[發明專利]一種基于通信行為信息熵的異常呼叫發現方法與裝置

有效

• 申請號: 202011185447.2
• 申請日: 2020-10-30
• 公開（公告）號: CN112437197B
• 公開（公告）日: 2021-06-18
• 發明（設計）人: 陳鴻昶;劉樹新;王凱;李星;馬宏;吉立新
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04W12/121
• 分類號: H04W12/121;G06Q10/04;H04M3/22
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 張立強

1.一種基于通信行為信息熵的異常呼叫發現方法，其特征在于，包括：

步驟1：以呼叫會話的多元屬性信息變化為數據源，計算每類行為的異常行為概率增量；所述步驟1包括：

根據呼叫會話的多元屬性{A,B,C}的屬性值計算當前呼叫會話各類行為{x,y,z}的異常行為x_ab,y_ab,z_ab概率增量

其中，A,B,C表示一個呼叫會話對應的各類多元屬性，分別對應一個呼叫會話的各類多維行為x,y,z，ΔA_i1、ΔB_i2、ΔC_i3分別表示各類屬性值的時間偏移量化值；i1＝1,2...m_x，i2＝1,2...m_y，i3＝1,2...m_z，分別表示屬性A,B,C的多維度取值編號，m_x，m_y，m_z分別表示行為x,y,z對應的多元屬性A,B,C的總維度；分別為x,y,z的影響參數向量；分別表示A,B,C的多維度取值平均值；

步驟2：根據每類行為的異常行為概率增量對呼叫會話的多維行為的異常概率進行量化；所述步驟2包括：

按照如下方式對呼叫會話的多維行為的異常概率進行量化：

其中，X(t)，Y(t)，Z(t)分別表示第t次呼叫會話的各類多維行為；p(X(t)＝x_ab)，p(Y(t)＝y_ab)，p(Z(t)＝z_ab)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的異常概率；X(t-1)，Y(t-1)，Z(t-1)分別表示第t-1次呼叫會話的各類多維行為；p(X(t-1)＝x_ab)，p(Y(t-1)＝y_ab)，p(Z(t-1)＝z_ab)分別表示第t-1次呼叫會話的多維行為X(t-1)，Y(t-1)，Z(t-1)的異常概率；x_ab，y_ab，z_ab分別表示呼叫會話各類行為{x,y,z}的異常行為；分別表示呼叫會話各類行為{x,y,z}的異常行為x_ab,y_ab,z_ab概率增量；

步驟3：利用呼叫會話的多維行為異常概率量化結果計算各個維度上行為事件的通信行為信息熵，并根據各個維度上行為事件的通信行為信息熵計算呼叫會話的聯合通信行為信息熵；所述步驟3包括：

按照如下方式計算各個維度上行為事件的通信行為信息熵：

其中，H(X(t))，H(Y(t))，H(Z(t))分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的通信行為信息熵；j為ab時，x_ab，y_ab，z_ab分別表示呼叫會話各類行為{x,y,z}的異常行為；j為nor時，x_nor，y_nor，z_nor分別表示呼叫會話各類行為{x,y,z}的正常行為；p(X(t)＝x_ab)，p(Y(t)＝y_ab)，p(Z(t)＝z_ab)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的異常概率；p(X(t)＝x_nor)，p(Y(t)＝y_nor)，p(Z(t)＝z_nor)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的正常概率，且p(X(t)＝x_nor)＝1-p(X(t)＝x_ab)，p(Y(t)＝y_nor)＝1-p(Y(t)＝y_ab)，p(Z(t)＝z_nor)＝1-p(Z(t)＝z_ab)；

按照如下方式計算呼叫會話的聯合通信行為信息熵：

H(Q(t))＝H(X(t),Y(t),Z(t))＝H(X(t))+H(Y(t))+H(Z(t))

其中，H(Q(t))＝H(X(t),Y(t),Z(t))表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的聯合通信行為信息熵；

步驟4：計算滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率，當所述變化速率大于設定的閾值時，則認為對應的呼叫會話為異常呼叫會話；所述步驟4包括：

按照如下方式計算滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率：

其中，U(t)為距離第t次呼叫會話對應時間點的滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率；j為滑動窗口T內的各時間點對應的呼叫會話次數編號；H(Q(j-1)表示第j-1次呼叫會話的多維行為X(j-1)，Y(j-1)，Z(j-1)的聯合通信行為信息熵；H(Q(j))＝H(X(j),Y(j),Z(j))表示第j次呼叫會話的多維行為X(j)，Y(j)，Z(j)的聯合通信行為信息熵；

