Оперативное детектирование темпоральных паттернов в секвенциальных данных Текст научной статьи по специальности «Компьютерные и информационные науки»

Kamaev Valery Anatolievich - Volgograd State Technical University; e-mail: kamaev@cad.vstu.ru; 28, Lenina av., Volgograd, 400131, Russia; phone: +78442248100; the CAD department; chief of department; dr. of eng. sc.; professor.

Melnik Vladislav Yurievich - e-mail: vl_melnik@mail.ru; e-mail: +79178415771; the CAD department; postgraduate student.

Kizim Alexey Vladimirovich - e-mail: kizim@mail.ru; phone: +79199800256; the CAD department; cand. of eng. sc.; associate professor.

УДК 519.816

С.М. Ковалев, А.В. Муравский

ОПЕРАТИВНОЕ ДЕТЕКТИРОВАНИЕ ТЕМПОРАЛЬНЫХ ПАТТЕРНОВ В СЕКВЕНЦИАЛЬНЫХ ДАННЫХ*

Разрабатывается новый гибридный подход к распознаванию темпоральных паттернов в секвенциальных данных, основанный на использовании адаптивных стохастических моделей. Формулируются условия, связывающие значения функции истинности Марковской модели с вероятностями появления в потоках данных целевых паттернов. Рассматривается адаптивная Марковская модель временного процесса и метод ее обучения для предсказания эволюционирующих во времени паттернов. Разрабатывается метод обучения игровых моделей. Дается обобщение предлагаемого подхода на случай нечетких темпо-ральынх паттернов. Описывается область возможных приложений методов упреждающего распознавания и результаты экспериментов.

Игровая Марковская модель; темпорально-разностное обучение; темпоральный паттерн.

S.M. Kovalev, A.V. Muravskiy

OPERATIVE TEMPORAL PATTERNS RECOGNITION IN SEQUENTIAL DATA

A new hybrid approach is developed in this article. The approach is based on adaptive stochastic models and is used for temporal patterns recognition in sequential data. The conditions connecting values of function of the validity of Markov model with probabilities of occurrence in data flows of target patterns are formulated Adaptive Markov model of temporal process is considered along with training method. The model is used for temporal evolutionary patterns prediction. The method of training of game models is developed. Generalisation of the offered approach on a case indistinct temporal patterns is given. The area of possible appendices of methods of anticipatory recognition and results of experiments is described.

Game Markov model; temporal-difference training; temporal pattern.

Введение. Детектирование темпоральных паттернов в секвенциальных данных является разновидностью задач распознавания образов и в практическом плане обычно направлено на определение соответствующих или несоответствующих (аномальных) паттернов из заданного целевого класса нормальных временных процессов. Детектирование типовых нормальных паттернов и аномалий широко используется в разнообразных областях, таких как мониторинг и диагностика динамических объектов, управлении скоротечными динамическими процессами, идентификации трафиков в распределенных компьютерных сетях, выявлении аномалий и вторжений в системах обеспечения безопасности и др. С целью решения подобного

* Работа выполнена при поддержке РФФИ проекты №№ 11-07-00075, 10-01-00058-а, 11-07-13118-офи-м-2011-РЖД.

рода задач в области Data Mining разрабатываются методы анализа секвенциальных данных, включающие, в том числе, методы распознавания и идентификации темпоральных паттернов. Достаточно полный обзор по методам распознавания темпоральных паттернов и выявления аномалий приведен в [2].

Существующие подходы к детектированию темпоральных паттернов могут быть объединены в три категории - распознавание с учителем, частично с учителем и без учителя. Подходы с учителем основываются на маркированных примерах, принадлежащих заранее известным классам. Типичным для этой группы методов является подход на основе построения предсказывающей модели для нормальных и аномальных классов [3-5]. Методы детектирования аномалий из категории “частично с учителем” строят модель, представляющую нормальную линию поведения в предположении, что обучающие данные содержат маркированные образцы (эталоны) только для одного класса паттернов [6]. Методы детектирования аномалий без учителя определяют темпоральные паттерны в немаркированных тестовых данных при допущении, что искомые паттерны представляют собой большинство образцов в исходных данных [7].

