WSN中基于超橢圓判決邊界的異常檢測的動態(tài)建模

方小明，劉艷梨

(江蘇安全技術(shù)職業(yè)學院 電氣工程學院，江蘇 徐州 232001)

0 引言

在有線感知基礎(chǔ)設(shè)施部署過于昂貴或不能實現(xiàn)的環(huán)境中，無線傳感器網(wǎng)絡(luò)(WSN，wireless sensor network)為監(jiān)測和數(shù)據(jù)收集提供了一個成本高效的平臺[1-2]。WSN由一組節(jié)點構(gòu)成，每個節(jié)點都配備一組感知設(shè)備。在每個節(jié)點上安裝不同的感知元件(如溫度和濕度傳感器)，使得WSN能夠收集大量多維的和相關(guān)的樣本。WSN的一個重要挑戰(zhàn)是檢測由周圍環(huán)境中感興趣的事件或節(jié)點故障引起的異常測量值。在節(jié)點上發(fā)現(xiàn)異常測量值，使得我們可以通過減少網(wǎng)絡(luò)上原始數(shù)據(jù)的通信，節(jié)省無線節(jié)點的有限資源。為了檢測異常，需要對節(jié)點的行為進行建模。

人們提出了各種數(shù)據(jù)挖掘方法來建立節(jié)點的行為模型。在分散式方法中，WSN中的每個節(jié)點都建立一個自身正常行為的局部模型，將局部模型的參數(shù)轉(zhuǎn)發(fā)到基站或簇頭，然后根據(jù)局部模型計算全局模型。近年來，人們提出了許多采用這種方法的不同數(shù)據(jù)建模方法。然而，這些模型大多為靜態(tài)模型，不能適應(yīng)環(huán)境中的變化。此外，這些模型的準確性依賴于初始訓練周期的正確選擇。如果初始訓練周期不能很好地代表將來的測量值，模型就是失敗的。因此，重要的問題是如何持續(xù)學習非平穩(wěn)環(huán)境中的行為模型，即如何檢測非平穩(wěn)環(huán)境中的異常事件。

異常檢測是WSN中一個活躍的研究課題。在WSN中，異常檢測技術(shù)已應(yīng)用于許多方面，包括入侵檢測、事件檢測和質(zhì)量保證[3-5]。在這些應(yīng)用中，有許多因素會影響異常檢測的使用，如傳感器的移動、環(huán)境條件(有利的或不利的)、環(huán)境的動態(tài)性和能量約束。因此，異常檢測技術(shù)在實際應(yīng)用中的一個關(guān)鍵問題是如何將其推廣到具有動態(tài)變化的在線數(shù)據(jù)流中。

