CN108763908B - 行为向量生成方法、装置、终端及存储介质 - Google Patents

Abstract

本发明实施例公开了一种行为向量生成方法、装置、终端及存储介质，属于信息安全领域。该方法包括：获取操作记录，所述操作记录包括目标应用内发生的至少一个操作行为的行为标识；根据预先设置的多个分组，将所述操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识，同一分组中的行为标识对应的操作行为具有关联关系；根据所述至少一个行为标识替换后得到的行为标识，生成行为向量。所生成的行为向量既能够对目标应用内发生的操作行为进行描述以训练出准确的应用检测模型，而且根据行为向量中的行为标识无法还原终端用户的操作行为，避免了泄露用户隐私，提高了安全性。

Description

行为向量生成方法、装置、终端及存储介质

技术领域

本发明实施例涉及信息安全领域，特别涉及一种行为向量生成方法、装置、终端及存储介质。

背景技术

随着互联网技术的快速发展以及多种应用的普及，互联网中出现了很多恶意应用，这些恶意应用在运行过程中会进行恶意操作，影响用户的信息安全。因此，如何准确检测出恶意应用成为信息安全领域亟待解决的问题。目前提出了一种应用检测方法，能够根据应用内发生的操作行为对应的行为向量进行检测，从而确定该应用是否为恶意应用。

一个或多个终端在应用的运行过程中生成操作记录，该操作记录中包括应用内发生的至少一个操作行为的行为标识，则将操作记录中的行为标识组合构成行为向量，将行为向量发送给服务器。服务器收集多个应用的行为向量以及该多个应用已知的检测结果，根据该多个应用的行为向量和已知的检测结果训练应用检测模型。后续任一终端可以采用同样的方式获取待检测应用的行为向量，发送给服务器，服务器即可基于应用检测模型对该应用的行为向量进行检测，得到该应用的检测结果，从而确定该应用是否为恶意应用。

上述行为向量中的行为标识与终端用户在应用内进行的操作行为对应，根据行为向量中的行为标识可以还原终端用户的操作行为，因此存在泄漏用户隐私的风险，安全性差。

发明内容

本发明实施例提供了一种行为向量生成方法、装置、终端及存储介质，可以解决相关技术中的缺陷。所述技术方案如下：

一方面，提供了一种行为向量生成方法，所述方法包括：

获取操作记录，所述操作记录包括目标应用内发生的至少一个操作行为的行为标识；

根据预先设置的多个分组，将所述操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识，同一分组中的行为标识对应的操作行为具有关联关系；

根据所述至少一个行为标识替换后得到的行为标识，生成行为向量。

再一方面，提供了一种行为向量生成方法，所述方法包括：

获取模块，用于获取操作记录，所述操作记录包括目标应用内发生的至少一个操作行为的行为标识；

替换模块，用于根据预先设置的多个分组，将所述操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识，同一分组中的行为标识对应的操作行为具有关联关系；

生成模块，用于根据所述至少一个行为标识替换后得到的行为标识，生成行为向量。

再一方面，提供了一种用于生成行为向量的终端，所述终端包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现所述的行为向量生成方法中所执行的操作。

另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由处理器加载并执行以实现所述的行为向量生成方法中所执行的操作。

本发明实施例提供的方法、装置、终端及存储介质，通过获取操作记录，根据预先设置的多个分组，将操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识；根据至少一个行为标识替换后得到的行为标识，生成行为向量，由于同一分组中的行为标识对应的操作行为具有关联关系，因此所生成的行为向量既能够对目标应用内发生的操作行为进行描述以训练出准确的应用检测模型，而且根据行为向量中的行为标识无法还原终端用户的操作行为，避免了泄露用户隐私，提高了安全性。

并且，将操作类型相同的操作行为或者在完成一个操作的过程中连续执行的操作行为设置于同一个分组中，充分考虑到了操作行为的执行规律，实现了行为标识的同类替换，在保护用户隐私的情况下尽可能提高行为向量的准确度。

并且，按照随机生成的第一数值来确定是否要替换行为标识的方式，可以在保护用户隐私的情况下，尽可能地保证所生成行为向量的准确性，避免了替换行为标识对应用检测模型准确度的影响。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种应用检测系统的结构示意图；