С целью решения данной задачи в течение последних десятилетий стали широко использоваться гибридные технологии [7-10,13,14], включающие методы мягких вычислений на основе нейросетевых, генетических и нечетко-логических моделей. В развитие данных технологий в настоящей статье предлагается новый подход к выявлению темпоральных паттернов в потоках секвенциальных данных, основанный на использовании стохастических марковских моделей с адаптивными оценочными функциями и специальных методов темпорально-разностного обучения. Основная идея заключается в сведении задачи упреждающего детектирования паттернов к задаче предсказания значений специально введенной для Марковской модели оценочной функции, называемой функцией выигрыша, опираясь на установленную связь между значениями этой функции и вероятностями появления паттернов.

Следует отметить, что сама идея использования адаптивных Марковских моделей для анализа секвенциальных данных не является новой, в частности известны подходы к детектированию секвенциальных аномалий в данных на основе обучения темпоральным различиям (TD) [11], полная аббревиатура TD_SAD. В [12] был впервые предложен подход к выявлению аномалий в символьных ВР на основе использования специальной Марковской модели со специально настраиваемыми оценочными функциями. В настоящей статье предлагается применение данного подхода к детектированию темпоральных паттернов на случай нечетких данных в непрерывных числовых ВР, а также нечетких темпоральных паттернов, представленных в виде лингвистических аппроксимаций слабо формализованных ВР.

1. Задача детектирования темпоральных паттернов. Вначале рассмотрим задачу для наиболее простого случая распознавания темпоральных паттернов в символьных временных рядах (ВР), при наличии обучающей выборки, содержащей два класса паттернов.

Пусть X = {x} - конечное множество символов, соответствующих возможным сигналам, принимаемым от сенсорных систем и образующих входной поток анализируемых данных. Каждый символ x. е X характеризует состояние анализируемого процесса в i-й момент времени.

Определение 1. Помеченным темпоральным паттерном r называется любая последовательность символов x , x ,...x , которая может быть точно определена

i1 i2 ln

как целевая (нормальная) или нет (аномальная).

Определение 2. Любой фрагмент r* помеченного темпорального паттерна r, начало которого совпадает с началом паттерна r, называется частичным или развивающимся темпоральным паттерном.

Следует отметить, что в ряде случаев принадлежность паттерна к классу целевых паттернов может быть установлена на ранних стадиях его развития, не дожидаясь полного появления на входе классификатора. Если априори известна некоторая информация о статистике появления помеченных паттернов, извлеченная из обучающего множества помеченных паттернов, например, частота переходов между состояниями паттерна, то при известных допущениях можно говорить о вероятности появления в развивающемся потоке данных целевого паттерна по первым принятым символам. Причем, с увеличением числа принятых символов эта вероятность может уточняться. Тем самым, имеет место некий “момент истины”, когда целевой паттерн с достаточно высокой достоверностью распознается в потоке данных по первым поступившим символам.

Определение 3. Моментом истины целевого темпорального паттерна в потоке данных S = х1,х2,...,хп называется такое минимальное значение темпорального

индекса I, при котором частичный паттерн г* = х1, хм,..., х1+к распознается в потоке S как целевой с вероятностью не ниже заданного порога £ .

Для задачи детектирования введем в рассмотрение понятие обучающего множества в виде конечного множества помеченных темпоральных паттернов 3 = I и N, разделенных на два класса: I - подмножество целевых паттернов и N - подмножество аномальных паттернов, обучающим множество 3 = I и N. На основе анализа частоты переходов между состояниями темпоральных паттернов обучающей выборки определяются две статистические оценки: С (х.) общее количество переходов, начинающихся в состоянии х{, и С(х, х) - общее количество переходов из состояния Х1 в х. .

Определение 4. Вероятность перехода между двумя состояниями х. и X ■ определяется как:

Р (х., X]) = С (х., X])/ С (х.).

Пусть х. е X . Обозначим через I(х.) множество всех целевых темпоральных паттернов, начинающихся с состояния х., т.е. I (х) = {(х, х^,..., х ) е 11 х^ = х}.

