[发明专利]基于多属性图的图神经网络业务流程异常检测方法和系统

权利要求书

1.一种基于多属性图的图神经网络业务流程异常检测方法，其特征在于，包括：

步骤1：通过多图生成器将事件日志中的轨迹转换为多张图；

步骤2：将转换后的多张图输入到多图编码器中进行独热编码和位置编码，获得每个节点的隐藏表示；

步骤3：通过多序列解码器将每个节点的隐藏表示解码成概率分布；

步骤4：通过异常得分计算器根据概率分布计算异常分数，并根据阈值将轨迹和属性标记为异常或正常。

2.根据权利要求1所述的基于多属性图的图神经网络业务流程异常检测方法，其特征在于，所述步骤1包括：

计算每个直接跟随关系(b,c)的出现次数，表示在事件日志L中活动b被活动c直接跟随；

生成有向全局图G(L)，其中包含轨迹中的所有活动作为节点，当且仅当直接跟随关系(b,c)的出现次数不低于β*|L|次时，有向边b←c存在于有向全局图G(L)中，其中β是用户选择的阈值；

对轨迹t生成一个有向事件图G(t)，其中包含作为节点的轨迹t的事件，对于有向事件图G(t)，若e_activity←e′_activity是有向全局图G(L)中的一条边，则有一条边e←e′在有向事件图G(t)中，其中e代表事件，e_activitu代表事件中的活动名称；

将有向事件图G(t)调整为有向连通图，若事件e在轨迹t中直接跟随事件e′，则e←e′在有向事件图G(t)中存在；

将有向事件图G(t)作为属性集合中每个属性的单独图进行导出，对于属性集合中的每个属性a，通过将有向事件图G(t)的节点从事件e分别替换为事件e中的属性a，得到多张图。

3.根据权利要求1所述的基于多属性图的图神经网络业务流程异常检测方法，其特征在于，所述步骤2包括：

由轨迹t生成的多张图，每个图都包含|t|个节点，其中|t|表示轨迹t的长度，为每个图分配不同的独热编码、位置编码和GAT网络；

利用独热编码将离散的属性值转化为二进制向量，在独热编码之后，图中节点的值被转换为二维向量，其长度是属性a的所有属性值的个数；

将关于事件在轨迹中的相对或绝对位置的信息注入到独热编码中，使用的位置编码如下：

其中，pos是事件位于序列中的位置；i是独热编码后的向量中的第i个维度；是属性a的所有可能的属性值的个数；

使用GAT网络对节点进行编码，获得节点的隐藏表示

获取这些隐藏表示的平均值用于多序列解码器中的GRU网络的初始隐藏状态：

多图编码器输出|t|*A个隐藏表示{h₁,h₂,…,h_|t|*A}和A个多序列解码器中的GRU网络的初始隐藏状态其中|t|是轨迹t的长度，A是属性的数量；是属性a对应的图中第|t|个节点的隐藏表示；h_|t|*A是第|t|*A个隐藏表示；是第A个属性对应的多序列解码器中的GRU网络的初始隐藏状态。

4.根据权利要求1所述的基于多属性图的图神经网络业务流程异常检测方法，其特征在于，所述步骤3包括：

所有多图编码器的输出{h₁,h₂,…,h_|t|*A}经过缩放点积注意力层，并生成c_e输入到GRU网络中，表达式为：

其中，c_e表示注意力机制的输出，是向量h_i的加权求和；

对于第一个属性，只使用上一时刻的地面真实属性值t_e-i,1来指导预测当前事件e的属性值的概率分布，表达式为：

其中，是和的连接，被输入GRU中；是t_e-1,1的嵌入向量；GRU的初始隐藏状态是多图编码器的输出表示第一个属性对应的多序列解码器中的GRU在第e个时间步输出的隐藏表示；表示第一个属性对应的多序列解码器中的注意力机制的输出，是向量h_i的加权求和；

概率分布是事件e的第一个属性的所有可能值的概率分布，通过以下方式计算：

其中，表示一个可学习的权重矩阵。