基于異常檢測分析的網(wǎng)絡(luò)故障隱患發(fā)現(xiàn)方法

蔣家駒 王伊婷 趙 娟 紀(jì)應(yīng)天 呂 嚴(yán) 孟 浩

1.中國移動(dòng)紫金（江蘇）創(chuàng)新研究院；2.中國移動(dòng)通信研究院；3.中國移動(dòng)通信集團(tuán)江蘇有限公司

0 引言

隨著5G、NFV業(yè)務(wù)的逐步擴(kuò)大，網(wǎng)絡(luò)逐漸呈現(xiàn)出IT化、切片化、垂直化、定制化的四化特征。由于四化特征的影響，網(wǎng)絡(luò)專業(yè)細(xì)化越來越明顯，導(dǎo)致原本純專家經(jīng)驗(yàn)的運(yùn)維模式很難繼續(xù)維系，故障隱患越來越難被發(fā)現(xiàn)。針對(duì)這一難題，本文提出了一種基于異常值檢測的核心網(wǎng)隱患故障發(fā)現(xiàn)算法，通過引入設(shè)備告警、性能指標(biāo)、撥測數(shù)據(jù)、工程信息等網(wǎng)絡(luò)情況的表征數(shù)據(jù)，利用KDE（核密度估計(jì)）、PYOD（python異常檢測算法工具）等機(jī)器學(xué)習(xí)、深度學(xué)習(xí)算法，對(duì)網(wǎng)絡(luò)設(shè)備的表征數(shù)據(jù)的分布密度函數(shù)進(jìn)行重建，并基于此概率分布密度模型對(duì)數(shù)據(jù)存在的異常概率點(diǎn)進(jìn)行標(biāo)注，從而發(fā)現(xiàn)網(wǎng)絡(luò)中的異常點(diǎn)也就是故障隱患點(diǎn)。最后進(jìn)行多維網(wǎng)絡(luò)數(shù)據(jù)的橫向比較，從而判斷影響網(wǎng)絡(luò)健康的具體指標(biāo)，輸出健康度畫像報(bào)告。

1 相關(guān)背景和研究

故障隱患發(fā)現(xiàn)是現(xiàn)網(wǎng)設(shè)備運(yùn)行維護(hù)工作中的重要一環(huán)，維護(hù)人員通過對(duì)現(xiàn)網(wǎng)運(yùn)行數(shù)據(jù)進(jìn)行分析，從而發(fā)現(xiàn)網(wǎng)絡(luò)存在的故障隱患，并將其解決。目前主要的網(wǎng)絡(luò)故障隱患的發(fā)現(xiàn)方法有告警提示法、性能指標(biāo)法、業(yè)務(wù)撥測法。其中告警提示法是通過監(jiān)控設(shè)備告警來發(fā)現(xiàn)網(wǎng)絡(luò)故障，但是隨著設(shè)備的增多，僅靠人力已無法監(jiān)控全量告警信息，可能會(huì)出現(xiàn)漏失故障信息的情況。性能指標(biāo)法對(duì)網(wǎng)絡(luò)運(yùn)行中的各類業(yè)務(wù)KPI指標(biāo)設(shè)置固定閾值，當(dāng)指標(biāo)低于閾值時(shí)，便會(huì)產(chǎn)生相關(guān)告警，從而發(fā)現(xiàn)故障，但是固定閾值會(huì)導(dǎo)致該方法的適應(yīng)能力較差。業(yè)務(wù)撥測法會(huì)模擬用戶使用網(wǎng)絡(luò)業(yè)務(wù)，正常情況下，撥測都會(huì)順利完成，當(dāng)故障發(fā)生時(shí)，業(yè)務(wù)撥測會(huì)失敗，從而發(fā)現(xiàn)故障，但業(yè)務(wù)撥測法發(fā)現(xiàn)的故障在網(wǎng)絡(luò)中已經(jīng)真實(shí)發(fā)生，存在一定的滯后性，同時(shí)因?yàn)閾軠y需要占用大量卡號(hào)資源，使用成本較高?；诂F(xiàn)狀分析可以發(fā)現(xiàn)，研發(fā)一種對(duì)人力要求低、適應(yīng)能力強(qiáng)、實(shí)時(shí)性強(qiáng)的故障隱患發(fā)現(xiàn)方法就是運(yùn)營商迫切需要解決的問題。

