CN109902484B

CN109902484B - 一种关联应用的处理方法以及终端

Info

Publication number: CN109902484B
Application number: CN201711308924.8A
Authority: CN
Inventors: 胡慧锋; 王根良; 程飞飞; 陈善席
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2017-12-11
Filing date: 2017-12-11
Publication date: 2022-12-30
Anticipated expiration: 2037-12-11
Also published as: CN109902484A

Abstract

本申请实施例公开了一种关联应用的处理方法以及终端，用于更有效地阻止恶意关联程序启动，以提高终端操作系统的性能，降低终端的功耗。本申请实施例方法包括：获取组件集合，所述组件集合为运行在所述终端的第一应用关联启动所述终端上的多个第二应用后生成的组件集合；在所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述多个第二应用中对应于所述目标组件的应用；停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用。

Description

一种关联应用的处理方法以及终端

技术领域

本申请涉及终端领域，尤其涉及一种关联应用的处理方法以及终端。

背景技术

随着移动网络的迅速发展，为了满足用户的需要，终端上的应用程序越来越多。而目前的应用程序经常会通过集成推送软件开发包(push software development kit，简称：pushSDK)或全家桶SDK实现互保互联，统一心跳等恶意保活机制，这些恶意行为导致了应用频繁启动、频繁解冻，最终降低了系统的性能，提高了终端的功耗。

为了解决了这一问题，目前用户多利用黑白名单规则对各应用程序进行标注。如用户将应用程序A的关联应用程序B设置为白名单，则该应用程序A在每次启动时，都会关联启动该应用程序B；或，用户将该应用程序A的关联应用程序C设置为黑名单，则该应用程序A在每次启动时，都将阻止该应用程序C的启动。

该方法依赖于用户对应用程序的识别和标注，但是应用程序在不同的终端上使用或者是不同的场景中使用可能出现不同的关联结果。比如该应用程序B在应用场景一中为该应用程序A的合理关联，这时用户将应用程序A的关联应用程序B设置为白名单；而该应用程序B在应用场景二中可能为该应用程序A的恶意关联，这时由于用户已将应用程序B设置为白名单，则应用程序B将作为恶意关联程序启动。因此仅凭黑白名单无法正确的阻止恶意关联程序启动。

发明内容

本申请实施例提供了一种关联应用的处理方法以及终端，用于更有效地阻止恶意关联程序启动，以提高终端的操作系统的性能，降低终端的功耗。

第一方面，本申请实施例提供一种关联应用的处理方法，包括：

该终端获取组件集合，该组件集合为该终端上运行的第一应用关联启动该终端上的多个第二应用之后生成的组件集合；然后该终端在该组件集合中数量大于或等于2且组件名相同的一组目标组件的情况下，检测该多个第二应用中对应于该目标组件的应用中的多个第三应用是否触发用户可感知行为；最后该终端在该多个第三应用中存在未触发用户可感知行为的第四应用时，该终端停止运行该第四应用。

本申请实施例中，该终端在该第一应用关联启动该第二应用后，根据该第一应用与该第二应用之间的关联信息对该第二应用进行恶意关联判断，由于关联信息需要在该第一应用关联启动该第二应用之后获取，因此对于该第一应用每次关联启动的应用程序都将进行一次恶意关联判断，从而更有效的阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

可选的，对于该终端上的多个第二应用中的每一个应用来说，用户可感知行为包括下述行为中的至少一种：该终端通过屏幕显示应用对应的应用界面、该终端通过屏幕显示应用对应的通知消息、该终端通过屏幕显示根据应用修改后的屏幕壁纸、该终端播放该应用对应的声音以及该应用启动该终端的灯光效果或者是根据应用调整终端的灯光亮度或闪烁频率等。即只要可以用户看到、听到或者触感感觉到的行为都可以称为用户可感知行为。比如，“美团”或“淘宝”可能引起的用户可感知行为包括商家推荐界面、支付页面、推荐产品的通知消息或者通知消息的通知铃声等。

可选的，该终端在停止运行该多个第三应用中的第四应用之后，该终端还可以记录该第一应用与该第四应用之间的恶意关联关系以生成恶意关联列表。

本申请实施例提供的技术方案中，该终端在生成该关联列表之后，还可以将该恶意关联列表保存的本地内存或者是保存在云端，这样可以使得该终端在再次运行该第一应用时，在关联管控阶段可以直接禁止该第四应用的关联启动。

可选的，该终端还可以对该多个第三应用中的触发了用户可感知行为的第五应用进行疑似恶意关联判断，具体如下：

该终端获取该第五应用与该第一应用之间的关联信息，该关联信息包括该第一应用的名称、该第五应用的名称、该第五应用触发的用户可感知行为和该第五应用对应的组件名；然后该终端根据该关联信息与逻辑回归函数计算该第五应用为该第一应用的疑似恶意关联应用的第一概率值；在该第一概率值大于或等于0.5的情况下，该终端限制该第五应用的资源。

可选的，该终端根据该关联信息与该逻辑回归函数计算该第五应用为该第一应用的疑似恶意关联应用的具体过程可以如下：

首先，该终端根据该关联信息利用逻辑回归训练函数确定该逻辑回归函数中的目标参数；然后根据该目标参数、该关联信息以及该逻辑回归函数计算该第一概率值；其中，该逻辑回归训练函数为：

该

该逻辑回归预测函数为：

其中，该θ为该目标参数；该m为样本数量；该p(y＝1|x,θ)指示该第五应用为疑似恶意关联应用的概率值；该p(y＝0|x,θ)指示该第五应用为合理关联应用的概率值；该y为因变量，用于指示用户对该终端的操作，其中存在该操作时取值为1，不存在该操作时取值为0；该x为自变量，该自变量为数组，该数组用于指示该用户可感知行为和该第五应用的数量。

