[发明专利]基于集成分类器的用户异常行为检测方法及相关设备

权利要求书

1.一种基于集成分类器的用户异常行为检测方法，其特征在于，所述基于集成分类器的用户异常行为检测方法包括：

获取Kafka系统中多个分区的历史数据流及每条历史数据流的真实类别；

监测所述Kafka系统的内存，并根据所述Kafka系统的内存、所述多个分区的历史数据流及所述每条历史数据流的真实类别进行增量式训练多个分类器得到集成分类器；

获取监控时段内用户的多条流式数据，并将每条流式数据输入至所述集成分类器中进行类别预测，得到每条流式数据的多个预测类别；

计算所述预测类别中正常类别的数量及计算所述预测类别中异常类别的数量；

根据所述正常类别的数量及所述异常类别的数量输出所述用户的行为是否异常的结果。

2.如权利要求1所述的基于集成分类器的用户异常行为检测方法，其特征在于，所述根据所述Kafka系统的内存、所述多个分区的历史数据流及所述每条历史数据流的真实类别进行增量式训练多个分类器得到集成分类器包括：

从每个分区的历史数据流中抽取预设第一数量的历史数据流，并针对每个分区中抽取的预设第一数量的历史数据流训练一个分类器；

获取训练多个分类器占用的内存，并判断所述多个分类器占用的内存是否超过所述Kafka系统的内存；

当所述多个分类器占用的内存不超过所述Kafka系统的内存时，对每个分类器进行增量训练；

当所述多个分类器占用的内存超过所述Kafka系统的内存时，结束所有分类器的训练过程，得到由多个分类器构成的集成分类器，所述集成分类器存储于区块链节点中。

3.如权利要求2所述的基于集成分类器的用户异常行为检测方法，其特征在于，所述针对每个分区中抽取的预设第一数量的历史数据流训练一个分类器包括：

对所述预设第一数量的历史数据流进行操作行为分类；

基于每一个数据流及对应的真实类别和操作行为类别构建训练数据三元组；

输入所述训练数据三元组至SVM中训练所述分类器。

4.如权利要求2所述的基于集成分类器的用户异常行为检测方法，其特征在于，所述对每个分类器进行增量训练包括：

获取每个分区对应的分类器输出的每个历史数据流的预测类别；

根据每个历史数据流的真实类别和预测类别构建初始数据流类别矩阵；

计算所述初始数据流类别矩阵的第一精确度；

根据所述第一精确度和所述初始数据流类别矩阵计算Kappa系数；

判断所述Kappa系数是否大于预设系数阈值；

当确定所述Kappa系数小于预设系数阈值时，从对应的分区的数据流中抽取预设第二数量的数据流；增加所述预设第二数量的历史数据流至所述预设第一数量的历史数据流中得到新的历史数据流；基于所述新的历史数据流训练所述分类器；

当确定所述Kappa系数大于预设系数阈值时，结束所述分类器的训练过程。

5.如权利要求4所述的基于集成分类器的用户异常行为检测方法，其特征在于，所述根据每个历史数据流的真实类别和预测类别构建初始数据流类别矩阵包括：

以每个历史数据流的真实类别为列键，以每个历史数据流的预测类别为行键，构建初始数据流类别表；

计算所述初始数据流类别表中每个表格对应的数量；

将每个表格对应的数量写入所述表格中得到初始数据流类别矩阵。

6.如权利要求5所述的基于集成分类器的用户异常行为检测方法，其特征在于，所述根据所述第一精确度和所述初始数据流类别矩阵计算Kappa系数包括：

计算每一个真实类别的第一类别量及计算每一个预测类别的第二类别量；

计算每个第一类别量与所述初始数据流类别矩阵的总数量的比例；

计算每个比例与每个第二类别量的乘积作为对应表格中的随机分类数量；

根据所述随机分类数量更新所述初始数据流类别矩阵；

计算更新后的数据流类别矩阵的第二精确度；

采用如下公式计算Kappa系数，Kappa系数＝(所述第一精确度-所述第二精确度)/(1-所述第二精确度)。