近年來，隨著人工智能水平的發(fā)展，基于大數(shù)據(jù)的異常檢測方法已經(jīng)逐步完善，Markus等提出了基于直方圖的異常值得分方法（Histogram-based Outlier Score，HBOS），通過分析歷史的離群點(diǎn)檢測異常；Yue Zhao等提出的多個(gè)異常檢測算法的并行集成框架（Locally Selective Combination in Parallel Outlier Ensembles，LSCP）提供了多異常模型并行處理思路；Breunig等提出了局部離群因子檢測方法（Local Outlier Factor，LOF），通過分析樣本點(diǎn)的鄰域密度檢測異常；Kriegel等提出了基于角度的離群點(diǎn)檢測方法（Angle-based outlier detection，ABOD），通過計(jì)算每個(gè)樣本與所有其他樣本對(duì)所形成的夾角的方差檢測異常。通過這些異常檢測算法可以發(fā)現(xiàn)與大部分樣本不同的對(duì)象，也就是數(shù)據(jù)的離群點(diǎn)。對(duì)于網(wǎng)絡(luò)的運(yùn)行指標(biāo)而言，通過異常檢測發(fā)現(xiàn)的離群點(diǎn)就可能是網(wǎng)絡(luò)的運(yùn)行異常狀態(tài)表征。

2 基于異常檢測的網(wǎng)絡(luò)隱患發(fā)現(xiàn)方法

前文所述的，通過異常檢測方法可以發(fā)現(xiàn)網(wǎng)絡(luò)指標(biāo)的離群點(diǎn)，也就是網(wǎng)絡(luò)的異常狀態(tài)。目前網(wǎng)絡(luò)狀態(tài)表征數(shù)據(jù)主要有告警數(shù)據(jù)、性能數(shù)據(jù)、撥測數(shù)據(jù)、工程割接數(shù)據(jù)等。

告警數(shù)據(jù)波動(dòng)是網(wǎng)絡(luò)狀態(tài)出現(xiàn)異常時(shí)最為直觀的體現(xiàn)，其中告警量size，為當(dāng)前5分鐘時(shí)間切片內(nèi)的告警量；1天環(huán)比告警量差值diff1day為當(dāng)前時(shí)刻與昨日同時(shí)刻告警量的差值大小，計(jì)算公式diff1day=sizetoday-sizeyesterday；1周環(huán)比告警量差值diff7day為當(dāng)前時(shí)刻與上周同時(shí)刻告警量的差值，計(jì)算公式diff7day=sizetoday-sizelastweek；同池組告警量差值pool_diff為當(dāng)前時(shí)刻下，本設(shè)備與本設(shè)備所屬的池組下其他設(shè)備的告警量差值，計(jì)算公式pool_diff=sizetoday-1/nΣpoolsize。對(duì)告警量、1天環(huán)比告警量差值、1周環(huán)比告警量差值、同池組告警量差值進(jìn)行異常檢測可以捕捉設(shè)備自身或池組內(nèi)部的告警異常波動(dòng)情況。

性能數(shù)據(jù)是網(wǎng)絡(luò)設(shè)備運(yùn)行穩(wěn)定性的體現(xiàn)指標(biāo)，根據(jù)網(wǎng)絡(luò)設(shè)備的不同分類，如表1所示，又可將性能指標(biāo)分為信令面指標(biāo)和用戶面指標(biāo)兩類，對(duì)這兩類性能指標(biāo)進(jìn)行異常檢測可以發(fā)現(xiàn)網(wǎng)絡(luò)中出現(xiàn)波動(dòng)的不穩(wěn)定點(diǎn)。

表1 模型輸入性能數(shù)據(jù)表

將告警數(shù)據(jù)、性能數(shù)據(jù)以及撥測數(shù)據(jù)和工程割接數(shù)據(jù)帶入異常檢測模型進(jìn)行計(jì)算，模型選擇python的異常檢測工具PYOD庫，選取的算法包含以下12種異常檢測算法，如表2所示，并按圖1流程進(jìn)行模型分析，最終輸出數(shù)據(jù)是否異常的判定結(jié)果。

圖1 PYOD異常檢測流程圖

表2 PYOD庫引入算法表

網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)經(jīng)過異常檢測模型會(huì)輸出當(dāng)前時(shí)刻是否為異常的判斷，但此時(shí)并不確定哪個(gè)數(shù)據(jù)維度才是引起設(shè)備異常的主因，所以還需要進(jìn)行主要異常維度判斷。在輸入核密度估計(jì)模型進(jìn)行主因確認(rèn)前，需要對(duì)多維數(shù)據(jù)進(jìn)行預(yù)處理：