图2是本发明实施例提供的一种应用检测系统的模块结构示意图；

图3是本发明实施例提供的一种向量生成模块的操作流程示意图；

图4是本发明实施例提供的一种模型训练模块的操作流程示意图；

图5是本发明实施例提供的一种检测模块的操作流程示意图；

图6是本发明实施例提供的一种行为向量生成方法的流程图；

图7是本发明实施例提供的一种行为向量生成装置的结构示意图；

图8是本发明实施例提供的一种终端的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

相关技术中提出了一种应用检测方法，根据应用的行为向量和已知的检测结果进行模型训练，得到应用检测模型，该应用检测模型即可根据任一应用的行为向量得到该应用的检测结果。但是，实施过程中需要服务器从终端收集应用的行为向量，而根据行为向量可以还原终端用户的操作行为，一旦行为向量在传输过程中被泄露或者服务器泄漏行为向量，会有泄漏用户隐私的风险，但是不收集行为向量又无法训练出准确的应用检测模型。

因此，为了兼顾模型训练和用户隐私，本发明实施例提供了一种行为向量生成方法，用于检测应用是否为恶意应用的场景中。首先对具有关联关系的操作行为的行为标识进行分组，之后根据目标应用内发生的至少一个操作行为的行为标识用其同组的行为标识进行替换，根据替换后的行为标识生成目标应用的行为向量，该行为向量既可以对目标应用内发生的操作行为进行描述，用于检测目标应用是否为恶意应用，而且不能100％还原目标应用内发生的操作行为，避免了泄漏用户的隐私。

在一种场景下，将该目标应用作为样本应用，采用本发明实施例提供的方法获取到该目标应用的行为向量，并且获取到该目标应用已知的检测结果之后，可以对应用检测模型进行训练，该应用检测模型用于对任一应用的行为向量进行检测，得到检测结果。

在另一种场景下，该目标应用为未知检测结果的应用，需要检测该目标应用是否为恶意应用，则采用本发明实施例提供的方法获取到该目标应用的行为向量之后，可以将行为向量输入到应用检测模型，基于应用检测模型对行为向量进行检测，得到目标应用的检测结果。

图1是本发明实施例提供的一种应用检测系统的结构示意图，参见图1，该应用检测系统包括终端101和服务器102，终端101与服务器102之间通过网络连接。

终端101安装目标应用，用于将目标应用内发生的操作行为对应的行为标识替换为具有关联关系的操作行为的行为标识，生成行为向量，发送给服务器102。

服务器102用于根据收集到的多个样本应用的行为向量和已知的检测结果，训练应用检测模型。还用于基于应用检测模型，对未知检测结果的应用的行为向量进行检测，得到检测结果，发送给终端101。

由于行为向量中的行为标识并未与目标应用内发生的操作行为对应的行为标识100％地对应，因此根据该行为向量无法100％还原目标应用内发生的操作行为，避免了泄漏用户的隐私。

在一种可能实现方式中，终端101可以安装与服务器102关联的安全应用客户端，该安全应用客户端可以实现对终端101的文件扫描、文件整理、应用检测等多种功能。则终端101可以通过该安全应用客户端收集一个或多个应用的操作记录，生成各个应用的行为向量，发送给服务器102，从而实现对终端101上各个应用的检测。

在一种可能实现方式中，参见图2，该应用检测系统包括向量生成模块201、模型训练模块202和检测模块203，其中向量生成模块201位于终端101中，模型训练模块202和检测模块203位于服务器102中。

参见图3，向量生成模块201用于采用本发明实施例提供的方法，将操作记录中原始的行为标识替换为属于同一分组的其他行为标识，生成行为向量，发送给服务器102。

参见图4，服务器102中的模型训练模块202会将收集到的每个应用的行为向量保存起来，待收集到任一个或多个应用的检测结果后，根据这些应用的行为向量和检测结果进行模型训练，得到应用检测模型。

参见图5，检测模块203接收到待检测应用的行为向量后，会将行为向量输入到模型训练模块202训练的应用检测模型中进行检测，得到检测结果。还可以将检测结果返回给终端，由终端进行显示。

