[发明专利]一种复杂网络社团异常检测方法

权利要求书

1.一种复杂网络社团异常检测方法，其特征是：

一、社团：在同一社团内部，节点之间连接相对紧密，而在社团之间的节点之间的连接相对稀疏，以网络中模块度最小为原则划分将网络划分为不同社团，其中Nc表示网络中社团的数目，M表示网络中连接的总数，m_c表示社团c内节点之间的连接数，d_c表示社团c内所有节点度数之和；

二、社团通信模型的构建方法

(1)基本定义：

观测值为社团c中发生通信量的节点序列，表示为其中表示在t时刻社团c与其他社团通信的节点，特别地，如果通信的两个节点都在社团c中，则只考虑发送数据的节点。观测值空间为：V＝{1,2,...,N}；

状态值为与t时刻与社团c连接的社团，表示为y＝y₁,y₂,...y_T，状态值空间为S＝{1,2,...,M}；

社团通信模型的参数模型表示为：θ＝{π,A,B}，其中，π为初始模型的初始状态概率，A为状态转移概率，B为观测概率；

(2)基于前向后向算法的社团通信模型的参数估计技术

社团c的社团通信模型参数估计任务是由采集到的观测值序列估计出对应的隐半马尔可夫模型的参数。本发明采用著名的前向后向算法解决社团通信模型的参数估计问题，具体如下所述。

1)定义前向后向变量：

α_t(j)＝P[S_t＝j,o_1:t|θ]

β_t(j)＝P[o_t+1:T|S_t＝j,θ]

2)前向后向算法的初始化：

α₁(j)＝π_j，

β_T(j)＝1。

3)迭代推导过程：

${\mathrm{\α}}_t\left(j\right)=\underset{i\∈S/\left\{j\right\}}{\Σ}{\mathrm{\α}}_{t-1}\left(i\right)a_{ij}{b}_j\left(o_t\right),$

${\mathrm{\β}}_t\left(j\right)=\underset{i\∈S/\left\{j\right\}}{\Σ}{a}_{ji}{b}_i\left(o_{t+1:}\right){\mathrm{\β}}_{t+1}\left(i\right);$

4)计算中间变量：

ξ_t(i,j)＝P[S_t＝i,S_t+1＝j,o₁:_T|λ]＝α_t(i)a_ijb_j(o_t+1)β_t+1(j)

${\mathrm{\γ}}_t\left(j\right)=P\[S_t=j,o_{1:T}|\mathrm{\λ}\]=\underset{j}{\Σ}{\mathrm{\ξ}}_t(i,j)$

5)参数更新公式

${\widehat{\mathrm{\π}}}_j={\mathrm{\γ}}_1\left(j\right)$

${\hat{a}}_{ij}=\frac{\underset{t=1}{\overset{T-1}{\Σ}}{\mathrm{\ξ}}_t(i,j)}{\underset{t=1}{\overset{T-1}{\Σ}}{\mathrm{\γ}}_t\left(j\right)}$

${\hat{b}}_j\left(v_k\right)=\frac{\underset{t=1}{\overset{T}{\Σ}}{\mathrm{\γ}}_t\left(j\right)I(o_t=v_k)}{\underset{t}{\Σ}{\mathrm{\γ}}_t\left(j\right)}$

其中，当o_t＝v_k时，I(o_t＝v_k)＝1，否则I(o_t＝v_k)＝0；

(3)网络社团异常检测方法

计算观测序列的熵：

$P\[o_{1:T}|\mathrm{\λ}\]=\underset{j}{\Σ}{\mathrm{\α}}_t\left(j\right)$

计算正常状态下的观测序列的熵的标准方差为σ₀，均值为μ₀，

异常检测时，首先计算监测序列的熵的均值为μ，再以|μ-μ₀|为异常检测量，如果|μ-μ₀|≥3σ₀，则为异常状态。

2.根据权利要求1所述的复杂网络社团异常检测方法，其特征是流程为：

步骤1：训练数据预处理，生成社团通信序列序列的训练数据集；

步骤2：采用前向后向算法估计模型的参数；

步骤3：采集实时网络通信序列；

步骤4：使用训练好的模型计算被监测序列的熵；

步骤5：计算异常检测量|μ-μ₀|；

步骤6：判断|μ-μ₀|≥3σ₀是否成立，如果成立，则表示异常，否则未发现异常。