CN113127320A - 应用程序异常检测方法、装置、设备及系统 - Google Patents

Abstract

本说明书提供一种应用程序异常检测方法、装置、设备及系统，通过获取用户在客户端中的操作数据，对用户操作数据进行分析，以确定客户端中安装的应用程序是否出现异常，整个过程在客户端侧即可以完成，不需要将用户敏感信息上报给服务端，保护了用户隐私，并且，在客户端侧进行异常检测计算，不需要将客户端采集的数据上报至服务端，节约了服务端的计算资源。同时，直接通过对用户操作数据进行分析来检测应用程序的异常，实现应用程序异常的实时检测，及时感知异常问题，不依赖舆情反馈，提高了应用程序异常检测的效率。

Description

应用程序异常检测方法、装置、设备及系统

技术领域

本说明书属于计算机技术领域，尤其涉及一种应用程序异常检测方法、装置、设备及系统。

背景技术

随着计算机互联网的普及，人们的生活越来越离不开网络，各种应用程序应运而生，方便了人们的工作和生活。用户的客户端中安装的应用程序的种类和数量也越来越多，对于软件产品来说，不可避免的会有一定的问题存在，可能是产品设计问题、可能是体验问题，也可能是代码问题。对于软件产业的研发人员来说，除了尽可能的去降低问题发生的概率之外，还要尽可能在发生线上问题之后，最快的感知到问题的产生，以便及时进行修改或调整。

对于应用程序等软件的问题感知，客户端进行应用程序的问题检测，大部分依赖于用户舆情主动反馈，但舆情反馈有一个很大的时间差，可能会导致线上问题的影响扩大。

发明内容

本说明书实施例的目的在于提供一种应用程序异常检测方法、装置、设备及系统，提高了应用程序异常检测的效率。

一方面，本说明书实施例提供了一种应用程序异常检测方法，应用于客户端中，所述客户端中安装有待检测应用程序，所述方法包括：

在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

对所述待检测操作数据进行特征提取，获得操作特征集合；

将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

另一方面，本说明书提供了一种应用程序异常检测装置，应用于客户端中，所述客户端中安装有待检测应用程序，所述装置包括：

数据获取模块，用于在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

特征提取模块，用于对所述待检测操作数据进行特征提取，获得操作特征集合；

异常检测模块，用于将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

再一方面，本说明书实施例提供了一种应用程序异常检测设备，包括至少一个处理器以及用于存储处理器可执行指令的存储器，所述处理器执行所述指令时实现上述应用程序异常检测方法。

又一方面，本说明书实施例提供了一种应用程序异常检测系统，客户端和服务端，所述客户端中安装有待检测应用程序，所述客户端上存储有计算机指令，所述指令被执行时实现上述应用程序异常检测方法的步骤以对所述待检测应用程序进行异常检测，并将所述待检测应用程序的检测结果以及操作特征集合发送至所述服务端；

所述服务端用于对所述客户端发送的待检测应用程序的检测结果以及检测记录数据进行处理，以对所述待检测应用程序进行优化。

本说明书提供的应用程序异常检测方法、装置、设备及系统，通过获取用户在客户端中的操作数据，对用户操作数据进行分析，以确定客户端中安装的应用程序是否出现异常，整个过程在客户端侧即可以完成，实现了客户端侧应用程序的异常检测，不需要将用户敏感信息上报给服务端，保护了用户隐私，并且，在客户端侧进行异常检测，不需要将客户端采集的数据上报至服务端，节约了服务端的计算资源。同时，直接通过对用户操作数据进行分析来检测应用程序的异常，实现应用程序异常的实时检测，及时感知异常问题，不依赖舆情反馈，提高了应用程序异常检测的效率。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本说明书实施例提供的应用程序异常检测方法实施例的流程示意图；

图2是本说明书一个实施例中应用程序异常检测的原理示意图；

图3是本说明书一个示例中异常行为感知规则计算的示例图；

图4是本说明书提供的应用程序异常检测装置一个实施例的模块结构示意图；

图5是本说明书一个实施例中应用程序异常检测服务器的硬件结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

随着计算机互联网技术的发展，应用程序的种类和数量越来越多，人们对应用程序的使用要求也越来越多，若应用程序出现问题，如何能够及时发现并维护，以确保用户能够正常使用，成为应用程序开发维护的一项重要工作。

