一种基于时间序列挖掘的网络异常流量自动检测方法与流程

本发明涉及一种基于时间序列挖掘的网络异常流量自动检测方法，尤其涉及了一种基于端点约束松弛(relaxedendpointconstraint)的动态时间弯曲(dynamictimewarping,dtw)相似性度量算法以及用于识别异常流量的异常得分(anomalyscore)算法。该发明属于数据挖掘、大数据分析与模式识别
技术领域：
。
背景技术：
：当今科技与信息技术飞速发展，网络的应用已经深入人们的生活。目前，网络正朝着高速化、集成化发展，随着网络中的信息增多，以及工作生活对网络的依赖，网络安全问题逐渐凸显，形势日趋严峻。网络安全是指网络系统中流动和保存的数据，不受到偶然地或恶意地修改、泄露、破坏等。为了做好网络安全防护工作，确保网络服务正常运作，网络异常流量检测是一种行之有效的技术手段。对于网络流量异常检测分析通常的做法是针对网络的原始数据进行分析，如数据的基本特征，网络流量大小、数据包长度等，又如组合特征，平均包长，syn包的个数等等。然后对基于流量的特征构建分析模型，将数据划分为正常或异常。传统的做法对于小规模、架构简单的网络流量异常检测效果好。但随着网络规模不断增大、网络架构愈加复杂、网络安全事件持续增多、网络异常流量发生频繁，通常的做法已经不能适用于当前网络发展的要求。现有网络异常流量自动检测技术能够实现识别分析网络流量中的异常情况，但现有技术存在数据采集方式复杂或需特殊硬件设备接入、数据处理模式繁琐、检测参数不易确定、安装实施难度较大的问题。技术实现要素：针对现有技术的不足，本发明提供一种基于时间序列挖掘的网络异常流量自动检测方法，本发明通过对网络流量原始数据的研究分析，通过标准的数据接入接口，数据导入模块将标准的网络流量数据进行数据值读取，方便地实现数据导入与数据的标准化，将网络流量数据进行标准化处理，简化了数据采集方式，利用提出的时间序列异常数据检测方法从多个数据维度研究并分析得出异常流量序列，降低了数据的复杂性，同时保留了网络流量原始数据的时间联系性特征。术语解释：1、网络流量数据序列(networktrafficdatasequence)，是指一定长度的网络流量数据。在本发明中，首先将网络流量数据进行数据标准化处理，并将标准化后的网络流量数据称为网络流量数据序列，简称为数据序列(sequence)。2、网络流量数据子序列(networktrafficdatasubsequences)，是指数据序列中某一部分的数据区域，简称为数据子序列(subsequence)。3、时间序列模型(timeseries)，是指一系列带有时间标识的数据集合，可公式化为：t＝{(t1,v1),(t2,v2),…,(tn,vn)}，t1,t2,…,tn均表示时间标识，v1,v2,…,vn分别表示在时间t1,t2,…,tn的数据值。4、动态时间弯曲(dynamictimewarping，dtw)，是指计算两条数据(子)序列相似度的计算方法。动态时间弯曲方法将自动地弯曲数据(子)序列(即在数据序列的时间轴上进行局部缩放操作)，使得两条数据(子)序列的形态尽可能一致，以此得到两者最大可能的相似度。5、端点约束松弛(relaxedendpointconstraint)，是指在使用动态时间弯曲方法计算两条(子)数据序列相似度时，可忽略序列首、尾若干个数据点的相似性计算。6、最优前后松弛空间(optimalprefixandsuffixrelaxationspace，opsrs)，是指在使用动态时间弯曲方法计算两条数据(子)序列相似度时，能够取得最好相似性区分度的端点约束松弛数据点的个数。7、前后松弛空间的动态时间弯曲(prefixandsuffixrelaxationspacedtw，)，是指忽略了数据序列首、尾若干个数据点的动态时间弯曲方法，该方法将端点约束松弛的概念引入动态时间弯曲距离计算方法。8、数据缓冲空间(databufferspace)，是指用来存储进行异常检测的数据序列的固定长度的数组空间。