图6是本发明实施例提供的一种行为向量生成方法的流程图，该行为向量生成方法的执行主体为终端，对终端生成目标应用的行为向量的过程进行说明。参见图6，该方法包括：

601、终端获取操作记录，操作记录包括目标应用内发生的至少一个操作行为的行为标识。

其中，该终端可以为手机、计算机等多种类型的设备，该终端上可以运行一个或多个应用，通过该一个或多个应用执行多种操作行为。其中，上述应用可以包括终端操作系统中运行的应用，如短信应用、照相机等，也可以为终端安装的第三方应用，如聊天软件等。

本发明实施例以目标应用为例进行说明，终端要对目标应用进行检测时，获取目标应用的操作记录，该操作记录包括目标应用内发生的至少一个操作行为的行为标识。

其中，行为标识用于确定唯一对应的操作行为，可以是为每种操作行为分配的编号等，根据行为标识可以获知目标应用内发生了哪种操作行为，并且通过量化行为标识的方式对操作行为进行描述，便于后续根据行为标识构成的行为向量进行建模。

在终端运行目标应用的过程中，可以收集目标应用内发生的至少一个操作行为，根据每种操作行为预设的行为标识生成操作记录，从而在操作记录中记录目标应用的行为标识。另外，除操作行为的行为标识之外，操作记录中还可以包括操作行为的发生时间、发起操作行为的用户、操作行为的操作对象等，还可以按照操作行为的发生时间从早到晚的顺序对操作行为的行为标识进行排序。

例如，操作记录可以如下表1所示，操作记录中包括操作行为的发生时间、行为标识、操作对象。

表1

发生时间	行为标识及操作对象
		12:00	ID1：向好友1发送聊天消息
12:01	ID2：接收好友1发送的聊天消息
		12:10	ID2：接收好友2发送的聊天消息

并且，终端中可以运行多种应用，为了便于区分不同应用的操作记录，终端收集每个应用内发生的至少一个操作行为，生成操作记录，该操作记录中包括每个应用的应用标识以及发生的至少一个操作行为对应的行为标识。其中，该应用标识用于确定唯一对应的应用，可以是应用名称或者应用编号等。

例如，操作记录可以如下表2所示，操作记录中包括应用标识以及对应的行为标识，用于表示哪一个应用内发生了哪些操作行为。

表2

在一种可能实现方式中，终端上运行多种服务程序，通过调用这些服务程序来执行对应的操作行为，而终端上运行的目标应用可以调用任一服务程序，由服务程序来执行对应的操作行为。例如，终端运行拍摄程序，聊天软件可以调用拍摄程序来拍摄照片。

因此，为了准确收集目标应用内发生的操作行为，在终端上可以运行用于执行指定操作行为的目标服务程序的过程中，当目标应用调用目标服务程序时，可以确定在目标应用内发生了指定操作行为，因此在操作记录中添加指定操作行为对应的行为标识。

例如，终端可以根据需求将一种或多种服务程序设置为目标服务程序，在目标服务程序中注册消息通知，如将对安全性要求较高的服务程序或者恶意应用常用的服务程序设置为目标服务程序。当目标应用调用目标服务程序时，目标服务程序不仅会执行指定操作行为，还会向终端的操作系统发送消息通知，消息通知中携带目标应用的应用标识和指定操作行为对应的行为标识，终端的操作系统接收到消息通知时，在操作记录中添加该应用标识和该行为标识。

602、终端根据预先设置的多个分组，将操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识。

本发明实施例中，终端根据多种操作行为之间的关联关系，将具有关联关系的操作行为对应的行为标识设置于同一分组中，从而设置了多个分组。也即是，同一分组中的行为标识对应的操作行为具有关联关系，其中任两个操作行为具有关联关系是指：任两个操作行为的类型相同，和/或，任两个操作行为连续执行。因此，可以将类型相同的操作行为设置于同一个分组中，或者将完成某一操作的过程中连续执行的两个或两个以上的操作行为设置于同一个分组中。

例如，分组1为{ID6：发送短信，ID7：群发短信，ID8：发送彩信}，分组1中的行为标识对应的操作行为类型相同，都是发送信息的操作行为。分组2为{ID9：弹出窗口，ID10：显示消息栏，ID11：显示文字}，分组1中的行为标识对应的操作行为连续执行，先弹出窗口，在窗口中显示消息栏，并在消息栏中显示文字。

