一种有向动态图数据异常检测方法及系统技术方案

本发明专利技术提供一种有向动态图数据异常检测方法及系统，涉及异常检测领域。该有向动态图数据异常检测系统，包括基于图角色的有向图卷积网络的动态图异常边检测DDG算法，所述DDG算法可分为基于图角色的有向图卷积网络(RDGCN)、具有传递结构的多头注意力网络和异常检测模块三个模块。通过DDG算法采用了基于有向图角色的图卷积网络RDGCN去提取动态图中的结构特征，以更好地适用于有向动态图数据，并采用具有传递结构的多头注意力网络去提取动态图的时序特征，最后采用有向负采样方法去训练模型，提高了模型在有向图和无向图数据中的异常检测的性能，填补了这方面的研究缺陷。填补了这方面的研究缺陷。填补了这方面的研究缺陷。

【技术实现步骤摘要】
一种有向动态图数据异常检测方法及系统


[0001]本专利技术涉及异常检测
，具体为一种有向动态图数据异常检测方法及系统。

技术介绍

[0002]现有的动态图异常检测方法主要可以分为两类。一类是基于启发式规则异常检测算法。这些方法手动启发式地去设计动态图的特征，并在设计的特征上进行异常检测。现有基于表示学习的动态图异常边检测算法主要是针对无向动态图的。将这些检测方法拓展延伸到有向动态图时，存在着几点缺陷。
①
这些方法无法学习到有向动态图的非对称结构特征。
②
这些方法异常检测器无法区分具有相同顶点但方向不同的边，导致检测精度下降。
③
这些方法在使用负采样策略训练算法时，只考虑了无向图中的异常模式，没有考虑有向图中会出现的异常模式。这就导致训练出来的算法不能够很好适应有向动态图数据。
[0003]现有基于表示学习的动态图异常检测方法中，所提出的表示学习算法主要是针对无向图数据的，这类表示学习算法在处理有向动态图时，仍将有向动态图数据当做无向动态图数据来处理，这会导致有向动态图中特有的不对称结构特征丢失。同时，与这些结构特征相关的异常模式也无法被算法捕捉。现有算法所提出的异常打分函数f(
·
)通常的对称的，即f((i，j))＝f((j，i))，这会使得检测算法无法区分具有相同节点，但方向不同的边，从而发生误判。同时现有的检测方法在使用负采样训练策略进行模型训练时，只考虑了无向图中的异常模式，没有考虑有向图的中会出现的异常模式。这就导致训练出来的模型不能够很好的适应有向图数据，导致模型应用范围不够全面。