本申请实施例中，该样本为在计算该第五应用为该第一应用的疑似恶意关联应用的概率值之前已获取得到的应用之间关联启动的关联信息与概率值。即每一次应用之间的关联启动产生的关联信息与计算得到的疑似恶意关联应用的概率值为一组样本数据，该m表示获取到m组样本数据。

可选的，在该终端通过计算确定该第五应用为该第一应用的疑似恶意关联应用之后，该终端将会对该第五应用的资源进行限制，具体方式包括其中至少一项：

一种可能实现方式中，该终端降低该第五应用的CPU运行资源，比如将该第五应用的运行资源绑定小核处理器；

另一种可能实现方式中，该终端降低该第五应用在数据存储方面的读写速度；

另一种可能实现方式中，该终端降低该第五应用与网络交互的网络资源，比如降低该第五应用的上传资源和下载资源等；

另一种可能实现方式中，该终端在自身内存低于预设值的情况下，优先清理该第五应用(即优先停止运行该第五应用)。

若该终端确定该第五应用为该第一应用的合理关联应用，则该终端对该第五应用的关联启动不进行管控。

可选的，在实际应用中，若该终端在确定该第五应用为该第一应用的疑似恶意关联应用之后，在预设时间段内，还可以继续监控该第五应用，并确定该第五应用是否会进化为该第一应用的恶意关联应用，具体方式如下：

该终端根据该第五应用的第一概率值利用指数平滑法计算第二概率值，该第二概率值为该第一应用在预设时间段内再次关联启动该第五应用时，该第五应用为疑似恶意关联应用的概率值；若该第二概率值大于预设阈值，则该终端确定该第五应用已进化为该第一应用的恶意关联应用。这时该终端可以停止运行该第五应用，并记录该第五应用与该第一应用之间的恶意关联关系以生成恶意关联列表。比如，该第五应用为疑似恶意关联的第一概率值为0.6；然后在该第一应用再次关联启动该第五应用时，该终端根据该第一概率值利用指数平滑法计算该出的第二概率值为0.8大于预设阈值0.7，则该终端确定该第五应用进化为该第一应用的恶意关联应用。

其中，该指数平滑法的计算公式如下：

S_N+1＝a*y_N+(1+a)*S_N；

其中，所述S_N+1为该第五应用第N+1次为疑似恶意关联应用的第二概率值；所述y_N为该第五应用第N次为疑似恶意关联应用的平滑值；所述S_N为第五应用第N次为疑似恶意关联应用的第一概率值；所述a为常数，所述N为正整数。

本实施例中，在预测该第五应用为疑似恶意关联应用的概率值时，该第五应用的第一次为疑似恶意关联应用的平滑值可以取前三次根据逻辑回归预测函数得到的该第五应用为疑似恶意关联应用的概率值的平均值；也可以直接取该第五应用为第一次为疑似恶意关联应用的实际概率值，具体方式不做限定。

在本申请实施例提供的技术方案中，该终端对该第一应用的合理关联应用进行疑似恶意关联判断和疑似恶意关联进化，可以更有效的阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

第二方面，本申请实施例提供一种终端，该终端具有实现上述方法中终端实现的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

一种可能实现方式中，该终端包括：

获取模块，用于获取组件集合，所述组件集合为运行在所述终端的第一应用关联启动所述终端上的多个第二应用后生成的组件集合；

检测模块，用于在所述获取模块获取到的所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述多个第二应用中对应于所述目标组件的应用；

处理模块，用于停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用。

该终端中的各模块还用于执行上述第一方面中所述的方法。

另一种可能实现方式中，该终端包括：

处理器，存储介质以及总线系统；

所述总线系统用于连接所述存储介质以及所述处理器，以使所述存储介质与所述处理器进行通信；

该处理器，执行如下步骤：

获取组件集合，该组件集合为运行在该终端的第一应用关联启动该终端上的多个第二应用后生成的组件集合；

在该组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，该第三应用为该多个第二应用中对应于该目标组件的应用；

停止运行该多个第三应用中的第四应用，该第四应用为该多个第三应用中未触发用户可感知行为的应用。

该处理器还用于执行上述第一方面中所述的方法。

第三方面，本申请实施例提供一种计算机可读存储介质，包括指令，当该指令在计算机上运行时，该计算机执行上述第一方面所述的方法。

本申请实施例中，该终端为该计算机中的一种可能实现方式，即本申请实施例相当于提供了一种终端可读存储介质，包括指令，当该指令在该终端上运行时，该终端执行上述实施例中所述的关联应用的处理方法。

第四方面，本申请实施例提供一种计算机程序产品，当该计算机程序产品在计算机上运行时，该计算机执行上述第一方面所述的方法。

本申请实施例中，该终端为该计算机中的一种可能实现方式，即本申请实施例相当于提供了一种终端程序产品，当该终端程序产品在终端上运行时，该终端执行上述第一方面所述的方法。

从以上技术方案可以看出，本申请实施例具有以下优点：该终端在该第一应用关联启动该第二应用后，根据该第一应用与该第二应用之间的关联信息对该第二应用进行恶意关联判断，由于关联信息需要在该第一应用关联启动该第二应用之后获取，因此对于该第一应用每次关联启动的应用程序都将进行一次恶意关联判断，从而更有效的阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