将操作类型相同的操作行为，或者通常在一个过程中连续执行的操作行为设置于同一个分组中，充分考虑到了操作行为的执行规律，在后续采用同组行为标识替换原始行为标识时，能够在保护用户隐私的情况下尽可能提高行为向量的准确度，保证行为向量可以准确描述目标应用内发生的操作行为。

为了保证生成的行为向量既能够对目标应用内发生的操作行为进行描述，而且避免还原用户的操作行为，终端获取到操作记录后，并未直接根据操作记录中的行为标识生成行为标识，而是先将操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识。

由于同一分组中的行为标识对应的操作行为之间具有关联关系，采用同一分组的其他行为标识来替换原始的行为标识，替换以后的行为标识所描述的操作行为与原始的行为标识所描述的操作行为类似，因此可以描述目标应用内发生的操作行为的类型，而且，根据替换以后的行为标识不能还原原始的操作行为，起到了保护用户隐私的作用。

在一种可能实现方式中，在保护用户隐私的情况下，为了尽可能地保证所生成行为向量的准确性，终端可以按照一定的概率，将操作记录中的某些行为标识替换为属于同一分组的其他行为标识，而对于其他的行为标识则不再进行替换。

因此，对于操作记录中的每个行为标识，终端随机生成一个属于第一数值范围的数值，作为第一数值，第一数值范围为大于0且小于1的范围，当第一数值大于预设阈值时，将该行为标识替换为属于同一分组的其他行为标识，当第一数值不大于预设阈值时，该行为标识不再进行替换。

其中，预设阈值大于0且小于1，可选地，预设阈值可以大于0.5且小于1。例如预设阈值等于0.9时，可以将第一数值大于0.9的行为标识进行替换，将第一数值不大于0.9的行为标识进行替换。

该预设阈值可以根据对行为向量的准确性和保护用户隐私的需求灵活调整，例如当对行为向量的准确性要求较高时，可以将预设阈值设置为较大的数值，以便将较少的行为标识进行替换，而当对行为向量的准确性要求较低，对保护用户隐私的要求较高时，可以将预设阈值设置为较小的数值，以便将较多的行为标识进行替换。

按照随机生成的第一数值来确定是否要替换行为标识的方式，可以在保护用户隐私的情况下，尽可能地保证所生成行为向量的准确性，避免了替换行为标识对应用检测模型准确度的影响。

在另一种可能实现方式中，考虑到对于操作记录中的每个行为标识，该行为标识所属的分组中包括多个同组行为标识，此时要从中选取其中一个同组行为标识来替换。此时，终端可以获取行为标识所属的分组中除行为标识以外的同组行为标识，并确定获取到的同组行为标识的数目，作为指定数目，随机生成一个属于第二数值范围的整数，作为第二数值，第二数值范围为大于0且不大于指定数目的范围，选取排列顺序等于第二数值的同组行为标识，将行为标识替换为选取的同组行为标识。

例如，ID1所属的分组为{ID1，ID2，ID3，ID4}，同组行为标识为{ID2，ID3，ID4}，指定数目为3，因此终端随机生成的第二数值为2时，以ID3替换ID1，当随机生成的第二数值为3时，以ID4替换ID1。

按照随机生成的第二数值来选取同组行为标识的方式，可以达到等概率地选取同组行为标识的效果，避免出现多次选取同一个同组行为标识的情况。

需要说明的是，上述两种可能实现方式可以结合，即终端对于操作记录中的每个行为标识，先随机生成第一数值，当第一数值大于预设阈值时，根据该行为标识所属分组中的同组行为标识的数目，随机生成第二数值，用排列顺序等于第二数值的同组行为标识替换原始的行为标识。

例如，针对ID7，随机生成的第一数值0.92大于预设阈值0.9，则确定ID7的同组标识有两个：ID8和ID23，在大于0且不大于2的范围内生成第二数值，假设生成的第二数值为2，则用ID23替换ID7。

