[发明专利]一种工业用交换机用户异常行为检测方法

摘要

本发明公开了一种工业用交换机用户异常行为检测方法，基于多数类分布的处理算法，随机从中选特征指标，重复N次，构造Ｎ个指标子集，训练样本进行投影，得对应的样本，对所有对应元素进行投票，构成少数类样本集合，根据每个对少数类样本集合进行投影，得对应特征指标子空间上的少数类样本和多数类样本，设共有多个类别，对应的参照点集合为，对其余子空间的分类结果进行集成在每个子空间的分类结果中查看不属于Ｔ的所有数据，若其与参照点同属一类，则将标记，设多数类分布的分析结果，每个类别包含数据数量，返回训练样本子集和特征指标子集合，最后，通过特征指标子集合，分析出工业用交换机用户的异常行为，时间需求减少，同时在准确性评价指标上表现更好。

主权项

一种工业用交换机用户异常行为检测方法，其特征在于，包括如下步骤：1)基于多数类分布的改进EasyEnssemble样本处理算法。输入：训练样本检测特征指标集Fobject＝{C1,C2,…,Cn}，检测特征指标子空间的特征数量s，特征指标子空间数量N，其中s＜n，N为奇数输出：训练样本子集{X1,X2,…,XM}，检测特征指标子集{F1,F2,…,FN}2)随机从Fobject中选取s项特征指标，重复N次，构造N个特征指标子集{F1,F2,…,FN}，对每一个Fi(i∈[1,N])，有Fi＝{C1,C2,…,Cs}，其中C1,C2,…,Cs∈Fobject且各特征指标子集互不相同。3)根据每个Fi(i∈[1,N])对训练样本X进行投影，得对应特征指标子空间上的样本使用CUR方法对{a′1,a'2,…,a'm}进行二分类聚类(取聚类数目K＝2，收缩因子a＝0。3，从两种已标记数据中抽取约10％作为代表点)，计算结果两个类别中对应t＝1的元素数量，令数量多者为少数类结果Minor(Fi)。4)对所有Minor(Fi)(i∈[1,N])中对应t＝0元素进行投票，按简单多数确定其是否为少数类元素，投票结果与训练样本X中t＝1元素合并，构成少数类样本集合设其s1项数据，则其中或aj对应的t＝1，或者t＝0但其出现在过半数的Minor(Fi)中，其余元素构成多数类样本集合设其有s2项数据，则有s1+s2＝m。5)根据每个Fi对少数类样本集合Mayor进行投影，得对应特征指标子空间上的少数类样本Minor′(Fi)=a1′...as1′=x1,1...x1,st1x2,1...x2,st2............xs1,1...xs1,stmm×(s+1)---(3)]]>计算其中心位置，公式为Minor′(Fi)‾=(x1‾,x2‾,...,xs‾),]]>其中xi‾=Σj=1s1xj,xs1.]]>6)根据每个Fi对多数类样本集合Mayor进行投影，得对应特征指标子空间上的多数类样本Mayor′(Fi)=a1′...as1′=x1,1...x1,st1x2,1...x2,st2............xs1,1...xs1,stmm×(s+1)---(4)]]>对其使用CLIQUE方法进行多类别聚类，设结果中类别数量最多的子空间为Mayor'(Fmax)，计算其中每一类别的中心位置，公式为Mayor′(Fmax)‾=(x1‾,x2‾,...,xs‾),]]>其中xi‾=Σj=1s1xj,is1,]]>搜索距中心距离最近的数据为投票参照点，距离公式为daj′=Dist(Minor′(Fi)‾,ai′)=(x1‾-xi,1)2+(x2‾-xi,2)2+...+(xn′‾-xi,s)2---(5)]]>7)设共有t'个类别，对应的参照点集合为T＝{a1,a2,…,at'}8)对其余子空间的分类结果进行集成：在每个子空间的分类结果中查看不属于T的所有数据，若其与参照点xt,(xt∈T)同属一类，则将xt标记加入该数据(若与多个xt同属一类则加入多个标记)。完毕后对多数类Mayor所有数据的标记投票，选择支持数最多(若相同则选择T中排列靠前的类别)的标记作为该数据类别，检查结果并去除仅含少数点的类别。9)设多数类分布的分析结果为D1,D2,…,Dt，每个类别包含数据数量为Count(D1),Count(D2),…,Count(Dt)，确定D1,D2,…,Dt的抽样权重Ration=1-Count(Di)Σi=1tRation(Di)---(6)]]>于是类别Di的抽样数量为10)计算子样本空间数量构造M个多数类样本子集{X′1,X'2,…,X'M}，每个子集初值为空，依次对多数类元素每个类别Di进行无放回抽样，取样数量计算为Size(Di)，若取样过程Di中数据已被取完，则将该类数据重置为初始状态再继续抽取，共取M次，分别加入每个X'j(j∈[1,M])中。11)构造M个训练样本子集{X1,X2,…,XM}，其中Xi＝X′i∪Minor(i∈[1,M])。12)返回训练样本子集{X1,X2,…,XM}和特征指标子集合{F1,F2,…,FN}，最后，通过特征指标子集合，分析出工业用交换机用户的异常行为。