[發明專利]一種移動用戶異常行為檢測方法

有效

• 申請號: 201710545014.5
• 申請日: 2017-07-06
• 公開（公告）號: CN107249000B
• 公開（公告）日: 2020-02-25
• 發明（設計）人: 朱軍龍;吳慶濤;鄭瑞娟;張明川;謝萍;魏汪洋;張茉莉;杜鵑
• 申請（專利權）人: 河南科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 洛陽公信知識產權事務所(普通合伙) 41120
• 代理人: 宋晨煒

1.一種移動用戶異常行為檢測方法，其特征是：包含以下步驟：

S1.對數據集進行訓練，建立正常行為數據庫；

S2.利用滑動窗口模型獲取移動用戶窗口范圍內的數據集X，采用基于分形的聚類融合算法得到數據集X的聚類融合結果Γ；

S201.初始聚類過程：

S2011.利用滑動窗口模型獲取移動用戶窗口范圍內的數據集X，滑動窗口模型以外的數據b備用；

S2012.將S2011步驟獲得的數據集X隨機劃分為H組數據子集{X_i}(i＝1,2,...,H)，并對X_i進行k-means聚類，每組數據子集產生K個簇并記錄每一個簇的聚類中心，共得到H組聚類中心；

S2013.利用S2012步驟得到的H組聚類中心對數據集X重新k-means聚類，得到數據集X的初始聚類集合λ＝{λ₁,λ₂,...,λ_H}，其中λ_H表示數據集X的初始聚類集合中的某一個初始聚類；λ_i表示H組數據子集中的第i個聚類，表示λ_i中的第k個簇；

S202.增量過程：

S2021.對在S201步驟中尚未分配的點b，與S2013步驟中得到的聚類集合C_i求并集得到用戶全部數據C_i′＝C_i∪b(i＝1，2，...，H)；分別計算C_i與C_i'的分形維數F_i、F_i'及其分形影響度FID_i＝|F_i-F_i'|，相互比較后得到FID_i的值最小的一個其中，

S2022.遴選S2013步驟中的數據集X的初始聚類集合，保存滿足公式min|F_i-F_i'|＜FID_ε的聚類類別；

S203：篩選融合過程：

S2031.設定閾值DI_ε，利用Duun_index算法對滿足S2022步驟的聚類成員進行處理，得到類間離間距離高于設定閾值DI_ε的聚類成員λ′＝{λ′₁，λ′₂，...，λ′_h}，其中，h≤H，低于設定閾值的不再考慮；

S2032.利用投票法對S2031步驟得到的高于設定閾值DI_ε的聚類成員進行融合得到最終的聚類結果

S3.異常檢測過程：

S301.對S2步驟得到的聚類融合結果Γ與S1步驟中的正常行為數據庫中的N個正常行為數據P＝{P₁,P₂,...,P_N}進行關聯矩陣轉換，得到相應的關聯矩陣M＝{M₁,M₂,...,M_N}；

S302.對S1步驟中的正常行為數據庫中的N個正常行為數據P＝{P₁,P₂,...,P_N}進行平均差異度計算；

S303.把S2步驟得到的聚類融合結果Γ加入到正常行為數據集P中，再次進行平均差異度計算；

S304.對S302步驟和S303步驟得到的差異度進行比較，如果S303步驟得到的差異度小于S302步驟得到的差異度，則S2步驟中的數據集X為正常行為，將S1步驟中的正常行為數據庫更新為N+1個聚類結果的聚類成員集合；如果S303步驟得到的差異度大于S302步驟得到的差異度，則S2步驟中的數據集X確定為異常行為。

2.根據權利要求1所述的一種移動用戶異常行為檢測方法，其特征是：所述的步驟S2031中類間離間距離的得到過程如下：其中，其中dist(C_i,C_j)函數表示聚類的類間離間距離

diam(C_i)函數用來測量一個類的點的直徑其中，m＝1……k；k代表聚類中心個數。

3.根據權利要求1所述的一種移動用戶異常行為檢測方法，其特征是：所述的S2031步驟中的閾值DI_ε＝3.5。