CN112016701A - 一种融合时序和属性行为的异常变化检测方法及系统 - Google Patents

Abstract

本发明公开了一种融合时序和属性行为的异常变化检测方法及系统，实施时先使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，之后使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示。搜索在参考窗口与单个个体相似的个体后，通过同一个体与其相似个体在不同窗口的区别计算异常分数，得到具有局部异常行为变化的个体。本发明在搜索局部异常行为变化时同时考虑行为的时序信息和属性信息，融合这两部分信息的数据进行局部异常行为变化检测；本方法采用无监督方式检测局部异常行为变化，无需人工标注数据。

Description

一种融合时序和属性行为的异常变化检测方法及系统

技术领域

本发明涉及数据建模、行为分析和异常检测相关领域，具体来讲涉及的是一种融合时序和属性行为的异常变化检测方法及系统。

背景技术

行为是一个人(个体)生活习惯和心理状态的一个外在体现，研究个体的行为对商品推荐、社群预测、异常告警等多种任务都有积极的作用。局部异常行为变化是反映一个个体在近期行为出现显著异常的体现，检测这种异常变化可以有效地降低高风险事件的发生。例如敬老院中老人们具有类似的生活习惯，并且会随敬老院的安排而变化。这时如果发现一名老人的变化与其他相似老人的变化有区别，则说明这名老人身上出现了我们预期以外的事件(生理上或心理上)影响了行为的变化，这时就需要引起我们的注意。

然而，对于不同个体行为的建模是十分复杂的，行为的发生具有明显的时序关系并且个体和行为都具有自身的属性，建模过程中需要考虑这两方面的信息。建模完成后的表示学习阶段也要同时保留这两方面的信息得到更为全面的向量表示，这就为我们检测局部异常变化带来了困难。

现有的方法对行为进行建模时考虑了行为的时序信息或者属性信息，并且取得了较好的效果。但现有的方法没有提出能够同时保留两种信息的建模方式。并且在网络表示学习阶段也无法同时保留两部分的信息，这也就为方法的应用带来了一定的缺陷。

发明内容

因此，为了解决上述不足，本发明在此提供一种融合时序和属性行为的异常变化检测方法及系统，在克服现有方法不足的情况下提高了检测局部异常行为变化的效果。

本发明是这样实现的，构造一种融合时序和属性行为的异常变化检测方法，其特征在于；采用无监督学习的方式，融合行为数据的时序和属性信息进行局部异常行为变化检测；实现步骤如下：

步骤1，使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，即构建多个具有顺序关系的异构属性网络，并划分参考窗口和当前窗口；

步骤2，使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示；

步骤3，使用基于欧几里得距离的K近邻标准搜索在参考窗口与单个个体相似的个体；

步骤4，通过同一个体与其相似个体在不同窗口的区别计算异常分数，通过排序得到具有局部异常行为变化的个体。

根据本发明所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤1的具体实现方式如下：对于使用时间戳、地点、个体、其他属性所记录的原始行为信息，要首先构建行为信息序列；一个行为信息序列是有多个具有顺序关系的异构属性网络构成的；对于给定的周期长度，将原始数据集划分为相邻但不相交的多个子数据集，每个子数据集用于构建单个异构属性网络；对于给定的时间片长度，将一个子数据集包含的时间离散化，作为异构属性网络中行为结点的属性；异构属性网络中除个体、行为结点以及它们之间的相关关系外，在此还引入个体、行为发生的地点的基本信息以及时间片作为网络中包含的属性；构成一个完整的异构属性网络；多个子数据集构建的异构属性网络按时间先后排序得到行为信息序列；并将行为信息序列划分为参考窗口和当前窗口。

根据本发明所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤2的具体实现方式如下：对于行为信息序列中的每一个异构属性网络，通过网络中结点的属性得到结点的初始向量表示，作为网络表示学习模型的输入；对于因属性个数而确定向量维度的初始向量，模型首先引入一个全连接层将向量长度变化至指定大小，然后使用基于注意力机制的信息传播模型将个体与行为之间的信息进行传播，传播3-5次；传播完成后即得到目标向量表示；传播过程中模型参数的训练主要依据为最小化下列公式：

