[发明专利]一种异常检测方法和装置

权利要求书

1.一种异常检测方法，其特征在于，包括：

根据用户访问服务器行为的历史流量数据建立基础矩阵，并根据待检测当天用户访问服务器行为的流量数据获取待检测当天的观察向量；

计算基础矩阵和待检测当天的观察向量的马氏距离，根据马氏距离判断用户访问服务器行为是否异常。

2.根据权利要求1所述的异常检测方法，其特征在于，所述计算基础矩阵和待检测当天的观察向量的马氏距离包括：

将所述基础矩阵和所述观察向量进行归一化处理；

对归一化处理后的基础矩阵进行奇异值分解；

根据归一化处理后的观察向量和奇异值分解得到的矩阵计算马氏距离。

3.根据权利要求2所述的异常检测方法，其特征在于，所述根据归一化处理后的观察向量和奇异值分解得到的矩阵计算马氏距离包括：

按照公式计算所述马氏距离；

其中，为取矩阵U的前r列得到的矩阵，为归一化处理后的观察向量，为取矩阵S前r项对角线元素得到的矩阵，矩阵U和矩阵S为所述奇异分解得到的矩阵。

4.根据权利要求1所述的异常检测方法，其特征在于，所述根据马氏距离判断用户访问服务器行为是否异常包括：

根据所述马氏距离计算评分，根据所述评分判断所述用户访问服务器行为是否异常。

5.根据权利要求4所述的异常检测方法，其特征在于，所述根据马氏距离计算评分包括：

按照公式计算所述评分；

其中，score为所述评分，A为所述评分的最高值和最低值之差，m为所述马氏距离，m₀为所述评分为A/2对应的马氏距离，k为曲线的斜率。

6.一种异常检测装置，其特征在于，包括：

获取模块，用于根据用户访问服务器行为的历史流量数据建立基础矩阵，并根据待检测当天用户访问服务器行为的流量数据获取待检测当天的观察向量；

计算模块，用于计算基础矩阵和待检测当天的观察向量的马氏距离；

检测模块，用于根据马氏距离判断用户访问服务器行为是否异常。

7.根据权利要求6所述的异常检测装置，其特征在于，所述计算模块具体用于：

将所述基础矩阵和所述观察向量进行归一化处理；

对归一化处理后的基础矩阵进行奇异值分解；

根据归一化处理后的观察向量和奇异值分解得到的矩阵计算马氏距离。

8.根据权利要求6所述的异常检测装置，其特征在于，所述检测模块具体用于：

根据所述马氏距离计算评分，根据所述评分判断所述用户访问服务器行为是否异常。

9.一种终端，包括处理器和计算机可读存储介质，所述计算机可读存储介质中存储有指令，其特征在于，当所述指令被所述处理器执行时，实现如权利要求1～5任一项所述的异常检测方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1～5任一项所述的异常检测方法的步骤。