[论文解读] Real-Time Anomaly Detection for Streaming Analytics

Subutai Ahmad, Scott Purdy|arXiv (Cornell University)|Jul 8, 2016

Anomaly Detection Techniques and Applications参考文献 24被引用 77

一句话总结

本文提出了一种基于分层时间记忆（HTM）的实时异常检测系统，可检测流式时间序列数据中的空间异常和时间异常。该方法能持续从数据中学习，适应统计变化，并在NAB基准测试中实现最先进性能，具有低误报率和对细微行为偏移的早期检测能力。

ABSTRACT

Much of the worlds data is streaming, time-series data, where anomalies give significant information in critical situations. Yet detecting anomalies in streaming data is a difficult task, requiring detectors to process data in real-time, and learn while simultaneously making predictions. We present a novel anomaly detection technique based on an on-line sequence memory algorithm called Hierarchical Temporal Memory (HTM). We show results from a live application that detects anomalies in financial metrics in real-time. We also test the algorithm on NAB, a published benchmark for real-time anomaly detection, where our algorithm achieves best-in-class results.

研究动机与目标

• 解决在传统批处理或监督方法因非平稳性和缺乏标签而失效的实时流数据异常检测挑战。
• 开发一种无监督、自适应的异常检测系统，能够在在线学习的同时实现实时预测。
• 不仅检测空间异常（超出范围的值），还检测预示重大故障的时间异常（异常行为序列）。
• 在真实世界流数据上实现高性能，同时最小化超参数调优，并对噪声具有鲁棒性。
• 在金融监控中实现实际部署，并在NAB数据集上与现有方法进行对比。

提出的方法

• 系统使用分层时间记忆（HTM）——一种受生物启发的在线序列记忆算法——来建模流式时间序列数据中的时间模式。
• 通过计算每个输入数据点在所学时间模型下的概率来进行异常检测；低概率值表示异常。
• 该算法采用概率公式控制误报率，使用户可根据应用需求调节敏感度。
• 通过增量式更新模型，持续适应数据统计变化，无需重新训练或批处理。
• 对于大规模系统，该方法支持多个独立模型结合时间窗口机制，以处理多样化数据流。
• 异常评分采用概率建模方式，而非假设原始指标值服从固定分布，从而提升对非高斯数据的鲁棒性。

实验结果

研究问题

• RQ1 在线无监督学习算法能否在极少调优的情况下，实现实时流数据中空间异常与时间异常的检测？
• RQ2 与成熟的统计和机器学习方法相比，基于HTM的异常检测在真实世界流式基准测试中的性能如何？
• RQ3 与纯空间方法相比，时间建模在多大程度上能实现更早的异常检测？
• RQ4 持续学习在非平稳数据环境中如何提升检测准确性？
• RQ5 该系统能否在生产级数据中保持低误报率，同时检测到细微且具有预警意义的异常？

主要发现

• 基于HTM的检测器在NAB基准测试中表现最佳，多项指标优于Skyline、Twitter ADVec和贝叶斯变化点检测方法。
• 该算法在机器温度数据中提前三小时检测到一个细微的时间异常，对早期故障预测至关重要。
• 在CPU使用率持续变化的情况下，HTM和Skyline能够适应新常态，而Twitter ADVec则持续数天产生误报。
• 该系统检测到一次关键异常，该异常预示着灾难性系统故障，而仅依赖空间检测的系统未能发现，凸显了时间建模的价值。
• 通过概率化建模异常评分而非假设原始值服从固定分布，该方法对噪声和非高斯数据表现出强鲁棒性。
• 该算法所需超参数调优极少，计算效率高，在标准笔记本电脑上每条记录处理时间约为8ms。