，得到节点到各稳定原型的匹配强度；

14、步骤203：对所述匹配强度进行稀疏化处理，仅保留每个节点对应的高响应原型集合；

15、步骤204：对稀疏化后的匹配强度进行归一化，得到节点—超边关联矩阵；

16、步骤205：将每个稳定原型视为一条正常超边的中心，将对同一稳定原型具有较高归属强度的多个变量节点组织为候选正常群体。

17、步骤3：基于所述节点—超边关联矩阵构造候选群体表示，并对候选群体进行群体验证，得到群体一致性分数。

18、群体验证的具体方法为：

19、步骤301：基于节点—超边关联矩阵，对归属于同一原型的变量节点状态进行加权聚合，得到候选群体表示；

20、步骤302：根据候选群体中各节点对同一原型的归属强度，计算候选群体的平均归属强度；

21、步骤303：根据候选群体内部各节点状态与候选群体表示之间的差异，计算候选群体内部离散度；

22、步骤304：将平均归属强度和群体内部离散度进行联合计算，得到群体一致性分数；并结合候选群体表示与对应稳定原型之间的原型对齐度；

23、步骤305：当候选群体具有较高平均归属强度且群体内部离散度较低时，判定所述候选群体具有较高群体一致性；当候选群体与对应稳定原型具有较高原型对齐度时，进一步判定该群体更符合稳定正常群体模式。

24、步骤4：根据节点归属强度和群体一致性分数生成更新资格矩阵，用于判断节点—群体配对是否具有参与正常模式维护的资格。

25、更新资格矩阵的生成方法为：根据节点—超边关联矩阵和群体一致性分数，生成更新资格矩阵，所述更新资格矩阵用于表示节点作为某一候选群体可信成员参与原型更新的程度；

26、当节点对某一候选群体的归属强度较低时，降低对应更新资格；当候选群体一致性较低时，抑制该候选群体的整体更新资格，以同时抑制低置信节点—群体配对和不稳定候选群体。

27、步骤5：基于所述群体候选特征、候选群体表示和更新资格矩阵，构造候选群体原型，并通过受保护写回机制更新可演化原型库；

28、候选群体原型构造及可演化原型库受保护写回的具体方法为：

29、基于所述更新资格矩阵，对群体候选特征中的节点历史摘要进行加权聚合，得到群体历史摘要；

30、将候选群体表示与群体历史摘要进行融合，形成候选群体原型；

31、根据候选群体的有效成员数量和群体一致性分数，判断候选群体是否满足受保护写回条件；

32、当候选群体满足受保护写回条件时，利用候选群体原型更新可演化原型库；当候选群体不满足受保护写回条件时，保持对应可演化原型不变；

33、在模型训练阶段，基于正常训练窗口执行所述受保护写回机制；在异常检测阶段，固定稳定原型库作为正常模式参照，不将待检测窗口写入所述可演化原型库或稳定原型库。

34、步骤6：通过稳定原型库对可演化原型库进行慢速跟踪，得到用于当前异常读出的稳定正常模式参照；

35、步骤7：基于稳定原型库、节点—超边关联矩阵和前端表示，分别计算观测偏离、原型偏离和群体偏离；

36、所述观测偏离的计算方法为：基于前端表示从稳定原型库中读取对应的正常模式记忆，并利用所述正常模式记忆恢复输入多变量时间序列窗口，根据恢复结果与原始输入之间的差异计算观测偏离；

37、所述原型偏离的计算方法为：根据当前表示与其从稳定原型库读取出的正常模式记忆之间的距离，计算原型偏离，用于表征当前表示相对于稳定正常模式流形的偏离程度；

38、所述群体偏离的计算方法为：根据候选群体表示与对应稳定原型之间的距离以及候选群体一致性分数，计算群体级偏离，并基于节点—超边关联矩阵将群体级偏离回投到节点层面，再映射到时间层面，得到时间级群体偏离分数。