Определение 5. Целевой вероятностью р (х.) состояния х. е X называется величина, равная вероятности появления целевого темпорального паттерна, начинающегося с х!, т.е. Р1 (х) = Р{( х, х ,..., х ) е 1(х^ )| х^ = х;).

Пусть S = х1, х2,..., хп - поток данных, характеризующих течение анализируемого временного процесса, £ - пороговое значение вероятности обнаружения целевого паттерна, 3 = I и N - обучающее множество темпоральных паттернов, помеченных признаками целевого или аномального паттерна.

Задача упреждающего распознавания темпоральных паттернов в потоке данных заключается в обнаружении в потоке данных S = х1,х2,..., хп развивающегося

во времени целевого темпорального паттерн и определении его момента истины.

2. Игровая Марковская модель. Марковские процессы с оценочными функциями являются популярными стохастическими моделями для секвенциального моделирования и принятия решений. Марковский игровой процесс может быть представлен триплетом {Х, Г, Р}, где X - пространство состояний; Г - оценочная функция, определенная на множестве X; Р - вероятности переходов между состояниями.

Пусть последовательность состояний Я = (х1 ,х1 ,..., х1 )(х1 е X) определяет

траекторию (маршрут), порожденную Марковским процессом. Вероятность переходов из состояния в состояние удовлетворяет основному Марковскому свойству:

Р(х,+1 1 х,,х,-l,..., хо} = Р(х,+1 1 х,).

Для обсуждаемой задачи детектирования темпоральных паттернов Марковская игровая модель задается следующим образом.

Пространством состояний модели является множество символов X, соответствующих сигналам анализируемого потока данных, обучающим множество -множество 3 = I и N.

Определение. Игровая Марковская модель (ИММ) М определяется как четверка М =<X,Г,Р,3>, где X - множество состояний модели, соответствующих символам потоковых данных; Р = {Р(х1, х] )| х1, х] е X} - множество переходных вероятностей; Г: X ^ Я - оценочная функция, сопоставляющая состояниям модели е X вещественные значения щ = Г(х1), называемые весами; 3 - обучающее множество, на основе которого определяются переходные вероятности.

Определение. Пусть х1 е X и W = (н^, ж2,..., жт) (т =| X |) - весовой вектор

ИММ. Выигрышем состояния х1 е X называется величина

7 (х. ) = 'т™]Рг} (р.] = Р(х., х] )).

]=1

Определение. Пусть г = (х1 , х1 ,..., х1 )(х1 е X) - маршрут, порожденный

ИММ. Выигрышем маршрута 7(г) называется сумма выигрышей всех входящих в данный маршрут состояний, т.е. 7(г) = 7(х.) +... + 7(х. )

Определение. Функцией выигрыша ИММ называется вещественная функция V: X ^ Я, сопоставляющая каждому состоянию х. е X математическое ожидание

выигрыша по всем возможным маршрутам, исходящим из данного состояния, то есть

V (х.) = X 7 (г) Р(г) (г = х4\...\ , Р(г) = Р.1 Р2 ■... ■ Р.п ).

геИММ

Из данного определения следует, что функция выигрыша ИММ для каждого состояния прогнозирует выигрыш, который будет получен в результате реализации Марковского процесса, стартующего из данного состояния. Следующая теорема устанавливает связь между функцией выигрыша ИММ и целевыми вероятностями состояний.

Теорема 1. Пусть ИММ М =< X, Г, Р, 3 >, х1 е X и веса оценочной функции ИММ удовлетворяют следующим соотношениям:

V г = (х. , х. ,..., х1 ) е I . + ... + Ж. . = 1

г1 г2 г1г2 г2г3 гк-1гк

V г = (х , х ,..., х ) е N . + ... + ж ■ = 0

■ 11 12 1к. ¥2 1213 1к-1.

Тогда для состояния х. значение функции выигрыша V(х.) равно целевой вероятности данного состояния, то есть

V (х) = Р1 (х).