（1）對(duì)于信令面性能指標(biāo)“TAU成功率”、“附著成功率”、“業(yè)務(wù)請(qǐng)求成功率”、“X2切換成功率”、“尋呼成功率”，用戶面性能指標(biāo)“HTTP會(huì)話響應(yīng)成功率大于500KB”，采用公式1進(jìn)行預(yù)處理計(jì)算：

其中p為原始值，p'為預(yù)處理后后續(xù)模型的輸入值。

（2）對(duì)于上述經(jīng)過公式1計(jì)算的信令面指標(biāo)以及用戶面性能指標(biāo)“HTTP會(huì)話平均響應(yīng)時(shí)延大于500KB（ms）”、“HTTP下載速率大于500KB（Kbps）”、“HTTP500下行流量（MB）”，采用公式2來進(jìn)行歸一化處理：

其中x為原始值，xmin為7日內(nèi)該維度的最小值，xmax為7日內(nèi)的最大值，x'為預(yù)處理后后續(xù)模型的輸入值。

（3）對(duì)于告警類數(shù)據(jù)“size”、“diff1day”、“diff7day”、“pool_diff”，首先進(jìn)行歸一化處理：

其中a為原始值，amin為7日內(nèi)該維度的最小值，amax為7日內(nèi)的最大值，a'為歸一化值。

考慮到size的業(yè)務(wù)含義即網(wǎng)元告警量滿足泊松分布，開方處理使這些指標(biāo)轉(zhuǎn)變?yōu)楦咚狗植?，并保留符?hào)：

其中a'為公式3得出的歸一化值，a''為高斯變換后的值。

將預(yù)處理后的數(shù)據(jù)輸入核密度KDE模型進(jìn)行密度擬合，輸入數(shù)據(jù)的時(shí)間長度為近7日，總計(jì)7*12*24=2016個(gè)輸入數(shù)據(jù)。由于數(shù)據(jù)已經(jīng)轉(zhuǎn)變?yōu)楦咚狗植迹x擇高斯核的核密度函數(shù)繼續(xù)計(jì)算：

其中K（x）為核密度函數(shù)，這里使用了高斯核密度函數(shù)。x為輸入數(shù)據(jù)。h為帶寬（bandwidth），是模型訓(xùn)練的另一個(gè)參數(shù)，這里使用公式6進(jìn)行確定：

其中R（k），m2（k）滿足：

n為輸入數(shù)據(jù)數(shù)，即2016。

至此可利用公式5進(jìn)行核密度估計(jì)，計(jì)算得到輸入數(shù)據(jù)的change degree，也就是在核密度中的概率，流程如圖2所示。

圖2 核密度估計(jì)變化率計(jì)算流程圖

由于核密度估計(jì)為純數(shù)據(jù)分析，在結(jié)果輸出時(shí)還需結(jié)合固化經(jīng)驗(yàn)對(duì)其進(jìn)行修正，以增加結(jié)果準(zhǔn)確性。

（1）對(duì)于信令面性能指標(biāo)“TAU成功率”、“附著成功率”、“業(yè)務(wù)請(qǐng)求成功率”、“X2切換成功率”、“尋呼成功率”，用戶面性能指標(biāo)“HTTP會(huì)話響應(yīng)成功率大于500KB”、“HTTP下載速率大于500KB（Kbps）”，這7個(gè)指標(biāo)出現(xiàn)原始值大于歷史7天均值時(shí)，change degree置為0。

（2）對(duì)于用戶面性能指標(biāo)“HTTP會(huì)話平均響應(yīng)時(shí)延大于500KB（ms）”，當(dāng)指標(biāo)原始值小于歷史7天均值時(shí)，將對(duì)應(yīng)change degree置為0。

（3）對(duì)于用戶面性能指標(biāo)“HTTP500下行流量（MB）”，設(shè)fnow為今日流量，fyesterday為昨日同時(shí)間流量，則當(dāng)滿足時(shí)，change degree置為0。