附图说明

图1为现有技术的系统架构图；

图2为本申请实施例的系统架构图；

图3为本申请实施例中系统架构内各模块的工作流程图；

图4为本申请实施例中关联应用的处理方法的一个实施例示意图；

图5为本申请实施例中终端的一个实施例示意图；

图6为本申请实施例中终端的另一个实施例示意图；

图7为本申请实施例中终端的另一个实施例示意图。

具体实施方式

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

随着移动网络的迅速发展，为了满足用户的需要，终端上的应用程序越来越多。而目前的应用程序经常会通过集成推送pushSDK或全家桶SDK实现互保互联，统一心跳等恶意保活机制，这些恶意行为导致了应用频繁启动、频繁解冻，最终降低了系统的性能，提高了终端的功耗。为了解决了这一问题，目前用户多利用黑白名单规则对各应用程序进行标注。具体系统架构如图1所示：在终端启动应用A之后，该终端扫描已安装在该终端上的其他应用的SDK(比如图1中所示的应用B的SDK)；该终端解析该应用B的SDK和该应用A的SDK，若该应用B的SDK与该应用A的SDK存在相同内容，则该终端确定该应用B为该应用A的关联应用；然后该终端对该应用B发起关联启动，并通过黑白名单确定该应用B是否为恶意关联应用，若该应用B处于黑名单中，则该终端禁止该应用B的启动；若该应用B处于白名单中，则该终端允许该应用B关联启动。但是该方法依赖于用户对应用程序的识别和标注，而应用程序在不同的终端上使用或者是不同的场景中使用可能出现不同的关联结果。比如如图1中所示，应用C在应用场景一中为该应用A的合理关联，这时用户将应用C设置为应用A的白名单；而该应用C在应用场景二中可能为该应用A的恶意关联，这时由于用户已将应用C设置为白名单，则应用C将作为恶意关联程序启动。因此仅凭黑白名单无法正确的阻止恶意关联程序启动。

为了解决这一问题，本申请实施例提供了如下技术方案：该终端在启动第一应用之后，获取该第一应用关联启动该终端上的多个第二应用后生成的组件集合；然后该终端在该组件集合中存在组件名相同且数量大于或等于2的一组目标组件的情况下，检测该目标组件对应的多个第三应用是否触发相应的用户可感知行为；若该终端检测到该第三应用中存在未触发用户可感知行为的第四应用，则该终端停止运行该第四应用。

本申请实施例中，该技术方案应用于如图2所示的系统架构中，该系统架构包括关联启动智能识别模块、疑似恶意关联进化模块以及关联启动管控模块。其中，该关联启动智能识别模块包括恶意关联识别和疑似恶意关联识别，用于对该第一应用关联启动的第二应用进行恶意关联识别；该疑似恶意关联进化模块，用于对疑似恶意关联进行进化判断；该关联启动管理模块用于对明确识别为恶意关联的关联启动，停止其运行；对疑似恶意关联的关联启动，限制其资源，从而保证用户正常的业务功能。

该系统架构中还包括其他软件模块，具体包括内核、系统层、系统层API以及应用层。其中，该内核是操作系统的内部核心程序，它向外部提供了对计算机设备的核心管理调用。操作系统的代码分成多个部分，内核所在的地址空间称作为内核空间。该系统层负责连接操作系统和应用层，提供系统基本功能。系统层API属于系统层，它是系统层对外提供的统一接口，应用层只能过系统层API的统一接口访问操作系统的资源。该应用层，用于实现对外围设备的管理和界面操作，实现了终端系统用户可以使用的基本功能，比如邮件客户、短消息程序、日历、地图、浏览器、联系人管理程序等。

该系统架构中还包括硬件模块，具体包括CPU、内存、非挥发性随机存取存储器(flash)以及屏幕。其中，该CPU为中央处理，也做叫微处理器。该CPU通常为具有运算器和控制器功能的大规模集成电路。该CPU在终端中起着最重要的作用，是终端的心脏，构成了终端系统的控制中心，对各部分进行统一协调和控制。该内存，又称为主存，是CPU能直接寻址的存储空间，由半导体器件制成。内存的特点是存取速度快。内存为终端的主要部分，它是相对于外存而言的。该flash可以作为缓存或作为直接存储的底层设备。虽然flash比动态随机存储器慢10倍，但是它还是比硬盘快的多，它的速度和耐用性，让写操作变得比直接写硬盘快很多。该屏幕，也称为显示屏，用于显示图像以及色彩。

在本申请实施例中，该系统架构之间的各模块之间的工作关系如图3所示：第一步，该终端上已安装的应用1启动；第二步，该终端扫描其它已安装的应用2的SDK，并对该应用2的SDK进行解析，查看其SDK的内容；第三步，该终端对该应用1与该应用2的SDK进行内容匹配，判断是否存在相同的SDK。如果不存在，则该应用1不关联启动该应用2，然后该终端重复第二步的操作；若存在，则该终端执行第四步；第四步，该应用1对该应用2发起关联启动；第五步，该终端为该应用1调用系统API；第六步，该终端的系统API触发系统层的关联启动工作；第七步，该终端根据关联启动智能识别模块的输入，实现该应用1与该应用2之间的关联启动的判断；若拦截，则该终端执行第八步，若不拦截，则该终端执行第九步；第八步，该终端禁止该应用1关联启动该应用2；第九步，该终端的系统层通过系统的机制，发起关联启动应用2的操作，实现应用2的启动；第十步，该终端运行该应用2；第十一步，该终端判断该应用2是否为疑似恶意关联，若不是，该终端执行第十二步，若是，则终端执行第十三步；第十二步，该终端对该应用2不做管控；第十三步，该终端对该应用2的资源进行限制；第十四步，该终端在该应用2为疑似恶意关联应用的情况下，对该应用2在预设时间段内识别为疑似恶意关联应用的概率作为输入条件，根据指数平滑算法计算下一次疑似恶意关联应用的概率值，若概率值大于预设值，则确定该应用2进化为恶意关联应用。

具体请参阅图4所示，本申请实施例中关联应用的处理方法的一个实施例包括：

401、该终端启动第一应用。

该终端启动该第一应用。

本实施例中，该终端可以通过接收用户对该第一应用的图标的触摸或者是语音或者是手势或者是定时启动等方式启动该第一应用。本实施例中，以第一应用为手机上的微信为例进行说明。