Приведенная теорема указывает на новый подход к детектированию темпоральных паттернов путем вычисления значений функции выигрыша ИММ, специальным образом обученной ИММ.

Детектирование темпоральных паттернов на основе ИММ. Выше приведенная теорема устанавливает эквивалентность между вероятностями появления

целевых паттернов и значениями функции выигрыша адаптивной ИММ, веса состояний которой подстроены под обучающее множество таким образом, что для целевых паттернов г е I суммарное значение функции выигрыша по всем состояниям приближалось к единице, а для всех остальных паттернов - к нулю. Тогда

для каждого вновь поступающего в потоке данных символа х е S значение

ч

функции выигрыша V (х.) будет характеризовать вероятность того, что начиная с данного символа в потоке данных, разворачивается целевой темпоральный паттерн

г = (х , X ,...). По мере поступления последующих символов х х накапли-

Ч 4+1 11+1 1!+ 2

ваемое суммарное значение функции выигрыша о,= V(х. ) + V(х ) +... будет

1] 1] +

уточнять целевую вероятность подобно тому, как становится более узнаваемым слово в потоке слитной речи при его постепенном озвучивании. При превышении накопленной суммы ^ некоторого заранее установленного порога £ выдается упреждающий сигнал о появлении целевого паттерна в потоке данных.

Для демонстрации предложенного подхода рассмотрим случайный ВР, в который встроен целевой темпоральный паттерн, выделенный жирными линиями. Предварительно числовой ВР преобразован в символьную форму путем дискретизации на 256 уровней, соответствующих 256 состояниям обученной на основе данного ВР ИММ.

На рис. 2 четко видно, как эволюционирует накапливаемое значение функции выигрыша вместе с развитием целевого паттерна. А именно, накопленное значение функции выигрыша ИММ монотонно возрастает в период развития целевого паттерна во ВР и превышает экспериментально установленный порог £, инициируя упреждающий сигнал до появления последнего значения паттерна во ВР.

Ь

Рис. 2. Процесс эволюционирования накапливаемого значения функции выигрыша вместе с развитием целевого паттерна: а - случайный ВР со встроенным целевым темпоральным паттерном; Ь - эволюционирующее значение накопленной суммы функции выигрыша ИММ

Темпорально-разностное обучение ИММ. Известно, что значение функции выигрыша ИММ для состояния х. достаточно хорошо аппроксимируется выражением V(х.) = Iр. м. , равным математическому ожиданию одношаговых мар]

шрутов, исходящих из хг. Следовательно, на основании Теоремы целевую вероятность состояния х1 можно вычислить используя выражения р (х) =

Рг М] .

Тогда процесс обучения ИММ сводится к такому подбору вектора весовых коэффициентов W = (м^, м2,...,мт) , чтобы для целевых паттернов г = (х^,х. ,..., х^)е I

сумма целевых вероятностей по всем состояниям стремилась к единице, а для остальных - к нулю. Таким образом, критерием обучения является максимально точное выполнение соотношений:

I Р М +! РнМ +... + I РкМ] = 1 У г = (-V \,..., хк) е 1;

] ] ]

Iр.1 м +!р.2м+...+1РкМ]=0 уг =(х.1,х.2,...,х.к)е м.

] ] ]

Наиболее эффективным для обучения ИММ представляется использовать известные технологии темпорально-разностного обучения (ТО-обучения) [11]. В основу ТО-обучения положена идея расчета функций выигрыша ИММ путем наблюдений за изменением ее значений в последовательности переходов между состояниями модели. Эти оценки обновляются на основе анализа различий между двумя последовательными оценками. В процессе распознавания вероятный результат предсказания обновляется с каждым новым, поступающим на вход модели состоянием подобно тому, как становится более узнаваемым слово в слитной речи по мере последовательного озвучивания его отдельных фонем. Поэтому методы ТО демонстрируют свое преимущество в задачах многошагового предсказания, и, в частности, в предсказании функций выигрыша ИММ.

