CN105894014A - 基于多因素不一致度量的异常行为序贯检测方法 - Google Patents

Abstract

本发明公开了一种基于多因素不一致度量的异常行为序贯检测方法。该方法充分考虑目标的位置、速度和运动方向信息，通过在线学习和序贯异常检测的方式，实现对目标异常行为的实时异常检测，具体包括以下步骤：一、定义输入、输出变量；二、初始化；三、对测试样本中的每个数据点和训练样本序列中的每个样本重复进行相应的异常检测；四、当前测试样本的每个数据点都异常检测完成后，更新训练样本序列；五、对多因素Hausdorff距离矩阵进行更新；六、更新后的训练样本序列和更新后的多因素Hausdorff距离矩阵作为新的输入变量，对下一个测试样本进行异常检测。该方法参数设置简单，虚警率可控，异常检测准确率高，工程易实现，在预警监视领域有广阔的应用前景。

Description

基于多因素不一致度量的异常行为序贯检测方法

技术领域

本发明涉及数据挖掘中的异常检测技术和信息融合中的高层融合技术，属于模式识别和智能情报处理领域。

背景技术

随着信息融合理论的不断完善和信息融合技术的广泛应用，情报处理系统经过检测级、位置级和属性级融合过程，可以自动或半自动的完成对目标的检测、跟踪、航迹关联、属性判决，形成连续稳定的目标航迹。随着目标种类、数量的不断增多和预警监视系统性能的不断提升，越来越多的目标情报数据形成并存在于各种预警监视系统中。如何让计算机自动的发现目标的异常行为是智能情报处理中一项非常重要的研究内容。国内外很多学者对目标的实时异常检测问题进行了大量的研究，主要方法分为学习阶段和异常检测阶段两步进行。学习阶段有基于统计模型的方法、基于神经网络的方法、基于聚类的方法等，异常检测阶段有基于统计检验的方法、基于距离的方法等。但是这些方法普遍存在参数设置复杂、统计模型不够准确，虚警率不能有效控制、在线学习效果较差等问题。

发明内容

本发明提供了一种基于多因素不一致度量的异常行为序贯检测方法，充分考虑目标的位置、速度和运动方向信息，通过在线学习和序贯异常检测的方式，实现对目标异常行为的实时异常检测。具体包括以下步骤：

步骤一，定义输入、输出变量：

输入变量：

1)异常阈值ε；

2)需要考虑的近邻数量k；

3)训练样本序列(z₁,...,z_l)，其中

4)多因素Hausdorff距离矩阵M，其中矩阵的每个元素M_i,j:i＝1,...,l,j＝1,...,k表示z_i到样本序列(z₁,...,z_i-1,z_i+1,...,z_l)第j近的样本之间的多因素Hausdorff距离；

5)空的优先序列Q；

6)测试样本z_l+1＝{x₁∪x₂∪…∪x_L}，其中x_i∩x_j＝φ:i,j＝1,...,L∧j≠i；

输出变量：

1)异常指示变量其中对应子集计算得出的类别，对应{x₁∪x₂∪…∪x_L}＝z_l+1计算得出的类别；

2)距离向量(m₁,...,m_l)，其中m_i:i＝1,...,l表示z_l+1到z_i的多因素Hausdorff距离：

3)距离向量(m'₁,...,m'_l)，其中m'_i:i＝1,...,l表示z_i到z_l+1的多因素Hausdorff距离：

步骤二，初始化：对距离m_i赋零初值，并计算多因素Hausdorff距离矩阵M_i,1,...,M_i,k-1的和，定义为

步骤三，对测试样本z_l+1＝{x₁Ux₂U…∪x_L}中的x_j:j＝1,...,L和训练样本序列(z₁,...,z_l)中的z_i:i＝1,...,l重复进行如下异常检测过程：

1)通过计算多因素Hausdorff距离对m_i的取值进行更新；

2)对Q内的元素进行更新；

3)通过计算多因素Hausdorff距离对m'_i的取值进行更新；

4)根据距离m'_i与距离M_i,k的取值大小，对不一致度量α_i的取值进行更新；

5)从Q中提取当前的k个距离值，并通过对这k个距离值的求和对不一致度量α_l+1的取值进行更新；

6)计算p_l+1取值；

7)进行阈值ε判别，对当前测试样本的异常情况进行检测更新。

步骤四，当测试样本z_l+1的每个数据点x₁,x₂,…,x_L都异常检测完成后，输出异常指示变量和距离向量，将z_l+1添加到训练样本序列(z₁,...,z_l)中，将训练样本序列更新为(z₁,...,z_l+1)。