技术实现思路

[0004]针对现有技术的不足，本专利技术提供了一种有向动态图数据异常检测方法及系统，解决了传统结构特征相关的异常模式无法被算法捕捉和容易发生误判的问题。
[0005]为实现以上目的，本专利技术通过以下技术方案予以实现：一种有向动态图数据异常检测系统，包括基于图角色的有向图卷积网络的动态图异常边检测DDG算法，所述DDG算法可分为基于图角色的有向图卷积网络(RDGCN)、具有传递结构的多头注意力网络和异常检测模块三个模块，所述DDG算法在图卷积网络(RDGCN)中将动态图中的每个节点按照源节点角色和目标节点角色两种角色进行划分，随后DDG算法提出基于有向图角色的图卷积网络(RDGCN)，并使用图卷积网络(RDGCN)分别学习到节点两种角色的表示向量，这两种表达包含两种角色对应的结构特征；
[0006]在所述多头注意网络中DDG算法应用具有传递结构的多头注意力网络来提取时序特征；
[0007]在所述异常检测模块中DDG算法提出有向负采样的训练策略，提高了模型的训练效果。
[0008]优选的，所述动态图异常边检测的具体定义为：
[0009]动态图是一个图序列，其中代表为在时间戳t时的图，对于每张图有其中和代表图的点集和边集；代表节点v
i
和v
j
之间的一条边，并且权重为w，让和分别代表动态图G总的点集和边集，则有n＝|V|，A
t
∈R
n
×
n
代表每张图的邻接矩阵。
[0010]优选的，一种有向动态图数据异常检测方法，其特征在于：包括以下步骤：
[0011]步骤一：基于有向图角色的图卷积网络RDGCN
[0012]有向图中的每条边的两个顶点根据边的方向可分为两种角色，一个是源节点角色，另一个是目标节点角色，由于这两种角色在图中的作用比不完全相同，因此，为了区分这两类角色的作用，在用表示学习技术为每个节点学习表示向量时，需要为每个节点学习两种表示向量，分别是源表示向量和目标表示向量，以更好地区划分每个节点中两个角色的作用；
[0013]步骤二：时序特征提取
[0014]采用具有循环结构的头注意网络将长期和短期时间特征提取到每个节点的两种嵌入表示中。具体的来说，首先我们将图序列按窗口大小k划分为多个块，表示的是第i个块，在经过RDGCN处理后，获得了每个块的顶点隐嵌入序列，由于多头注意力机制的对称性，序列本身不会包含先后顺序的位置信息，所以要对序列进行一次位置编码PE(
·
)，并得到多头注意力的输入，获得输入过程如下：
[0015][0016]其中为第i个位置的编码信息，为块中顶点v的输入序列，处理完输入序列后，将描述多头注意力机制提取时序信息的计算过程，具体过程如下：
[0017][0018][0019][0020][0021]其中，为代表块中顶点v输出向量序列，和分别是三个可学习的参数，而上述过程通过矩阵运算的特性可以让每个点的计算都是并行地；
[0022]步骤三：异常检测
[0023]在异常检测模块中，DDG算法将对快照中的每一条边进行异常打分，并将异常得分较高的边视为异常边，在对每条边e＝(i，j，w)进行打分之前，DDG算法要先计算得到每条边
表示向量φ(e)，其具体地计算公式如下所示：
[0024][0025]其中
⊙
为哈达玛积运算，接着DDG算法再将每条边的表示向量φ(e)输入到打分函数f(
·
)中，其具体的计算公式如下：
[0026]f(φ(e))＝σ(φ(e)W
a
+b)#(15)
[0027]打分函数f(
·
)的取值范围为(0,1)，W
a
和b为可学习的参数，DDG算法将用公式13为每条边进行打分，由于公式13不具有对称性，即φ(i，j)≠φ(j，i)，因此打分函数f(
·
)也是不对称的，这就使得模型能够区分相同顶点方向不同的边，从而具备了检测有向异常的先前条件；
[0028]同时由于许多现实数据集不包含任何异常样本或仅包含少量异常样本，所以提出了一种有向负采样的方法来提升模型的训练性能。
[0029]优选的，所述步骤一具体为：
[0030]图卷积网络RDGCN通过聚合节点中不同角色的两类邻居信息，来学习每个节点的两种表示向量，一类是节点不同角色的K
‑
跳邻居信息，一类是节点不同角色的直接邻居传递信息；而图卷积网络RDGCN背后的关键思想是，假设，图中任意两个节点v
i
和v
j
在作为源节点时，享有共同的目标节点k，即存在边v
i
→
v
j
和v
j
→
v
i
，则认为这两个节点的关系较为紧密，所以这两个节点的表示向量会有更高的相似度，除此之外，为了保留有向图中的不对称传递性质，所以直接相连的两个节点在不同的角色表示向量上，也应具有一定的相似度，并且图卷积网络RDGCN具有k
‑
跳源邻居/目标邻居和k
‑
跳源邻居/目标邻居邻接矩阵两个定义。
[0031]优选的，定义1：k
‑
...