經(jīng)過修正后，比較各數(shù)據(jù)維度的change degree，其中值最大的維度是引起異常的主要因素，也就是主要的故障隱患點(diǎn)。

3 方案實(shí)現(xiàn)與結(jié)果驗(yàn)證

如前所述，將網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)通過PYOD的異常檢測算法和核密度估計(jì)算法，可以輸出網(wǎng)絡(luò)運(yùn)行數(shù)據(jù)中是否存在異常點(diǎn)，以及引起異常的主要因素。按圖1、圖2流程進(jìn)行算法部署。

采用現(xiàn)網(wǎng)數(shù)據(jù)輸入模型進(jìn)行實(shí)驗(yàn)，告警數(shù)據(jù)按5分鐘粒度進(jìn)行切片，性能數(shù)據(jù)按5分鐘粒度文件入庫，數(shù)據(jù)集一天總計(jì)共12*24=288個(gè)。模型異常檢測輸出結(jié)果如圖3所示。

圖3 異常點(diǎn)檢測結(jié)果

抽取了LTE核心網(wǎng)3個(gè)網(wǎng)元進(jìn)行結(jié)果驗(yàn)證：

MME1：總共1533個(gè)結(jié)果，判斷為異常的點(diǎn)數(shù)為12，判定正確的異常數(shù)為8，即TP=8，判定錯(cuò)誤的異常為4，即FP=4，不存在未定位出的異常，即FN=0，TN=1533-12=1521?？?算 出 準(zhǔn) 確 率ACC=（8+1521）/（8+4+1521）=99.74%，精準(zhǔn)率P=8/12=66.7%，召回率R=8/（8+0）=100%，F(xiàn)1=2*66.7%*100%/（66.7%+100%）=80%。

MME2：總共1439個(gè)結(jié)果，判定為異常的點(diǎn)數(shù)為43，TP=19，F(xiàn)P=24，F(xiàn)N=0，TN=1439-43=1396，ACC=（19+1396）/（19+24+1396）=98.33%，P=19/（19+24）=44.19%，R=19/（19+0）=100%，F(xiàn)1=2*44.19%*100%/（44.19%+100%）=61.29%。

SAEGW3：總共1249個(gè)結(jié)果，判定為異常的點(diǎn)數(shù)為1，TP=1，F(xiàn)P=0，F(xiàn)N=0，TN=1248，ACC=（1+1248）/（1+1248）=100%，P=1/（1+0）=100%.R=1/（1+0）=100%，F(xiàn)1=2*100%*100%/（100%+100%）=100%。

綜上平均準(zhǔn)確率ACC=（99.74%+98.33%+100%）/3=99.36%。

精準(zhǔn)率P=（66.7%+44.19%+100%）/3=70.3%。

召回率R=（100%+100%+100%）/3=100%。

F1=（80%+61.29%+100%）= 80.43%。

從實(shí)驗(yàn)結(jié)果可以看出，在LTE核心網(wǎng)元的異常檢測中算法的平均準(zhǔn)確率達(dá)到了99.36%，F(xiàn)1值達(dá)到了80.43%，取得了不錯(cuò)的效果。

此外基于實(shí)驗(yàn)結(jié)果，將本文所提出的異常檢測法與目前現(xiàn)行的幾種方法進(jìn)行分析判斷時(shí)間對(duì)比，如表3所示，可以看到異常檢測法在目前三類主要的故障類型中均優(yōu)于其他三種方法，具備較強(qiáng)的應(yīng)用場景適應(yīng)能力。這也體現(xiàn)了本方法在現(xiàn)網(wǎng)運(yùn)維中具有較高的使用價(jià)值。

表3 各類方法故障判斷時(shí)間對(duì)比表

4 結(jié)束語

隨著網(wǎng)絡(luò)技術(shù)的演進(jìn)，網(wǎng)絡(luò)監(jiān)控維護(hù)工作也變得日益復(fù)雜。本文就網(wǎng)絡(luò)隱患故障的發(fā)現(xiàn)方法進(jìn)行探討，提出了一種基于異常檢測分析的網(wǎng)絡(luò)隱患故障發(fā)現(xiàn)方法。從本文的實(shí)驗(yàn)結(jié)果可以發(fā)現(xiàn)，這一算法相較于現(xiàn)行的方法而言，具有更廣的應(yīng)用場景和較高的準(zhǔn)確性，已經(jīng)具備現(xiàn)網(wǎng)的使用價(jià)值，為提高網(wǎng)絡(luò)維護(hù)效率，降低網(wǎng)絡(luò)故障風(fēng)險(xiǎn)帶來了新的思路。