當U(t)＞ω_u時，ω_u為設定的閥值，判斷此時該呼叫會話為異常呼叫會話。

2.一種基于通信行為信息熵的異常呼叫發現裝置，其特征在于，包括：

異常行為概率增量計算模塊，用于以呼叫會話的多元屬性信息變化為數據源，計算每類行為的異常行為概率增量；所述異常行為概率增量計算模塊具體用于：

根據呼叫會話的多元屬性{A,B,C}的屬性值計算當前呼叫會話各類行為{x,y,z}的異常行為x_ab,y_ab,z_ab概率增量

其中，A,B,C表示一個呼叫會話對應的各類多元屬性，分別對應一個呼叫會話的各類多維行為x,y,z，ΔA_i1、ΔB_i2、ΔC_i3分別表示各類屬性值的時間偏移量化值；i1＝1,2...m_x，i2＝1,2...m_y，i3＝1,2...m_z，分別表示屬性A,B,C的多維度取值編號，m_x，m_y，m_z分別表示行為x,y,z對應的多元屬性A,B,C的總維度；分別為x,y,z的影響參數向量；分別表示A,B,C的多維度取值平均值；

異常概率量化模塊，用于根據每類行為的異常行為概率增量對呼叫會話的多維行為的異常概率進行量化；所述異常概率量化模塊具體用于：

按照如下方式對呼叫會話的多維行為的異常概率進行量化：

其中，X(t)，Y(t)，Z(t)分別表示第t次呼叫會話的各類多維行為；p(X(t)＝x_ab)，p(Y(t)＝y_ab)，p(Z(t)＝z_ab)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的異常概率；X(t-1)，Y(t-1)，Z(t-1)分別表示第t-1次呼叫會話的各類多維行為；p(X(t-1)＝x_ab)，p(Y(t-1)＝y_ab)，p(Z(t-1)＝z_ab)分別表示第t-1次呼叫會話的多維行為X(t-1)，Y(t-1)，Z(t-1)的異常概率；x_ab，y_ab，z_ab分別表示呼叫會話各類行為{x,y,z}的異常行為；分別表示呼叫會話各類行為{x,y,z}的異常行為x_ab,y_ab,z_ab概率增量；

聯合通信行為信息熵計算模塊，用于利用呼叫會話的多維行為異常概率量化結果計算各個維度上行為事件的通信行為信息熵，并根據各個維度上行為事件的通信行為信息熵計算呼叫會話的聯合通信行為信息熵；所述聯合通信行為信息熵計算模塊具體用于：

按照如下方式計算各個維度上行為事件的通信行為信息熵：

其中，H(X(t))，H(Y(t))，H(Z(t))分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的通信行為信息熵；j為ab時，x_ab，y_ab，z_ab分別表示呼叫會話各類行為{x,y,z}的異常行為；j為nor時，x_nor，y_nor，z_nor分別表示呼叫會話各類行為{x,y,z}的正常行為；p(X(t)＝x_ab)，p(Y(t)＝y_ab)，p(Z(t)＝z_ab)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的異常概率；p(X(t)＝x_nor)，p(Y(t)＝y_nor)，p(Z(t)＝z_nor)分別表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的正常概率，且p(X(t)＝x_nor)＝1-p(X(t)＝x_ab)，p(Y(t)＝y_nor)＝1-p(Y(t)＝y_ab)，p(Z(t)＝z_nor)＝1-p(Z(t)＝z_ab)；

按照如下方式計算呼叫會話的聯合通信行為信息熵：

H(Q(t))＝H(X(t),Y(t),Z(t))＝H(X(t))+H(Y(t))+H(Z(t))

其中，H(Q(t))＝H(X(t),Y(t),Z(t))表示第t次呼叫會話的多維行為X(t)，Y(t)，Z(t)的聯合通信行為信息熵；

變化速率計算模塊，用于計算滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率，當所述變化速率大于設定的閾值時，則認為對應的呼叫會話為異常呼叫會話；所述變化速率計算模塊具體用于：

按照如下方式計算滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率：

其中，U(t)為距離第t次呼叫會話對應時間點的滑動窗口T內呼叫會話的聯合通信行為信息熵的變化速率；j為滑動窗口T內的各時間點對應的呼叫會話次數編號；H(Q(j-1)表示第j-1次呼叫會話的多維行為X(j-1)，Y(j-1)，Z(j-1)的聯合通信行為信息熵；H(Q(j))＝H(X(j),Y(j),Z(j))表示第j次呼叫會話的多維行為X(j)，Y(j)，Z(j)的聯合通信行為信息熵；

當U(t)＞ω_u時，ω_u為設定的閥值，判斷此時該呼叫會話為異常呼叫會話。