【技术保护点】

【技术特征摘要】
1.一种有向动态图数据异常检测系统，包括基于图角色的有向图卷积网络的动态图异常边检测DDG算法，其特征在于：所述DDG算法可分为基于图角色的有向图卷积网络(RDGCN)、具有传递结构的多头注意力网络和异常检测模块三个模块，所述DDG算法在图卷积网络(RDGCN)中将动态图中的每个节点按照源节点角色和目标节点角色两种角色进行划分，随后DDG算法提出基于有向图角色的图卷积网络(RDGCN)，并使用图卷积网络(RDGCN)分别学习到节点两种角色的表示向量，这两种表达包含两种角色对应的结构特征；在所述多头注意网络中DDG算法应用具有传递结构的多头注意力网络来提取时序特征；在所述异常检测模块中DDG算法提出有向负采样的训练策略，提高了模型的训练效果。2.根据权利要求1所述的一种有向动态图数据异常检测系统，其特征在于：所述动态图异常边检测的具体定义为：动态图是一个图序列，其中代表为在时间戳t时的图，对于每张图有其中和代表图的点集和边集；代表节点v
i
和v
j
之间的一条边，并且权重为w，让和分别代表动态图G总的点集和边集，则有n＝|V|，A
t
∈R
n
×
n
代表每张图的邻接矩阵。3.根据权利要求1所述的一种有向动态图数据异常检测方法，其特征在于：包括以下步骤：步骤一：基于有向图角色的图卷积网络RDGCN有向图中的每条边的两个顶点根据边的方向可分为两种角色，一个是源节点角色，另一个是目标节点角色，由于这两种角色在图中的作用比不完全相同，因此，为了区分这两类角色的作用，在用表示学习技术为每个节点学习表示向量时，需要为每个节点学习两种表示向量，分别是源表示向量和目标表示向量，以更好地区划分每个节点中两个角色的作用；步骤二：时序特征提取采用具有循环结构的头注意网络将长期和短期时间特征提取到每个节点的两种嵌入表示中。具体的来说，首先我们将图序列按窗口大小k划分为多个块，表示的是第i个块，在经过RDGCN处理后，获得了每个块的顶点隐嵌入序列，由于多头注意力机制的对称性，序列本身不会包含先后顺序的位置信息，所以要对序列进行一次位置编码PE(
·
)，并得到多头注意力的输入，获得输入过程如下：其中为第i个位置的编码信息，为块中顶点v的输入序列，处理完输入序列后，将描述多头注意力机制提取时序信息的计算过程，具体过程如下：处理完输入序列后，将描述多头注意力机制提取时序信息的计算过程，具体过程如下：
其中，为代表块中顶点v输出向量序列，和分别是三个可学习的参数，而上述过程通过矩阵运算的特性可以让每个点的计算都是并行地；步骤三：异常检测在异常检测模块中，DDG算法将对快照中的每一条边进行异常打分，并将异常得分较高的边视为异常边，在对每条边e＝(i，j，进行打分之前，DDG算法要先计算得到每条边表示向量φ(e)，其具体地计算公式如下所示：其中
⊙
为哈达玛积运算，接着DDG算法再将每条边的表示向量φ(e)输入到打分函数f(
·
)中，其具体的计算公式如下：f(φ(e))＝σ(φ(e)W
a
+b)#(15)打分函数f(
·
)的取值范围为(0,1)，W
a
和b为可学习的参数，DDG算法将用公式13为每条边进行打分，由于公式13不具有对称性，即φ(i，j)≠φ(j，i)，因此打分函数f(
·
)也是不对称的，这就使得模型能够区分相同顶点方向不同的边，从而具备了检测有向异常的先前条件；同时由于许多现实数据集不包含任何异常样本或仅包含少量异常样本，所以提出了一种有向负采样的方法来提升模型的训练性能。4.根据权利要求3所述的一种有向动态图数据异常检测方法，其特征在于：所述步骤一具体为：图卷积网络RDGCN通过聚合节点中不同角色的两类邻居信息，来学习每个节点的两种表示向量，一类是节点不同角色的K
‑
跳邻居信息，一类是节点不同角色的直接邻居传递信息；而图卷积网络RDGCN背后的关键思想是，假设，图中任意两个节点v
i
和v
j
在作为源节点时，享有共同的目标节点k，即存在边v
i
→
v
j
和v
j
→
v
i
，则认为这两个节点的关系较为紧密，所以这两个节点的表示向量会有更高的相似度，除此之外，为了保留有向图中的不对称传递性质，所以直接相连的两个节点在不同的角色表示向量上，也应具有一定的相似度，并且图卷积网络RDGCN具有k
‑
跳源邻居/目标邻居和k
‑
跳源邻居/目标邻居邻接矩阵两个定义。5.根据权利要求4所述的一种有向动态图数据异常检测方法，其特征在于：定义1：k
‑
跳源邻居/目标邻居给定一张有向静态图对于所有它的k
‑
跳源邻居的定义如下：其中d(i，t)代表节点v
i
到节点v
t
的最短距离；SourceNei(v
i
，k)包含了节点v
i
作为源节点时局部邻居结构信息，同样的表示的是节点v
i
的k
‑
跳目的邻居。它包含了节点v
i
作为...

【专利技术属性】
技术研发人员：包先雨，方凯彬，黄孙杰，高祖康，李俊杰，蔡伊娜，程立勋，郑文丽，郭云，吴绍精，
申请(专利权)人：深圳大学，
类型：发明
国别省市：