CN104050787A - 具有分类属性的异常检测的系统和方法 - Google Patents

Abstract

本发明涉及具有分类属性的异常检测的方法和设备，其中方法包括检测与安全系统内的用户活动有关的事件，其中事件由多个属性所定义，其中至少一个属性是分类的，并且其中事件间的数据距离是事件属性的函数，通过使用基于密度的异常检测方法f(r)来评估所检测的事件，其中r是数据点周围邻域的大小，将所评估的表达式的值与边缘阈值(msg(r))相比较，以及在检测到该值超过阈值时设置告警。

Description

具有分类属性的异常检测的系统和方法

技术领域

本发明的领域涉及物理安全系统，并且更具体地涉及由安全系统的用户检测异常行为的方法。

背景技术

安全系统是众所周知的。这样的系统通常包括多个传感器，其检测与安全区域关联的安全威胁。安全威胁可包括由入侵者或由环境威胁（例如火灾、烟雾或天然气）所造成的那些威胁。

安全区域周围所包括的可以是防止入侵者进入安全区域的物理屏障（例如墙壁、围栏等等）。可围绕安全区域外围提供多个门户（例如，门、窗等）以允许进入安全区域中或从安全区域出来。

允许进入安全区域的门进而可以由读卡器和电子锁来控制，该读卡器和电子锁一起通过对授权人员的入口来限制访问。每当通过读卡器刷卡，读卡器从卡读取用户识别符，并且如果卡上的身份与参考识别符相匹配则允许访问。

虽然这样的系统运作良好，但这样的系统中使用的识别卡可能被丢失或偷窃。因此，存在对于检测未授权使用这种卡的方法的需求。

附图说明

图1是根据所说明的实施例一般性示出的安全系统的框图。

具体实施方式

虽然实施例可以采取许多不同的形式，但在理解本公开将被视为是本文原理的示范，以及实践该原理的最佳模式的情况下，其具体实施例在附图中被示出，并将在本文中被详细描述。不意在对所说明的具体实施例进行限制。

图1是根据所说明的实施例一般性示出的安全系统的框图。安全系统内所包括的是多个传感器12、14，其被用来检测安全系统的一个或多个安全区域16内的安全威胁。在此方面，安全区域可被划分成具有不同安全级别的多个不同的安全地带38。

在一个说明的实施例下，传感器可包括安装到门户（例如门、窗等）的一个或多个限位开关，该门户提供到安全区域中的进入和从安全区域的外出。以这种方式，传感器可被用来检测进入安全区域的入侵者。

传感器还可以包括一个或多个环境检测器（例如火灾、烟雾、天然气等）。环境检测器可被用来激活听觉/视觉告警，作为该安全区域应被疏散的指示。

系统内还包括的可以是一个或多个处理器装置（处理器）22、24，其位于安全系统的控制面板40内。处理器可在从非瞬时计算机可读介质（存储器）30所加载的一个或多个计算机程序26、28的控制下进行操作。如本文所使用的，对由程序（或系统）所执行的步骤的引用也是对执行该程序步骤的处理器的引用。

在正常操作期间，告警处理器可监控针对安全威胁的每个传感器的状态。在检测到威胁时，告警处理器可构成告警消息并发送该消息到中央监控站32。中央监控站可以通过向有关当局（proper authority）（例如警察部门、消防部门等）报警来进行响应。

除了检测一个或多个传感器的激活，监控处理器还可以将事件的记录保存到事件文件42、44中。记录可以包括被激活的传感器的识别符，被激活传感器的位置和激活时间。

安全区域或地带的外围内或沿着安全区域或地带的外围还可以包括的是一个或多个相机18、20。该相机可以操作来收集视频帧的序列并将那些帧的图像保存到存储器中。

相机可连续操作或仅在检测到一部分安全区域内的运动时操作。在这点上，可以经由传感器（例如无源红外（PIR）传感器）或者通过视频处理器的操作来检测运动，该视频处理器比较连续帧的像素值以检测与相机的视场内与人的移动一致的变化。

在一些情况下，例如以高安全性的运动属于安全地带之一，对运动的检测可以被视为一种安全威胁，且可根据威胁的级别来产生告警。在其他情况下，对运动的检测可能仅使安全系统记录视频帧的序列以用于以后的评估和行动。在任一情况下，可在事件文件中保存事件的记录。记录可以含有相机的识别符、相机的位置和激活时间。

沿着每个安全区域和/或地带的外围定位的可以是一个或多个门户（例如门）34，其向授权用户提供到一个或多个安全区域或地带中的进入和从一个或多个安全区域或地带的外出。这些门可具备适当的锁，其拒绝未授权人员（即入侵者）物理进入到安全区域中。