应用程序一般可以理解为完成某项或多项特定工作的计算机程序，它运行在用户模式，可以和用户进行交互，具有可视的用户界面。一般应用程序可以安装在客户端中，用户可以通过下载并安装后即可以在客户端中使用该应用程序提供的服务。

图1是本说明书实施例提供的应用程序异常检测方法实施例的流程示意图。虽然本说明书提供了如下述实施例或附图所示的方法操作步骤或装置结构，但基于常规或者无需创造性的劳动在所述方法或装置中可以包括更多或者部分合并后更少的操作步骤或模块单元。在逻辑性上不存在必要因果关系的步骤或结构中，这些步骤的执行顺序或装置的模块结构不限于本说明书实施例或附图所示的执行顺序或模块结构。所述的方法或模块结构的在实际中的装置、服务器或终端产品应用时，可以按照实施例或者附图所示的方法或模块结构进行顺序执行或者并行执行(例如并行处理器或者多线程处理的环境、甚至包括分布式处理、服务器集群的实施环境)。

本说明书实施例中提供的应用程序异常检测方法可以应用在客户端中，如：智能手机，或PC(Personal Computer，个人计算机)终端、智能穿戴设备、车载设备等，如图1所示，所述方法可以包括如下步骤：

步骤102、在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据。

在具体的实施过程中，本说明书实施例中，客户端内可以安装有待检测应用程序，如：社交类应用程序、购物类应用程序、金融类应用程序等，待检测应用程序可以是1个或多个，对于待检测应用程序的类型和数量本说明书实施例不做具体限定。在接收到待检测应用程序的异常检测触发指令后，可以触发对该待检测应用程序进行异常检测，先从客户端的本地操作数据库中获取指定时间范围内的待检测操作数据。异常检测触发指令可以根据应用程序的实际使用情况进行设置，一般的，用户在客户端中使用应用程序时，若发现应用程序反映慢或出错可能会对应用程序进行压后台或退出服务再重新进入服务等操作，因此，可以设置异常检测触发指令为进入待检测应用程序的指定服务或退出待检测应用程序的指定服务，或者将待检测应用程序压后台操作。或者，可以根据用户实际操作习惯，将在应用程序出现异常时，用户常用的不符合正常操作流程的操作指令作为异常检测触发指令，如：统计用户在正常使用支付应用程序进行支付时的流程是步骤A-B-C，但经统计用户在反馈应用程序有问题时，其支付流程经查在步骤A-B-C中的某一个步骤中触发了截屏上报事件，那么该截屏上报事件可以理解为一种异常检测触发指令。可以根据用户反馈应用程序有异常时，获取反馈时刻之前一段时间内的操作数据，统计确定出用户在反馈应用程序有异常之前常用的与正常操作指令不一致的操作指令作为应用程序的异常检测触发指令。

指定时间范围可以为当前时间之前的指定时间内如：当前时间之间的半小时或十分钟等，具体可以根据实际需要进行设置，本说明书实施例不做具体限定。其中，本地操作数据库中存储有用户对待检测应用程序的操作的信息即用户操作数据以及基本属性数据，用户操作数据可以理解为用户对待检测应用程序进行操作，其所感知的待检测应用程序的反应数据，如：页面渲染、页面点击、软件报错、网络请求、操作指令、软件服务的进入及退出、杀进程、压后台、截屏等。用户操作数据可以理解为动态数据，基本属性数据可以理解为静态数据，基本属性数据可以为客户端当前的设备信息以及环境信息等能够表征客户端状态属性的数据，当然，还可以包括用户的基本信息如：待检测应用程序的用户账户信息、待检测应用程序的业务办理信息等。待检测操作数据可以为本地操作数据库中获取到的客户端的用户操作数据以及基本属性数据，或者可以将本地操作数据库中指定时间范围内的客户端的用户操作数据以及基本属性数据进行数据清洗等处理后的数据作为待检测操作数据。

本说明书一些实施例中，所述用户操作数据可以包括：服务进入、控件渲染、点击、网络请求、系统指令、操作指令、广播、报错、服务退出、压后台、杀进程、截屏中的至少一种。其中，服务进入、服务退出可以理解为进入或退出待检测应用程序提供的服务。系统指令可以理解为客户端的操作指令如：网络断开或开启、虚拟键盘开启等等。操作指令可以理解为服务端对待检测应用程序发出的指令如：支付成功或支付失败是服务端返回的弹窗，支付时服务端返回的眼前指令或密码校验指令等。广播可以理解为客户端接收到的广播信息如：邮件提示信息、社交软件的提示信息等。压后台可以理解为将待检测应用程序设置为后台运行，杀进程可以理解为对客户端中的应用程序结束进程的执行和占用内存的操作。当然，根据实际使用需要，用户操作数据还可以包括其他信息，本说明书实施例不做具体限定。