402、该终端获取第一应用关联启动第二应用之后生成的组件集合。

该终端在第一应用关联启动该第二应用之后，获取该第一应用关联启动该第二应用的组件，并将该组件调入该组件集合。该第一应用为已运行在该终端上的应用，该第二应用为已安装在该终端上的应用。

可以理解的是，该第二应用与该第一应用均已安装在该终端上。比如用户的手机上安装了“微信”“QQ”、“淘宝”、“微博”、“美团”、“腾讯视频”等应用程序。在用户点选手机上的“微信”图标启动了“微信”之后，“微信”关联启动了“美团”的组件1(即“美团”是该组件1启动)；“微信”关联启动了“淘宝”的组件1(即“淘宝”是该组件1启动)；“微信”关联启动了“腾讯视频”的组件2(即“腾讯视频”是该组件2启动)。这时该手机获取到的组件集合中包括两个组件1和一个组件2。

本实施例中，该组件是对数据和方法的简单封装。一个组件就是一个从TComponent派生出来的特定对象。组件可以有自己的属性和方法。

403、在该组件集合中存在组件名相同且数量大于或等于2的一组目标组件的情况下，该终端检测第三应用是否触发用户可感知行为。

该终端在获取到该组件集合之后，对该组件集合里的各组件进行比对，确定其中是否存在组件名相同且数量大于或等于2的目标组件，若存在，即说明该第一应用关联启动的应用中，有两个或者超过两个应用使用了相同的组件进行启动。这时该终端检测该目标组件对应的第三应用是否触发用户可感知行为。

可以理解的是若不存在，即该第一应用在关联启动不同的应用时，各个应用使用了不同的组件进行启动。这时该终端执行步骤308。

比如，本实施例中，该终端从组件集合中确定组件1的数量为2，则该终端将对“微信”关联启动的“美团”和“淘宝”进行恶意关联判断；而该终端从组件集合中确定组件2的数量为1，即该组件2的数量小于2，则该终端将“微信”关联启动的“腾讯视频”暂时归类为合理关联应用。

404、该终端停止运行第四应用，该第四应用为该第三应用中未触发用户可感知行为的应用。

该终端在确定第三应用之后，检测该第三应用中的各应用是否触发了用户可感知行为；若存在未触发用户可感知行为的第四应用，则该终端停止运行该第四应用；若存在触发了用户可感知行为的第五应用，则该终端执行步骤305。

本实施例中，该用户可感知行为至少包括其中一项：该终端通过屏幕显示应用对应的应用界面、该终端通过屏幕显示应用对应的通知消息、该终端通过屏幕显示根据应用修改后的屏幕壁纸、该终端播放该应用对应的声音以及该应用启动该终端的灯光效果或者是根据应用调整终端的灯光亮度或闪烁频率等。即只要可以用户看到、听到或者触感感觉到的行为都可以称为用户可感知行为。比如，“美团”或“淘宝”可能引起的用户可感知行为包括商家推荐界面、支付页面、推荐产品的通知消息或者手机播放通知消息的通知铃声等。

可选的，该终端在停止运行该第四应用之后，还可以记录该第一应用与该第四应用之间的恶意关联关系以生成恶意关联列表，然后该终端将该恶意关联列表保存在本地或者是发送至云端，以使得该终端在该第一应用再次运行时，可以直接禁止该第一应用关联启动该第四应用。

比如，本实施例中，若该手机确定“美团”与“淘宝”启动时均未产生若该手机确定“美团”与“淘宝”为“微信”的恶意关联启动应用，则该手机终止“美团”与“淘宝”在本次的启动。同时该手机将会记录“美团”与“淘宝”为“微信”的恶意关联启动应用这一信息，并将该信息保存在本地或者是发送至云端保存，以保证该手机在后续再次启动“微信”时，不再关联启动“美团”与“淘宝”。

405、该终端允许该第五应用运行。

该终端在检测到该第五应用触发了用户感知行为之后，该终端将该第五应用归类为该第一应用的暂时合理关联应用，并允许该第五应用运行。

可选的，该终端在允许该第五应用运行之后，该终端还可以对该第五应用进行疑似恶意关联判断，具体如下：

该终端获取该第一应用与该第五应用之间的关联信息，该关联信息包括该第一应用的名称、关联启动该第五应用的组件名、该第五应用的名称、该第五应用触发的用户可感知行为以及该第五应用的数量。比如，该手机获取到的“微信”与“美团”和“淘宝”之间的关联信息包括：第一应用的名称为微信、第五应用的名称分别为美团和淘宝、第五应用的数量为2以及该第一应用关联启动该第五应用的组件名为组件1以及“美团”或“淘宝”可能引起的用户可感知行为(比如商家推荐界面或者支付页面等)。

然后，该终端根据该关联信息利用逻辑回归训练函数确定逻辑回归预测函数的目标参数；然后该终端根据该目标参数，该关联信息以及逻辑回归预测函数确定概率值是否大于或等于0.5，若是，则该终端可以确定该第五应用为该第一应用的疑似恶意关联应用。其中，该逻辑回归训练函数为：

