[发明专利]基于社区结构的动态图异常检测方法

说明书

本发明公开了基于社区结构的动态图异常检测方法，包括如下步骤：S1：首先定义动态图异常边检测的具体定义；S2：CmaGraph由C‑Block、M‑Block和A‑Block构成，C‑Block检测动态图的进化社区，M‑Block重建社区内与社区间顶点的距离，使得同一社区内的顶点嵌入之间的欧式距离上互相靠近，位于不同社区的顶点嵌入之间的欧式距离互相远离；S3：顶点嵌入最终输入到A‑Block进行异常检测。本发明在检测异常数据有较好的效果以及社区结构在异常检测的有效性。针对在基于图嵌入方法利用社区结构进行异常检测的研究空白，本发明填补了这方面的研究空白。

技术领域

本发明属于动态图异常检测技术领域，具体涉及基于社区结构的动态图异常检测方法。

背景技术

动态图异常检测是图领域的一个重要研究方向。动态图的异常包括：顶点异常、边异常和子图异常。动态图的许多应用都会使用边来表示复杂的拓扑结构和时序特征。因此，异常边检测是动态图异常检测技术中关键的一部分。动态图中的异常边检测有着广泛的应用，如入侵检测系统、社交网络欺诈检测等。通过挖掘动态图中的异常，可以避免一些安全事故，避免或减少经济损失。

图嵌入模型是一种可以将图上的顶点，边或子图映射到新的向量空间的模型。在新的向量空间中，嵌入可以根据不同的方法表达出不同的属性，并且嵌入的学习是无需人工干预的。在大型复杂的图中，图嵌入模型相比传统的启发式方法的性能更佳。由于图嵌入模型性能优秀，有许多的研究基于图嵌入方法提取图的特征，利用提取到的特征进行异常检测。本发明也是基于图嵌入技术，利用社区结构提取动态图的特征，在提取到的特征上进行异常检测。

NetWalk是经典并且常用的基于图嵌入的动态图异常检测算法之一。NetWalk可以随着动态图的更新而动态更新网络表示，并将更新的网络表示用于动态图异常检测。NetWalk首先通过带团嵌入的自编码器将动态图的顶点编码为向量，然后最小化随机游走中顶点嵌入的距离，并将自编码器重建误差作为全局正则化项。学习到顶点嵌入后，采用一种基于聚类的技术增量和动态地检测网络异常。

NetWalk是动态图异常检测方向的重要研究，但是没有解决在动态图社区结构划分明显的情况下，利用社区结构进行异常检测的问题。

现有的方法并没有考虑在图嵌入方法上，基于社区结构进行异常检测。一般来说，社区被定义为一组具有相似关系的顶点，并且这种关系与网络的其他关系不同。在现实生活中，有许多异常会发生在社区与社区之间。例如，在计算机网络中，某个终端经常与固定某些终端互发数据，它们之间构成了一种收发数据的关系。该终端与它经常收发数据的终端集合可以认为属于同一个社区。然而，当一个黑客攻击了该终端，并且以该终端为跳板，往网络大量发送异常数据对其他终端进行攻击。这就表现为该节点突然地往社区内和社区外的节点大量发送数据，而该节点先前一般只会往社区内的节点发送数据。这种行为就可以被认为是一种异常行为。为此，我们提出一种基于社区结构的动态图异常检测方法，以解决上述背景技术中提到的问题。

发明内容

本发明的目的在于提供基于社区结构的动态图异常检测方法，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于社区结构的动态图异常检测方法，包括如下步骤：

S1：首先定义动态图异常边检测的具体定义：

动态图是一个图序列，G^t代表是在时间戳t下的一张图，G^t＝(V^t，E^t)；随着图的更新，更新的边集用E^t表示，E^t中的所有顶点用集合V^t表示；n＝|V^t|，m^t＝|E^t|；在时间戳t处，A^t表示G^t的邻接矩阵；给定G^t，动态图异常边检测的目标是找到E^t中的异常边；