9、滑动窗口(slidingwindow，sw)，是指用于将数据序列划分成若干数据子序列的技术，数据子序列的长度即为滑动窗口大小。10、序列相似矩阵(similaritymatrixofsequences，sms)，是指一个包含任意两条数据序列相似性距离的矩阵，可利用sms计算序列的异常程度得分。11、异常程度得分(anomalyscore)，是指衡量一条数据序列异常程度的指标，可依此判断数据序列是否为异常序列。本发明采用以下技术方案：一种基于时间序列挖掘的网络异常流量自动检测方法，包括：步骤1：通过数据导入模块将标准的网络流量数据进行数据值读取，该标准的网络流量数据包括数据导入模板以及第三方系统导出的网络流量数据，然后抽取核心字段，形成初始时间序列模型；步骤2：将步骤1得到的初始时间序列模型采用z-score标准化方法进行标准化处理，得到标准化后的网络流量数据序列，简称数据序列，并存储在系统数据库中以待后续检测；此设计的优势在于，标准化后的数据能够降低数据噪声，同时能够保持原有数据序列的数据趋势特征，不会对接下来的数据异常检测带来负面影响。步骤3：从系统数据库取出待检测的数据序列，将其放入缓冲空间中(缓冲空间即为固定长度的数组空间)，在放入缓冲空间过程中，利用滑动窗口对数据序列进行扫描，按照指定滑动窗口大小对数据序列进行切分，得到若干网络流量数据子序列，简称数据子序列；步骤4：利用快速学习方法，得到待检测数据子序列的最优前后松弛空间opsrs，具体为：a.输入待学习的数据子序列，设置前后松弛空间参数(prefixandsuffixrelaxationspace，psrs)的最大取值为pmax，即0≤psrs≤pmax；b.初始化参数学习查找表，该查找表是一个二维数据，存储每条数据子序列在每个前后松弛空间参数psrs下的最近邻子序列以及对应的前后松弛空间的动态时间弯曲距离；优选的，初始化参数学习查找表时，由于此时任何数据子序列尚未开始学习在对应psrs下的最近邻子序列，因此可以用(nf，+∞)表示，其中nf指notfound，即未发现最近邻子序列状态，+∞指其与最近邻子序列的前后松弛空间的动态时间弯曲距离，因目前未发现最近邻子序列，因此距离无穷大，参数学习查找表的初始化状态如表1所示：表1：参数学习查找表的初始化状态表01…pmax子序列s1(nf，+∞)(nf，+∞)…(nf，+∞)子序列s2(nf，+∞)(nf，+∞)…(nf，+∞)……………子序列si(nf，+∞)(nf，+∞)…(nf，+∞)c.令psrs从0开始，步长为1，最大值为pmax，循环查找每条数据子序列的最近邻子序列以及对应的前后松弛空间的动态时间弯曲距离；在查找过程中，采用基于前后松弛空间的动态时间弯曲的下界距离进行快速剪枝，得到计算后的参数学习查找表；优选的，设当前待检测子序列为a，其最近邻子序列为k，对应的前后松弛空间的动态时间弯曲下界距离和真实距离分别为lb_dist和dist，当检测子序列b是否为a的最近邻时，优先计算子序列a与子序列b的前后松弛空间的动态时间弯曲下界距离，设为lb_distab，若lb_distab＞lb_dist,则可直接滤过子序列b；否则计算子序列a与子序列b的前后松弛空间的动态时间弯曲真实距离distab，若distab<dist，则可更新子序列b为子序列a的当前最近子序列，其对应的前后松弛空间的动态时间弯曲距离即为其最近距离，否则跳过子序列b，继续进行循环判断；d.通过步骤c得出参数学习查找表后，循环查找表，利用子序列检测到的最近子序列的分类得出每个前后松弛空间参数psrs下的分类错误率，具有最小分类错误率的psrs即为最优前后松弛空间opsrs。值得说明的是，在首次进行opsrs学习时，需要根据已有数据或先验知识给出待学习数据子序列为正常或异常的标识(或类别，class)，以便与参数学习查找表作对比，得出各psrs下的分类错误率，使用本方法进行异常检测后，即可自动得出数据子序列为正常或异常的标识，标识后的数据子序列可供后续的opsrs学习使用，循环查找表计算各psrs下分类错误率的过程如表2所示：表2：循环查找表计算各psrs下分类错误率的过程此设计的优势在于，前后松弛空间的动态时间弯曲方法能够提升时间序列数据分类、聚类、异常检测的精度，而找到最优的前后松弛空间是一项时间复杂度较高的工作。