文獻[6]提出了一類支持向量機(SVM，support vector machine)模型來發(fā)現(xiàn)WSN數(shù)據(jù)中的異?，F(xiàn)象。這種方法主要假設(shè)所有的訓練數(shù)據(jù)都可以在傳感器上獲得，并且訓練以批處理的方式進行。盡管這些方法可以為正常數(shù)據(jù)提供良好的決策邊界，但它們對于每個傳感器有很高的計算開銷；文獻[7]提出了一種基于長短期記憶網(wǎng)絡(luò)自編碼(LSTM-Autoencoder)的網(wǎng)絡(luò)流量異常檢測方法，將真實網(wǎng)絡(luò)流量從數(shù)據(jù)包和會話流級別兩方面提取數(shù)據(jù)特征，采用離散小波變換(DWT，discrete wavelet transform)分解原始特征向量得到更高維特征，用已訓練的LSTM-Autoencoder模型對訓練數(shù)據(jù)進行重構(gòu)，通過分析重構(gòu)誤差分布確定檢測閾值。該方法的主要缺點首先是訓練對數(shù)據(jù)中的噪聲敏感，其次很難理解是什么觸發(fā)了報告的異常；文獻[8-9]把超橢圓邊界用來建模系統(tǒng)的正常行為與批處理訓練。這種方法允許訓練數(shù)據(jù)中存在噪聲，并向用戶報告?zhèn)€別異常。然而，其超橢圓邊界是在一個訓練周期上計算的，而且要求節(jié)點在訓練期間將測量值保存在存儲器中，在訓練結(jié)束時所有的測量值以批處理方式處理。盡管這些方法在計算上是高效的，但它們不能適應(yīng)環(huán)境中的變化，是一種靜態(tài)模型。作為比較，本文將這種方法稱為靜態(tài)數(shù)據(jù)捕獲異常檢測(SDCAD，static data capture anomaly detection)；文獻[10]提出了一種基于四分之一超球SVM算法的異常數(shù)據(jù)檢測方法，利用從傳感器節(jié)點中收集到的原始數(shù)據(jù)建立支持向量機預(yù)測模型，并結(jié)合粒子群算法找出最佳參數(shù)，然后利用最佳參數(shù)對原本的模型進行優(yōu)化；文獻[11]提出了一種新的時間-空間-屬性單類超球面支持向量機來建模WSN中的異常事件檢測問題，并提出了在線和部分在線離群點檢測算法。但部分在線離群點算法在訓練和更新時需要大量的計算；文獻[12]提出了一種累積和(CS，cumulative sum)算法來檢測網(wǎng)絡(luò)異常。盡管基于CS的異常檢測算法計算效率高，但基于其閾值的檢測機制通常不能準確地建模正常行為；文獻[13]提出了數(shù)據(jù)流自回歸模型的迭代估計，并采用CS作為在線異常檢測；對于多維數(shù)據(jù)中的異常檢測是著名的批(子群)處理技術(shù)，它采用馬氏距離[9，14-15]進行異常檢測；文獻[16]提出了一種基于改進壓縮感知(CS，compressed sensing)重構(gòu)算法和智能優(yōu)化GM(1，1)的WSN異常檢測方法。首先通過建立雙層異質(zhì)WSN異常檢測模型，并采用壓縮感知技術(shù)對上層觀測節(jié)點收集到的下層檢測節(jié)點溫度測量數(shù)據(jù)進行處理，同時結(jié)合溫度數(shù)據(jù)稀疏度未知特點，構(gòu)造有效的稀疏矩陣和測量矩陣，并重新定義測量矩陣正交變換預(yù)處理策略，使得CS觀測字典滿足約束等距條件；其次，重新定義離散蜘蛛編碼方式，蜘蛛種群不斷協(xié)同進化，以獲得稀疏結(jié)果中非零元素的位置信息，利用最小二乘法得到非零元素的幅度信息，實現(xiàn)對未知數(shù)量檢測節(jié)點數(shù)據(jù)的精確重構(gòu)，在此基礎(chǔ)上采用蜘蛛種群迭代進化得到優(yōu)化后GM(1，1)的參數(shù)序列，通過檢測參數(shù)序列的相關(guān)閾值來判定節(jié)點是否發(fā)生異常；文獻[17]提出了一種基于傳感器網(wǎng)絡(luò)時間序列數(shù)據(jù)的檢測方法，方法利用傳感器采集的K個正常數(shù)據(jù)的中位數(shù)建立樞軸量，構(gòu)造置信區(qū)間，并提出了一種計算數(shù)據(jù)區(qū)間差異度的方法來判斷發(fā)生異常的來源。實驗結(jié)果表明，該方法對傳感器網(wǎng)絡(luò)的異常數(shù)據(jù)檢測率保持在98%以上，誤報率保持在0.5%以下，具有一定的實用性；文獻[18]提出一種基于平衡迭代規(guī)約層次聚類(BIRCH，balanced iterative reducing and clustering using hierarchies)的WSN流量異常檢測方案。該方案在擴充流量特征維度的基礎(chǔ)上，利用BIRCH算法對流量特征進行聚類，并通過設(shè)計動態(tài)簇閾值和鄰居簇序號優(yōu)化BIRCH聚類過程來提高算法的聚類質(zhì)量和性能魯棒性。進一步設(shè)計了基于拐點的綜合判決機制，結(jié)合預(yù)測，聚類結(jié)果對流量進行異常檢測，以保證方案的檢測準確性；為了提高無線傳感網(wǎng)絡(luò)的魯棒性，針對目前的網(wǎng)絡(luò)漏洞檢測方法無法計算出相鄰節(jié)點的相對位置信息，存在無線傳感器網(wǎng)絡(luò)漏洞檢測誤差大的問題，文獻[19]提出了先利用覆蓋漏洞發(fā)現(xiàn)算法組建傳感器極點坐標，獲取最相近節(jié)點間位置信息，計算出任意節(jié)點被其最相近節(jié)點覆蓋的邊緣弧信息序列，然后得到對應(yīng)傳感器節(jié)點間需要增加的新傳感器數(shù)量，從而實現(xiàn)無位置信息的無線傳感器網(wǎng)絡(luò)漏洞檢測方法；文獻[20]針對WSN中傳感器自身安全性低、檢測區(qū)域惡劣及資源受限造成節(jié)點采集數(shù)據(jù)異常的問題，提出了一種基于圖信號處理的WSN異常節(jié)點檢測算法。算法首先依據(jù)傳感器位置特征建立-近鄰圖信號模型，然后基于圖信號在低通濾波前后的平滑度之比構(gòu)建統(tǒng)計檢驗量，最后通過統(tǒng)計檢驗量與判決門限實現(xiàn)異常節(jié)點存在性的判斷。通過在公開的氣溫數(shù)據(jù)集與PM2.5數(shù)據(jù)集上的仿真驗證結(jié)果表明，與基于圖頻域異常檢測算法相比，在單個節(jié)點異常情況相同條件下，所提出的算法檢測率提升了7個百分點。在多個節(jié)點異常情況相同條件下，其檢測率均達到98%，并且在網(wǎng)絡(luò)節(jié)點異常偏離值較小時仍具有較高的檢測率。

