19、使用自组织映射进行行为分析

使用自组织映射进行行为分析

在当今的数据中心管理中，对虚拟机（VM）和虚拟网络功能（VNF）的行为分析至关重要。自组织映射（SOM）作为一种强大的工具，为我们提供了深入了解这些行为的途径。本文将详细介绍如何使用SOM进行行为分析，包括其原理、实现方法、相关技术以及实验结果。

1. SOM在行为分析中的应用原理

在VM的运行过程中，其负载水平差异很大。因此，在进行非归一化分析时，应考虑增加SOM网格的大小，以避免神经元过度拥挤（即太多模式聚集在同一个最佳匹配单元BMU中），即使这些模式彼此之间距离很远。

每个输入到SOM的样本是通过将k个向量（每个向量对应一个分析指标）连接起来构建的，针对每个VM和时间段。由于基础设施（INFRA）指标的收集粒度为5分钟，如果考虑一天的时间段，每个VM每天每个指标通常有288个数据点。

训练阶段结束后，SOM用于为每个输入样本推断最佳匹配单元（BMU），即与输入样本相比量化误差最小的神经元。多个VM可能会与同一个BMU关联，从而可以从这个过程中得出不同的VM集群。数据中心操作员可以使用这种输出直观地检查不同VM在分析时间段内的行为，以发现可能的可疑或异常行为。此外，由于单个输入样本与特定VM在特定时间点的行为相关，还可以可视化VM在整个时间段内的演变，以检测其行为变化中的有趣模式。

除了上述聚类机制，还设计了一种无需人工操作员每天检查SOM状态就能检测可能可疑行为的方法。这种额外的功能是一个警报系统，当一个输入样本首先与一组相似的神经元关联，但在接下来的几天内突然发生组变化时，就会触发该系统。由于两个不同组中的神经元与BMU（即最近的神经元）之间的距离相当大，这些样本可能描绘了一种不常见的行为，因此会向操作员