本设计在于利用了动态时间弯曲的下界计算方法，以此来进行循环剪枝，降低序列间真实距离的计算量，以此提升计算效率。步骤5：利用前后松弛空间的动态时间弯曲方法计算各数据子序列之间的距离，得到数据子序列相似矩阵；步骤6：根据步骤5得到的数据子序列相似矩阵，计算得出每个数据子序列异常程度得分，异常程度得分由以下公式计算得出：其中，as记为异常得分(anomalyscore，as)结果集，asi记为子序列si的异常得分，为子序列si与子序列sj的前后松弛空间的动态时间弯曲距离，i为子序列个数。步骤7：将每条数据子序列的异常程度得分与异常阈值δ进行比较，若数据子序列的异常程度得分小于异常阈值δ，则判断其为正常子序列，否则为异常子序列；步骤8：判断是否还有其他待检测的网络流量数据序列，若有，则转至步骤3，否则，处理结束。优选的，步骤1中，该数据导入模块可采用java语言开发，数据导入模板包括excel模板、csv模板等，模板字段包括：时间标识、总流量、流入流量、流出流量、备注，通过数据导入模块将模板内的数据值读取，核心字段为时间标识t和流量值v(包括总流量、流入流量、流出流量)，读取到的数据即为带有时间标识的网络流量数据值，与时间序列模型一致，由于此时还没有生成标准化的数据值，可称之为初始时间序列模型。此外，本发明支持导入第三方系统导出的网络流量数据(excel数据、csv数据等)，在此说明的是，导入的第三方网络流量数据应当在数据的第一行(即标题行)明确“时间标识、总流量、流入流量、流出流量、备注”对应的数据列。此设计的优势在于，原始的网络流量数据的结构是复杂的，直接用于分析难度较大，将原始的网络流量数据转为时间序列模型，由数据导入模块按列读取标准的网络流量数据的内容，核心字段即为时间标识和流量值，不仅能够降低数据复杂度，且可利用时间序列数据挖掘的方法对网络流量数据进行研究与异常检测。优选的，步骤2中，z-score标准化方法的过程为：假设由步骤1得到的初始时间序列模型为t＝{(t1,v1),(t2,v2),…,(tn,vn)，则该模型的均值μ可由公式(2)计算得出：该模型的标准差σ可由公式(3)计算得出：则标准化后的网络流量数据序列可由公式(4)计算得出：至此，则获得了最终的数据序列。优选的，步骤3中，滑动窗口为一个固定长度的数组空间，一般小于缓冲空间，初始时，滑动窗口位于缓冲空间的最左侧，将位于滑动窗口内部的数据提取出来作为一条数据子序列，然后滑动窗口向右侧滑动固定长度(一般地，该固定长度小于滑动窗口大小)，再将目前滑动窗口内的数据提取出来作为一条数据子序列，如此反复，直至滑动窗口右侧到达缓冲空间的末尾，最终得到多个数据子序列。缓冲空间实际为程序中的数组，即是将待处理数据序列放入程序中的数组结构中，如list、array等。优选的，步骤5中，数据子序列相似矩阵为一个二维数组结构，即为sms，sms的每一个值可由公式(5)计算得出：其中，表示前后松弛空间的动态时间弯曲方法，sms[i][j]即为子序列si与子序列sj的前后松弛空间的动态时间弯曲距离，每一个子序列分别与其他子序列分别计算两者间的前后松弛空间的动态时间弯曲距离，即得到了sms。的计算过程如下表3所示：表3：的计算过程需要说明的是，dist(qi,ci)为子序列q和子序列c第i个数据点的欧式距离，可由公式(6)计算得出：进一步优选的，为精确检测异常的发生时段，在步骤8之后还设计了一种网络异常流量检测下钻方法，具体为：步骤i：将步骤8检测出的月度异常数据序列作为待检测输入数据，进入数据缓冲空间，并利用滑动窗口将月度异常数据序列切分成每日数据子序列；步骤ii：利用快速学习方法，学习最优前后松弛空间，得到每日数据异常子序列的最优前后松弛空间opsrs，操作过程与上述步骤4一致；步骤iii：利用前后松弛空间的动态时间弯曲方法计算每日数据异常子序列之间的距离，得到数据子序列相似矩阵，进而计算得出当前数据缓冲空间数据子序列的异常程度得分，即每日数据子序列的异常程度得分；步骤iv：将步骤iii中获得的当前数据缓冲空间中的每日数据子序列的异常程度得分与异常阈值δ比较，操作方式如上述步骤7，输出每日数据子序列中的异常序列；截至目前，从步骤i至步骤iv，完成了月度异常数据序列下钻发现每日异常数据序列。