本说明书实施例中通过对用户对客户端以及应用程序的操作以及对应的响应数据作为用户操作数据，基于用户操作数据进行应用程序的异常检测，不需要采集用户的敏感信息，可以发现UI(User Interface，用户界面)以及交互等常规手段无法发现的问题。

步骤104、对所述待检测操作数据进行特征提取，获得操作特征集合。

在具体的实施过程中，在从本地操作数据库中获取到指定时间范围内的待检测操作数据后，可以对待检测操作数据进行特征提取，获得操作特征集合。特征提取的方法可以为机器学习算法或专家策略等，本说明书实施例不做具体限定。

本说明书一些实施例中，所述对所述待检测操作数据进行特征提取，获得操作特征集合，包括：

获取预设时间段内所述待检测应用程序的历史检测操作特征集合；

对所述待检测操作数据以及所述历史检测操作特征集合进行聚合，获得所述操作特征集合。

在具体的实施过程中，在对待检测操作数据进行特征提取时，可以先获取待检测应用程序的历史检测操作特征集合，历史检测操作特征集合可以为预设时间段内对待检测应用程序进行异常检测是提取出的操作特征集合中，如：可以获取当前时间之前一周内待检测应用程序进行异常检测时提取的操作特征集合。可以结合历史检测操作特征集合和当前获取到的待检测操作数据进行聚合处理，获得待检测应用程序当前异常检测对应的操作特征集合。

本说明书实施例中不需要获取过多的数据，仅仅获取客户端中用户的操作数据以及基础属性数据，为确保特征提取的准确性，每次在进行特征提取时，可以结合历史提取到的特征，进行聚合处理，提升了特征提取的准确性，进而提升应用程序异常检测的准确性。

本说明书一些实施例中，所述操作特征集合中包括：重复操作事件、操作的非正常中断事件、全部的操作事件、系统操作事件、业务的进入或退出事件、操作成功或失败事件、操作报错事件中的至少一种。

可以看出，本说明书实施例中提取出的操作特征集合中的特征是用户对客户端的操作事件，每个特征都是标准化的原子操作，各个特征结合起来方便后续应用程序的异常检测。

步骤106、将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

在具体的实施过程中，获得操作特征集合后，可以将操作特征集合中的特征值与预设检测规则集合进行匹配，判断当前用户对客户端以及待检测应用程序的操作是否满足预设检测规则集合中的规则，若满足，则确定该待检测应用程序出现异常。预设检测规则集合中可以包括多条规则，可以根据实际应用程序的操作设置具体的规则内容，每一条规则中可以是一个特征值或多个特征值的组合，具体规则内容本说明书实施例不做具体限定。

本说明书一个实施例中，所述将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常，包括：

若所述操作特征集合中的特征值满足预设检测规则集合中的至少一条规则，则确定所述待检测应用程序存在异常。

在具体的实施过程中，本说明书实施例中的预设检测规则集合中可以包括多条规则，若操作特征集合中的特征值满足预设检测规则集合中的至少一条规则，则确定该待检测应用程序存在异常。如：预设检测规则集合有一条规则为重复的操作次数达到3次，若通过特征提取，获取到的操作特征集合中的重复操作事件有4次，则可以认为触发预设检测规则集合中的一条规则，该待检测应用程序异常。通过设置多个检测规则，只需要触发一条规则，就可以确定该待检测应用程序异常，异常检测效率高。

可以将待检测应用程序每一次异常检测结果以及异常检测时提取到的操作特征集合在本地进行存储，以便用户或专业人员查看，进行后续的维护。

此外，本说明书一些实施例中，所述方法还包括：

将所述操作特征集合以及所述待检测应用程序的异常检测结果发送至服务器，以使得所述服务器基于所述操作特征集合以及所述待检测应用程序的异常检测结果对所述待检测应用程序进行优化。