步骤五，对多因素Hausdorff距离矩阵M进行更新。

步骤六，更新后的训练样本序列(z₁,...,z_l+1)和更新后的多因素Hausdorff距离矩阵M作为新的输入变量，对测试样本z_l+2进行异常检测。

本发明的有益效果在于：本发明提供的一种基于多因素不一致度量的异常行为序贯检测方法，具有参数设置简单、虚警率可控，准确率高、能够在线学习和序贯异常检测的优点，并且综合考虑了目标的位置、速度和航向信息，对目标的位置异常、速度异常和运动方向异常行为都能够进行实时检测。

附图说明

附图1是本发明所述的基于多因素不一致度量的异常行为序贯检测方法的整体流程图。

具体实施方式

下面结合附图对本发明的实施方式加以详细说明。

步骤一，定义输入、输出变量：

输入变量：

1)异常阈值ε；

2)需要考虑的近邻数量k；

3)训练样本序列(z₁,...,z_l)，其中

4)多因素Hausdorff距离矩阵M，其中矩阵的每个元素M_i,j:i＝1,...,l,j＝1,...,k表示z_i到样本序列(z₁,...,z_i-1,z_i+1,...,z_l)第j近的样本之间的多因素Hausdorff距离；

5)空的优先序列Q；

6)测试样本z_l+1＝{x₁∪x₂∪…∪x_L}，其中x_i∩x_j＝φ:i,j＝1,...,L∧j≠i；

输出变量：

1)异常指示变量其中对应子集计算得出的类别，对应{x₁∪x₂∪…∪x_L}＝z_l+1计算得出的类别；

2)距离向量(m₁,...,m_l)，其中m_i:i＝1,...,l表示z_l+1到z_i的多因素Hausdorff距离：

3)距离向量(m'₁,...,m'_l)，其中m'_i:i＝1,...,l表示z_i到z_l+1的多因素Hausdorff距离：

步骤二，初始化：对距离m_i赋零初值，并计算多因素Hausdorff距离矩阵M_i,1,...,M_i,k-1的和多因素Hausdorff距离矩阵M的每个元素M_i,j:i＝1,...,l,j＝1,...,k表示z_i到样本序列(z₁,...,z_i-1,z_i+1,...,z_l)第j近的样本之间的多因素Hausdorff距离，多因素Hausdorff距离的具体定义如下：

1)考虑两个目标的位置信息、速度信息和运动方向信息，两个目标之间的多因素距离定义为：

mfdist(a,b)＝w_d·dist(a,b)+w_v·|v_a-v_b|+w_θ·|θ_a-θ_b| (1)

其中v_a，v_b表示点a与点b的速度信息，θ_a，θ_b表示点a与点b的运动方向信息，w_d表示位置信息的权重因子，w_v表示速度信息的权重因子，w_θ表示运动方向信息的权重因子，权重因子的取值取决于多因素距离的应用场景。

2)基于多因素距离mfdist(a,b)，A到B的多因素Hausdorff距离定义为：

$\stackrel{\→}{{\mathrm{\δ}}_M}(A,B)=\underset{a\∈A}{max}\left\{\underset{b\∈B}{min}\right\{mfdist(a,b)\left\}\right\}---\left(2\right)$

A与B为两个样本序列。

步骤三，对测试样本z_l+1＝{x₁∪x₂∪…∪x_L}中的x_j:j＝1,...,L和训练样本序列(z₁,...,z_l)中的z_i:i＝1,...,l重复进行如下异常检测过程：

1)根据式(2)计算多因素Hausdorff距离，对mi的取值进行更新：

$m_i=max\{\stackrel{\→}{{\mathrm{\δ}}_M}(x_j,z_i),m_i\}---\left(3\right)$

2)对Q内的元素进行更新：

如果Q内的元素个数小于近邻数量k，则将当前的m_i取值插入到Q中，如果Q内存有k个距离值，并且当前的m_i小于Q中的最大距离值，则删除Q中的最大距离值，将当前m_i取值插入到Q中；

3)根据式(2)计算多因素Hausdorff距离，对m'_i的取值进行更新：

${m^{\′}}_i=\stackrel{\→}{{\mathrm{\δ}}_M}(z_i,\{x_1\∪...\∪x_j\left\}\right)---\left(4\right)$

4)根据距离m'_i与距离M_i,k的取值大小，对不一致度量α_i的取值进行更新：

如果：m'_i<M_i,k，

α_i＝v_i+m'_i (5)

否则，

α_i＝v_i+M_i,k (6)

α_i的具体定义为：给定一个样本序列代表空间R^d中的一个非空点集，样本z_i到集合{z₁,...,z_n}\z_i的多因素不一致度量α_i可以定义为：

${\mathrm{\&alpha;}}_i=\underset{j=1}{\overset{k}{\&Sigma;}}\stackrel{\&RightArrow;}{{\mathrm{\&delta;}}_M}(z_i,NN(z_i,\{z_1,...,z_n\}\backslash z_i,j\left)\right)---\left(7\right)$