该

该逻辑回归预测函数为：

可选的，在本实施例中，若该终端在确定该第五应用为该第一应用的疑似恶意关联应用，则该终端可以对该第五应用的资源进行限制，具体可以包括如下几种可能方式：

其中，该指数平滑法的计算公式如下：

S_N+1＝a*y_N+(1+a)*S_N；

406、该终端允许该第二应用关联启动。

该终端在确定该第二应用暂时为合理关联应用之后，该终端允许该第二应用关联启动。

该终端在检测到该第二应用对应的组件集合中组件名均不相同时，该终端将该第二应用归类为该第一应用的暂时合理关联应用，并允许该第二应用运行。

可选的，该终端在允许该第二应用运行之后，该终端还可以对该第二应用进行疑似恶意关联判断，具体如下：

该终端获取该第一应用与该第二应用之间的关联信息，该关联信息包括该第一应用的名称、关联启动该第二应用的组件名、该第二应用的名称、该第二应用触发的用户可感知行为以及该第二应用的数量。比如，该手机获取到的“微信”与“美团”和“淘宝”之间的关联信息包括：第一应用的名称为微信、第二应用的名称分别为美团、淘宝和腾讯视频、第二应用的数量为3以及该第一应用关联启动该第二应用的组件名为组件1、组件2以及组件3。

然后，该终端根据该关联信息利用逻辑回归训练函数确定逻辑回归预测函数的目标参数；然后该终端根据该目标参数，该关联信息以及逻辑回归预测函数确定概率值是否大于或等于0.5，若是，则该终端可以确定该第二应用为该第一应用的疑似恶意关联应用。其中，该逻辑回归训练函数为：

该

该逻辑回归预测函数为：

其中，该θ为该目标参数；该m为样本数量；该p(y＝1|x,θ)指示该第二应用为疑似恶意关联应用的概率值；该p(y＝0|x,θ)指示该第二应用为合理关联应用的概率值；该y为因变量，用于指示用户对该终端的操作，其中存在该操作时取值为1，不存在该操作时取值为0；该x为自变量，该自变量为数组，该数组用于指示该用户可感知行为和该第二应用的数量。

可选的，在本实施例中，若该终端在确定该第二应用为该第一应用的疑似恶意关联应用，则该终端可以对该第二应用的资源进行限制，具体可以包括如下几种可能方式：

一种可能实现方式中，该终端降低该第二应用的CPU运行资源，比如将该第二应用的运行资源绑定小核处理器；

另一种可能实现方式中，该终端降低该第二应用在数据存储方面的读写速度；

另一种可能实现方式中，该终端降低该第二应用与网络交互的网络资源，比如降低该第二应用的上传资源和下载资源等；

另一种可能实现方式中，该终端在自身内存低于预设值的情况下，优先清理该第二应用(即优先停止运行该第二应用)。

若该终端确定该第二应用为该第一应用的合理关联应用，则该终端对该第二应用的关联启动不进行管控。

可选的，在实际应用中，若该终端在确定该第二应用为该第一应用的疑似恶意关联应用之后，在预设时间段内，还可以继续监控该第二应用，并确定该第二应用是否会进化为该第一应用的恶意关联应用，具体方式如下：

该终端根据该第二应用的第一概率值利用指数平滑法计算第二概率值，该第二概率值为该第一应用在预设时间段内再次关联启动该第二应用时，该第二应用为疑似恶意关联应用的概率值；若该第二概率值大于预设阈值，则该终端确定该第二应用已进化为该第一应用的恶意关联应用。这时该终端可以停止运行该第二应用，并记录该第二应用与该第一应用之间的恶意关联关系以生成恶意关联列表。比如，该第一应用为疑似恶意关联的第一概率值为0.6；然后在该第一应用再次关联启动该第二应用时，该终端根据该第一概率值利用指数平滑法计算该出的第二概率值为0.8大于预设阈值0.7，则该终端确定该第二应用进化为该第一应用的恶意关联应用。

其中，该指数平滑法的计算公式如下：

S_N+1＝a*y_N+(1+a)*S_N；

其中，所述S_N+1为该第二应用第N+1次为疑似恶意关联应用的第二概率值；所述y_N为该第二应用第N次为疑似恶意关联应用的平滑值；所述S_N为第二应用第N次为疑似恶意关联应用的第一概率值；所述a为常数，所述N为正整数。

本实施例中，在预测该第二应用为疑似恶意关联应用的概率值时，该第二应用的第一次为疑似恶意关联应用的平滑值可以取前三次根据逻辑回归预测函数得到的该第二应用为疑似恶意关联应用的概率值的平均值；也可以直接取该第二应用为第一次为疑似恶意关联应用的实际概率值，具体方式不做限定。

本实施例中，该终端在该第一应用关联启动该第二应用后，根据该第一应用与该第二应用之间的关联信息对该第二应用进行恶意关联判断，由于关联信息需要在该第一应用关联启动该第二应用之后获取，因此对于该第一应用每次关联启动的应用程序都将进行一次恶意关联判断，从而有效阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

上面对本申请实施例中的关联应用的处理方法进行了描述，下面对本申请实施例中的终端进行说明。

具体请参阅图5，本申请实施例中终端的一个实施例，该终端包括：

获取模块501，用于获取组件集合，所述组件集合为运行在所述终端的第一应用关联启动所述终端上的多个第二应用后生成的组件集合；

检测模块502，用于在所述获取模块501获取到的所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述多个第二应用中对应于所述目标组件的应用；

处理模块503，用于停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用。

在本实施例中，提供了一种终端，该终端在该第一应用关联启动该第二应用后，根据该第一应用与该第二应用之间的关联信息对该第二应用进行恶意关联判断，由于关联信息需要在该第一应用关联启动该第二应用之后获取，因此对于该第一应用每次关联启动的应用程序都将进行一次恶意关联判断，从而更有效的阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

可选地，在上述图4所对应的实施例的基础上，本申请实施例提供的终端的另一实施例中，该终端获取的用户可感知行为包括其中至少一种：显示应用的应用界面、显示应用的通知消息、播放应用触发的声音、根据应用修改屏幕壁纸、应用触发所述终端的灯光和应用调整所述终端的灯光亮度。

该处理模块503，还用于根据关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值，所述第五应用为所述第三应用中触发用户可感知行为的应用，所述关联信息包括所述第一应用的名称，所述第五应用的名称，所述第五应用触发的用户可感知行为和所述第五应用对应的组件名；

