深度捕捉时序本质：TSTD 异常检测之表示学习（Representation-based）全解析

深度捕捉时序本质：TSTD 异常检测之表示学习（Representation-based）全解析

在时间序列异常检测（TSTD）的进化史上，如果说预测模型 是"看未来"，重构模型 是"看结构"，那么基于表示学习（Representation-based）的模型则是"看本质"。

它不纠结于具体的数值是多少，而是通过深度学习将原始复杂的序列映射到一个高维的**特征向量（Embedding）**空间。在这个空间里，相似的运行模式会聚拢，而异常模式会被孤立。

---

一、 核心逻辑：从"原始信号"到"特征空间"

表示学习的核心目标是训练一个编码器 fϕf_\phifϕ ，将输入序列 XXX 转换为低维表示向量 z=fϕ(X)z = f_\phi(X)z=fϕ(X)。

其检测逻辑通常分为两类：

1. 聚类/距离类 ：在特征空间中，正常数据的 zzz 会集中在某些中心。如果某个点的 zzz 远离这些中心，则判定为异常（如 Deep SVDD）。
2. 对比类（Contrastive Learning）：通过增强数据（加噪、裁剪），要求模型识别出"谁和谁是一类"。异常数据因为破坏了这种特征一致性，会被模型识别出来。

---

二、 常用技巧与实战 Demo

在 Python 环境下，我们通常使用 PyTorch 配合 TS2Vec 或简单的 CNN/RNN Encoder 来实现。

2.1 简单入门：基于 GRU 的特征提取

最基础的技巧是利用预训练的编码器提取特征，再配合经典的统计算子。

import torch
import torch.nn as nn
import numpy as np
from sklearn.neighbors import LocalOutlierFactor

# 1. 定义简单的 GRU 编码器
class GRUEncoder(nn.Module):
    def __init__(self, input_dim, hidden_dim):
        super().__init__()
        self.gru = nn.GRU(input_dim, hidden_dim, batch_first=True)
        
    def forward(self, x):
        _, h_n = self.gru(x) # 取最后一个时序状态作为特征向量
        return h_n.squeeze(0)

# 2. 模拟多维数据 (Batch, Seq_Len, Dim)
data = torch.randn(100, 24, 5) 
encoder = GRUEncoder(5, 16)

# 3. 提取特征向量
with torch.no_grad():
    embeddings = encoder(data).numpy()

# 4. 在特征空间使用 LOF 算法检测异常
clf = LocalOutlierFactor(n_neighbors=20)
is_anomaly = clf.fit_predict(embeddings) # -1 为异常

2.2 高级技巧：Deep SVDD（深度单类分类）

这是企业级最常用的方案之一。模型的目标是缩减特征空间中所有正常点到中心点 ccc 的距离。

class DeepSVDD(nn.Module):
    def __init__(self, input_dim, z_dim):
        super().__init__()
        self.net = nn.Sequential(
            nn.Linear(input_dim, 64),
            nn.ReLU(),
            nn.Linear(64, z_dim)
        )
    
    def forward(self, x):
        return self.net(x)

# 训练目标：Loss = mean( || net(x) - c ||^2 )
# 其中 c 是训练初始阶段特征的均值。

2.3 常见错误：特征塌陷 (Feature Collapse)

• 错误现象 ：无论输入什么数据，模型输出的特征向量 zzz 全都一模一样。
• 原因：Loss 函数设计不当（如没有负样本约束），导致模型找到了"捷径"，将所有数据映射为一个常数点。
• 解决方法 ：引入对比损失（Contrastive Loss） ，或者在初始化中心点 ccc 时增加随机扰动，避免模型收敛到零解。

2.4 调试技巧：可视化特征空间

在 Windows 下，利用 matplotlib 和 TSNE 是排查表示学习模型最有效的方法：

from sklearn.manifold import TSNE
import matplotlib.pyplot as plt

tsne = TSNE(n_components=2)
z_2d = tsne.fit_transform(embeddings)
plt.scatter(z_2d[:, 0], z_2d[:, 1], c=is_anomaly)
plt.title("Latent Space Visualization")
plt.show()

如果正常点和异常点在图中完全混在一起，说明你的 Encoder 还没有学会区分特征。

---

三、 相关背景知识讲解

3.1 什么是 Embedding（嵌入）？

在时序中，Embedding 是将一段窗口内的数值信息转化为一个定长的向量。这个向量包含了该时段内的趋势、频率和相位信息。

3.2 对比学习 (Contrastive Learning)

这是目前表示学习的高级形态。它通过 数据增强（Data Augmentation），比如对同一段时序增加高斯噪声。模型的目标是让"原图"和"加噪图"的特征向量距离近，而让"原图"和"其他时段图"的距离远。

---

四、 项目实战：构建基于对比学习的日志异常检测系统

本项目演示如何在 Windows/CentOS7 环境下，通过简单的对比学习思想识别异常。

4.1 环境准备

pip install torch scikit-learn pandas

4.2 核心代码：对比损失 Encoder

import torch.nn.functional as F

class ContrastiveEncoder(nn.Module):
    def __init__(self, input_size, emb_size=32):
        super().__init__()
        self.encoder = nn.LSTM(input_size, 64, batch_first=True)
        self.head = nn.Linear(64, emb_size)

    def forward(self, x):
        _, (h, _) = self.encoder(x)
        return self.head(h.squeeze(0))

# 损失函数示例：让正样本对距离近，负样本对距离远
def nt_xent_loss(z_i, z_j, temperature=0.5):
    # z_i 是原始数据特征，z_j 是增强后数据特征
    sim = F.cosine_similarity(z_i.unsqueeze(1), z_j.unsqueeze(0), dim=2)
    # ... 详细实现涉及到交叉熵计算 ...
    return loss

4.3 实战操作步骤

1. 数据切片：将服务器 CPU 序列切分为长度为 50 的滑动窗口。
2. 数据增强 ：对每个窗口随机进行 Scaling（缩放）和 Jittering（抖动）。
3. 模型训练 ：运行 ContrastiveEncoder，使得模型学会提取稳定的业务特征。
4. 异常打分 ：
   • 记录训练集中所有正常窗口的 Embedding。
   • 推理时，计算新窗口 Embedding 到训练集中心的 欧氏距离。
   • 距离过大，即为异常。

---

五、 表示学习 vs 预测/重构

维度	基于预测 (Forecasting)	基于重构 (Reconstruction)	基于表示 (Representation)
检测粒度	逐点检测	窗口检测	语义/模式检测
计算复杂度	中	高	低（推理阶段极快）
鲁棒性	对噪声敏感	较好	极佳
可解释性	强（预测偏离多少）	中（哪里还原得不好）	弱（隐藏空间难以直观理解）

---

六、 如何选择模型？

1. 如果你追求极致的准确率 ，且有大量 GPU 算力：优先尝试 基于重构的 VAE/MAE。
2. 如果你是在 CentOS7 等嵌入式或边缘端部署 ，算力有限：先用 表示学习 预训练一个轻量级 Encoder，推理时只需做向量距离计算，性能极高。
3. 对于多维数据关联检测：表示学习是唯一的出路。预测模型在 100 维以上的指标面前往往会因为"维度灾难"而失效，但表示学习可以通过映射将其降维到 32 维甚至更低。