进一步优选的，进一步为：步骤v：将通过步骤iv检测出的每日异常数据序列作为待检测输入数据，进入数据缓冲空间，并利用滑动窗口将月度数据序列切分成每时数据子序列；步骤vi：利用快速学习方法，学习最优前后松弛空间，得到每时数据异常子序列的最优前后松弛空间opsrs，操作过程与上述步骤4一致；步骤vii：利用前后松弛空间的动态时间弯曲方法计算每时数据异常子序列之间的距离，得到数据子序列相似矩阵，进而计算得出当前数据缓冲空间数据子序列的异常程度得分，即每时数据子序列的异常程度得分；步骤viii：将步骤vii中获得的当前数据缓冲空间中的每时数据子序列的异常程度得分与异常阈值δ比较，操作方式如上述步骤7，输出每时数据子序列中的异常序列；截至目前，从步骤viii至步骤viii，完成了每日异常数据序列下钻发现每时异常数据序列，异常检测下钻过程结束。本发明采用的核心技术是将网络流量数据转化为标准化的时间序列数据模型，进而利用时间序列异常检测算法发现网络异常流量。时间序列(timeseries)是指随着时间推移不断产生的数据信息，具有明显的时间联系性特征。网络流量数据因其具有天然的时间联系性特征，利用时间序列数据模型进行网络异常流量分析，能够更好地从时间维度上对不断产生的网络流量数据变化特征进行研究与分析。本发明中，未详尽之处，均可采用现有技术进行。本发明的有益效果为：1、本发明的方法提供了标准的数据接入接口，通过数据导入模块将标准的网络流量数据进行数据值读取，方便地实现数据导入与数据的标准化，简化了数据采集方式，对后续异常检测分析提供标准的数据接入，有效提升异常检测效果。2、本发明将复杂的网络流量数据简化为时间序列的数据模式，降低了数据的复杂性，同时保留了网络流量原始数据的时间联系性特征。利用基于时间序列异常检测的技术，对网络流量进行异常检测分析，确保了异常检测的精度。同时，本发明采用了数据缓冲空间和滑动窗口技术，降低了数据处理的复杂度，适用于当前大规模的网络架构；3、本发明为了提升网络异常流量的检测精度，采用了前后松弛空间的动态时间弯曲的方法衡量任意网络流量数据序列的相似度。该方法有一项重要参数，即最优前后松弛空间，由于该参数的设定受到不同数据序列类型的影响，需要通过学习的方式获取最优的前后松弛空间。传统的学习方式因其时间复杂度较高，不适用于大规模的网络流量数据。因此，本发明采用了一种高效的快速学习方式，大幅提升前后松弛空间参数的学习效率。然后，将通过快速学习到的最优前后松弛空间参数应用到动态时间弯曲方法中，计算各数据序列的相似性，从而计算对应的异常程度得分，最终得出异常序列。4、为了精确定位网络异常流量发生的位置，本发明设计了一种异常检测下钻模式，该模式利用本发明涉及系统的异常检测模式，从月度异常中下钻发现每日异常，然后从每日异常中下钻发现时刻异常。利用本发明提供的方法，不仅能够有效检测出大时间跨度的异常情况，更可以进行异常细化、精确，这对网络异常情况分析、保障网络正常运行有重要意义，并且，在此下钻过程中，无需人工干预，相关检测参数可通过自主学习或系统预设值，大大降低了系统的使用难度，简化了用户操作，提升了人机交互水平。5、本发明的方法，采用了b/s架构设计，仅需安装相关运行软件，如web应用服务器、数据库软件、程序运行环境等，安装过程简单。同时，本发明涉及的系统和方法无需其他硬件或固件接入，可大大降低部署难度，节约实施成本。