针对目标系统的异常检测方法和装置

技术领域

本说明书一个或多个实施例涉及计算机领域，尤其涉及针对目标系统的异常检测方法和装置。

背景技术

当前，在针对目标系统的异常检测时，常常基于目标系统的多项指标对应的多个时间序列而进行，简称为多维时序异常检测。类似地，基于单个时间序列进行的异常检测，简称为单维时序异常检测。相对于单维时序异常检测，多维时序异常检测更容易识别出目标系统是否发生异常，特别是对于目标系统比较复杂的情况更适合采用多维时序异常检测，例如，目标系统为复杂云系统。与单维时序异常检测不同，多维时序异常检测中各个时序之间的互相联系加大了异常检测的难度。其中，异常检测中，基于的时序数据或者异常检测结果可能属于隐私数据，需要保护隐私数据不被泄露。

现有技术中，针对目标系统的异常检测，即便采用了多维时序异常检测，异常检测的性能仍然不佳。

发明内容

本说明书一个或多个实施例描述了一种针对目标系统的异常检测方法和装置，能够提升异常检测的性能。

第一方面，提供了一种针对目标系统的异常检测方法，方法包括：

获取第一时间周期内的目标系统的多项指标对应的多个时间序列；

将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；

基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；

从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；

将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；

基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；

基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。

在一种可能的实施方式中，一项指标的指标数据由一个传感器采集，所述第一连接边用于表征传感器之间不随时间变化的相关性，所述第二连接边用于表征传感器之间在特定时间窗口内的相关性。

在一种可能的实施方式中，所述基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，包括：

基于任意两项指标分别对应的第一指标嵌入向量，计算该两项指标之间的余弦相似度；

将任意两项指标之间的余弦相似度作为一个矩阵元素，得到所述第一相关性矩阵。

在一种可能的实施方式中，所述根据第一相关性矩阵，得到指标之间的静态图，包括：

利用Gumbe l-Softmax方法从所述第一相关性矩阵中采样得到一个二值邻接矩阵；

根据所述二值邻接矩阵中的值为1的元素所在的行和列，确定静态图中具有连接边的两个节点。

在一种可能的实施方式中，所述基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果，包括：

利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

将所述图处理结果输入预测网络，根据预测结果确定所述检测结果。

进一步地，所述利用图神经网络分别处理所述静态图和动态图，得到图处理结果，包括：

将所述静态图输入图神经网络，得到各项指标分别对应的静态嵌入向量；

将所述动态图输入所述图神经网络，得到各项指标分别对应的动态嵌入向量；

对任一项指标对应的静态嵌入向量和动态嵌入向量进行融合处理，得到该项指标对应的汇聚嵌入向量，作为图处理结果；

所述将所述图处理结果输入预测网络，根据预测结果确定所述检测结果，包括：

将各项指标分别对应的汇聚嵌入向量输入预测网络，得到所述第一时间窗口之后的若干时刻分别对应的预测值；

根据各个时刻的预测值与真实值的差异，确定所述目标系统在所述第一时间窗口内是否发生异常的检测结果。

进一步地，所述图神经网络包括注意力层；所述注意力层用于对目标节点的各邻居节点的初始嵌入向量进行加权求和，得到所述目标节点的嵌入向量。

进一步地，所述加权求和的权重基于所述目标节点和邻居节点的相关度分数而确定，两个节点的相关度分数利用两个节点的初始嵌入向量计算得到。

进一步地，所述预测网络为多层感知机模型。

进一步地，所述神经网络模型、所述图神经网络和所述预测网络通过联合训练得到。

进一步地，所述联合训练的训练方式包括：

获取第二时间周期内的目标系统的多项指标对应的多个样本序列；所述样本序列具有多个时刻的指标数据；将所述多个样本序列分别输入神经网络模型，基于所述神经网络模型的输出得到静态图；

从所述多个样本序列的每个样本序列中提取第二时间窗口内的各个时刻的指标数据，得到多个子序列；将所述多个子序列分别输入所述神经网络模型，基于所述神经网络模型的输出得到动态图；

