[发明专利]一种基于模糊时序关联模式的异常用户检测方法

权利要求书

1.一种基于模糊时序关联模式的异常用户检测方法，其特征在于，该检测方法包括以下步骤：

1)采用事件模糊时序关联模式描述用户事件发生的时序关系或因果关系；

2)将采用上述描述的既成知识、通用的用户事件序列模式和随机选取的事件序列作为初始种群，利用遗传算法对初始种群进行训练，将得到频繁项集作为用户事件序列模式集；

3)将实时采集到用户事件序列与相应用户事件序列模式集进行匹配，若匹配不成功，则说明用户异常；

所述事件模糊时序关联模式的定义：在一段特定时间内，事件发生频度F用于表示事件在滑动窗口W内发生次数多少的量值，其值域是{zero,few,many}，其中，zero表示事件在该段时间内未发生，few表示事件少量发生，many表示事件多次发生；事件发生描述为其中I_i为事件的唯一标识，为用户事件I_i的事件发生频度取值；I_i和I_j分别是两种用户事件，如果和总是在同一时间片内先后出现，则认为存在一个模糊时序关联模式

2.根据权利要求1所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤1)中是通过将用户事件序列划分为时间相等的时间片来进行描述的。

3.根据权利要求2所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤2)中采用的遗传算法训练过程如下：

A)将采用事件模糊时序关联模式描述的用户事件序列设计成一条染色体 ，染色体头部存储事件项个数，每个基因代表一个事件，事件发生频度存储在染色体对应基因的尾部；

B)选取既成知识、通用的用户事件序列模式和随机选取的事件序列作为初始种群；

C)根据事件序列的支持度和兴趣度，计算染色体的适应度Fit(C)，

其中sup(C)为染色体所对应事件序列的支持度，Interest(C)表示染色体对应事件序列的兴趣度，w₁与w₂为预先定义的权重，分别代表支持度和兴趣度的相对重要性程度，两者之和为1；

D)根据个体的相似度调整个体的适应度，按照调整后适应度选择进入下一代的个体；

E)对每代个体进行交叉、变异的遗传操作，生成新的子个体；

F)重复步骤C)-E)，直至满足设定条件，输出种群中适应度最优的染色体对应的频繁项集作为用户事件序列模式集。

4.根据权利要求3所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤C)中染色体对应事件序列的兴趣度的计算公式为：

其中，I_i为事件的唯一标识，为用户事件I_i的事件发生频度取值，i取值为1、2…n，为C所对应的项集。

5.根据权利要求4所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤D)中个体间的相似度为两染色体之间相同的基因数与两染色体上存在的基因总数的比值，采用Jccard距离计算，

其中similarity(C)为染色体C的相似度，M为本代染色体的总数。

6.根据权利要求5所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤E)中交叉遗传操作采用的交叉概率为P_C为：

P_C＝1-similarity(C₁,C₂)

其中C₁,C₂为两父代个体。

7.根据权利要求6所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤E)中变异遗传操作包括基因的变异操作和事件发生频度的变异操作。

8.根据权利要求7所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤F)中的设定条件为进化代数达到设定的最大阈值，或者找到的频繁项集数已达到估计数目。

9.根据权利要求1或8所述的基于模糊时序关联模式的异常用户检测方法，其特征在于，所述步骤3)中用户事件序列的构建是以滑动窗口为基础的。