В задаче многошагового предсказания данные доступны в виде обучающих последовательностей “наблюдение-результат” х1,х2,...,хкг, где каждый х! - наблюдение в 1-й момент, г - результат. Для каждой последовательности “наблюдение-результат” ученик выдает соответствующую последовательность предсказаний р р2,...,Рк, каждое из которых является предварительной оценкой результата

г. В общем случае каждое Р является функцией всех предшествующих наблюдений х = х1,х2,...,хг. Предсказания также основываются на векторе модифицируемых параметров-весов w = (М1, ^2,..., м ). Функциональная зависимость р -го предсказания от х и W явно обозначается как Р(X,W). Процедуры обучения обычно выражаются через правила обновления для весов еW . В подходе обучения с учителем каждая последовательность наблюдений и их результаты образуют последовательность пар наблюдение-результат (х1г),(х2г),...,(хкг). Инкремент параметра еW в 1-й момент зависит от ошибки между р и 7, и от того, как Ж] влияет на Р.. Формула обновления для весов вектора W в обучении с учителем выглядит следующим образом:

ДW =ц(г - р )У р

где ц - параметр скорости обучения; V р - вектор частных производных р по каждой из компонент W .

Смысл ТО-обучения заключается в представлении ошибки г - р. как суммы изменений в последовательных предсказаниях, а именно:

Данное выражение выводит на инкрементальный метод ТО-обучения, который в ответ на увеличение (уменьшение) в предсказании р относительно р+1

вычисляется инкремент Д W , который увеличивает (уменьшает) величину предсказаний для некоторых или всех предыдущих наблюдений х1, х2,..., х1.

Заключение. В работе предложен новый подход к решению задачи упреждающего детектирования нечетких темпоральных паттернов в потоке символьных или числовых данных, основанный на использовании ИММ с адаптивными оценочными функциями. В предложенном подходе вводится новый тип ИММ и доказывается, что при определенных допущениях обучающее предсказание функций выигрыша ИММ эквивалентно оценке вероятностей появления целевых паттернов. Это открывает возможности использования эффективных инкрементальных методов темпорально-разностного обучения для создания моделей детектирования.

Предлагаемый подход может найти широкое применение в задачах распознавания аномалий во ВР, автоматического извлечения типовых паттернов в потоках данных, формирования темпоральных БЗ интеллектуальных динамических систем и др.

1. Herbst G., Bocklisch F. Recognition of Fuzzy Time Series Patterns Using Evolving Classification Results // Chemnitz University of Technology, D-09107 Chemnitz, Germany. 2009.

2. Chandola V. Arindam Banerjee, Vipin Kumar. Anomaly detection: a survey, ACM Computing Surveys. - 2009 - P. 1-72.

3. Joshi M.V., Agarwal R.C., Kumar V. Predicting rare classes: can boosting make any weak learner strong? in: Proceedings of the Eighth ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, ACM, New York, NY, USA, 2002. - P. 297-306.

4. Chawla N.V., Japkowicz N., Kotcz A. Editorial: special issue on learning from imbalanced data sets // SIGKDD Explorations. - 2004. - № 6 (1). -P. 1-6.

5. Steinwart, D. Hush, C. Scovel. A classification framework for anomaly detection // Journal of Machine Learning Research. - 2005. - № 6. - P. 211-232.

6. Sekar R., Gupta A., Frullo J., Shanbhag T., Tiwari A., Yang H., Zhou S. Specificationbased anomaly detection: a new approach for detecting network intrusions, in: Proceedings of the 9th ACM Conference on Computer and Communications Security, ACM Press, 2002. - P. 265-274.

7. Xu X., Wang X.N. Adaptive network intrusion detection method based on PCA and support vector machines, ADMA 2005, Lecture Notes in Artificial Intelligence, LNAI 3584. - 2005.

- P. 696-703.

8. Laskov P., Dussel P., Schafer C., Rieck K. Learning intrusion detection: supervised or unsupervised? Proc. ICIAP 2005, September. Lecture Notes in Computer Science, LNCS 3617.

- 2005. - P. 50-57.

9. Mahoney M., Chan P. Learning nonstationary models of normal network traffic for detecting novel attacks, in: Proceedings of 8th International Conference on Knowledge Discovery and Data Mining, 2002. - P. 376-385.