利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

将所述图处理结果输入预测网络，通过所述预测网络的输出确定第二时间周期包括的第二时间窗口之外的若干时刻的指标预测值；

以最小化所述指标预测值和所述指标数据之间的差异为训练目标，调整所述神经网络模型、所述图神经网络和所述预测网络的模型参数。

第二方面，提供了一种针对目标系统的异常检测装置，装置包括：

获取单元，用于获取第一时间周期内的目标系统的多项指标对应的多个时间序列；

嵌入单元，用于将所述获取单元获取的多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；

第一图确定单元，用于基于所述嵌入单元得到的第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；

提取单元，用于从所述获取单元获取的多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；

所述嵌入单元，还用于将所述提取单元得到的多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；

第二图确定单元，用于基于所述嵌入单元得到的第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；

检测单元，用于基于所述第一图确定单元得到的静态图和所述第二图确定单元得到的动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。

第三方面，提供了一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行第一方面的方法。

第四方面，提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现第一方面的方法。

通过本说明书实施例提供的方法和装置，首先获取第一时间周期内的目标系统的多项指标对应的多个时间序列；然后将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；接着基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；再从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；接着将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；再基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；最后基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。由上可见，本说明书实施例，通过一种分层的图结构学习框架从两个不同的特征学习角度检测异常，具体来讲，通过静态图捕捉指标之间的全局以及稳定的拓扑关系，通过动态图捕捉指标之间的瞬时的时序关联信息，通过静态图和动态图相结合判断时间窗口内是否发生异常，从而能够提升异常检测的性能。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本说明书披露的一个实施例的实施场景示意图；

图2示出根据一个实施例的针对目标系统的异常检测方法流程图；

图3示出根据一个实施例的静态图获取示意图；

图4示出根据一个实施例的异常检测系统架构示意图；

图5示出根据一个实施例的针对目标系统的异常检测装置的示意性框图。

具体实施方式

下面结合附图，对本说明书提供的方案进行描述。

图1为本说明书披露的一个实施例的实施场景示意图。该实施场景涉及针对目标系统的异常检测。参照图1，本说明书实施例，基于目标系统的多项指标对应的多个时间序列，确定目标系统在时间窗口内是否发生异常，也就是说，采用多维异常检测的方式进行异常检测。例如，多项指标具体为4项指标，分别为指标1、指标2、指标3和指标4，图1中，4项指标对应的时间序列由上至下依次排列，横向代表时间，纵向代表指标值。可以理解的是，若多个时间序列对应于第一时间周期，则时间窗口属于第一时间周期对应的时间段，且时间窗口的时间长度小于第一时间周期的时间长度。例如，第一时间周期对应的时间段为早上8点到晚上8点，其时间长度为12小时，时间窗口为早上9点到早上10点，其时间长度为1小时。

多维异常检测：每个时刻有多个指标记录，根据多指标之间联系以及单指标时间前后联系判断每个时刻点是否是异常。

本说明书实施例，基于混合图结构学习从两个不同的特征学习角度建立指标之间的联系，具体来讲，通过静态图捕捉指标之间的全局以及稳定的拓扑关系，通过动态图捕捉指标之间的瞬时的时序关联信息。

混合图结构学习：图中的一个节点代表一项指标，相关的指标对应的节点之间存在连接边，不相关的指标对应的节点之间不存在连接边。

图2示出根据一个实施例的针对目标系统的异常检测方法流程图，该方法可以基于图1所示的实施场景。如图2所示，该实施例中针对目标系统的异常检测方法包括以下步骤：步骤21，获取第一时间周期内的目标系统的多项指标对应的多个时间序列；步骤22，将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；步骤23，基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；步骤24，从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；步骤25，将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；步骤26，基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；步骤27，基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。下面描述以上各个步骤的具体执行方式。

首先在步骤21，获取第一时间周期内的目标系统的多项指标对应的多个时间序列。可以理解的是，一项指标对应于不同时刻的指标值构成一个时间序列。

在一个示例中，一项指标的指标数据由一个传感器采集，不同指标之间的相关性体现了不同传感器之间的相关性。

上述指标可以但不限于包括用于表征目标系统当前性能的指标，例如，CPU利用率、CPU负载等。

然后在步骤22，将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量。可以理解的是，第一指标嵌入向量可以反映出第一时间周期内单项指标时间前后的联系。