603、终端根据至少一个行为标识替换后得到的行为标识，生成行为向量。

其中，该行为向量用于对目标应用进行检测。

终端确定替换后得到的至少一个行为标识后，将至少一个行为标识进行组合构成行为向量，该行为向量可以对目标应用内发生的操作行为进行描述，因此根据该行为向量可以对目标应用进行检测。

例如，操作记录中包括行为标识为{ID1，ID15，ID6，ID24}，替换得到的行为标识为{ID1，ID14，ID7，ID24}，则生成的行为向量为[1，4，7，24]。

604、终端向服务器发送行为向量。

在第一种可能实现方式中，目标应用为样本应用，检测结果已知，服务器接收终端发送的行为向量，并存储该行为向量，当获取到目标应用的检测结果后，根据行为向量和已知的检测结果，训练应用检测模型，应用检测模型用于对任一应用的行为向量进行检测，得到检测结果。

在第二种可能实现方式中，目标应用为待检测的应用，检测结果未知，服务器接收终端发送的行为向量，基于应用检测模型对行为向量进行检测，得到目标应用的检测结果，确定目标应用是否为恶意应用。另外还可以将检测结果发送给终端，由终端展示检测结果，提示用户该目标应用是否为恶意应用。

本发明实施例提供的方法，通过获取操作记录，根据预先设置的多个分组，将操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识；根据至少一个行为标识替换后得到的行为标识，生成行为向量，由于同一分组中的行为标识对应的操作行为具有关联关系，因此所生成的行为向量既能够对目标应用内发生的操作行为进行描述以训练出准确的应用检测模型，而且根据行为向量中的行为标识无法还原终端用户的操作行为，避免了泄露用户隐私，提高了安全性。

并且，将操作类型相同的操作行为，或者通常在一个过程中连续执行的操作行为设置于同一个分组中，充分考虑到了操作行为的执行规律，实现了行为标识的同类替换，在保护用户隐私的情况下尽可能提高行为向量的准确度。

并且，按照随机生成的第一数值来确定是否要替换行为标识的方式，可以在保护用户隐私的情况下，尽可能地保证所生成行为向量的准确性，避免了替换行为标识对应用检测模型准确度的影响。

并且，按照随机生成的第二数值来选取同组行为标识的方式，可以达到等概率地选取同组行为标识的效果，避免出现多次选取同一个同组行为标识的情况。

图7是本发明实施例提供的一种行为向量生成装置的结构示意图。参见图7，该装置包括：

获取模块701，用于执行上述实施例中获取操作记录的步骤；

替换模块702，用于执行上述实施例中将操作记录中的至少一个行为标识分别替换为属于同一分组的其他行为标识的步骤；

生成模块703，用于执行上述实施例中生成行为向量的步骤。

可选地，任两个操作行为具有关联关系是指：任两个操作行为的类型相同，和/或，任两个操作行为连续执行。

可选地，替换模块702，包括：

数值生成单元，用于执行上述实施例中对于操作记录中的每个行为标识，随机生成一个属于第一数值范围的数值，作为第一数值的步骤；

替换单元，用于执行上述实施例中当第一数值大于预设阈值时，将行为标识替换为属于同一分组的其他行为标识的步骤。

可选地，替换模块702，包括：

同组标识获取单元，用于执行上述实施例中对于操作记录中的每个行为标识，获取行为标识所属的分组中除行为标识以外的同组行为标识，并确定获取到的同组行为标识的数目，作为指定数目的步骤；

数值生成单元，用于执行上述实施例中随机生成一个属于第二数值范围的整数，作为第二数值的步骤；

选取替换单元，用于执行上述实施例中选取排列顺序等于第二数值的同组行为标识，将行为标识替换为选取的同组行为标识的步骤。

可选地，终端上运行目标服务程序，目标服务程序用于在被任一应用调用时执行指定操作行为；装置还包括：

添加模块，用于执行上述实施例中当目标应用调用目标服务程序时，在操作记录中添加指定操作行为对应的行为标识的步骤。

可选地，装置还包括：

发送模块，用于上述实施例中向服务器发送行为向量的步骤。

需要说明的是：上述实施例提供的行为向量生成装置在生成行为向量时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将终端的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的行为向量生成装置与行为向量生成方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图8示出了本发明一个示例性实施例提供的终端800的结构框图。该终端800可以是便携式移动终端，比如：智能手机、平板电脑、MP3播放器(Moving Picture ExpertsGroup Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving PictureExperts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、笔记本电脑、台式电脑、头戴式设备，或其他任意智能终端。终端800还可能被称为用户设备、便携式终端、膝上型终端、台式终端等其他名称。