在具体的实施过程中，客户端还可以将待检测应用程序每一次异常检测结果以及异常检测时提取到的操作特征集合发送至服务器，服务器可以基于客户端发送的数据进行数据清洗，异常分析，确定出待检测应用程序异常的原因，进而采取对应的整改措施，对待检测应用程序进行优化。通过将异常检测数据发送至服务端，利用服务端强大的数据分析处理能力，对应用程序的异常原因进行分析，及时对应用程序进行优化整改，以提升应用程序的使用体验感。并且，发送至服务端的数据是客户端处理后的数据，不是客户端的原始日志数据，保障了用户隐私的安全性。

此外，客户端还可以将各个应用程序的异常检测结果以及异常检测提取到的操作特征集合发送至区块链进行存储，当应用程序对应的服务端需要对应用程序进行异常分析时，可以从区块链中获取对应应用程序的异常检测结果以及操作特征集合。服务器在从区块链中获取数据时，可以进行智能合约的身份校验，确定服务器是与其要获取的应用程序的服务端后，才允许获取该应用程序的异常检测结果以及操作特征集合，进一步保障数据的安全性，同时避免应用程序的异常检测结果以及特征数据被篡改，影响服务端的异常分析结果。

本说明书实施例提供的应用程序异常检测方法，通过获取用户在客户端中的操作数据，对用户操作数据进行分析，以确定客户端中安装的应用程序是否出现异常，整个过程在客户端侧即可以完成，不需要向服务端上报用户敏感信息，保护了用户隐私。并且，在客户端完成应用程序的异常检测计算，不需要将客户端采集的数据上报至服务端，节约了服务端的计算资源。同时，直接通过对用户操作数据进行分析来检测应用程序的异常，实现应用程序异常的实时检测，及时感知异常问题，不依赖舆情反馈，提高了应用程序异常检测的效率。

在上述实施例的基础上，本说明书一些实施例中，所述方法还包括：

通过在所述待检测应用程序的日志文件中设置埋点，以获取所述待检测应用程序对应的用户操作数据以及基本属性数据，并将获取到的用户操作数据以及基本属性数据存储在所述本地操作数据库中。

在具体的实施过程中，可以通过在待检测应用程序的日志文件中设置埋点，来获取待检测应用程序对应的用户操作数据以及基本属性数据，并将获取到的用户操作数据以及基本属性数据存储在客户端的本地操作数据库中。埋点可以理解为一种数据采集方法，通过设置埋点，在埋点触发时即可以采集对应的数据，实现数据的快速采集。并且，日志埋点获取到的数据存储在客户端本地，不需要将日志数据上传至服务端，保护了用户隐私，确保了数据的安全性。

图2是本说明书一个实施例中应用程序异常检测的原理示意图，下面结合图2具体介绍本说明书实施例中的应用程序异常检测过程，如图2所示，异常检测可以包含下面3个部分：

1、数据获取部分：是指在被检测的移动端APP(Application，应用程序)及待检测应用程序中，进行日志埋点，本地化采集用户行为，如图2所示，可以采集行为数据(即上述实施例中的用户操作数据)以及基础数据(即上述实施例中的基本属性数据)。

2、异动感知处理器：包括数据采集、异常行为感知引擎、以及数据的本地化存储，是整个方案的核心部分。数据采集即为从数据获取部分本地化采集到的数据中采集需要的待检测操作数据，异常行为感知引擎用于对待检测操作数据进行特征提取、规则匹配，以判断待检测应用程序是否存在异常。数据的本地化存储即为对检测过程以及检测结果涉及的数据进行存储，以备查看。

其中，异常行为感知引擎用于：特征值的计算、异常行为感知规则计算。

特征值的计算包括：

输入：用户行为数据、业务数据(如：交易信息)、用户历史操作的特征值；

计算：将上述数据做聚合，按照实际APP的具体情况，进行特征值提取，获取的都是标准化的原子操作。提取的主要是重复的行为/操作、操作的非正常中断、全部的行为操作事件、系统操作事件、业务的进入/退出、操作成功/失败、报错等。例如：提取的特征可以包括：单次操作中，某页面的渲染次数、页面渲染耗时、页面停留时间、是否有服务进入/退出、操作报错、操作成功/失败、杀进程次数、压后台次数、截屏次数、重复操作的行为序列等；

