小研究 - 一种复杂微服务系统异常行为分析与定位算法（一）

针对极端学生化偏差（Ｅｘｔｒｅｍｅ　Ｓｔｕｄｅｎｔｉｚｅｄ　Ｄｅｖｉａｔｅ，ＥＳＤ）算法只能对单变量数据进行异常检测，难以对多变量数据进行异常行为度量，提出一种复杂微服务系统异常行为分析与定位（Ｍｕｌｔｉｖａｒｉａｔｅ　Ｓｅａｓｏｎａｌ　Ｈｙｂｒｉｄ　ＥＳＤ，Ｍ．Ｓ－Ｈ－ＥＳＤ）算法。首先，对云平台的微服务运维日志数据进行提取，将多元日志数据进行加权归一得到一元数据。然后，对此一元数据采用多元周期混合ＥＳＤ（Ｓｅａｓｏｎａｌ　Ｈｙｂｒｉｄ　ＥＳＤ，Ｓ－Ｈ－ＥＳＤ）算法对每个服务的异常度进行度量，进而获得异常度最高的服务，根据置信度和异常上限的设置，定位微服务系统异常的根因服务。实验结果表明，Ｍ．Ｓ－Ｈ－ＥＳＤ算法对时间序列多维数据的异常行为检测具有较高的精确度、召回率和Ｆ１值，能够准确定位微服
务系统中的异常服务。

１Ｍ．Ｓ－Ｈ－ＥＳＤ算法

１.１数据处理

１.２异常行为分析与定位

１Ｍ．Ｓ－Ｈ－ＥＳＤ算法

基于多元微服务日志的根因服务异常分析方法主要包含多元数据处理、模型训练和异常评分、模型评估以及故障修复等４个部分，具体过程示意图如图１所示。

１）多元数据处理。基于微服务系统的半结构化日志，通过正则表达式或自动抽取工具抽取相关的重要信息，将半结构化的日志信息转变为结构化的数据。对结构化数据清洗和标准化后，提取多元数据的特征值和特征根，求出每一维度数据的贡献度，对多元数据进行加权归一处理。

２）模型训练和异常评分。对获取的服务数据按调用方式分组，对每组服务使用Ｍ．Ｓ－Ｈ－
ＥＳＤ算法计算每个服务为其他服务调用的服务评分。根据设置的阈值得到根服务的异常和定位结果，其中异常得分的上限越高，得到的异常根因服务越紧致，反之得到的异常根因服务越松弛。最后，按照得分结果进行排序，最有可能发生异常的根因服务就在其中，排序愈靠前，发生异常的可能性越大。

３）模型评价。常用的评价指标有准确率、查全率和Ｆ１值。准确性是最常见的评价指标，精确度越高，分类器越好，在对非均衡分布数据集的召回率和Ｆ１值的应用中，其是更客观地反映分类器在评价方面的指标。

４）故障修复。根据根因服务的异常分析结果进行故障修复，故障修复包括人工修复或系统自愈。

１.１数据处理

对多元微服务日志数据某一实体属性的研究涉及ｐ个指标，分别用ｘ１，ｘ２，…，ｘｐ表示，则ｐ个指标组成的ｐ维随机向量ｘ＝（ｘ１，ｘ２，…，ｘｐ）Ｔ。设随机向量ｘ的均值为 μ ，协方差矩阵为 Ψ 。ｘ的线性变换可以形成一个新的合成变量ｙ，即新的合成变量ｙ可以用原变量线性表示为：

算法步骤如下：

步骤１：读取输入，并对输入数据采用ｍｉｎｍａｘ方法标准化，将初步处理后的数据记为Ｄ。

步骤２：利用主成分分析［３０］（Ｐｒｉｎｃｉｐａｌ　Ｃｏｍｐｏ－ｎｅｎｔｓ　Ａｎａｌｙｓｉｓ，ＰＣＡ）模型得到Ｄ的协方差矩阵 Ψ的特征向量Ｘ、特征值 θ 和方差贡献率 υ 。

步骤３：计算成分得分系数矩阵Ｋ。

步骤４：计算Ｄ中每个属性的权重。

步骤５：返回每一条记录的加权归一化数据。

步骤６：根据原始数据调用服务和被调服务对一元数据Ｆｉ进行分组。

１.２异常行为分析与定位

利用ＥＳＤ算法获取一元数据的异常点，具体步骤如下：

步骤１：计算均值的数据序列应先删除上一轮最大残差样本数据，均值偏离最远残差的表达式为：

步骤２：计算临界值：

式中：ｎ为数据集的样本数； α 为置信度。

步骤３：对比均值偏离最远残差与临界值大小，若Ｒｉ＞ λｊ，则原假设Ｈ０不成立，该样本点为异常点。

步骤４：重复以上步骤ｋ次至算法结束。

ＥＳＤ算法在处理原始数据的时候，并未考虑微服务日志数据本身具有时间序列的特征，为了更好地提取特征，在原有一元数据的基础上，对数据进行去周期和趋势。

基于Ｌｏｅｓｓ的周期趋势分解（Ｓｅａｓｏｎａｌ－ＴｒｅｎｄＤｅｃｏｍｐｏｓｉｔｉｏｎＰｒｏｃｅｄｕｒｅ　ｂａｓｅｄ　ｏｎ　Ｌｏｅｓｓ，ＳＴＬ）将时间序列数据分解为趋势分量、周期分量和余项分量。将ＥＳＤ算法运用于ＳＴＬ分解后的余项分量中，即可得到时间序列上的异常点，但在余项分量中存在着部分假异常点。为了解决这种假阳性降低准确率的问题，采用中位数（ｍｅｄｉａｎ）替换趋势分量。设原时间序列数据为Ｔ，ＳＴＬ分解后的周期分量ＳＴ，则残差余项分量的计算表达式为：