其中，

为个体i的属性向量，

为个体i在步骤二中得到的低维向量，

A_ij表示所有个体的原始邻接矩阵。η为控制因子，以控制结构损失和属性损失的平衡。θ为模型的参数，γ为惩罚权重。

此步骤的模型参数训练完成后同时计算得到参考窗口和当前窗口的个体向量表示。

根据本发明所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤3的具体实现方式如下：使用欧几里得距离作为向量间距离计算依据，分别在参考窗口和当前窗口计算每一个个体的K近邻，将计算得到的距离最小的K的个体作为与当前个体具有相似行为的相似集合。

根据本发明所述一种融合时序和属性行为的异常变化检测方法，其特征在于；上述步骤5的具体实现方式如下：通过对比每一个个体与相似集合在参考窗口和当前窗口的低维向量表示距离，差别大的更有可能具有异常行为变化，反之具有异常行为变化的可能性越小；因此根据以下公式计算每个个体的异常分数：

sScore((o，T)，S_o)＝||c^T-f^T(o)||₂

aScore(o，(T_rec，T_ref))＝|sScore((o，T_rec)，S_o)-sScore((o，T_ref)，S_o)|

其中，o为一个个体，S_o为个体o在参考窗口中相似的个体集合(步骤3中得到)。sScore表示，在窗口T中个体o与S_o的相似分数。T_ref为参考窗口，T_rec为当前窗口。c表示S_o在步骤2中低维向量的中心，f表示在步骤2中将个体o映射到低维向量的函数。aScore表示在参考窗口和异常窗口的异常分数。异常分数排名越高的个体越有可能具有异常行为变化。

一种融合时序和属性行为的异常变化检测系统，其特征在于；该系统组成包括监控中心、数据存储集群、终端设备服务器以及终端设备；这几部分通过网络通信；将采用刷卡消费，门禁系统，移动手机等各种终端采集得到异构的数据源，并存储到服务器当中，结合计算机分析，实现了数据统计，在线局部异常行为变化检测；

所述监控中心为计算器；

所述数据存储集群包括服务器及数据库系统；

所述终端设备服务器包括消费结算管理服务器、社交信息采集服务器；

所述终端设备包括刷卡机、门禁、移动手机。

本发明具有以下优点：本发明提供一种融合时序和属性行为的异常变化检测方法及系统，实施时先使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，之后使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示。搜索在参考窗口与单个个体相似的个体后，通过同一个体与其相似个体在不同窗口的区别计算异常分数，得到具有局部异常行为变化的个体。本发明在搜索局部异常行为变化时同时考虑行为的时序信息和属性信息，融合这两部分信息的数据进行局部异常行为变化检测；本方法采用无监督方式检测局部异常行为变化，无需人工标注数据。

附图说明

图1是本发明一种融合时序和属性行为数据的局部异常行为变化检测框架图；

图2是本发明网络表示学习框架示意图；

图3是本发明变化检测系统框架图。

具体实施方式

下面将结合附图1-图3对本发明进行详细说明，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例如下：本发明通过改进在此提供一种融合时序和属性行为的异常变化检测方法，框架如图1-图2所示；具有以下四个步骤，每个部分的详细执行如下：

步骤1，对于使用时间戳、地点、个体、其他属性所记录的原始行为信息，要首先构建行为信息序列；一个行为信息序列是有多个具有顺序关系的异构属性网络构成的。对于给定的周期长度，将原始数据集划分为相邻但不相交的多个子数据集，每个子数据集用于构建单个异构属性网络。对于给定的时间片长度，将一个子数据集包含的时间离散化，作为异构属性网络中行为结点的属性。异构属性网络中除个体、行为结点以及它们之间的相关关系外，我们还引入个体、行为发生的地点的基本信息以及时间片作为网络中包含的属性。构成一个完整的异构属性网络。多个子数据集构建的异构属性网络按时间先后排序得到行为信息序列。并将行为信息序列划分为参考窗口和当前窗口。