附图说明图1为本发明的数据导入模板示意图；图2为本发明的基于时间序列挖掘的网络异常流量自动检测方法的整体流程图；图3为本发明的一种数据采集与标准化存储流程示意图；图4为本发明的一种快速学习最优前后松弛空间流程示意图；图5为本发明的一种数据序列相似矩阵计算过程示意图；图6为本发明的一种数据序列异常检测下钻流程示意图；图7为本发明的快速学习最优前后松弛空间的方法与其他三种方法的学习效率比较；图8为本发明的一种数据准入方式，即通过数据文件导入；图9为本发明的一种数据标注化存储入库示例；图10为本发明的一种异常检测任务发起示例。具体实施方式：为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述，但不仅限于此，本发明未详尽说明的，均按本领域常规技术。实施例1：网络异常流量检测过程一种基于时间序列挖掘的网络异常流量自动检测方法，如图2所示，包括：步骤1：通过数据导入模块将标准的网络流量数据进行数据值读取，该标准的网络流量数据包括数据导入模板以及第三方系统导出的网络流量数据，然后抽取核心字段，形成初始时间序列模型；步骤1中，该数据导入模块可采用java语言开发，数据导入模板包括excel模板、csv模板等，模板字段包括：时间标识、总流量、流入流量、流出流量、备注，通过数据导入模块将模板内的数据值读取，核心字段为时间标识t和流量值v(包括总流量、流入流量、流出流量)，读取到的数据即为带有时间标识的网络流量数据值，与时间序列模型一致，由于此时还没有生成标准化的数据值，可称之为初始时间序列模型。此外，本发明支持导入第三方系统导出的网络流量数据(excel数据、csv数据等)，在此说明的是，导入的第三方网络流量数据应当在数据的第一行(即标题行)明确“时间标识、总流量、流入流量、流出流量、备注”对应的数据列，如图1所示。为了简化数据采集与入库方式，本发明提供了csv数据导入、excel数据导入等数据准入方式，如图2中s1所示，系统数据接口集中处理各类来源渠道的网络流量数据，解析数据源数据格式，将核心字段(数据标识、时间标识、数据值)抽取，形成初始的时间序列模型，即图2中s2所示，附图8为一种通过数据文件导入的示例。步骤2：将步骤1得到的初始时间序列模型采用z-score标准化方法进行标准化处理，得到标准化后的网络流量数据序列，简称数据序列，并存储在系统数据库中以待后续检测；经过步骤1获得出初始的时间序列模型数据后，需将数据进行标准化，此处，为了确保基于时间序列异常检测的实施效果，本发明采用z-score标准化方法，即将数据标准化为均值为0，标准差为1的数据序列。经过标准化后的数据，可入系统库存储，以待后续检测使用。为清晰展示步骤1、步骤2，附图3即为数据采集与标准化存储流程，入库后的数据信息如表4所示，另，附图9为本发明涉及一种数据标准化存储入库示例。表4：入库后的数据信息步骤3：从系统数据存储库中取出待检测的网络流量数据序列，将其放入数据缓冲空间中(缓冲空间即为固定长度的数组空间)，在将数据置入缓冲空间过程中，利用滑动窗口对数据序列进行扫描，按照指定滑动窗口大小对数据序列进行切分，得到若干网络流量数据子序列，简称数据子序列。如附图2中s3所示，实际实施中，数据缓冲区大小按照待检测的数据序列长度设定，建议最多不超过12个月度数据。步骤4：实际实施过程中，系统根据待检测数据的时间标识和待检测的数据维度(月度、每日、每时)确定滑动窗口大小，本发明利用快速学习方法，学习最优前后松弛空间，如附图2中s4所示。根据本发明优选的，所述步骤4，包含以下操作步骤，如图4所示：a.输入待学习的数据子序列，设置前后松弛空间参数(prefixandsuffixrelaxationspace，psrs})的最大取值为pmax，即0≤psrs≤pmax。b.初始化参数学习查找表。该查找表是一个二维数据，存储每条数据子序列在每个前后松弛空间参数psrs下的最近邻子序列以及对应的前后松弛空间的动态时间弯曲距离。c.令psrs从0开始，步长为1，最大值为pmax，循环查找每条数据子序列的最近邻子序列以及对应的前后松弛空间的动态时间弯曲距离；在查找过程中，本发明优选的，利用基于前后松弛空间的动态时间弯曲的下界距离进行快速剪枝，其技术方案为，设当前待检测子序列为a，其最近邻子序列为k，对应的前后松弛空间的动态时间弯曲下界距离和真实距离分别为lb_dist和dist。