[论文解读] Automatic Anomaly Detection in the Cloud Via Statistical Learning

Jordan Hochenbaum, Owen Vallis+1 more|arXiv (Cornell University)|Apr 24, 2017

Anomaly Detection Techniques and Applications参考文献 65被引用 132

一句话总结

本文提出两种季节性异常检测方法，S-ESD 与 S-H-ESD，通过去除季节性并使用鲁棒统计，自动识别云指标中的异常。

ABSTRACT

Performance and high availability have become increasingly important drivers, amongst other drivers, for user retention in the context of web services such as social networks, and web search. Exogenic and/or endogenic factors often give rise to anomalies, making it very challenging to maintain high availability, while also delivering high performance. Given that service-oriented architectures (SOA) typically have a large number of services, with each service having a large set of metrics, automatic detection of anomalies is non-trivial. Although there exists a large body of prior research in anomaly detection, existing techniques are not applicable in the context of social network data, owing to the inherent seasonal and trend components in the time series data. To this end, we developed two novel statistical techniques for automatically detecting anomalies in cloud infrastructure data. Specifically, the techniques employ statistical learning to detect anomalies in both application, and system metrics. Seasonal decomposition is employed to filter the trend and seasonal components of the time series, followed by the use of robust statistical metrics -- median and median absolute deviation (MAD) -- to accurately detect anomalies, even in the presence of seasonal spikes. We demonstrate the efficacy of the proposed techniques from three different perspectives, viz., capacity planning, user behavior, and supervised learning. In particular, we used production data for evaluation, and we report Precision, Recall, and F-measure in each case.

研究动机与目标

• 在具有季节性和多模态时间序列的云/服务导向架构中自动异常检测的需求动机。
• 开发能够分离季节/趋势并应用鲁棒统计的异常检测方法。
• 在容量规划、用户行为和监督学习场景的生产数据上评估所提出的技术。
• 评估对高异常比例的鲁棒性并提供生产部署指南。

提出的方法

• 应用时间序列分解以获得季节、趋势和残差分量（使用带 LOESS 的修改 STL）。
• 对残差分量应用 ESD 检测异常（S-ESD）。
• 引入季节性混合 ESD（S-H-ESD），用稳健统计量中位数和 MAD 代替均值/标准差，以在更高异常比例下提升鲁棒性。
• 扩展 STL，通过使用序列中位数作为稳定的趋势表示来缓解虚假的残差异常。
• 提供增量部署方法，并在不同异常率下比较 S-ESD 与 S-H-ESD。

实验结果

研究问题

• RQ1 如何在云时间序列中有效处理季节性和多模态性以实现异常检测？
• RQ2 当大量数据异常时，鲁棒统计量（中位数和 MAD）是否能提升异常检测？
• RQ3 在容量规划、用户行为和监督异常注入的生产环境下，S-ESD 与 S-H-ESD 的比较性能如何？
• RQ4 在实时云监控环境中部署这些方法的实际考虑因素是什么？

主要发现

• S-ESD 在去除季节分量后能够检测全局和局部异常。
• 使用中位数和 MAD 的 S-H-ESD 在高比例异常时更鲁棒。
• 在生产数据上对系统指标和核心驱动因素进行了评估，报告 Precision、Recall 和 F-measure 跨视角。
• 在监控指标的生产部署中，选择 alpha=0.05 的 S-H-ESD 来检测异常。
• 异常检测已证明可支持容量规划、用户行为变化分析，以及带注入异常的监督学习实验。