与进入门相关联的可以是访问控制系统36。访问控制系统可包括耦合到电子锁的识别装置（例如读卡器、小键盘等等）。为了获得到安全区域的进入，授权人员可以输入个人识别号或将卡刷过读卡器，以便激活电子锁并获得到安全区域的进入或从完全区域的外出。

可由控制面板内的访问处理器监控并控制每个访问控制系统。在这点上，访问处理器可接收寻求对安全区域或地带之一的访问的人员的识别符，并将那些识别符与针对每个对应安全区域或地带的授权人员列表相比较。在确定寻求访问的人员是被授权的时，访问处理器可以发送打开电子锁和准许该人员到安全区域中的访问的信号。

在准许访问时，访问处理器可以创建该访问的记录并将其保存到事件文件中。保存在事件文件中的信息可以包括访问的人员和安全区域以及时间的识别符。

系统内还可包括的是一个或多个处理器，其检测安全系统所具有的故障或潜在的安全威胁。潜在的安全威胁可以包括来自相机的视频丢失或否则在系统处于解除状态时将不产生告警或激活告警传感器的传感器之一的激活。在每一种情况下，在检测到故障的指示时，故障处理器可将事件的记录保存到事件文件中。该记录可以包括故障类型、传感器、所涉及的其他装置的相机和事件时间的识别符。

一般而言，安全系统的事件文件可以是可用来解决和识别安全漏洞和发展中的威胁的重要信息来源。例如，来自特定相机的视频损失可能是设备故障的简单情况，或者它可能是有人在短时间段内故意禁用相机以便掩盖某些犯罪行为的结果。

类似地，在一个组织保护一个区域以实行某些事业的情况下，由该组织的员工活动所引起的保存的事件可被用作检测不忠实员工或活动模式中的重要信息来源。例如，被分配到安全区域的第一地带内某功能的员工可能突然开始访问其他地带而没有这样做的任何明显理由。这可能表明，该员工正在从事一些非法活动或只是正寻找一种方式来挫败安全系统的一个或多个传感器。

类似地，罪犯可能偷窃或以其他方式从​​授权用户得到访问卡，并在下班或安全区域否则是空置的时的阶段期间尝试使用访问卡来获得到安全区域进入。在授权用户将不正常使用他/她的卡时的时间段期间使用访问卡可能是安全威胁的指示。

在一个说明的实施例下，当事件实时发生时，一个或多个事件检测处理器可检测保存到事件文件中的事件。类似地，一个或多个威胁评估处理器可识别类似的过去或同期事件，并基于当前事件和过去事件之间的偏差来评定威胁。类似事件的识别可基于特定员工、基于特定传感器、基于特定时间段、基于事件的位置或基于多个其他不同的统一因素中的任意。

在一个说明的实施例下，分组处理器可处理事件文件内的数据以在多个不同的统一因素中的任意下将事件pi合并成一组对象P(其中P={p₁, ..., p_i, ..., p_N)。统一因素可基于触发了事件的开关或读卡器的识别符、事件时间、引起事件的人员的识别符或指示共同来源的多个其他因素中的任意。一旦基于统一因素被合并，这些事件可以被处理以识别表现为无关项（outlier）或指示安全威胁的统计可能性的任何当前检测到的事件。在检测到这样的事件时，可由告警处理器设置警报或告警。

可在多个不同的基于密度的异常检测方法中的任意下完成分组数据的处理。在2002年11月在由卡耐基梅隆大学计算机科学学院的Papadimitriou等所著的题为“LOCI: Fast Outlier Detection Using the Local Correlation Integral”的出版物或者在2000年德克萨斯达拉斯召开的ACM SIGMOD 2000关于数据管理的国际会议上由Breunig等所著的题为“LOF:Identifying Density-Based Local Outliers”的出版物中描述了一种方法。也还可以使用其他类似方法。

为简单起见，将通过类比LOCI方法来描述分组数据的处理。然而，应当理解的是，分组数据的处理也可以使用多个其他的基于密度的异常检测方法中的任意方法的类似过程来完成的。

在LOCI方法下，分组数据可由LOCI处理器所处理。例如，考虑特定传感器被激活的情况。在该情况下，可通过以x-y为基础通过在x轴上考虑传感器激活之间的间隔并在y轴上考虑传感器激活的数目（或反之亦然）而对这样的事件进行分组来评估涉及同一传感器的过去事件。对于比一些最大半径值r_max 离中心对象p_i更近的所有对象而言，处理器可以执行范围搜索。对象随后可以基于它们与中心对象p_i的距离被排序，其中以形成有序列表D_i 。确定p_i的r邻域数目的值n（即 其中）。确定该组r邻域上的n的平均（即）（即）。可在p_i的一组r邻域上确定的标准差（即）（即）。