这里得到的是一个个标准化的原子操作数据，单个看起来是没有任何意义的，需要在异常行为感知的算法中，进行多元素的计算。

异常行为感知规则计算包括：

规则计算主要是识别出预期不应该发生的行为的发生，这里列举主要的规则可以包括：

1、是否有重复的页面渲染、重复的操作、重复的行为序列；

2、有服务进入，而无服务的正常退出；

3、操作中断；

4、多次的系统性操作：如多次压后台、杀进程；

5、不该截屏的页面发生截屏操作；

6、错误码的上升、下降；

7、多次操作未完成/失败；

8、页面停留事件过长。

规则可以通过一个或多个特征值进行组合，得出的结论。图3是本说明书一个示例中异常行为感知规则计算的示例图，如图3所示，假设规则rules有r1、r2、r3、r4，特征集合中的特征值features有f1、f2、f3、f4，规则r1为特征f1、f2的组合，规则r2为特征值f3需要满足的条件，规则r3为特征f2、f4的组合，规则r4为特征f2、f3、f4的组合。

例如：f1＝服务端是否有下发操作成功，成功为Y，失败为N；

f2＝操作成功页面/提示是否渲染，渲染为Y，失败为N；

f3＝某页面渲染次数；

则，异常感知规则r1的值为：(f1＝＝Y)&&(f2＝＝N)，如果r1＝true，表示触发了r1感知规则，表明大概率是有线上问题的(明明用户操作成功，但未看到操作成功的提示)。

异常感知规则r2的值为：f3>3，如果r2＝true，表示触发了r2感知规则，表明大概率是有线上问题的(用户在关键页面反复打开，无法进行下一步操作)。

若有一条规则被触发，则可以认为待检测应用程序出现异常。如图3所示，还可以根据触发的规则的内容来分析待检测应用程序出现问题的点或出现问题的原因。

3、服务端：研发人员可在服务端装置进行数据清洗，来识别问题、发现问题。如图2所示，移动端可以将异常检测数据发送至服务端，以便服务端对应用程序的异常进行分析进而优化应用程序。

本说明书实施例通过对用户行为进行分析，提取出用户侧的行为的特征值，根据移动感知引擎本地做计算处理，所需采集的数据量少，不依赖用户舆情，能实时感知线上客户端问题。一般的，服务端通过客户端上传的日志数据，进行软件异常检测，但客户端上传的日志数据中可能会用户的个人信息如：用户对应用程序的操作习惯、用户常用的应用程序等，均属于比较敏感的个人数据。本说明书实施例提供的应用程序异常检测方案，无需向服务端上报用户敏感信息，保护了用户隐私，保障了用户个人数据的安全性。在客户端进行应用程序异常检测计算，不需要实时上报客户端采集的数据给服务端，且能最小计算资源消耗就完成数据分析，节约了服务端的计算资源。本方案不止是可以发现明显的有错误日志的报错，还可以在设备端根据用户行为，感知到其他的常规监控无法发现的问题如：交互问题或UI界面问题。

本说明书中上述方法的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参考即可，每个实施例重点说明的都是与其他实施例的不同之处。相关之处参考方法实施例的部分说明即可。

基于上述所述的应用程序异常检测方法，本说明书一个或多个实施例还提供一种用于应用程序异常检测的装置。所述装置可以包括使用了本说明书实施例所述方法的装置(包括分布式系统)、软件(应用)、模块、插件、服务器、客户端等并结合必要的实施硬件的装置。基于同一创新构思，本说明书实施例提供的一个或多个实施例中的装置如下面的实施例所述。由于装置解决问题的实现方案与方法相似，因此本说明书实施例具体的装置的实施可以参考前述方法的实施，重复之处不再赘述。以下所使用的，术语“单元”或者“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

具体地，图4是本说明书提供的应用程序异常检测装置一个实施例的模块结构示意图，如图4所示，本说明书中提供的应用程序异常检测装置应用于客户端中，所述客户端中安装有待检测应用程序，该装置可以包括：

数据获取模块41，用于在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

特征提取模块42，用于对所述待检测操作数据进行特征提取，获得操作特征集合；

异常检测模块43，用于将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

本说明书实施例通过对用户行为进行分析，提取出用户侧的行为的特征值，根据移动感知引擎本地做计算处理，所需采集的数据量少，不依赖用户舆情，能实时感知线上客户端问题。无需向服务端上报用户敏感信息，保护了用户隐私。在客户端进行应用程序异常检测计算，不需要实时上报客户端采集的数据给服务端，且能最小计算资源消耗就完成数据分析，节约了服务端的计算资源。本方案不止是可以发现明显的有错误日志的报错，还可以在设备端根据用户行为，感知到其他的常规监控无法发现的问题如：交互问题或UI界面问题。

