[发明专利]多变量数据中的异常检测

权利要求书

1.一种计算设备，包括：

网络接口；

至少一个处理器；

非瞬态计算机可读介质；以及

被储存在所述非瞬态计算机可读介质上的程序指令，所述程序指令在由所述至少一个处理器执行时使计算设备进行以下操作：

经由所述网络接口从资产接收原始坐标空间中的多变量数据，所述原始坐标空间具有等于所述数据中所包括的变量数目的维数；

将所接收到的多变量数据从所述原始坐标空间变换到具有比所述原始坐标空间少的维度的经变换坐标空间；

标准化所述经变换坐标空间中的所述数据；

基于一组阈值来修改所述经变换坐标空间中的所述经标准化数据，其中，所述一组阈值是基于反映正常资产操作的训练数据来定义的；

将所述经修改数据从所述经变换坐标空间逆变换到所述原始坐标空间；以及

分析所述原始坐标空间中的所述经逆变换数据以标识异常。

2.如权利要求1所述的计算设备，其特征在于，能执行以使所述计算设备将所接收到的多变量数据从所述原始坐标空间变换到具有比所述原始坐标空间少的维度的经变换坐标空间的所述程序指令包括能执行以使计算设备进行以下操作的程序指令：

将主成分分析(PCA)应用于所述原始坐标空间中所接收到的多变量数据，其中，PCA的应用包括：

标识描述所接收到的多变量数据的变化性的一组主成分；

基于所述一组主成分，将所述原始坐标空间中所接收到的多变量数据线性地变换到所述经变换坐标空间，其中，所述经变换坐标空间的每个维度对应于属于所述一组主成分的一主成分。

3.如权利要求1所述的计算设备，其特征在于，能执行以使所述计算设备分析所述原始坐标空间中的所述经逆变换的经修改数据以标识异常的所述一组阈值包括能执行以使所述计算设备进行以下操作的程序指令：

将所接收到的多变量数据与所述原始坐标空间中的所述经逆变换的经修改数据进行比较；以及

标识至少一个变量值在所接收到的多变量数据与所述经逆变换的经修改数据之间在统计上的显著差异。

4.如权利要求1所述的计算设备，其特征在于，能执行以使所述计算设备标准化所述经变换坐标空间中的所述数据的所述程序指令包括能执行以使所述计算设备进行以下操作的程序指令：

在所述经变换坐标空间中重新缩放所述数据，其中，所述经重新缩放的数据以所述经变换坐标空间的原点为中心并遵循标准正态分布。

5.如权利要求1所述的计算设备，其特征在于，能执行以使计算设备基于所述一组阈值来修改所述经变换坐标空间中的所述经标准化数据的所述程序指令包括能执行以使所述计算设备进行以下操作的程序指令：

将所述经变换坐标空间中的每个维度的给定经标准化数据点的值与针对该维度所定义的阈值进行比较；

确定一个或多个经标准化数据点的值是否超过针对该变量所定义的阈值。

6.如权利要求1所述的计算设备，其特征在于，能执行以使所述计算设备基于所述一组阈值来修改所述经变换坐标空间中的所述经标准化数据的所述程序指令包括能执行以使所述计算设备进行以下操作的程序指令：

标识所述经变换坐标空间中具有超过所定义的阈值的一个或多个维度值的经标准化数据点；

将所述一个或多个维度值中的至少一个维度值的幅值减少到等于所定义的阈值。

7.如权利要求6所述的计算设备，其特征在于，一个或多个维度值的减少基于向量收缩和成分收缩中的至少一者或多者。