其中NN(z_i,{z₁,...,z_n}\z_i,j)∈{z₁,...,z_n}\z_i表示根据式(2)定义的多因素Hausdorff距离计算得出的距离z_i第j近的样本；

5)从Q中提取当前的k个距离值，对不一致度量α_l+1的取值进行更新：

${\mathrm{\&alpha;}}_{l+1}=sum\{m_1^{*},...,m_k^{*}\}---\left(8\right)$

6)计算p_l+1取值：

$p_{l+1}=\frac{\&lsqb;\&lsqb;\{i=1,...,l+1:{\mathrm{\&alpha;}}_i\&GreaterEqual;{\mathrm{\&alpha;}}_{l+1}\}\&rsqb;\&rsqb;}{l+1}---\left(9\right)$

表示集合{i＝1,...,l+1:α_i≥α_l+1}中元素的数量；

7)进行阈值ε判别，对当前测试样本的异常情况进行检测更新：

如果p_l+1<ε，

${\mathrm{Anom}}_{l+1}^{\mathrm{\&epsiv;}}=1---\left(10\right)$

否则，

${\mathrm{Anom}}_{l+1}^{\mathrm{\&epsiv;}}=0---\left(11\right)$

其中，代表检测结果为异常行为，代表检测结果为正常行为。

步骤四，当测试样本z_l+1的每个数据点x₁,x₂,…,x_L都异常检测完成后，输出异常指示变量和距离向量，将z_l+1添加到训练样本序列(z₁,...,z_l)中，将训练样本序列更新为(z₁,...,z_l+1)。

步骤五，对多因素Hausdorff距离矩阵M进行如下更新：

1)多因素Hausdorff距离矩阵M的第1行到第l行，根据输出的距离向量(m'₁,...,m'_l)进行更新；

2)将输出的距离向量(m₁,...,m_l)作为最后一行增加到多因素Hausdorff距离矩阵M中。

步骤六，更新后的训练样本序列(z₁,...,z_l+1)和更新后的多因素Hausdorff距离矩阵M作为新的输入变量，对测试样本z_l+2进行异常检测。

Claims (4)

1.一种基于多因素不一致度量的异常行为序贯检测方法，其特征在于，包括以下步骤：

步骤一，定义输入、输出变量；

输入变量：

1)异常阈值ε；

2)需要考虑的近邻数量k；

3)训练样本序列(z₁,...,z_l)，其中

4)多因素Hausdorff距离矩阵M，其中矩阵的每个元素M_i,j:i＝1,...,l,j＝1,...,k表示z_i到样本序列(z₁,...,z_i-1,z_i+1,...,z_l)第j近的样本之间的多因素Hausdorff距离；

5)空的优先序列Q；

6)测试样本z_l+1＝{x₁∪x₂∪…∪x_L}，其中x_i∩x_j＝φ:i,j＝1,...,L∧j≠i；

输出变量：

1)异常指示变量其中对应子集计算得出的类别，对应{x₁∪x₂∪…∪x_L}＝z_l+1计算得出的类别；

2)距离向量(m₁,...,m_l)，其中m_i:i＝1,...,l表示z_l+1到z_i的多因素Hausdorff距离：

3)距离向量(m'₁,...,m'_l)，其中m'_i:i＝1,...,l表示z_i到z_l+1的多因素Hausdorff距离：

步骤二，初始化：对距离m_i赋零初值，并计算多因素Hausdorff距离矩阵M_i,1,...,M_i,k-1的和，定义为

步骤三，对测试样本z_l+1＝{x₁∪x₂∪…∪x_L}中的x_j:j＝1,...,L和训练样本序列(z₁,...,z_l)中的z_i:i＝1,...,l重复进行如下异常检测过程：

1)通过计算多因素Hausdorff距离对m_i的取值进行更新；

2)对Q内的元素进行更新；

3)通过计算多因素Hausdorff距离对m'_i的取值进行更新；

4)根据距离m'_i与距离M_i,k的取值大小，对不一致度量α_i的取值进行更新；

5)从Q中提取当前的k个距离值，并通过对这k个距离值的求和对不一致度量α_l+1的取值进行更新；

6)计算p_l+1取值；

7)进行阈值ε判别，对当前测试样本的异常情况进行检测更新；

步骤四，当测试样本z_l+1的每个数据点x₁,x₂,…,x_L都异常检测完成后，输出异常指示变量和距离向量，将z_l+1添加到训练样本序列(z₁,...,z_l)中，将训练样本序列更新为(z₁,...,z_l+1)；