需要说明的，上述所述的装置根据对应方法实施例的描述还可以包括其他的实施方式。具体的实现方式可以参照上述对应的方法实施例的描述，在此不作一一赘述。

本说明书实施例还提供一种应用程序异常检测设备，包括：至少一个处理器以及用于存储处理器可执行指令的存储器，所述处理器执行所述指令时实现上述实施例的应用程序异常检测方法，如：应用于客户端中，所述客户端中安装有待检测应用程序，所述方法包括：

在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

对所述待检测操作数据进行特征提取，获得操作特征集合；

将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

本说明书一些实施例中，还提供了一种应用程序异常检测系统，所述应用程序异常检测系统包括：客户端和服务端，所述客户端中安装有待检测应用程序，所述客户端上存储有计算机指令，所述指令被执行时实现上述实施例中的应用程序异常检测方法的步骤以对所述待检测应用程序进行异常检测，并将检测结果以及检测记录数据发送至所述服务端；

所述服务端用于对所述客户端发送的待检测应用程序的检测结果以及检测记录数据进行处理，以对所述待检测应用程序进行优化。

需要说明的，上述所述的设备或系统根据方法实施例的描述还可以包括其他的实施方式。具体的实现方式可以参照相关方法实施例的描述，在此不作一一赘述。

本说明书提供的应用程序异常检测装置、设备，也可以应用在多种数据分析处理系统中。所述系统或服务器或终端或设备可以为单独的服务器，也可以包括使用了本说明书的一个或多个所述方法或一个或多个实施例系统或服务器或终端或设备的服务器集群、系统(包括分布式系统)、软件(应用)、实际操作装置、逻辑门电路装置、量子计算机等并结合必要的实施硬件的终端装置。所述核对差异数据的检测系统可以包括至少一个处理器以及存储计算机可执行指令的存储器，所述处理器执行所述指令时实现上述任意一个或者多个实施例中所述方法的步骤。

本说明书实施例所提供的方法实施例可以在移动终端、计算机终端、服务器或者类似的运算装置中执行。以运行在服务器上为例，图5是本说明书一个实施例中应用程序异常检测服务器的硬件结构框图，该计算机终端可以是上述实施例中的应用程序异常检测服务器或应用程序异常检测装置。如图5所示服务器10可以包括一个或多个(图中仅示出一个)处理器100(处理器100可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的非易失性存储器200、以及用于通信功能的传输模块300。本领域普通技术人员可以理解，图5所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器10还可包括比图5中所示更多或者更少的插件，例如还可以包括其他的处理硬件，如数据库或多级缓存、GPU，或者具有与图5所示不同的配置。

非易失性存储器200可用于存储应用软件的软件程序以及模块，如本说明书实施例中的应用程序异常检测方法对应的程序指令/模块，处理器100通过运行存储在非易失性存储器200内的软件程序以及模块，从而执行各种功能应用以及资源数据更新。非易失性存储器200可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，非易失性存储器200可进一步包括相对于处理器100远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输模块300用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端的通信供应商提供的无线网络。在一个实例中，传输模块300包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输模块300可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书提供的上述实施例所述的方法或装置可以通过计算机程序实现业务逻辑并记录在存储介质上，所述的存储介质可以计算机读取并执行，实现本说明书实施例所描述方案的效果，如：

应用于客户端中，所述客户端中安装有待检测应用程序，所述方法包括：

在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

对所述待检测操作数据进行特征提取，获得操作特征集合；

将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

所述存储介质可以包括用于存储信息的物理装置，通常是将信息数字化后再以利用电、磁或者光学等方式的媒体加以存储。所述存储介质有可以包括：利用电能方式存储信息的装置如，各式存储器，如RAM、ROM等；利用磁能方式存储信息的装置如，硬盘、软盘、磁带、磁芯存储器、磁泡存储器、U盘；利用光学方式存储信息的装置如，CD或DVD。当然，还有其他方式的可读存储介质，例如量子存储器、石墨烯存储器等等。