本说明书实施例，上述神经网络模型可以采用任一种时间序列模型，例如，长短期记忆网络(long short-term memory，LSTM)模型或循环神经网络(recurrent neuralnetwork，RNN)模型等。

接着在步骤23，基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定。可以理解的是，第一相关性矩阵的各行分别代表一项指标，各列也分别代表一项指标，矩阵的每个元素可以标识出相应行和列的两个指标之间在第一时间周期内的相关性。

在一个示例中，一项指标的指标数据由一个传感器采集，所述第一连接边用于表征传感器之间不随时间变化的相关性。

在一个示例中，所述基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，包括：

基于任意两项指标分别对应的第一指标嵌入向量，计算该两项指标之间的余弦相似度；

将任意两项指标之间的余弦相似度作为一个矩阵元素，得到所述第一相关性矩阵。

在一个示例中，所述根据第一相关性矩阵，得到指标之间的静态图，包括：

利用Gumbe l-Softmax方法从所述第一相关性矩阵中采样得到一个二值邻接矩阵；

根据所述二值邻接矩阵中的值为1的元素所在的行和列，确定静态图中具有连接边的两个节点。

图3示出根据一个实施例的静态图获取示意图。参照图3，静态图反映不随时间变化的传感器之间的连接关系，通常捕获多元时间序列的全局拓扑。使用余弦相似度计算概率矩阵，并利用Gumbe l-Softmax方法从概率矩阵中采样得到一个二值邻接矩阵。由于采用了稀疏编码的方式，具有更高的计算效率和更好的解释性。通过Gumbe l-Softmax方法得到的稀疏静态图可以提高计算效率，并增强对预测结果的解释性。基于第一指标嵌入向量，确定静态图，这个过程可以表达为下式：

其中，e

再在步骤24，从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列。可以理解的是，子序列和时间序列是局部和整体的关系。

其中，子序列和时间序列在形式上类似，仅仅是时间长度不同。

接着在步骤25，将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量。可以理解的是，第二指标嵌入向量可以反映出第一时间窗口内单项指标时间前后的联系。

再在步骤26，基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定。可以理解的是，第二相关性矩阵的各行分别代表一项指标，各列也分别代表一项指标，矩阵的每个元素可以标识出相应行和列的两个指标之间在第一时间窗口内的相关性。

在一个示例中，一项指标的指标数据由一个传感器采集，所述第二连接边用于表征传感器之间在特定时间窗口内的相关性。

该示例中，动态图充分利用了时间窗口内的局部拓扑信息，捕捉传感器之间的不稳定的相关性模式。

本说明书实施例，确定动态图的方式与确定静态图的方式类似，在此不做赘述。

最后在步骤27，基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。可以理解的是，静态图反映了多元时间序列中的全局拓扑信息，动态图反映了多元时间序列中的局部拓扑信息，综合上述两种信息，可以提高确定检测结果的准确率。

在一个示例中，所述基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果，包括：

利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

将所述图处理结果输入预测网络，根据预测结果确定所述检测结果。

需要说明的是，上述得到图处理结果可以有多种实现方式，例如，图处理结果是静态图和动态图各自的整图表征，或者，图处理结果是指标对应的嵌入向量；预测网络也可以有多种实现方式，例如，直接输出是否异常的预测结果，将该预测结果确定为检测结果，或者，输出指标的预测值作为预测结果，后续再根据该预测值确定检测结果。

进一步地，所述利用图神经网络分别处理所述静态图和动态图，得到图处理结果，包括：

将所述静态图输入图神经网络，得到各项指标分别对应的静态嵌入向量；

将所述动态图输入所述图神经网络，得到各项指标分别对应的动态嵌入向量；

对任一项指标对应的静态嵌入向量和动态嵌入向量进行融合处理，得到该项指标对应的汇聚嵌入向量，作为图处理结果；

所述将所述图处理结果输入预测网络，根据预测结果确定所述检测结果，包括：

将各项指标分别对应的汇聚嵌入向量输入预测网络，得到所述第一时间窗口之后的若干时刻分别对应的预测值；

根据各个时刻的预测值与真实值的差异，确定所述目标系统在所述第一时间窗口内是否发生异常的检测结果。

图4示出根据一个实施例的异常检测系统架构示意图。参照图4，异常检测系统包括神经网络模型、图神经网络和预测网络，首先将多个时间序列输入神经网络模型，基于神经网络模型的输出得到静态图和动态图，静态图包含不随时间变化的传感器之间的连接关系，动态图则充分利用时间窗口内的局部拓扑信息捕捉传感器之间不稳定的相关性模式，然后利用图神经网络分别处理静态图和动态图，得到图处理结果，其中，图神经网络将传感器之间的联合信息进行汇聚，最后将图处理结果输入预测网络，根据预测结果确定目标系统在第一时间窗口内是否发生异常的检测结果。