在所述第一概率值大于或等0.5的情况下，所述终端限制所述第五应用的资源。

该处理模块，503，具体用于根据所述关联信息利用逻辑回归训练函数确定目标参数；

根据所述目标参数，所述关联信息以及所述逻辑回归预测函数计算所述第一概率值；

所述逻辑回归训练函数为：

所述

所述逻辑回归预测函数为：

其中，所述θ为所述目标参数；所述m为样本数量，所述样本为计算所述第一概率值之前已获取到的应用之间关联启动的关联信息与概率值，所述样本数量为预设数值；所述p(y＝1|x,θ)指示所述第五应用为疑似恶意关联应用的概率值；所述p(y＝0|x,θ)指示所述第五应用为合理关联应用的概率值；所述y为因变量，用于指示用户对所述终端的操作，其中存在所述操作时取值为1，不存在所述操作时取值为0；所述x为自变量，所述自变量为数组，所述数组用于指示所述用户可感知行为和所述第五应用的数量。

本实施例中，该终端对该第五应用进行疑似恶意关联判断，可以更有效的阻拦恶意关联应用。

该处理模块503，具体用于降低所述第五应用的运行资源；

在所述终端的内存体积低于预设值的情况下优先清理所述第五应用；

降低所述第五应用的数据存储速度；

和降低所述第五应用的网络资源。

本实施例中，该终端限制该第五应用的资源，可以有效的降低该终端的功耗。

可选的，该处理模块，还用于根据所述第一概率值利用指数平滑法计算第二概率值，所述第二概率值为所述第一应用再一次关联启动所述第五应用的情况下，所述第五应用为疑似恶意关联应用的概率值；

若所述第二概率值大于预设阈值，则所述终端确定所述第五应用为所述第一应用的恶意关联应用。

本实施例中，该终端对该第五应用进行疑似恶意关联进化，可以更有效的阻拦恶意关联应用。

具体请参阅图6所示，本申请实施例涉及的终端100可以包括手机、平板电脑、个人数字助理(personal digital assistant，PDA)、销售终端(point of sales，POS)、车载电脑、TV、可穿戴设备、AR、VR设备等。

以移动终端100为手机为例，图6示出的是与本申请实施例相关的手机100的部分结构的框图。参考图6，手机100包括、射频(radio frequency，RF)电路110、存储器120、其他输入设备130、显示屏140、传感器150、音频电路160、I/O子系统170、处理器180、以及电源190等部件。本领域技术人员可以理解，图6中示出的手机结构并不构成对手机的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。本领领域技术人员可以理解显示屏140属于用户界面(user interface，UI)，且手机100可以包括比图示或者更少的用户界面。

下面结合图6对手机100的各个构成部件进行具体的介绍：

RF电路110可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，给处理器180处理；本实施例中，该RE电路110用于向该可穿戴设备发送通知消息、登录服务器以及接收可穿戴设备的IP地址；另外，将设计上行的数据发送给基站。通常，RF电路包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器(lownoise amplifier，LNA)、双工器等。此外，RF电路110还可以通过无线通信与网络和其他设备通信。该无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(global system of mobile communication，GSM)、通用分组无线服务(general packetradio service，GPRS)、码分多址(code division multiple access，CDMA)、宽带码分多址(wideband code division multiple access,WCDMA)、长期演进(long term evolution,LTE)、电子邮件、短消息服务(short messaging service,SMS)等。

存储器120可用于存储软件程序以及模块，处理器180通过运行存储在存储器120的软件程序以及模块，从而执行手机100的各种功能应用以及数据处理。存储器120可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图象播放功能等)等；存储数据区可存储根据手机100的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器120可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

其他输入设备130可用于接收输入的数字或字符信息，以及产生与手机100的用户设置以及功能控制有关的键信号输入。具体地，其他输入设备130可包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆、光鼠(光鼠是不显示可视输出的触摸敏感表面，或者是由触摸屏形成的触摸敏感表面的延伸)等中的一种或多种。其他输入设备130与I/O子系统170的其他输入设备控制器171相连接，在其他设备输入控制器171的控制下与处理器180进行信号交互。

显示屏140可用于显示由用户输入的信息或提供给用户的信息以及手机100的各种菜单，还可以接受用户输入。具体的显示屏140可包括显示面板141，以及触控面板142。其中显示面板141可以采用液晶显示器(liquid crystal display,LCD)、有机发光二极管(organic light-emitting diode,OLED)等形式来配置显示面板141。触控面板142，也称为触摸屏、触敏屏等，可收集用户在其上或附近的接触或者非接触操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板142上或在触控面板142附近的操作，也可以包括体感操作；该操作包括单点控制操作、多点控制操作等操作类型。)，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板142可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位、姿势，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成处理器能够处理的信息，再送给处理器180，并能接收处理器180发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板142，也可以采用未来发展的任何技术实现触控面板142。进一步的，触控面板142可覆盖显示面板141，用户可以根据显示面板141显示的内容(该显示内容包括但不限于，软键盘、虚拟鼠标、虚拟按键、图标等等)，在显示面板141上覆盖的当触控面板142上或者附近进行操作，触控面板142检测到在其上或附近的触摸操作后，通过I/O子系统170传送给处理器180以确定触摸事件的类型以确定用户输入，随后处理器180根据触摸事件的类型在显示面板根据用户输入通过I/O子系统170在显示面板141上提供相应的视觉输出。虽然在图1中，触控面板142与显示面板141是作为两个独立的部件来实现手机100的输入和输入功能，但是在某些实施例中，可以将触控面板142与显示面板141集成而实现手机100的输入和输出功能。