为了检测无关项，可为半径（或标度）r处的点p_i定义多粒度偏差因子（即，）。类似地，可定义可直接与MDEF比较的归一化偏差（即）。可以由对表达式进行评估的比较处理器来确定无关项，其中k具有的值为3。

由LOCI处理器所执行的步骤可由如下伪代码来概括。

为了使用来识别无关项，上述方法需要依据其对数据点群进行计数的定义良好的局部邻域。针对维度是连续属性的数据空间容易地定义局部邻域容易，因为通过定义，针对连续变量构成的空间，例如欧几里德度量，可以容易定义度量。对于不存在可被使用的通用度量的定义分类的分类属性而言，出现了问题。因此，针对一个或多个分类属性表示一个或多个数据空间维度的数据空间不能定义局部邻域。

出现了对于组合连续和分类属性以定义其维度的算法的需求。例如，在用于建筑物或设施的访问控制系统的情境中的异常事件的检测中。其中某人可能想要执行异常检测的情况的一个示例是，在访问数据包含定义了三维数据空间维度的访问时间、访问之后的停留持续时间和用户识别符（ID）的情境中。在此示例中，访问时间和停留持续时间是连续属性，其具有数据点之间的距离和邻域的清晰概念，并且其中用户ID表示分类属性，其中不能定义两个数据点之间的距离，且因此不能建立局部邻域。

本文所描述的系统通过在数据空间的分类部分中在数据值之间建立距离，解决了检测与分类数据相关联的异常的问题。一旦建立了距离值，就可针对数据空间或针对将分类和连续属性组合为其维度的任何多维数据空间定义局部邻域。

如何定义分类数据值之间的距离的一种方式可基于数据分类或外部知识的情境，该数据分类或外部知识可以根据分类数据的意义和/或根据其中使用该分类数据的应用而可用。对于用户ID允许对安全系统的安全区域访问的特定示例，用户可基于他们在由访问控制系统所控制的建筑物/设施中执行的功能进行分组（例如维护、管理、安全、实验室员工、实验室管理人员等）或基于用户具有访问权限的安全地带进行分组。

在另一个示例中，分类数据可以是访问控制器的访问点识别符（ID），该访问控制器控制在该位置处的读卡器和电子锁。在这个示例中，访问点ID可以基于它们在建筑物或设施内的已知位置、基于其对设施内特定安全地带的分配或基于访问控制装置所位于的安全地带的功能类型进行分组。

一旦分类数据值已被分配到预定义的组，组之间的距离可被定义，且根据这两个值的组分配中的区别将所定义的距离分配给相关的每对分类值。例如，属于同一安全地带的访问点ID之间的距离可以被定义为0（零）。访问点ID离彼此相邻的区域中所使用的安全地带的距离可以被定义为1。访问点ID离不相邻但驻留在同一建筑物的同一楼层上的安全地带的距离可以被定义为2。访问点ID离驻留在不同楼层上的安全地带的距离可以被定义为3。访问点ID离驻留在不同建筑物中的安全地带的距离可以被定义为4。

分组和分配距离的另一个示例可以是基于与访问点相关联的安全区域的功能类型。在此示例中，均与相同功能的空间相关联的两个访问点之间的距离可被定义为被分离了距离0。均与相似功能类型的空间相关联的两个访问点之间的距离可被定义为距离1。均不同功能类型的空间相关联两个访问点之间的距离可具有定义的距离2。

定义分类数据值之间距离的另一种方式可以基于与每个分类值相关联的数据的统计信息。如果存在对于每个分类值可用的足量数据，通过比较与每个分类值相关联的数据的统计信息，可针对分类值定义相似性度量。相似性度量可基于统计信息或任何其他因素的稳定性。对于其中由分类属性构成数据空间的一个维度并且其他维度是连续属性的多维数据空间中的异常检测来说，这将是尤其有用的。在这些情况下，用户可基于统计信息为每个分类值构建连续属性分布。统计相似性度量，例如Kullback-Leibler散度或互信息也可以被用来提供两个分布之间的距离值。一旦定义了每两个分类值之间的相似性，可将相似性转化成距离度量并将其用于建立任何分类值周围邻域的概念。

一般而言，基于密度的异常检测方法可以被用于安全系统的许多不同方面中，以增加设施的安全区域的安全级别。在这点上，异常事件可以指示不规则活动或行为，并且因此可导致严重安全威胁的早期发现。在一个实施例中，该系统可以在由安全区域的访问控制装置所报告的事件中查找异常行为。在其他实施例中，系统可在集成安全系统的安全事件的数据库中搜索异常事件，该系统由入侵检测、访问控制系统、视频分析和其他安全相关的子系统组成。