為了實現(xiàn)WSN中動態(tài)數(shù)據(jù)流環(huán)境的異常檢測，本文提出了一種迭代方法來建立超橢圓判決邊界，其中每個節(jié)點基于到當前時間為止的測量值來調(diào)整其超橢圓模型，本文將提出的這種方法稱為動態(tài)數(shù)據(jù)捕獲異常檢測(DDCAD，dynamic data capture anomaly detection)。當邊界參數(shù)變化較小時，DDCAD算法終止；同時，還提出了一種遺忘因子方法來提高模型在非平穩(wěn)環(huán)境中的跟蹤能力；仿真實驗結(jié)果表明，提出的方法通過適應(yīng)環(huán)境中的變化，在非平穩(wěn)環(huán)境中比現(xiàn)有的批處理方法能夠獲得更高的準確性，更適合于實際應(yīng)用。

1 動態(tài)數(shù)據(jù)流環(huán)境下的迭代超橢圓邊界算法

首先給出描述異常檢測超橢圓模型所需的定義。令Xk={x1，x2，…，xk}為一個WSN中的一個節(jié)點在時刻{t1，t2，…，tk}的前k個樣本，其中每個樣本是Rd中的一個d×1向量。向量中的每個元素表示由節(jié)點測量的感興趣的屬性，如溫度和相對濕度。Xk的樣本均值mk和樣本協(xié)方差Sk計算如下：

(1)

(2)

以具有協(xié)方差矩陣Sk的、以mk為中心的有效半徑t的超橢圓定義為：

(3)

超橢圓ek的邊界定義為：

(4)

定義1：將關(guān)于ek的單點一階異常定義為在其外面的任意數(shù)據(jù)向量x∈Rd，即對于ek來說：

(5)

已知節(jié)點在tk的樣本，要處理節(jié)點上的下一個樣本。在tk+1，我們記錄測量向量xk+1∈Rd。首先，用式(5)來測試xk+1，然后用它來增大ek。如果xk+1?ek，就聲明它是一個異常，并將它發(fā)送給基站進行進一步處理。特征矩陣迭代更新公式為：

(6)

(7)