通常，终端800包括有：处理器801和存储器802。

处理器801可以包括一个或多个处理核心，比如4核心处理器、5核心处理器等。处理器801可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器801也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器801可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器801还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器802可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器802还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器802中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器801所具有以实现本申请中方法实施例提供的行为向量生成方法。

在一些实施例中，终端800还可选包括有：外围设备接口803和至少一个外围设备。处理器801、存储器802和外围设备接口803之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与外围设备接口803相连。具体地，外围设备包括：射频电路804、触摸显示屏805、摄像头806、音频电路807、定位组件808和电源809中的至少一种。

外围设备接口803可被用于将I/O(Input/Output，输入/输出)相关的至少一个外围设备连接到处理器801和存储器802。在一些实施例中，处理器801、存储器802和外围设备接口803被集成在同一芯片或电路板上；在一些其他实施例中，处理器801、存储器802和外围设备接口803中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

射频电路804用于接收和发射RF(Radio Frequency，射频)信号，也称电磁信号。射频电路804通过电磁信号与通信网络以及其他通信设备进行通信。射频电路804将电信号转换为电磁信号进行发送，或者，将接收到的电磁信号转换为电信号。可选地，射频电路804包括：天线系统、RF收发器、一个或多个放大器、调谐器、振荡器、数字信号处理器、编解码芯片组、用户身份模块卡等等。射频电路804可以通过至少一种无线通信协议来与其它终端进行通信。该无线通信协议包括但不限于：城域网、各代移动通信网络(2G、3G、4G及8G)、无线局域网和/或WiFi(Wireless Fidelity，无线保真)网络。在一些实施例中，射频电路804还可以包括NFC(Near Field Communication，近距离无线通信)有关的电路，本申请对此不加以限定。

显示屏805用于显示UI(User Interface，用户界面)。该UI可以包括图形、文本、图标、视频及其它们的任意组合。当显示屏805是触摸显示屏时，显示屏805还具有采集在显示屏805的表面或表面上方的触摸信号的能力。该触摸信号可以作为控制信号输入至处理器801进行处理。此时，显示屏805还可以用于提供虚拟按钮和/或虚拟键盘，也称软按钮和/或软键盘。在一些实施例中，显示屏805可以为一个，设置终端800的前面板；在另一些实施例中，显示屏805可以为至少两个，分别设置在终端800的不同表面或呈折叠设计；在再一些实施例中，显示屏805可以是柔性显示屏，设置在终端800的弯曲表面上或折叠面上。甚至，显示屏805还可以设置成非矩形的不规则图形，也即异形屏。显示屏805可以采用LCD(LiquidCrystal Display，液晶显示屏)、OLED(Organic Light-Emitting Diode,有机发光二极管)等材质制备。

摄像头组件806用于采集图像或视频。可选地，摄像头组件806包括前置摄像头和后置摄像头。通常，前置摄像头设置在终端的前面板，后置摄像头设置在终端的背面。在一些实施例中，后置摄像头为至少两个，分别为主摄像头、景深摄像头、广角摄像头、长焦摄像头中的任意一种，以实现主摄像头和景深摄像头融合实现背景虚化功能、主摄像头和广角摄像头融合实现全景拍摄以及VR(Virtual Reality，虚拟现实)拍摄功能或者其它融合拍摄功能。在一些实施例中，摄像头组件806还可以包括闪光灯。闪光灯可以是单色温闪光灯，也可以是双色温闪光灯。双色温闪光灯是指暖光闪光灯和冷光闪光灯的组合，可以用于不同色温下的光线补偿。