39、步骤8：将所述观测偏离、原型偏离和群体偏离进行融合，得到最终连续异常分数，并根据所述最终连续异常分数输出多变量时间序列异常检测结果。

40、最终连续异常分数的生成方法为：

41、步骤801：将观测偏离作为基础异常证据，用于表征当前输入在观测层面能否被正常模式系统解释；

42、步骤802：将原型偏离和群体偏离融合得到关系偏离，用于表征当前输入在稳定正常模式流形和高阶群体结构层面的偏离程度；

43、步骤803：按照预设权重将观测偏离和关系偏离进行加权融合，得到最终连续异常分数；其中，所述融合包括对观测偏离、原型偏离和群体偏离分别进行尺度归一后，按照预设权重进行三分支加权融合；

44、步骤804：根据最终连续异常分数对不同时间位置或不同窗口进行异常程度排序；

45、步骤805：基于预设阈值、自适应阈值或排序结果输出异常检测结果。

46、一种基于解耦特征原型演化的动态符号超图异常检测系统，包括：前端表示构造模块、原型诱导动态超图构造模块、群体验证模块、受保护原型更新模块和连续异常读出模块；

47、所述前端表示构造模块，用于对输入多变量时间序列窗口进行时间片段划分和共享编码，生成变量级节点状态、匹配空间节点状态以及群体候选特征；所述原型诱导动态超图构造模块，用于根据匹配空间节点状态和稳定原型库计算节点—原型匹配关系，并构造节点—超边关联矩阵；所述群体验证模块，用于根据节点—超边关联矩阵生成候选群体表示，并计算候选群体的平均归属强度、群体内部离散度和群体一致性分数；并进一步计算候选群体表示与对应稳定原型之间的原型对齐度；所述受保护原型更新模块，用于根据群体一致性分数和更新资格矩阵构造候选群体原型，并在满足受保护写回条件时更新可演化原型库，同时通过慢速跟踪机制维护稳定原型库；所述连续异常读出模块，用于计算观测偏离、原型偏离和群体偏离，并将三者融合得到最终连续异常分数，输出多变量时间序列异常检测结果。

48、所述连续异常读出模块包括观测偏离计算单元、原型偏离计算单元、群体偏离计算单元、稳健标准化单元和异常分数融合单元；

49、所述观测偏离计算单元用于计算输入窗口与恢复窗口之间的差异；所述原型偏离计算单元用于计算当前表示与稳定原型读取记忆之间的距离；所述群体偏离计算单元用于计算候选群体相对于稳定原型中心和群体一致性约束的偏离程度；所述稳健标准化单元用于对不同类型偏离分数进行尺度归一；所述异常分数融合单元用于生成最终连续异常分数；并可对观测偏离、原型偏离和群体偏离分别进行尺度归一后生成融合分数。

50、本发明创造的有益效果为：

51、有效提升了复杂协同异常的识别能力。本发明不再仅依赖单点误差或局部恢复误差，而是将正常性提升到高阶群体层面，通过原型诱导动态超图显式刻画变量集合是否仍保持正常协同结构，因此能够更好地处理多个变量分别轻微偏移但整体关系被破坏的异常情形。

52、增强了变量关系建模的动态适应能力。本发明通过稳定原型诱导节点—超边关联矩阵，使变量关系能够根据当前窗口状态动态形成，不需要完全依赖固定邻接矩阵或静态相关性，从而提高了模型对不同运行状态和不同变量组合关系的适应能力。

53、降低了正常模式库被污染的风险。本发明通过群体验证和更新资格矩阵对候选群体进行筛选，仅允许稳定且高置信的候选群体参与原型更新，避免异常片段、噪声片段或松散群体直接写入正常模式库，从而保持正常参照的稳定性和可靠性。

54、兼顾了正常模式的适应性与稳定性。本发明设置可演化原型库和稳定原型库，可演化原型库用于吸收可靠的正常模式变化，稳定原型库用于提供低污染、平滑的正常解释基准，从而在适应系统正常演化的同时避免检测基准剧烈波动。

55、形成了关系增强的连续异常读出机制。本发明将观测偏离、原型偏离和群体偏离共同纳入最终连续异常分数，使异常证据不仅来自输入恢复误差，还来自正常模式流形偏离和群体结构偏离，从而增强了对复杂多变量异常的刻画能力。

56、具备较强的实际应用价值。本发明适用于工业设备监测、服务器运行状态监控、传感器网络异常检测、网络流量监测、电力系统运行监测等多变量时间序列异常检测场景，能够为复杂系统的故障预警、异常定位和运行维护提供技术支持。