在其他实施例中，系统可以从系统诊断装置中检查事件。在此情况下，系统可分析和检测特定设备中的缺陷、系统故障或人试图利用系统弱点的证据。

一般而言，系统包括实现检测异常的方法的装置。该方法包括以下步骤：检测与安全系统内用户活动有关的事件，其中事件由多个属性所定义，其中至少一个属性是分类的，并且其中事件间的数据距离是事件属性的函数，通过使用局部关联积分(LOCI)f(r)来评估所检测的事件，其中r是数据点周围邻域的大小；将所评估的表达式的值与边缘阈值(msg(r))进行比较，以及在检测到该值超过阈值时设置告警。

根据前述内容，将明显的是，在不脱离本发明精神和范围的情况下，可以实现许多变形和修改。要理解的是，不意在或不应推断出相对于本文中所说明的具体设备的限制。当然，意在由所附权利要求覆盖如落入权利要求的范围内的所有此类修改。

Claims (15)

1.一种方法，包括：

检测与安全系统内的用户活动有关的多个事件，其中所述事件由多个属性所定义，其中至少一个属性是分类的，并且其中事件之间的数据距离是事件属性的函数；

通过使用基于密度的异常检测方法f(r)来评估所检测的事件，其中r是表示所述事件的数据点周围邻域的大小；

将所评估的表达式的值与边缘阈值(msg(r))相比较；以及

在检测到所述值超过所述阈值时设置告警。

2.如权利要求1中的方法，其中所述事件属性的函数进一步包括将事件的访问点识别符（ID）关联到所述安全区域内的多个安全地带中预定的一个，其中基于安全地带的空间布置来确定事件间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

3.如权利要求1中的方法，其中所述事件属性的函数进一步包括将所述事件的用户ID关联到所述安全区域内的多个用户角色中预定的一个，其中基于所关联的用户角色的相似性来确定事件之间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

4.如权利要求1中的方法，其中所述事件属性的函数进一步包括将所述事件的用户ID关联到所述安全区域内的多个安全地带中预定的一个，其中基于所关联的安全地带之间的区别来确定事件之间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

5.如权利要求1中的方法，其中所述函数进一步包括连续数据值，所述连续数据值包括以下中的至少一个：进入到安全区域中的时间、每个时间段进入到安全区域中的频率、每次进入之后停留在安全区域内的持续时间、在安全区域内从一个安全地带行进到另一个的频率以及未进入到安全区域中的持续时间。

6.如权利要求5中的方法，进一步包括针对与用户的每个分类值相关联的每个连续数据值函数构建连续属性分布。

7.如权利要求6中的方法，进一步包括使用至少包括针对两个分布所定义的Kullback-Leibler散度或互信息的相似性度量来定义相似性度量。

8.如权利要求7中的方法，进一步包括将相似性转化成距离测量，并使用其来建立表示所述事件的数据点周围邻域的概念。

9.一种设备，包括：

事件处理器，其检测与安全系统内的用户活动有关的多个事件，其中所述事件由多个属性所定义，其中至少一个属性是分类的，并且其中事件间的数据距离是事件属性的函数；

评估处理器，其通过使用基于密度的异常检测方法f(r)来评估所检测的事件，其中r是表示所述事件的数据点周围邻域的大小；

比较处理器，其将所评估的表达式的值与边缘阈值(msg(r))进行比较；以及

告警处理器，其在检测到所述值超过所述阈值时设置告警。

10.如权利要求9中的装置，其中所述事件处理器和所述事件属性的函数进一步包括处理器，其将事件的访问点识别符（ID）关联到所述安全区域内的多个安全地带中预定的一个，其中基于所述安全地带的空间布置来确定事件间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

11.如权利要求9中的装置，其中所述事件处理器和所述事件属性的函数进一步包括处理器，其将所述事件的用户ID关联到所述安全区域内的多个用户角色中预定的一个，其中基于所关联的用户角色的相似性来确定事件间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

12.如权利要求9中的装置，其中所述事件处理器和所述事件属性的函数进一步包括处理器，其将所述事件的用户ID关联到所述安全区域内的多个安全地带中预定的一个，其中基于所关联的安全地带之间的区别来确定事件间的距离，并且其中所述距离被用来建立表示所述事件的数据点周围邻域的概念。

13.如权利要求9中的装置，其中所述函数进一步包括连续数据值，所述连续数据值包括以下中的至少一个：进入到安全区域中的时间、每个时间段进入到安全区域中的频率、每次进入之后停留在安全区域内的持续时间、在安全区域内从一个安全地带行进到另一个的频率以及未进入到安全区域中的持续时间。

14.如权利要求13中的装置，进一步包括针对与用户的每个分类值相关联的每个连续数据值函数构建连续属性分布。

15.如权利要求14中的装置，进一步包括使用至少包括针对两个分布所定义的Kullback-Leibler散度或互信息的相似性度量来定义相似性度量。