音频电路807可以包括麦克风和扬声器。麦克风用于采集用户及环境的声波，并将声波转换为电信号输入至处理器801进行处理，或者输入至射频电路804以实现语音通信。出于立体声采集或降噪的目的，麦克风可以为多个，分别设置在终端800的不同部位。麦克风还可以是阵列麦克风或全向采集型麦克风。扬声器则用于将来自处理器801或射频电路804的电信号转换为声波。扬声器可以是传统的薄膜扬声器，也可以是压电陶瓷扬声器。当扬声器是压电陶瓷扬声器时，不仅可以将电信号转换为人类可听见的声波，也可以将电信号转换为人类听不见的声波以进行测距等用途。在一些实施例中，音频电路807还可以包括耳机插孔。

定位组件808用于定位终端800的当前地理位置，以实现导航或LBS(LocationBased Service，基于位置的服务)。定位组件808可以是基于GPS(Global PositioningSystem，全球定位系统)、北斗系统、格雷纳斯系统或伽利略系统的定位组件。

电源809用于为终端800中的各个组件进行供电。电源809可以是交流电、直流电、一次性电池或可充电电池。当电源809包括可充电电池时，该可充电电池可以支持有线充电或无线充电。该可充电电池还可以用于支持快充技术。

在一些实施例中，终端800还包括有一个或多个传感器810。该一个或多个传感器810包括但不限于：加速度传感器811、陀螺仪传感器812、压力传感器813、光学传感器815以及接近传感器816。

加速度传感器811可以检测以终端800建立的坐标系的三个坐标轴上的加速度大小。比如，加速度传感器811可以用于检测重力加速度在三个坐标轴上的分量。处理器801可以根据加速度传感器811采集的重力加速度信号，控制触摸显示屏805以横向视图或纵向视图进行用户界面的显示。加速度传感器811还可以用于游戏或者用户的运动数据的采集。

陀螺仪传感器812可以检测终端800的机体方向及转动角度，陀螺仪传感器812可以与加速度传感器811协同采集用户对终端800的3D动作。处理器801根据陀螺仪传感器812采集的数据，可以实现如下功能：动作感应(比如根据用户的倾斜操作来改变UI)、拍摄时的图像稳定、游戏控制以及惯性导航。

压力传感器813可以设置在终端800的侧边框和/或触摸显示屏805的下层。当压力传感器813设置在终端800的侧边框时，可以检测用户对终端800的握持信号，由处理器801根据压力传感器813采集的握持信号进行左右手识别或快捷操作。当压力传感器813设置在触摸显示屏805的下层时，由处理器801根据用户对触摸显示屏805的压力操作，实现对UI界面上的可操作性控件进行控制。可操作性控件包括按钮控件、滚动条控件、图标控件、菜单控件中的至少一种。

光学传感器815用于采集环境光强度。在一个实施例中，处理器801可以根据光学传感器815采集的环境光强度，控制触摸显示屏805的显示亮度。具体地，当环境光强度较高时，调高触摸显示屏805的显示亮度；当环境光强度较低时，调低触摸显示屏805的显示亮度。在另一个实施例中，处理器801还可以根据光学传感器815采集的环境光强度，动态调整摄像头组件806的拍摄参数。

接近传感器816，也称距离传感器，通常设置在终端800的前面板。接近传感器816用于采集用户与终端800的正面之间的距离。在一个实施例中，当接近传感器816检测到用户与终端800的正面之间的距离逐渐变小时，由处理器801控制触摸显示屏805从亮屏状态切换为息屏状态；当接近传感器816检测到用户与终端800的正面之间的距离逐渐变大时，由处理器801控制触摸显示屏805从息屏状态切换为亮屏状态。

本领域技术人员可以理解，图8中示出的结构并不构成对终端800的限定，可以包括比图示更多或更少的组件，或者组合某些组件，或者采用不同的组件布置。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种行为向量生成方法，其特征在于，所述方法包括：

获取操作记录，所述操作记录包括目标应用内发生的至少一个操作行为的行为标识；

对于所述操作记录中的每个行为标识，随机生成一个属于第一数值范围的数值，作为第一数值，所述第一数值范围为大于0且小于1的范围；

当所述第一数值大于预设阈值时，将所述行为标识替换为属于同一分组的其他行为标识，所述预设阈值大于0且小于1；其中，同一分组中的行为标识对应的操作行为具有关联关系；

根据所述至少一个行为标识替换后得到的行为标识，生成行为向量。

2.根据权利要求1所述的方法，其特征在于，所述同一分组中的行为标识对应的操作行为具有关联关系是指：所述同一分组中的行为标识对应的操作行为的类型相同，和/或，所述同一分组中的行为标识对应的操作行为连续执行。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对于所述操作记录中的每个行为标识，获取所述行为标识所属的分组中除所述行为标识以外的同组行为标识，并确定获取到的同组行为标识的数目，作为指定数目；