步骤2，对于行为信息序列中的每一个异构属性网络，通过网络中结点的属性得到结点的初始向量表示，作为网络表示学习模型的输入。对于因属性个数而确定向量维度的初始向量，模型首先引入一个全连接层将向量长度变化至指定大小，然后使用基于注意力机制的信息传播模型将个体与行为之间的信息进行传播，一般情况传播3-5次。传播完成后即得到目标向量表示，如图2。传播过程中模型参数的训练主要依据为最小化下列公式：

其中，

为个体i的属性向量，

为个体i在步骤二中得到的低维向量，

A_ij表示所有个体的原始邻接矩阵。η为控制因子，以控制结构损失和属性损失的平衡。θ为模型的参数，γ为惩罚权重。

此步骤的模型参数训练完成后同时计算得到参考窗口和当前窗口的个体向量表示。

步骤3，使用欧几里得距离作为向量间距离计算依据，分别在参考窗口计算每一个个体的K近邻，将计算得到的距离最小的K的个体作为与当前个体具有相似行为的相似集合。

步骤4，通过对比每一个个体与相似集合在参考窗口和当前窗口的低维向量表示距离，差别大的更有可能具有异常行为变化，反之具有异常行为变化的可能性越小；因此根据以下公式计算每个个体的异常分数：

sScore((o，T)，S_o)＝||c^T-f^T(o)||₂

aScore(o，(T_rec，T_ref))＝|sScore((o，T_rec)，S_o)-sScore((o，T_ref)，S_o)|

其中，o为一个个体，S_o为个体o在参考窗口中相似的个体集合(步骤3中得到)。sScore表示，在窗口T中个体o与S_o的相似分数。T_ref为参考窗口，T_rec为当前窗口。c表示S_o在步骤2中低维向量的中心，f表示在步骤2中将个体o映射到低维向量的函数。aScore表示在参考窗口和异常窗口的异常分数。异常分数排名越高的个体越有可能具有异常行为变化。

如图3所示，一种融合时序和属性行为的异常变化检测系统，该系统组成包括监控中心、数据存储集群、终端设备服务器以及终端设备；这几部分通过网络通信；将采用刷卡消费，门禁系统，移动手机等各种终端采集得到异构的数据源，并存储到服务器当中，结合计算机分析，实现了数据统计，在线局部异常行为变化检测。

所述监控中心为计算器；

所述数据存储集群包括服务器及数据库系统；

所述终端设备服务器包括消费结算管理服务器、社交信息采集服务器；

所述终端设备包括刷卡机、门禁、移动手机。

本发明具有以下优点及有益效果：本发明提供一种融合时序和属性行为数据的局部异常行为变化检测方法及系统，实施时先使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，之后使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示。搜索在参考窗口与单个个体相似的个体后，通过同一个体与其相似个体在不同窗口的区别计算异常分数，得到具有局部异常行为变化的个体。本发明在搜索局部异常行为变化时同时考虑行为的时序信息和属性信息，融合这两部分信息的数据进行局部异常行为变化检测；本方法采用无监督方式检测局部异常行为变化，无需人工标注数据。

应用领域：行为是一个人(个体)生活习惯和心理状态的一个外在体现，研究个体的行为对商品推荐、社群预测、异常告警等多种任务都有积极的作用。局部异常行为变化是反映一个个体在近期行为出现显著异常的体现，检测这种异常变化可以有效地降低高风险事件的发生。敬老院中老人们具有类似的生活习惯，并且会随敬老院的安排而变化。这时如果发现一名老人的变化与其他相似老人的变化有区别，则说明这名老人身上出现了我们预期以外的事件(生理上或心理上)影响了行为的变化，这时就需要引起我们的注意。

所述局部异常行为变化检测系统能够适用于多个场景，如高校预警，企业异常行为检测，工厂系统异常监控等。将采用刷卡消费，门禁系统，移动手机等各种终端采集得到异构的数据源，并存储到服务器当中，结合计算机分析，实现了数据统计，在线局部异常行为变化检测。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (6)