我們采用S-1=I(其中I是單位陣)，而不采用從前幾個樣本獲得的估計值來初始化迭代方法，因為前幾個樣本通常會產(chǎn)生一個奇異的樣本協(xié)方差矩陣。

我們用正常和異常測量值來增大ek。假設(shè)大部分數(shù)據(jù)都是正常的，因此可以抵消用異常測量值進行更新的任何不希望的影響。然而，也可以設(shè)計更復(fù)雜的方法，以不同的方式處理異常。這時應(yīng)考慮異常是否是環(huán)境中的正常變化(漂移)。這類分析需要額外的輸入來確定異常的類型。

圖1 DDCAD序列ek收斂到其最終狀態(tài)e818=es

2 采用遺忘因子的跟蹤能力

為了使DDCAD算法能夠跟蹤監(jiān)測環(huán)境中的數(shù)據(jù)變化，我們?yōu)榕f的測量值引入遺忘因子。通過引入遺忘因子0<λ2的樣本均值：

mk+1，λ=λmkλ+(1-λ)xk+1

(8)

對于k個樣本，采用指數(shù)遺忘因子λ的加權(quán)樣本協(xié)方差為：

(9)

首先要找到考慮遺忘因子的迭代協(xié)方差矩陣更新公式，然后得出特征矩陣的迭代更新公式。通過整理式(9)，可以基于上一步的協(xié)方差矩陣加上一個更新值，寫出k+1時刻的協(xié)方差矩陣的更新公式。式(10)為協(xié)方差矩陣的一步更新：

(10)

將式(10)中的mk+1替換為式(8)中mk+1可得：

(11)

為了計算特征矩陣的更新公式，我們用矩陣逆引理式(12)來求兩個矩陣的和的逆。假設(shè)E是可逆的且B是一個方陣。注意，在本文中，E是一個數(shù)，C和D是向量。將這個引理應(yīng)用到式(11)中，經(jīng)過重新整理，得到式(13)：

(B+CED)-1=B-1-B-1C(E-1+DB-1C)-1DB-1

(12)

(13)

把用式(8)和式(13)對ek的更新序列稱為遺忘因子DDCAD(FFDDCAD，forgetting factor DDCAD)。

圖2 采用FFDDCAD在每次更新后特征矩陣的特征值

2.1 采用滑動窗口的基準估計

為了限制FFDDCAD更新公式中k的增長，可以在大小為w的滑動窗口上采用FFDDCAD。為了提供比較基準，從窗口開始重新計算總體估計，以便在每次輸入后得到準確的FFDDCAD橢圓。對于在線算法來說，盡管這種方法的計算效率不高，但它提供了采用主動測量值的超橢圓邊界的精確值(即在滑動窗口中的測量值)，并用作基準，作為比較在計算中限制大k效應(yīng)所提出的方法。

2.2 有效N跟蹤方法

在這種方法中，為了解決跟蹤k較大的問題，當k≥neff時，我們簡單地用不變的neff來代替式(13)中的k。其思想是在k≥neff后，分配給數(shù)據(jù)樣本的權(quán)重趨于0，即λk≌0，因此相應(yīng)的樣本幾乎被完全遺忘。在本文中，取neff=3τ，其中τ=1/(1-λ)為具有指數(shù)遺忘因子λ的迭代算法的記憶范圍?；鶞史椒ê陀行跟蹤方法的示意如圖3所示。方框所示為在橢圓邊界計算中所考慮的樣本。在有效N跟蹤方法中，舊樣本的權(quán)重按指數(shù)下降。

1.英語中有些以a-為詞首的表語形容詞如asleep，awake，alive修飾名詞時須放在其所修飾的名詞后做后置定語。例如：

圖3 在樣本k和k+1的基準方法和有效N方法的示意圖

2.3 計算復(fù)雜度討論

在計算復(fù)雜度方面，SDCAD、DDCAD和FFDDCAD都需要對數(shù)據(jù)進行一次遍歷，所以它們的計算復(fù)雜度都隨n線性增長，有漸近復(fù)雜度O(nd2)；迭代方法(DDCAD和FFDDCAD)以在線處方式處理數(shù)據(jù)，具有恒定的存儲復(fù)雜度，而SDCAD方法的存儲需求隨n線性增長；采用有效N跟蹤的FFDDCAD準確性和效率使得其適合于在線流數(shù)據(jù)分析，特別是在WSN中。

