小研究 - 一种复杂微服务系统异常行为分析与定位算法（一）

针对极端学生化偏差（Ｅｘｔｒｅｍｅ　Ｓｔｕｄｅｎｔｉｚｅｄ　Ｄｅｖｉａｔｅ，ＥＳＤ）算法只能对单变量数据进行异常检测，难以对多变量数据进行异常行为度量，提出一种复杂微服务系统异常行为分析与定位（Ｍｕｌｔｉｖａｒｉａｔｅ　Ｓｅａｓｏｎａｌ　Ｈｙｂｒｉｄ　ＥＳＤ，Ｍ．Ｓ－Ｈ－ＥＳＤ）算法。首先，对云平台的微服务运维日志数据进行提取，将多元日志数据进行加权归一得到一元数据。然后，对此一元数据采用多元周期混合ＥＳＤ（Ｓｅａｓｏｎａｌ　Ｈｙｂｒｉｄ　ＥＳＤ，Ｓ－Ｈ－ＥＳＤ）算法对每个服务的异常度进行度量，进而获得异常度最高的服务，根据置信度和异常上限的设置，定位微服务系统异常的根因服务。实验结果表明，Ｍ．Ｓ－Ｈ－ＥＳＤ算法对时间序列多维数据的异常行为检测具有较高的精确度、召回率和Ｆ１值，能够准确定位微服
务系统中的异常服务。

目录

１ Ｍ．Ｓ － Ｈ － ＥＳＤ 算法

１.１ 数据处理

１.２  异常行为分析与定位

---

１ Ｍ．Ｓ － Ｈ － ＥＳＤ 算法

基于多元微服务日志的根因服务异常分析方法主要包含多元数据处理、模型训练和异常评分、模型评估以及故障修复等４个部分，具体过程示意图如图１所示。

 １ ）多元数据处理。基于微服务系统的半结构化日志，通过正则表达式或自动抽取工具抽取相关的重要信息，将半结构化的日志信息转变为结构化的数据。对结构化数据清洗和标准化后，提取多元数据的特征值和特征根，求出每一维度数据的贡献度，对多元数据进行加权归一处理。

２ ）模型训练和异常评分。对获取的服务数据按调用方式分组，对每组服务使用 Ｍ．Ｓ － Ｈ －
ＥＳＤ算法计算每个服务为其他服务调用的服务评分。根据设置的阈值得到根服务的异常和定位结果，其中异常得分的上限越高，得到的异常根因服务越紧致，反之得到的异常根因服务越松弛。最后，按照得分结果进行排序，最有可能发生异常的根因服务就 在其 中，排 序 愈 靠 前，发 生 异 常 的 可 能 性越大。

３ ）模型评价。常用的评价指标有准确率、查全率和 Ｆ１ 值。准确性是最常见的评价指标，精确度越高，分类器越好，在对非均衡分布数据集的召回率和 Ｆ１ 值的应用中，其是更客观地反映分类器在评价方面的指标。

４ ）故障修复。根据根因服务的异常分析结果进行故障修复，故障修复包括人工修复或系统自愈。

１.１ 数据处理

对多元微服务日志数据某一实体属性的研究涉及 ｐ 个指标，分别用 ｘ １ ， ｘ ２ ，…， ｘｐ 表示，则 ｐ 个指标组成的 ｐ 维随机向量 ｘ ＝ （ ｘ １ ， ｘ ２ ，…， ｘｐ ）Ｔ 。设随机向量 ｘ 的均值为 μ ，协方差矩阵为 Ψ 。 ｘ 的线性变换可以形成一个新的合成变量 ｙ ，即新的合成变量 ｙ 可以用原变量线性表示为：

 

算法步骤如下：

步骤１：读取输入，并对输入数据采用 ｍｉｎｍａｘ方法标准化，将初步处理后的数据记为 Ｄ 。

步骤２：利用主成分分析 ［３０ ］ （Ｐｒｉｎｃｉｐａｌ　Ｃｏｍｐｏ －ｎｅｎｔｓ　Ａｎａｌｙｓｉｓ ， ＰＣＡ ）模型得到 Ｄ 的协方差矩阵 Ψ的特征向量 Ｘ 、特征值 θ 和方差贡献率 υ 。

步骤３：计算成分得分系数矩阵 Ｋ 。 

步骤４：计算 Ｄ 中每个属性的权重。

步骤５：返回每一条记录的加权归一化数据。

步骤６：根据原始数据调用服务和被调服务对一元数据 Ｆ ｉ 进行分组。

１.２  异常行为分析与定位

利用 ＥＳＤ 算法获取一元数据的异常点，具体步骤如下：

步骤１：计算均值的数据序列应先删除上一轮最大残差样本数据，均值偏离最远残差的表达式为：

 步骤２： 计算临界值：

式中：ｎ 为数据集的样本数； α 为置信度。

步骤３： 对比均值偏离最远残差与临界值大小，若 Ｒ ｉ ＞ λｊ ，则原假设 Ｈ ０ 不成立，该样本点为异常点。

步骤４：重复以上步骤 ｋ 次至算法结束。

ＥＳＤ算法在处理原始数据的时候，并未考虑微服务日志数据本身具有时间序列的特征，为了更好地提取特征，在原有一元数据的基础上，对数据进行去周期和趋势。

基于 Ｌｏｅｓｓ的周期趋势分解（ Ｓｅａｓｏｎａｌ－ ＴｒｅｎｄＤｅｃｏｍｐｏｓｉｔｉｏｎＰｒｏｃｅｄｕｒｅ　ｂａｓｅｄ　ｏｎ　Ｌｏｅｓｓ ， ＳＴＬ ）将时间序列数据分解为趋势分量、周期分量和余项分量。将ＥＳＤ 算法运用于 ＳＴＬ 分解后的余项分量中，即可得到时间序列上的异常点，但在余项分量中存在着部分假异常点。为了解决这种假阳性降低准确率的问题，采用中位数（ ｍｅｄｉａｎ ）替换趋势分量。设原时间序列数据为 Ｔ ， ＳＴＬ分解后的周期分量 Ｓ Ｔ ，则残差余项分量的计算表达式为：

考虑到个别异常值会极大地拉伸均值和方差，导致式中的余项分量计算未能很好地捕获到部分异常点，召回率偏低。绝对中位差的计算表达式为：

 以上两式子代入后：

设某调用服务 ｉ 发生的异常数为 ａ ，被调用服务发生的异常数为 ｂ ，调用服务异常得分为:

由调用服务异常得分 Ｌ ｉ 得到调用服务加权异常得分的表达式为:

 Ｍ．Ｓ － Ｈ － ＥＳＤ算法具体步骤如下:

步骤１: 读取结构化日志数据。

步骤２: 利用对读取数据进行加权并归一化得到一元数据。

步骤３: 根据调用服务和被调服务对一元数据进行分组提取。

步骤４: 将每条数据利用计算均值偏离最远残差 Ｒ ｊ 和临界值 λｊ 。若 Ｒ ｊ ＞ λ ｊ ，则 Ｈ ０原假设不为真，采样点为异常点。调整置信度 α 和异常得分的上限 ｕ ，会得到不同服务下异常得分的值。记录该所有采样点，即分组的调用服务和被调服务的异常得分矩阵 Ｓ 。

步骤５: 根据调用服务和被调用服务矩阵的异常得分 Ｓ ，加权得到每个服务的异常度得分 Ｇ ｉ 。

步骤６: 对微服务的异常度得分 Ｇ 进行排序，即为获取根本原因异常服务，且异常可能性顺序递减。