本说明书实施例提供的上述应用程序异常检测方法或装置可以在计算机中由处理器执行相应的程序指令来实现，如使用windows操作系统的c++语言在PC端实现、linux系统实现，或其他例如使用android、iOS系统程序设计语言在智能终端实现，以及基于量子计算机的处理逻辑实现等。

本说明书实施例并不局限于必须是符合行业通信标准、标准计算机资源数据更新和数据存储规则或本说明书一个或多个实施例所描述的情况。某些行业标准或者使用自定义方式或实施例描述的实施基础上略加修改后的实施方案也可以实现上述实施例相同、等同或相近、或变形后可预料的实施效果。应用这些修改或变形后的数据获取、存储、判断、处理方式等获取的实施例，仍然可以属于本说明书实施例的可选实施方案范围之内。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

为了描述的方便，描述以上平台、终端时以功能分为各种模块分别描述。当然，在实施本说明书一个或多个时可以把各模块的功能在同一个或多个软件和/或硬件中实现，也可以将实现同一功能的模块由多个子模块或子单元的组合实现等。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或插件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

这些计算机程序指令也可装载到计算机或其他可编程资源数据更新设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参考即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参考方法实施例的部分说明即可。在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本说明书的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

以上所述仅为本说明书一个或多个实施例的实施例而已，并不用于限制本说明书一个或多个实施例。对于本领域技术人员来说，本说明书一个或多个实施例可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在权利要求范围之内。

Claims (10)

1.一种应用程序异常检测方法，应用于客户端中，所述客户端中安装有待检测应用程序，所述方法包括：

在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

对所述待检测操作数据进行特征提取，获得操作特征集合；

将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

2.如权利要求1所述的方法，所述方法还包括：

通过在所述待检测应用程序的日志文件中设置埋点，以获取所述待检测应用程序对应的用户操作数据以及基本属性数据，并将获取到的用户操作数据以及基本属性数据存储在所述本地操作数据库中。

3.如权利要求1所述的方法，所述方法还包括：

将所述操作特征集合以及所述待检测应用程序的异常检测结果发送至服务器，以使得所述服务器基于所述操作特征集合以及所述待检测应用程序的异常检测结果对所述待检测应用程序进行优化。

4.如权利要求1所述的方法，所述对所述待检测操作数据进行特征提取，获得操作特征集合，包括：

获取预设时间段内所述待检测应用程序的历史检测操作特征集合；

对所述待检测操作数据以及所述历史检测操作特征集合进行聚合，获得所述操作特征集合。

5.如权利要求1所述的方法，所述操作特征集合中包括：重复操作事件、操作的非正常中断事件、全部的操作事件、系统操作事件、业务的进入或退出事件、操作成功或失败事件、操作报错事件中的至少一种。

6.如权利要求1所述的方法，所述将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常，包括：

若所述操作特征集合中的特征值满足预设检测规则集合中的至少一条规则，则确定所述待检测应用程序存在异常。

7.如权利要求1所述的方法，所述用户操作数据包括：服务进入、服务退出、控件渲染、点击、网络请求、系统指令、操作指令、广播、报错、压后台、杀进程、截屏中的至少一种。

8.一种应用程序异常检测装置，应用于客户端中，所述客户端中安装有待检测应用程序，所述装置包括：

数据获取模块，用于在接收到所述待检测应用程序的异常检测触发指令后，从所述客户端的本地操作数据库中获取指定时间范围内的待检测操作数据；其中，所述本地操作数据库中存储有所述待检测应用程序的用户操作数据以及基本属性数据；

特征提取模块，用于对所述待检测操作数据进行特征提取，获得操作特征集合；

异常检测模块，用于将所述操作特征集合中的特征值与预设检测规则集合进行匹配，确定所述待检测应用程序是否存在异常。

9.一种应用程序异常检测设备，包括：至少一个处理器以及用于存储处理器可执行指令的存储器，所述处理器执行所述指令时实现权利要求1-7任一项所述的方法。

10.一种应用程序异常检测系统，包括：客户端和服务端，所述客户端中安装有待检测应用程序，所述客户端上存储有计算机指令，所述指令被执行时实现权利要求1至7中任一项所述方法的步骤以对所述待检测应用程序进行异常检测，并将所述待检测应用程序的检测结果以及操作特征集合发送至所述服务端；

所述服务端用于对所述客户端发送的待检测应用程序的检测结果以及操作特征集合进行处理，以对所述待检测应用程序进行优化。

Images