进一步地，所述图神经网络包括注意力层；所述注意力层用于对目标节点的各邻居节点的初始嵌入向量进行加权求和，得到所述目标节点的嵌入向量。

进一步地，所述加权求和的权重基于所述目标节点和邻居节点的相关度分数而确定，两个节点的相关度分数利用两个节点的初始嵌入向量计算得到。

该示例中，所述注意力层采用了注意力机制聚合个邻居节点的初始嵌入向量，其中，可以根据不同时间段的相关强度进行上述加权求和，从而更好地编码各节点之间的相互作用。

进一步地，所述预测网络为多层感知机模型。

进一步地，所述神经网络模型、所述图神经网络和所述预测网络通过联合训练得到。

进一步地，所述联合训练的训练方式包括：

获取第二时间周期内的目标系统的多项指标对应的多个样本序列；所述样本序列具有多个时刻的指标数据；将所述多个样本序列分别输入神经网络模型，基于所述神经网络模型的输出得到静态图；

从所述多个样本序列的每个样本序列中提取第二时间窗口内的各个时刻的指标数据，得到多个子序列；将所述多个子序列分别输入所述神经网络模型，基于所述神经网络模型的输出得到动态图；

利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

将所述图处理结果输入预测网络，通过所述预测网络的输出确定第二时间周期包括的第二时间窗口之外的若干时刻的指标预测值；

以最小化所述指标预测值和所述指标数据之间的差异为训练目标，调整所述神经网络模型、所述图神经网络和所述预测网络的模型参数。

该示例中，目标系统在第二时间周期内未发生异常，从而可以利用样本序列进行模型训练。

本说明书实施例，可以使用均方误差作为损失函数，实现对异常检测的有效性评估。

其中，损失函数可以定义为：

其中，T

通过本说明书实施例提供的方法，首先获取第一时间周期内的目标系统的多项指标对应的多个时间序列；然后将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；接着基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；再从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；接着将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；再基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；最后基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。由上可见，本说明书实施例，通过一种分层的图结构学习框架从两个不同的特征学习角度检测异常，具体来讲，通过静态图捕捉指标之间的全局以及稳定的拓扑关系，通过动态图捕捉指标之间的瞬时的时序关联信息，通过静态图和动态图相结合判断时间窗口内是否发生异常，从而能够提升异常检测的性能。

根据另一方面的实施例，还提供一种针对目标系统的异常检测装置，该装置用于执行本说明书实施例提供的方法。图5示出根据一个实施例的针对目标系统的异常检测装置的示意性框图。如图5所示，该装置500包括：

获取单元51，用于获取第一时间周期内的目标系统的多项指标对应的多个时间序列；

嵌入单元52，用于将所述获取单元51获取的多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；

第一图确定单元53，用于基于所述嵌入单元52得到的第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；

提取单元54，用于从所述获取单元51获取的多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；

所述嵌入单元52，还用于将所述提取单元54得到的多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；

第二图确定单元55，用于基于所述嵌入单元52得到的第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；

检测单元56，用于基于所述第一图确定单元53得到的静态图和所述第二图确定单元55得到的动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。

可选地，作为一个实施例，一项指标的指标数据由一个传感器采集，所述第一连接边用于表征传感器之间不随时间变化的相关性，所述第二连接边用于表征传感器之间在特定时间窗口内的相关性。

