[发明专利]一种融合时序和属性行为的异常变化检测方法及系统

权利要求书

1.一种融合时序和属性行为的异常变化检测方法，其特征在于；采用无监督学习的方式，融合行为数据的时序和属性信息进行局部异常行为变化检测；实现步骤如下：

步骤1，使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，即构建多个具有顺序关系的异构属性网络，并划分参考窗口和当前窗口；

步骤2，使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示；该步骤的具体实现方式如下：对于行为信息序列中的每一个异构属性网络，通过网络中结点的属性得到结点的初始向量表示，作为网络表示学习模型的输入；对于因属性个数而确定向量维度的初始向量，模型首先引入一个全连接层将向量长度变化至指定大小，然后使用基于注意力机制的信息传播模型将个体与行为之间的信息进行传播，传播3-5次；传播完成后即得到目标向量表示；传播过程中模型参数的训练主要依据为最小化下列公式：

其中，x_i为个体i的属性向量，为个体i在步骤二中得到的低维向量，A_ij表示所有个体的原始邻接矩阵；η为控制因子，以控制结构损失和属性损失的平衡，θ为模型的参数，γ为惩罚权重；

此步骤的模型参数训练完成后，同时计算得到参考窗口和当前窗口的个体向量表示；

步骤3，使用基于欧几里得距离的K近邻标准搜索在参考窗口与单个个体相似的个体；

步骤4，通过同一个体与其相似个体在不同窗口的区别计算异常分数，通过排序得到具有局部异常行为变化的个体。

2.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤1的具体实现方式如下：对于使用时间戳、地点、个体、其他属性所记录的原始行为信息，要首先构建行为信息序列；一个行为信息序列是有多个具有顺序关系的异构属性网络构成的；对于给定的周期长度，将原始数据集划分为相邻但不相交的多个子数据集，每个子数据集用于构建单个异构属性网络；对于给定的时间片长度，将一个子数据集包含的时间离散化，作为异构属性网络中行为结点的属性；异构属性网络中除个体、行为结点以及它们之间的相关关系外，在此还引入个体、行为发生的地点的基本信息以及时间片作为网络中包含的属性；构成一个完整的异构属性网络；多个子数据集构建的异构属性网络按时间先后排序得到行为信息序列；并将行为信息序列划分为参考窗口和当前窗口。

3.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤3的具体实现方式如下：使用欧几里得距离作为向量间距离计算依据，分别在参考窗口和当前窗口计算每一个个体的K近邻，将计算得到的距离最小的K个体作为与当前个体具有相似行为的相似集合。

4.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤4的具体实现方式如下：通过对比每一个个体与相似集合在参考窗口和当前窗口的低维向量表示距离，差别大的更有可能具有异常行为变化，反之具有异常行为变化的可能性越小；因此根据以下公式计算每个个体的异常分数：

其中，o为一个个体，S_o为个体o在参考窗口中相似的个体集合；sScore表示，在窗口T中个体o与S_o的相似分数；T_ref为参考窗口，T_rec为当前窗口；c表示S_o在步骤2中低维向量的中心，f表示在步骤2中将个体o映射到低维向量的函数；aScore表示在参考窗口和异常窗口的异常分数；异常分数排名越高的个体越有可能具有异常行为变化。