1.一种融合时序和属性行为的异常变化检测方法，其特征在于；采用无监督学习的方式，融合行为数据的时序和属性信息进行局部异常行为变化检测；实现步骤如下：

步骤1，使用原始行为数据在指定的时间片长度和周期长度下构建行为信息序列，即构建多个具有顺序关系的异构属性网络，并划分参考窗口和当前窗口；

步骤2，使用基于自编码器和注意力机制的网络表示学习方法学习所有个体在参考窗口和当前窗口的低维向量表示；

步骤3，使用基于欧几里得距离的K近邻标准搜索在参考窗口与单个个体相似的个体；

步骤4，通过同一个体与其相似个体在不同窗口的区别计算异常分数，通过排序得到具有局部异常行为变化的个体。

2.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤1的具体实现方式如下：对于使用时间戳、地点、个体、其他属性所记录的原始行为信息，要首先构建行为信息序列；一个行为信息序列是有多个具有顺序关系的异构属性网络构成的；对于给定的周期长度，将原始数据集划分为相邻但不相交的多个子数据集，每个子数据集用于构建单个异构属性网络；对于给定的时间片长度，将一个子数据集包含的时间离散化，作为异构属性网络中行为结点的属性；异构属性网络中除个体、行为结点以及它们之间的相关关系外，在此还引入个体、行为发生的地点的基本信息以及时间片作为网络中包含的属性；构成一个完整的异构属性网络；多个子数据集构建的异构属性网络按时间先后排序得到行为信息序列；并将行为信息序列划分为参考窗口和当前窗口。

3.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤2的具体实现方式如下：对于行为信息序列中的每一个异构属性网络，通过网络中结点的属性得到结点的初始向量表示，作为网络表示学习模型的输入；对于因属性个数而确定向量维度的初始向量，模型首先引入一个全连接层将向量长度变化至指定大小，然后使用基于注意力机制的信息传播模型将个体与行为之间的信息进行传播，传播3-5次；传播完成后即得到目标向量表示；传播过程中模型参数的训练主要依据为最小化下列公式：

其中，

x_i为个体i的属性向量，

为个体i在步骤二中得到的低维向量，

A_ij表示所有个体的原始邻接矩阵；η为控制因子，以控制结构损失和属性损失的平衡，θ为模型的参数，γ为惩罚权重；

此步骤的模型参数训练完成后，同时计算得到参考窗口和当前窗口的个体向量表示。

4.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤3的具体实现方式如下：使用欧几里得距离作为向量间距离计算依据，分别在参考窗口和当前窗口计算每一个个体的K近邻，将计算得到的距离最小的K个体作为与当前个体具有相似行为的相似集合。

5.根据权利要求1所述一种融合时序和属性行为的异常变化检测方法，其特征在于；所述步骤5的具体实现方式如下：通过对比每一个个体与相似集合在参考窗口和当前窗口的低维向量表示距离，差别大的更有可能具有异常行为变化，反之具有异常行为变化的可能性越小；因此根据以下公式计算每个个体的异常分数：

其中，o为一个个体，S_o为个体o在参考窗口中相似的个体集合(步骤3中得到)；sScore表示，在窗口T中个体o与S_o的相似分数；T_ref为参考窗口，T_rec为当前窗口；c表示S_o在步骤2中低维向量的中心，f表示在步骤2中将个体o映射到低维向量的函数；aScore表示在参考窗口和异常窗口的异常分数；异常分数排名越高的个体越有可能具有异常行为变化。

6.一种融合时序和属性行为的异常变化检测系统，其特征在于；该系统组成包括监控中心、数据存储集群、终端设备服务器以及终端设备；这几部分通过网络通信；将采用刷卡消费，门禁系统，移动手机等各种终端采集得到异构的数据源，并存储到服务器当中，结合计算机分析，实现了数据统计，在线局部异常行为变化检测；所述监控中心为计算器；

所述数据存储集群包括服务器及数据库系统；

所述终端设备服务器包括消费结算管理服务器、社交信息采集服务器；

所述终端设备包括刷卡机、门禁、移动手机。

Images