可选地，作为一个实施例，所述第一图确定单元53包括：

相似度计算子单元，用于基于任意两项指标分别对应的第一指标嵌入向量，计算该两项指标之间的余弦相似度；

矩阵形成子单元，用于将相似度计算子单元得到的任意两项指标之间的余弦相似度作为一个矩阵元素，得到所述第一相关性矩阵。

可选地，作为一个实施例，所述第一图确定单元53包括：

采样子单元，用于利用Gumbe l-Softmax方法从所述第一相关性矩阵中采样得到一个二值邻接矩阵；

边确定子单元，用于根据所述采样子单元得到的二值邻接矩阵中的值为1的元素所在的行和列，确定静态图中具有连接边的两个节点。

可选地，作为一个实施例，所述检测单元56包括：

处理子单元，用于利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

预测子单元，用于将所述处理子单元得到的图处理结果输入预测网络，根据预测结果确定所述检测结果。

进一步地，所述处理子单元，具体用于：

将所述静态图输入图神经网络，得到各项指标分别对应的静态嵌入向量；

将所述动态图输入所述图神经网络，得到各项指标分别对应的动态嵌入向量；

对任一项指标对应的静态嵌入向量和动态嵌入向量进行融合处理，得到该项指标对应的汇聚嵌入向量，作为图处理结果；

所述预测子单元，具体用于：

将各项指标分别对应的汇聚嵌入向量输入预测网络，得到所述第一时间窗口之后的若干时刻分别对应的预测值；

根据各个时刻的预测值与真实值的差异，确定所述目标系统在所述第一时间窗口内是否发生异常的检测结果。

进一步地，所述图神经网络包括注意力层；所述注意力层用于对目标节点的各邻居节点的初始嵌入向量进行加权求和，得到所述目标节点的嵌入向量。

进一步地，所述加权求和的权重基于所述目标节点和邻居节点的相关度分数而确定，两个节点的相关度分数利用两个节点的初始嵌入向量计算得到。

进一步地，所述预测网络为多层感知机模型。

进一步地，所述神经网络模型、所述图神经网络和所述预测网络通过联合训练得到。

进一步地，所述联合训练的训练方式包括：

获取第二时间周期内的目标系统的多项指标对应的多个样本序列；所述样本序列具有多个时刻的指标数据；将所述多个样本序列分别输入神经网络模型，基于所述神经网络模型的输出得到静态图；

从所述多个样本序列的每个样本序列中提取第二时间窗口内的各个时刻的指标数据，得到多个子序列；将所述多个子序列分别输入所述神经网络模型，基于所述神经网络模型的输出得到动态图；

利用图神经网络分别处理所述静态图和动态图，得到图处理结果；

将所述图处理结果输入预测网络，通过所述预测网络的输出确定第二时间周期包括的第二时间窗口之外的若干时刻的指标预测值；

以最小化所述指标预测值和所述指标数据之间的差异为训练目标，调整所述神经网络模型、所述图神经网络和所述预测网络的模型参数。

通过本说明书实施例提供的装置，首先获取单元51获取第一时间周期内的目标系统的多项指标对应的多个时间序列；然后嵌入单元52将所述多个时间序列分别输入神经网络模型，得到各项指标分别对应的第一指标嵌入向量；接着第一图确定单元53基于第一指标嵌入向量，确定所述多项指标之间的第一相关性矩阵，并根据第一相关性矩阵，得到指标之间的静态图；所述静态图中的第一连接边根据所述第一相关性矩阵确定；提取单元54再从所述多个时间序列的每个时间序列中提取第一时间窗口内的各个时刻的指标数据，得到多个子序列；接着所述嵌入单元52将所述多个子序列分别输入所述神经网络模型，得到各项指标分别对应的第二指标嵌入向量；第二图确定单元55再基于第二指标嵌入向量，确定所述多项指标之间的第二相关性矩阵，并根据第二相关性矩阵，得到指标之间的动态图；所述动态图中的第二连接边根据所述第二相关性矩阵确定；最后检测单元56基于所述静态图和所述动态图，对所述目标系统在所述第一时间窗口内是否发生异常作出检测结果。由上可见，本说明书实施例，通过一种分层的图结构学习框架从两个不同的特征学习角度检测异常，具体来讲，通过静态图捕捉指标之间的全局以及稳定的拓扑关系，通过动态图捕捉指标之间的瞬时的时序关联信息，通过静态图和动态图相结合判断时间窗口内是否发生异常，从而能够提升异常检测的性能。

根据另一方面的实施例，还提供一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行结合图2所描述的方法。

根据再一方面的实施例，还提供一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现结合图2所描述的方法。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本发明的保护范围之内。