随机生成一个属于第二数值范围的整数，作为第二数值，所述第二数值范围为大于0且不大于所述指定数目的范围；

从获取到的同组行为标识中选取排列顺序等于所述第二数值的同组行为标识，将所述行为标识替换为选取的同组行为标识。

4.根据权利要求1所述的方法，其特征在于，终端上运行目标服务程序，所述目标服务程序用于在被任一应用调用时执行指定操作行为；所述方法还包括：

当所述目标应用调用所述目标服务程序时，在所述操作记录中添加所述指定操作行为对应的行为标识。

5.根据权利要求1所述的方法，其特征在于，所述根据所述至少一个行为标识替换后得到的行为标识，生成行为向量之后，所述方法还包括：

向服务器发送所述行为向量；

所述目标应用为样本应用，所述服务器用于根据所述行为向量和所述目标应用已知的检测结果，训练应用检测模型，所述应用检测模型用于对任一应用的行为向量进行检测，得到检测结果；或者，

所述目标应用为待检测的应用，所述服务器用于基于所述应用检测模型对所述行为向量进行检测，得到所述目标应用的检测结果。

6.一种行为向量生成装置，其特征在于，所述装置包括：

获取模块，用于获取操作记录，所述操作记录包括目标应用内发生的至少一个操作行为的行为标识；

替换模块，包括数值生成单元和替换单元；

所述数值生成单元，用于对于所述操作记录中的每个行为标识，随机生成一个属于第一数值范围的数值，作为第一数值，所述第一数值范围为大于0且小于1的范围；

所述替换单元，用于当所述第一数值大于预设阈值时，将所述行为标识替换为属于同一分组的其他行为标识，所述预设阈值大于0且小于1；其中，同一分组中的行为标识对应的操作行为具有关联关系；

生成模块，用于根据所述至少一个行为标识替换后得到的行为标识，生成行为向量。

7.根据权利要求6所述的装置，其特征在于，所述同一分组中的行为标识对应的操作行为具有关联关系是指：所述同一分组中的行为标识对应的操作行为的类型相同，和/或，所述同一分组中的行为标识对应的操作行为连续执行。

8.根据权利要求6所述的装置，其特征在于，所述替换模块，包括：

同组标识获取单元，用于对于所述操作记录中的每个行为标识，获取所述行为标识所属的分组中除所述行为标识以外的同组行为标识，并确定获取到的同组行为标识的数目，作为指定数目；

所述数值生成单元，用于随机生成一个属于第二数值范围的整数，作为第二数值，所述第二数值范围为大于0且不大于所述指定数目的范围；

选取替换单元，用于从获取到的同组行为标识中选取排列顺序等于所述第二数值的同组行为标识，将所述行为标识替换为选取的同组行为标识。

9.根据权利要求6所述的装置，其特征在于，终端上运行目标服务程序，所述目标服务程序用于在被任一应用调用时执行指定操作行为；所述装置还包括：

添加模块，用于当所述目标应用调用所述目标服务程序时，在所述操作记录中添加所述指定操作行为对应的行为标识。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

发送模块，用于向服务器发送所述行为向量；

所述目标应用为样本应用，所述服务器用于根据所述行为向量和所述目标应用已知的检测结果，训练应用检测模型，所述应用检测模型用于对任一应用的行为向量进行检测，得到检测结果；或者，

所述目标应用为待检测的应用，所述服务器用于基于所述应用检测模型对所述行为向量进行检测，得到所述目标应用的检测结果。

11.一种用于生成行为向量的终端，其特征在于，所述终端包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现如权利要求1至5任一权利要求所述的行为向量生成方法中所执行的操作。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由处理器加载并执行以实现如权利要求1至5任一权利要求所述的行为向量生成方法中所执行的操作。

Images