手机100还可包括至少一种传感器150，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板141的亮度，接近传感器可在手机100移动到耳边时，关闭显示面板141和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机100还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路160、扬声器161，麦克风162可提供用户与手机100之间的音频接口。音频电路160可将接收到的音频数据转换后的信号，传输到扬声器161，由扬声器161转换为声音信号输出；另一方面，麦克风162将收集的声音信号转换为信号，由音频电路160接收后转换为音频数据，再将音频数据输出至RF电路108以发送给比如另一手机，或者将音频数据输出至存储器120以便进一步处理。

I/O子系统170用来控制输入输出的外部设备，可以包括其他设备输入控制器171、传感器控制器172、显示控制器173。可选的，一个或多个其他输入控制设备控制器171从其他输入设备130接收信号和/或者向其他输入设备130发送信号，其他输入设备130可以包括物理按钮(按压按钮、摇臂按钮等)、拨号盘、滑动开关、操纵杆、点击滚轮、光鼠(光鼠是不显示可视输出的触摸敏感表面，或者是由触摸屏形成的触摸敏感表面的延伸)。值得说明的是，其他输入控制设备控制器171可以与任一个或者多个上述设备连接。该I/O子系统170中的显示控制器173从显示屏140接收信号和/或者向显示屏140发送信号。显示屏140检测到用户输入后，显示控制器173将检测到的用户输入转换为与显示在显示屏140上的用户界面对象的交互，即实现人机交互。传感器控制器172可以从一个或者多个传感器150接收信号和/或者向一个或者多个传感器150发送信号。

处理器180是手机100的控制中心，利用各种接口和线路连接整个手机的各个部分，通过运行或执行存储在存储器120内的软件程序和/或模块，以及调用存储在存储器120内的数据，执行手机100的各种功能和处理数据，从而对手机进行整体监控。可选的，处理器180可包括一个或多个处理单元；优选的，处理器180可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器180中。

手机100还包括给各个部件供电的电源190(比如电池)，优选的，电源可以通过电源管理系统与处理器180逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗等功能。

尽管未示出，手机100还可以包括摄像头、蓝牙模块等，在此不再赘述。

本实施例中，该手机的处理器180，还执行如下步骤：

获取组件集合，所述组件集合为运行在所述终端的第一应用关联启动所述终端上的多个第二应用后生成的组件集合；在所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述多个第二应用中对应于所述目标组件的应用；停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用。

可选的，该显示屏140，用于显示应用的应用界面、显示应用的通知消息，显示根据应用修改屏幕壁纸；

该扬声器161，用于播放应用触发的声音。

可选的，该处理器180，用于记录所述第一应用与所述第四应用的恶意关联关系以生成恶意关联列表，然后将该恶意关联列表保存在该存储器120。

可选的，该处理器180，用于根据关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值，所述第五应用为所述第三应用中触发用户可感知行为的应用，所述关联信息包括所述第一应用的名称，所述第五应用的名称，所述第五应用触发的用户可感知行为和所述第五应用对应的组件名；

可选的，该处理器180，用于根据所述关联信息利用逻辑回归训练函数确定目标参数；

所述逻辑回归训练函数为：

所述

所述逻辑回归预测函数为：

可选的，该处理器180，用于降低所述第五应用的运行资源；

降低所述第五应用的数据存储速度；

和降低所述第五应用的网络资源。

可选的，该处理器180，用于根据所述第一概率值利用指数平滑法计算第二概率值，所述第二概率值为所述第一应用再一次关联启动所述第五应用的情况下，所述第五应用为疑似恶意关联应用的概率值；

本实施例中，该终端在该第一应用关联启动该第二应用后，根据该第一应用与该第二应用之间的关联信息对该第二应用进行恶意关联判断，由于关联信息需要在该第一应用关联启动该第二应用之后获取，因此对于该第一应用每次关联启动的应用程序都将进行一次恶意关联判断，从而更有效的阻止恶意关联程序启动，提高终端的操作系统的性能，降低终端的功耗。

具体请参阅图7所示，本申请实施例中该终端的另一个实施例，该终端包括：

处理器701、存储介质702以及总线系统703；

该总线系统703用于连接该存储介质702以及该处理器701，以使该存储介质702与该处理器701进行通信；

该总线系统703可以是外设部件互连标准(peripheral componentinterconnect，简称：PCI)总线或扩展工业标准结构(extended industry standardarchitecture，简称：EISA)总线等。该总线可以分为地址总线、数据总线、控制总线等。为便于表示，图7中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

该处理器701可以是中央处理器(central processing unit，简称：CPU)，网络处理器(network processor，简称：NP)或者CPU和NP的组合。

该处理器701还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(application-specific integrated circuit，简称：ASIC)，可编程逻辑器件(programmable logic device，简称：PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(complex programmable logic device，简称：CPLD)，现场可编程逻辑门阵列(field-programmable gate array，简称：FPGA)，通用阵列逻辑(generic array logic,简称：GAL)或其任意组合。

参见图7所示，该存储介质702可以包括易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，简称RAM)；该存储介质702也可以包括非易失性存储器(non-volatile memory)，例如快闪存储器(flash memory)，硬盘(hard disk drive，简称HDD)或固态硬盘(solid-state drive，简称SSD)；该存储介质702还可以包括上述种类的存储器的组合。

可选地，存储介质702还可以用于存储程序指令，处理器701调用该存储介质702中存储的程序指令，可以执行图2至图4中所示实施例中的一个或多个步骤，或其中可选的实施方式，实现上述方法中终端的功能。

该处理器701，执行如下步骤：

可选的，该终端还包括显示屏704，用于显示应用的应用界面、显示应用的通知消息，显示根据应用修改屏幕壁纸；

该终端还包括扬声器705，用于播放应用触发的声音。

可选的，该处理器701，用于记录所述第一应用与所述第四应用的恶意关联关系以生成恶意关联列表，然后将该恶意关联列表保存在该存储介质702。

可选的，该处理器701，用于根据关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值，所述第五应用为所述第三应用中触发用户可感知行为的应用，所述关联信息包括所述第一应用的名称，所述第五应用的名称，所述第五应用触发的用户可感知行为和所述第五应用对应的组件名；

