买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：河南科技大学

摘要：本发明公开了一种基于优化图嵌入表示的异常行为检测方法，首先获取需要进行异常行为检测的社交网络中的实体信息和关系信息，然后获取若干组正常状态下的历史数据，对于每组历史数据分别生成对应的时序知识图谱并进行补全，构建包括图神经网络，读取函数模块，长短时记忆网络和异常行为评估模块的动态图异常行为检测模型，采用历史数据补全后的时序知识图谱对动态图异常行为检测模型进行训练，获取待检测时间段对应的时序知识图谱并输入训练好的动态图异常行为检测模型，得到待检测时间段社交网络是否存在异常行为的检测结果。本发明在保留原始社交网络图结构和属性信息的同时提高嵌入的信息量，以提高异常行为检测模型的准确率。

主权项：1.一种基于优化图嵌入表示的异常行为检测方法，其特征在于，包括以下步骤：S1：对于需要进行异常行为检测的社交网络，获取社交网络中实体集合H，然后得到每个实体的语义信息，语义信息包括实体的类别，属性和位置；根据社交网络的实际情况设置社交网络中的关系集合R，其中每个元素表示一种关系类型，并得到每个关系的语义信息；S2：获取若干组社交网络处于正常状态的历史数据，每组历史数据中包含T个时间段的用户行为日志，每条用户行为日志表示为数据元组λ＝a,user,τ,att1,...,attK，其中a表示与该用户行为日志中事件相关联的动作符号，a∈A，A表示预定义的动作集合，user表示与该事件相关的实体集合，τ表示该事件的时间戳，attk表示实体集合user中实体k的语义信息，k＝1,2,…,K，K表示实体集合user中实体数量；S3：对于每组历史数据分别生成对应的时序知识图谱G＝G1,G2,…,GT，其中Gt表示时间段t的知识图，t＝1,2,…,T，具体方法为：对于每个时间段t，分别成每个数据元组对应的子图，具体方法为：以该数据元组中实体集合user中的实体为节点，根据动作符号a确定实体集合user中实体是否存在关系集合R中的关系，如果存在，则两个实体节点存在该关系边，否则两个实体节点不存在该关系的边，从而得到以实体为节点，以关系为边的子图；对每个时间段t内的子图进行整合，得到时间段t对应的知识图Gt，从而得到由T个知识图Gt构成的时序知识图谱G＝Gt,G2,…,GT；S4：对步骤S3所生成的时序知识图谱进行补全，具体方法为：S4.1：从步骤S3生成的时序知识图谱中提取出若干个链接预测训练样本，每个链接预测训练样本包含实体集合关系r∈R和时间段t，实体集合包括M个实体hm，m＝1,2,…,M，M表示实体集合中的实体数量，其中实体h1属于一个类别，实体h2至hM属于另一个类别，如果实体h1与其他实体中任意一个在时间段t对应的知识图中存在关系r，则令标签为1，如果实体h1与其他所有实体均不存在关系r，则令标签为0；S4.2：构建链接预测模型，包括静态特征抽取模块，动态特征抽取模块，特征融合模块和链接评估模块，其中：静态特征抽取模块用于从实体集合和关系r中提取得到静态特征并发送至动态特征抽取模块和特征融合模块；静态特征抽取模块包括嵌入模块，多头注意力网络，二维卷积神经网络，批归一化层和非线性激活函数层，其中：嵌入模块用于根据实体集合中每个实体hm的语义信息和关系r的语义信息进行嵌入表示得到对应的实体嵌入向量fhm和关系嵌入向量fr，然后将M个实体嵌入向量fhm和关系嵌入向量fr进行拼接，得到拼接向量F＝concatfh1,fh2,...,fhM,fr并发送至多头注意力网络；多头注意力网络用于基于多头注意力机制对拼接向量F进行处理，得到全局特征Fall并发送至二维卷积神经网络；二维卷积神经网络用于对全局特征Fall进行二维卷积操作，将得到的特征输入至批归一化层；批归一化层用于对接收到的特征进行批归一化处理，将得到的特征输出至非线性激活函数层；非线性激活函数层用于采用预设的非线性激活函数对接收到的特征进行处理，从而得到静态特征Feasta；动态特征抽取模块用于提取静态特征Feasta在时间段t的特征表示，得到动态特征Feadyn并发送至特征融合模块；动态特征Feadyn的提取方法为：采用预先设置的编码方式获取时间段t的编码codet，然后采用如下公式计算得到动态特征Feadyn： 其中，表示正弦激活函数，Dt表示待学习的时间段t的权重；特征融合模块用于对静态特征Feasta和动态特征Feadyn进行融合得到融合特征Fea；链接评估模块用于根据融合特征Fea计算得到评分，具体方法为：将融合特征Fea按列展开得到一维特征fea，然后采用全连接层对一维特征fea进行处理得到分数Score；S4.3：采用步骤S4.1中所得到的训练样本对链接预测模型进行训练，得到训练好的链接预测模型；S4.4：对于时序知识图谱中每个知识图Gt，随机生成实体集合和关系r，其中实体集合中实体h1为一个类别，实体h2至hM为另一个类别，然后连同时间段t一起输入训练好的链接预测模型，如果得到的分数大于预设阈值，则在知识图Gt中实体h1到实体hm′之间添加关系r的边，m′＝2,3,…,M，否则不作任何操作；S5：构建动态图异常行为检测模型，包括图神经网络，读取函数模块，长短时记忆网络和异常行为评估模块，其中：图神经网络用于分别对时序知识图谱中的T个知识图Gt进行特征提取，将特征提取后的知识图Gt′发送至读取函数模块；读取函数模块用于从每个知识图Gt′分别读取总结表示向量其中d表示总结表示向量的维度，将T个总结表示向量st构成时间序列S＝s1,s2,…,sT并发送至长短时记忆网络；长短时记忆网络用于对时间序列S＝s1,s2,…,sT进行特征提取，将总结表示向量sT所对应的特征yT输出至异常行为评估模块；异常行为评估模块用于根据特征yT进行评估，得到是否存在异常行为的评估结果；异常行为评估模块包括第一编码器，解码器，第二编码器和评分计算模块，其中：第一编码器用于对特征yT进行编码，将得到的特征矩阵Q1发送至解码器和异常行为评分计算模块；解码器用于对接收到的特征矩阵Q1进行重构，将得到的重构特征发送至第二编码器；第二编码器用于对重构特征进行编码，得到重构特征矩阵Q2并发送至异常行为评分计算模块；评分计算模块用于计算特征矩阵Q1和重构特征矩阵Q2之间的差异值，将该差异值作为异常行为评分，如果该评分大于预设阈值，则说明时间段T所对应时间段存在异常行为，否则不存在异常行为；S6：将每组历史数据经过时序知识图谱补全后的时序知识图谱作为输入对动态图异常行为检测模型进行训练，得到训练好的动态图异常行为检测模型；S7：对于待检测时间段，获取该时间段及之前T-1个时间段的用户行为日志，采用步骤S3中的相同方法生成对应的时序知识图谱采用步骤S4中的方法对该时序知识图谱进行补全，然后将补全后的时序知识图谱输入至步骤S6训练好的动态图异常行为检测模型，得到待检测时间段社交网络是否存在异常行为的检测结果。

全文数据：

权利要求：

百度查询： 河南科技大学 基于优化图嵌入表示的异常行为检测方法