10. Shah H., Undercoffer J., Joshi A. Fuzzy clustering for intrusion detection, in: Proceedings of the 12th IEEE International Conference on Fuzzy Systems, 2003. - P. 1274-1278.

11. Sutton R. Learning to predict by the method of temporal differences // Machine Learning.

- 1988. - № 3 (1). - P. 9-44.

12. Lane T.A. decision-theoretic, semi-supervised model for intrusion detection, in: Machine Learning & Data Mining for Computer Security: Methods & Applications, Springer, 2006.

- P. 157-178.

k

(Pk+1 = z).

БИБЛИОГРАФИЧЕСКИМ СПИСОК

13. Курейчик В.В., Курейчик В.М., Сороколетов П.В. Анализ и обзор моделей эволюции // Известия РАН. ТиСУ. - 2007. - № 5.

14. Ковалев С.М. Гибридные коннекционисткие модели извлечения темпоральных знаний в информационных базах данных // Интегрированные модели и мягкие вычисления в искусственном интеллекте. Сб. научн. тр. V Международной научно-практической конференции. Т. 1. - М.: Физматлит, 20о9. - С. 30-41.

Статью рекомендовала к опубликованию д.т.н., профессор М. А. Бутакова.

Ковалев Сергей Михайлович - Ростовский филиал Открытого акционерного общества «Научно-исследовательский и проектно-конструкторский институт информатизации, автоматизации и связи на железнодорожном транспорте»; e-mail: ksm@rfniias.ru; 344032, Ростов-на-Дону, Ленина 44/13; тел.: +78632188877; начальник центра интеллектуальных технологий; д.т.н.

Муравский Александр Викторович - e-mail: mouravski_alex@rfniias.ru; начальник лаборатории ЦИТ; к.т.н.

Kovalev Sergey Mihailovich - The Rostov Branch JSC "Research and development institute of information technologies, automation and communication of railway transport"; e-mail: ksm@rfniias.ru; 44/13, Lenina, Rostov-on-Done, 344032, Russia; phone: +78632188877; managing director of Rostov branch of JSC NIIAS; dr. of eng. sc.

Muravskiy Alexander Viktorovich - e-mail: mouravski_alex@rfniias.ru; chief designer of the department for intellectual technologies on Railway transport; cand. of eng. sc.

УДК 669.183.2:658.51.001.57

З.А. Мелихова, О.А. Мелихова

ИСПОЛЬЗОВАНИЕ АППАРАТА НЕЧЕТКОЙ МАТЕМАТИКИ ПРИ МОДЕЛИРОВАНИИ СИСТЕМ ПОДДЕРЖКИ ПРИНЯТИЯ РЕШЕНИЙ*

Рассматриваются модели представления знаний на основе нечеткой логики, классы задач принятия решений в различных предметных областях, модели возникновения простейших информационных и кибернетических систем на ранних стадиях развития эволюции. В работе предлагается, наряду с известными методами логического вывода, использовать ускоренный вывод, позволяющий быстро, но приближенно, оценивать влияние факторов на поведение системы. Нечеткий экспресс вывод строится на основе нечеткой аналогии. При этом исходная модель базы знаний задается в виде нечеткого графа и одного или более нечетких гомоморфных ее образов. Для осуществления вывода на основе нечеткой аналогии необходимо установить нечеткий изоморфизм исходного графа и нечеткого изоморфного образа.

Кибернетическая система; нечеткие множества; база знаний; нечеткий изоморфизм; эпиморфный образ; композиционное правило вывода; нечеткие эталонные ситуации; импликативные правила.

Z.A. Melikhova, O.A. Melikhova

THE USE OF FUZZY MATHEMATICS MEANS BY THE SYSTEMS SIMULATION OF THE DECISION THEORY SUPPORT

The models of the knowledges representation on the base of fuzzy logic, the classes of decision problems in various subject, the models of the simplest information and cybernetics systems origin on the early stages of evolution development are considered. In the paper offers to make use

* Работа выполнена при финансовой поддержке госбюджетной научно-исследовательской работы № 37.04.54.