3 仿真實驗

本節(jié)首先給出在評價不同方法時采用的數(shù)據(jù)集，然后比較提出的采用有效N方法和基準方法的FFDDCAD，并比較了兩種FFDDCAD方法在合成數(shù)據(jù)集上的檢測率和誤報率。在合成數(shù)據(jù)集中，將[-10 10]上的均勻噪聲隨機加入到1%的樣本中，并將這些樣本標記為異常，而其他剩余的樣本視為正常。另一種比較方法是基于與提出的基準方法的偏差而引入的，這種方法不需要標記數(shù)據(jù)集，因此允許采用實際的數(shù)據(jù)集進行比較。接下來，我們比較了FFDDCAD相比于SDCAD在異常檢測上的效果。最后，我們比較了本文提出的采用有效N方法的FFDDCAD與和文獻[13]中提出的變化檢測技術(shù)。

3.1 數(shù)據(jù)集

采用3個數(shù)據(jù)集來評價本文提出的異常檢測迭代模型，并將其與現(xiàn)有的靜態(tài)方法進行比較。第一個數(shù)據(jù)集(稱為DS1)由某院校物聯(lián)網(wǎng)研究實驗室的54個傳感器收集的測量數(shù)據(jù)構(gòu)成；第二個數(shù)據(jù)集(稱為DS2)是從部署在某市城市道路之間的23個交通傳感器收集的數(shù)據(jù)；第三個數(shù)據(jù)集(稱為DS3)是由部署在某市小鎮(zhèn)的森林中的16個傳感站收集的數(shù)據(jù)。圖4為3個數(shù)據(jù)集的散點圖。

圖4 用于評價的數(shù)據(jù)集的散點圖

通過考慮具有不同正態(tài)分布N(∑1，μ1)和N(∑2，μ2)的M1和M2兩種模式的兩個合成數(shù)據(jù)集SDS1和SDS2如圖5所示。模式M1和M2的參數(shù)值如表1所示。M1為初始模式，M2為最終模式。M1的變換如下。

表1 用于生成合成數(shù)據(jù)集的兩個正態(tài)分布的參數(shù)

圖5 用于評價的合成數(shù)據(jù)集的散點圖

3.2 DDCAD的收斂性

運行第2節(jié)中提出的DDCAD方法，并將其與計算整個數(shù)據(jù)集的協(xié)方差矩陣和均值的批處理SDCAD方法[9]進行比較。采用焦距(兩個橢圓之間的距離的量度)來檢查DDCAD的最終橢圓邊界與SDCAD的距離有多近。焦距考慮了兩個橢圓的形狀和位置，結(jié)果如圖6所示。圖6中點構(gòu)成的虛線橢圓為DDCAD得到的最終橢圓，實線構(gòu)成的橢圓為采用SDCAD方法得到的最終橢圓；可以看到，DDCAD算法和SDCAD算法的最終結(jié)果非常相似，兩個最終橢圓之間的焦距即FD(en，ens)非常小，對于DS1為0.001 6，DS2為0.001 4，DS3為0.002 4。這些小的距離并沒有對最終的邊界產(chǎn)生視覺上的明顯影響。

圖6 采用DDCAD和SDCAD得到的最終橢圓邊界與相應(yīng)的焦距

3.3 跟蹤能力的比較

為了比較提出的跟蹤方法，我們首先用合成數(shù)據(jù)集來比較所提出的異常檢測模型的準確性。對于基準方法，考慮300個樣本的窗口大小。同樣，neff設(shè)置為300個樣本。表2所示為兩種跟蹤方法的檢測率和誤報率，其中DR表示檢測率，F(xiàn)A表示誤報率?？梢姡行跟蹤方法具有與基準方法相當?shù)臏蚀_性。這說明有效N跟蹤方法是基準方法的良好近似，neff可以代替跟蹤迭代公式中的k來當解決k變大時的不穩(wěn)定性問題。