步骤五，对多因素Hausdorff距离矩阵M进行更新；

步骤六，更新后的训练样本序列(z₁,...,z_l+1)和更新后的多因素Hausdorff距离矩阵M作为新的输入变量，对测试样本z_l+2进行异常检测。

2.根据权利要求1所述的基于多因素不一致度量的异常行为序贯检测方法，其特征在于，

步骤二中多因素Hausdorff距离的具体定义如下：

1)考虑两个目标的位置信息、速度信息和运动方向信息，两个目标之间的多因素距离定义为：

mfdist(a,b)＝w_d·dist(a,b)+w_v·|v_a-v_b|+w_θ·|θ_a-θ_b|

其中v_a，v_b表示点a与点b的速度信息，θ_a，θ_b表示点a与点b的运动方向信息，w_d表示位置信息的权重因子，w_v表示速度信息的权重因子，w_θ表示运动方向信息的权重因子，权重因子的取值取决于多因素距离的应用场景；

2)基于多因素距离mfdist(a,b)，A到B的多因素Hausdorff距离定义为：

$\stackrel{\&RightArrow;}{{\mathrm{\&delta;}}_M}(A,B)=\underset{a\&Element;A}{max}\left\{\underset{b\&Element;B}{min}\right\{mfdist(a,b)\left\}\right\}$

A与B为两个样本序列。

3.根据权利要求1所述的基于多因素不一致度量的异常行为序贯检测方法，其特征在于，

步骤三具体为：

1)根据多因素Hausdorff距离的定义，对m_i的取值进行更新：

$m_i=max\{\stackrel{\&RightArrow;}{{\mathrm{\&delta;}}_M}(x_j,z_i),m_i\}$

2)对Q内的元素进行更新：

如果Q内的元素个数小于近邻数量k，则将当前的m_i取值插入到Q中，如果Q内存有k个距离值，并且当前的m_i小于Q中的最大距离值，则删除Q中的最大距离值，将当前m_i取值插入到Q中；

3)根据多因素Hausdorff距离的定义，对m'_i的取值进行更新：

${m^{\&prime;}}_i=\stackrel{\&RightArrow;}{{\mathrm{\&delta;}}_M}(z_i,\{x_1\&cup;...\&cup;x_j\left\}\right)$

4)根据距离m'_i与距离M_i,k的取值大小，对不一致度量α_i的取值进行更新：

如果：m'_i<M_i,k，

α_i＝v_i+m'_i

否则，

α_i＝v_i+M_i,k

α_i的具体定义为：给定一个样本序列{z₁,...,z_n}，代表空间R^d中的一个非空点集，样本z_i到集合{z₁,...,z_n}\z_i的多因素不一致度量α_i可以定义为：

${\mathrm{\&alpha;}}_i=\underset{j=1}{\overset{k}{\&Sigma;}}\stackrel{\&RightArrow;}{{\mathrm{\&delta;}}_M}(z_i,NN(z_i,\{z_1,...,z_n\}\backslash z_i,j\left)\right)$

其中NN(z_i,{z₁,...,z_n}\z_i,j)∈{z₁,...,z_n}\z_i表示根据定义的多因素Hausdorff距离计算得出的距离z_i第j近的样本；

5)从Q中提取当前的k个距离值，对不一致度量α_l+1的取值进行更新：

${\mathrm{\&alpha;}}_{l+1}=sum\{m_1^{*},...,m_k^{*}\}$

6)计算p_l+1取值：

$p_{l+1}=\frac{\left[\right[\{i=1,...,l+1:{\mathrm{\&alpha;}}_i\&GreaterEqual;{\mathrm{\&alpha;}}_{l+1}\}\left]\right]}{l+1}$

[[{i＝1,...,l+1:α_i≥α_l+1}]]表示集合{i＝1,...,l+1:α_i≥α_l+1}中元素的数量；

7)进行阈值ε判别，对当前测试样本的异常情况进行检测更新：

如果p_l+1<ε，

${\mathrm{Anom}}_{l+1}^{\mathrm{\&epsiv;}}=1$

否则，

${\mathrm{Anom}}_{l+1}^{\mathrm{\&epsiv;}}=0$

其中，代表检测结果为异常行为，代表检测结果为正常行为。

4.根据权利要求1所述的基于多因素不一致度量的异常行为序贯检测方法，其特征在于，步骤五具体为：

1)多因素Hausdorff距离矩阵M的第1行到第l行，根据输出的距离向量(m'₁,...,m'_l)进行更新；

2)将输出的距离向量(m₁,...,m_l)作为最后一行增加到多因素Hausdorff距离矩阵M中。