可选的，该处理器701，用于根据所述关联信息利用逻辑回归训练函数确定目标参数；

所述逻辑回归训练函数为：

所述

所述逻辑回归预测函数为：

可选的，该处理器701，用于降低所述第五应用的运行资源；

降低所述第五应用的数据存储速度；

和降低所述第五应用的网络资源。

可选的，该处理器701，用于根据所述第一概率值利用指数平滑法计算第二概率值，所述第二概率值为所述第一应用再一次关联启动所述第五应用的情况下，所述第五应用为疑似恶意关联应用的概率值；

本申请实施例还提供了一种计算机可读存储介质，包括指令，当该指令在计算机上运行时，该计算机执行上述实施例中所述的关联应用的处理方法。

本申请实施例还提供了一种包含指令的计算机程序产品，当该计算机程序产品在计算机上运行时，该计算机执行上述实施例中所述的频率限制方法。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围。

Claims

1.一种关联应用的处理方法，所述处理方法用于终端，其特征在于，包括：

获取组件集合，所述组件集合为运行在所述终端的第一应用关联启动所述终端上的多个第二应用后生成的组件集合；

在所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述目标组件对应的应用，所述第三应用包含于所述多个第二应用；

停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用，所述第四应用为所述第一应用的恶意关联应用。

2.根据权利要求1所述的方法，其特征在于，所述用户可感知行为包括下述行为中的至少一种：显示应用的应用界面、显示应用的通知消息、播放应用触发的声音、根据应用修改屏幕壁纸、应用触发所述终端的灯光和应用调整所述终端的灯光亮度。

3.根据权利要求1或2所述的方法，其特征在于，所述停止运行所述多个第三应用中的第四应用之后，所述方法还包括：

记录所述第一应用与所述第四应用的恶意关联关系以生成恶意关联列表。

4.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

根据关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值，所述第五应用为所述第三应用中触发用户可感知行为的应用，所述关联信息包括所述第一应用的名称，所述第五应用的名称，所述第五应用触发的用户可感知行为和所述第五应用对应的组件名；

在所述第一概率值大于或等于0.5的情况下，所述终端限制所述第五应用的资源。

5.根据权利要求4所述的方法，其特征在于，所述终端根据所述关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值包括：

根据所述关联信息利用逻辑回归训练函数确定目标参数；

根据所述目标参数，所述关联信息以及逻辑回归预测函数计算所述第一概率值，所述逻辑回归训练函数和所述逻辑回归预测函数为所述逻辑回归函数；

所述逻辑回归训练函数为：

；

所述

；

所述逻辑回归预测函数为：

；

其中，所述

为所述目标参数；所述

为样本数量，所述样本为计算所述第一概率值之前已获取到的应用之间关联启动的关联信息与概率值，所述样本数量为预设数值；所述

指示所述第五应用为疑似恶意关联应用的概率值；所述

指示所述第五应用为合理关联应用的概率值；所述

为因变量，用于指示用户对所述终端的操作，其中存在所述操作时取值为1，不存在所述操作时取值为0；所述

为自变量，所述自变量为数组，所述数组用于指示所述用户可感知行为和所述第五应用的数量。

6.根据权利要求4所述的方法，其特征在于，所述限制所述第五应用的资源包括其中至少一项：

降低所述第五应用的运行资源；

降低所述第五应用的数据存储速度；

和降低所述第五应用的网络资源。

7.根据权利要求4所述的方法，其特征在于，所述终端对所述第五应用的资源进行限制之后，所述方法还包括：

根据所述第一概率值利用指数平滑法计算第二概率值，所述第二概率值为所述第一应用再一次关联启动所述第五应用的情况下，所述第五应用为疑似恶意关联应用的概率值；

8.一种终端，其特征在于，包括：

检测模块，用于在所述获取模块获取到的所述组件集合中存在数量大于或等于2且组件名相同的一组目标组件的情况下，检测多个第三应用是否触发用户可感知行为，所述第三应用为所述目标组件对应的应用，所述第三应用包含于所述多个第二应用；

处理模块，用于停止运行所述多个第三应用中的第四应用，所述第四应用为所述多个第三应用中未触发用户可感知行为的应用，所述第四应用为所述第一应用的恶意关联应用。

9.根据权利要求8所述的终端，其特征在于，所述用户可感知行为包括下述行为中的至少一种：显示应用的应用界面、显示应用的通知消息、播放应用触发的声音、根据应用修改屏幕壁纸、应用触发所述终端的灯光和应用调整所述终端的灯光亮度。

10.根据权利要求8或9所述的终端，其特征在于，所述处理模块，还用于记录所述第一应用与所述第四应用的恶意关联关系以生成恶意关联列表。

11.根据权利要求8或9所述的终端，其特征在于，所述处理模块，还用于根据关联信息以及逻辑回归函数计算第五应用为疑似恶意关联应用的第一概率值，所述第五应用为所述第三应用中触发用户可感知行为的应用，所述关联信息包括所述第一应用的名称，所述第五应用的名称，所述第五应用触发的用户可感知行为和所述第五应用对应的组件名；

12.根据权利要求11所述的终端，其特征在于，所述处理模块，具体用于根据所述关联信息利用逻辑回归训练函数确定目标参数；

根据所述目标参数，所述关联信息以及所述逻辑回归预测函数计算所述第一概率值，所述逻辑回归训练函数和所述逻辑回归预测函数为所述逻辑回归函数；

所述逻辑回归训练函数为：