表2 不同跟蹤方法在合成數(shù)據(jù)集上的比較

3.4 異常檢測能力的比較

我們對兩個合成數(shù)據(jù)集SDS1和SDS2比較采用有效N跟蹤方法的FFDDCAD和文獻[9]提出的SDCAD方法，得到的檢測率和誤報率如表3所示?？梢?，在代表非平穩(wěn)環(huán)境的這兩個數(shù)據(jù)集中，采用有效N跟蹤方法的FFDDCAD比批處理的SDCAD方法有更高的準確性。這是因為用于批處理學習的數(shù)據(jù)不是來自單個分布，所以正態(tài)性假設(shè)很弱，從而導(dǎo)致模型無法檢測異常。

表3 異常檢測能力的比較 %

3.5 數(shù)據(jù)流中的變化檢測

本節(jié)比較了本文提出的FFDDCAD方法與文獻[13]的方法用于數(shù)據(jù)流的在線異常檢測。在數(shù)據(jù)流分析中，通常采用動態(tài)預(yù)測模型和殘差分析(如CS)來檢測數(shù)據(jù)流中的變化或異常。為便于比較，我們不直接采用文獻[13]的方法，而是采用遞歸最小二乘(RLS，recursive least squares)迭代建立以濕度作為輸入(激勵信號)的溫度預(yù)測的自回歸各態(tài)歷經(jīng)(ARX，autoregressive eXogenous)模型，階數(shù)為np=4，并對其殘差應(yīng)用CS來發(fā)現(xiàn)數(shù)據(jù)流的變化。FFDDCAD的定義是發(fā)現(xiàn)單點異常，并且可以很容易地修改來檢測變化點。當FFDDCAD模型在數(shù)據(jù)流中發(fā)現(xiàn)na個連續(xù)的單點異常時，它可以發(fā)出變化信號。

由于在實際的數(shù)據(jù)集中缺乏基本的真實性，這使得很難解釋變化的點。因此，這里我們僅采用DS1和兩個合成數(shù)據(jù)集來比較兩種方法的結(jié)果。ARX/RLS和FFDDCAD在初始狀態(tài)時都視為是不準確的，因此，延遲采用這兩個模型對初始化后的前nd=50樣本進行異常檢測。注意，在每個變化點之后，模型重置回其初始狀態(tài)。

圖7為ARX/RLS方法和FFDDCAD方法對于數(shù)據(jù)流變化檢測的結(jié)果，加號表示變化點；可見，F(xiàn)FDDCAD方法和ARX/RLS方法對于DS1的性能是相當?shù)?，但采用FFDDCAD方法可以檢測到更多的變化點，表明FFDDCAD方法優(yōu)于ARX/RLS方法；而對于SDS1，ARX/RLS方法不能發(fā)現(xiàn)模式之間的變化點，而FFDDCAD方法可以檢測到5個變化點；在SDS2中，F(xiàn)FDDCAD方法可以檢測所有模式變化，而ARX/RLS方法僅檢測到一個模式變化；總之，F(xiàn)FDDCAD方法對于數(shù)據(jù)流變化的檢測始終優(yōu)于ARX/RLS方法。

圖7 ARX/RLS(左)與FFDDCAD(右)對于數(shù)據(jù)流分析和變化點檢測的比較

4 結(jié)束語

本文針對WSN中的異常檢測提出了一種迭代模型，其迭代性使得它更適合于流數(shù)據(jù)分析；此外，在模型中引入遺忘因子，使其適合于非平穩(wěn)環(huán)境；評價表明，提出的方法可以密切跟蹤環(huán)境中的變化，在非平穩(wěn)環(huán)境中能獲得比批處理方法更好的準確性。同時在數(shù)據(jù)流的異常檢測中，本文提出的采用遺忘因子的FFDDCAD可以更好地檢測環(huán)境中的變化，計算復(fù)雜度也比目前先進的方法更低。