当检测子序列b是否是a的最近邻时，优先计算子序列a与子序列b的前后松弛空间的动态时间弯曲下界距离，设为lb_distab，若lb_distab＞lb_dist,则可直接滤过子序列b。否则计算子序列a与子序列b的前后松弛空间的动态时间弯曲真实距离distab，若distab<dist，则可更新子序列b为子序列a的当前最近子序列，其对应的前后松弛空间的动态时间弯曲距离即为其最近距离，否则跳过子序列b，继续进行循环判断；d.通过步骤c可得出计算后的参数学习查找表，循环查找表，利用子序列检测到的最近子序列的分类得出每个前后松弛空间参数psrs下的分类错误率，具有最小分类错误率的psrs即为最优前后松弛空间opsrs。通过本发明优选的快速学习方法，可以大幅提升最优前后松弛空间的学习效率。附图7为本发明优选的快速学习方法与其他三种学习方法的学习效率对比图。如图7所示，横坐标为不同数据集大小，从100条数据序列到500条数据序列；纵坐标为方法的标准化运行效率。为了便于比较各方法的运行效率，附图7以动态时间规划方法的运行时间作为基准(设置为1)，其他三种方法以基准进行标准化。根据图7可以看出，本发明优选的快速学习方法耗时最短，能够大幅提升学习效率。步骤5：通过本发明优选的，步骤4快速学习得到待检测序列的最优前后松弛空间opsrs，利用前后松弛空间的动态时间弯曲方法计算各子序列之间的距离，形成序列相似矩阵(similaritymatrixofsequences，sms)。为清晰展示计算过程，图5所示为序列相似矩阵的计算过程。步骤6：根据步骤5计算得出的序列相似矩阵sms，则每个数据子序列的异常程度得分(anomalyscore，as)，如图1中s6所示。步骤7：将每条数据子序列的异常程度得分与异常阈值δ进行比较，若数据子序列的异常程度得分小于异常阈值δ，则判断其为正常子序列，否则为异常子序列。如附图1中s7所示。附图10所示为一种异常检测任务发起示例。步骤8：判断是否还有待检测的网络流量数据序列，若有，则转至步骤3，否则，处理结束。实施例2：网络异常流量下钻检测步骤i：将通过本发明涉及的一种基于时序挖掘的网络异常流量自动检测系统检测出的月度异常数据序列作为待检测输入数据，进入数据缓冲空间，并利用滑动窗口将月度数据序列切分成每日数据子序列；步骤ii：利用快速学习方法，学习最优前后松弛空间，得到每日数据异常子序列的最优前后松弛空间opsrs，操作过程与上述步骤4一致。步骤iii：利用前后松弛空间的动态时间弯曲方法计算每日数据异常子序列之间的距离，得到数据子序列相似矩阵，进而计算得出当前数据缓冲空间数据子序列的异常程度得分，即每日数据子序列的异常程度得分；步骤iv：将步骤iii中获得的当前数据缓冲空间中的每日数据子序列的异常程度得分与异常阈值δ比较，操作方式如上述步骤7，输出每日数据子序列中的异常序列；截至目前，从步骤i至步骤iv，完成了月度异常数据序列下钻发现每日异常数据序列，如图6所示。步骤v：将通过步骤iv检测出的每日异常数据序列作为待检测输入数据，进入数据缓冲空间，并利用滑动窗口将月度数据序列切分成每时数据子序列；步骤vi：利用快速学习方法，学习最优前后松弛空间，得到每时数据异常子序列的最优前后松弛空间opsrs，操作过程与上述步骤4一致；步骤vii：利用前后松弛空间的动态时间弯曲方法计算每时数据异常子序列之间的距离，得到数据子序列相似矩阵，进而计算得出当前数据缓冲空间数据子序列的异常程度得分，即每时数据子序列的异常程度得分；步骤viii：将步骤vii中获得的当前数据缓冲空间中的每时数据子序列的异常程度得分与异常阈值δ比较，操作方式如上述步骤7，输出每时数据子序列中的异常序列；截至目前，从步骤viii至步骤viii，完成了每日异常数据序列下钻发现每时异常数据序列，如图6所示，异常检测下钻过程结束。以上所述是本发明的优选实施方式，应当指出，对于本
技术领域：
的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。当前第1页12