CN119416130A 联网设备的异常行为检测方法、设备、计算机程序产品 （中国星网网络应用研究院有限公司）

2将所述联网设备的多变量时间序列数据输入所述因果图生成模将所述邻接矩阵和所述多变量时间序列数据输入所述加权图神经it表示在时间步长t处的变量i；表示在时间步长t-13.如权利要求1或2所述的方法，其特征在于将所述邻接矩阵和所述多变量时间序列数据输入所述加权图神经利用所述加权图卷积模块对所述邻接矩阵和所述多变量时间序列数据进行线性变换，利用所述跳跃连接和输出模块对所述第二数据进行跳跃连接处理和通道维度转换处3的对角度矩阵，a是在所述因果图上加入自floops的归一化邻接矩阵Wo6.如权利要求4或5所述的方法，其特征在于，其中，lossuse表示使用均方误差MSE的损失函数；T表示所述多变量时间序列数据的MADi=med(lerror,r-medil)，med(-)表示取中位数函数；表示时间t的集体8.如权利要求1或2所述的方法，其特征在于，还包括在所述获得因果图之后，还包括：将所述因果图和所述多将所述邻接矩阵和所述多变量时间序列数据输入所述加权图神经4将所述因果图和所述多变量时间序列数据输入所述拓扑模式增强利用所述多跳图自动编码器从所述因果图和所述多变量时间序列数据中定位出锚节所述拓扑增强处理包括模式保持增强PPA和模式打破增强至少一个存储器，其上存储指令，所述指令当被所述至少5[0008]在第四方面，提供了一种存储有机器可执行指令的非瞬时计算机可读存储介6[0012]通过在附图中对本公开的一些实施例的更详细的描述，本公开的上述和其它目图3示出了根据本公开的一些实施例的利用因果关系的组级图异常检测整体框架图4示出了根据本公开的一些实施例的熵因果图多变量时间序列异常检测框架的图5示出了根据本公开的一些实施例的拓扑模式增强的组级图框架的示意图；以及7 端设备和网络设备之间的通信可以根据任何适当的一代通信协议来执行，包括但不限以应用于卫星通信系统中。考虑到通信中的快速发展，当然也将存在未来类型的通信技术[0022]卫星上的联网设备可以指作为卫星载荷的基站(BS)或接入点(AP)，例如节点B [0024]尽管本文所述的功能可以在各种示例性实施例中在固定和/或无线网络节点中执用户设备装置可以适当地具有与固定和/或无线网络节点相关的所述的相应能力。用户设8以通过向用户设备装置提供被配置为从这些功能/节点的角度使用户设备装置执行的软件[0025]下面先介绍与本公开有关的现有技术、本公开对现有技术可能存在的问题的分图自动编码器是一种用于图数据的无监督学习模型。它基于自动编码器的思想，旨在学习图数据的低维表示和重构图数据。自动编码器是一种无监督学习模型，由编码器表示映射回原始数据空间。自动编码器的目标是通过最小化重构误差来学习数据的紧凑表都是图数据。编码器将输入图映射到一个低维向图自动编码器可以提供一种有效的方式来处理和分析复杂的图9[0032]图对比学习的核心思想是通过学习图样本之间的相似性来捕捉图的结构和特常用的图对比学习方法包括图自编码器（GraphAutoencoder）和图卷积网络（Graph融和物联网等各种领域有所应用。基于深度学习的GAD方法可以根据所研究的异常类型大致分为三个级别：节点级（Node_levelGraphAnomalyDetection，N_GAD）、子图级（Subgraph_levelGraphAnomalyDetection，Sub_GAD）和图级（Graph_levelGraph图可以提供捕获复杂依赖关系并处理可伸缩性和健壮性的能力，但联邦学习可以成为改进隐私、模型泛化和更有效学习的解决方案。图与联邦学习的结合适合分布式系统中的异常检测。因果关系提供了有价值的见解，帮助本公开确定一个传感器是否影响其他传感器的变化，到所引入的基于拓扑模式的图对比学习（TopologyPattern_basedGraphContrastive即后文提到的嵌入数据从而产生不同的异常组。[0046]图3示出了根据本公开的一些实施例的利用因果关系的组级图异常检测整体框架[0048]3.因果图生成（对应本公开后文介绍的因果图生成模型310将预处理后的时间图模型330将预处理后的时间序列数据以及因果图输入到TP_GrGAD模型中，模型包括多[0052]在此先对本公开的联网设备的多变量时间序列数据进行说明，图3中各模型的具使用专门的应用程序监测工具或性能监测工具来收集应用程序的访问量、数据读写操作、见的降维技术包括主成分分析（PrincipalComponentAnalysis，PCA）、线性判别分析[0069]图1示出了本公开一实施例的联网设备的异常行为检测方法方案。图4示出了根据本公开的一些实施例的熵因果图多变量时间序列异常检测框架的示[0075]下面先结合图4介绍熵因果图多变量时间序列异常检测框架中的具体流程。本公生成的邻接矩阵作为加权图神经网络预测模型320中阵的GNNs方法对时间序列之间的关系进行建模。本公开可以对多元时间序列进行单步预本事实，它将被标记为异常。本公开提出了一种基于中位数绝对偏差（MedianAbsolute值，则在时间步长t处系统被分类为异常。最终，基于异常评分st的预测结果表示为：x"={x,t-w…,x,t-1}预测测试样本中的值x,t。预[0084]在此先统一介绍本公开的因果图生成模型310相关的技术手段，以便于理解后文然后对每个bins的归一化计数估计时间序列测量落入该bins的概率。则信息熵H(I)可计H(I)=-Eierp(i)logzp(i)（1）其中p()表示变量Ie{1,..,D}的概率密度函数，该函数测量时间序列值xi:属定性。考虑另一个变量Je{1,...,D}对应于时间序列j:。联合熵H(I,J)通过考虑I和J之[0088]H(I,J):=-ziegeyp(i,j)logzp(i,j)（2）联合熵H(I,J)量化了精确指定两个变量值所需的平均信息量。条件熵与[0089]H(1IJ)=-zierjeyp(i,j)logzp(ili)（3）其中表示基于时间序列xi:的直方图编码中的一个可能值，其最新值在时间j:对时间序列xi:的影响越大。实现了一个采样过程，因为多元时间序列数据具有不同的序列长度和潜在的大时间步长。[0093]在此先统一介绍本公开加权图神经网络预测模型320相关的技术手段，以便于理解后文的技术方案。[0095]参考图4所示，加权GNN预测由三个主要部分组成：加权图卷积模块（对应图4的其中H(l+1)和H(1)分别表示应用图卷积运算之前的新嵌入和前一层嵌入。A=A+I是在原图上加入自floops的归一化邻接矩阵，是的对角度矩阵，o()包含式中，为归一化邻接矩阵，W,eRCXH为输入到第一隐层的权矩阵，为隐层到输出的权矩阵，f(X,A)eRN⃞F为序列长度为F的输出，[0100]对于加权GNN预测组件，输入首先通过线性层进行变换，然后传递给时间卷积模[0101]为了解决这一挑战，本公开使用多种滤波器尺寸来最大化因果卷积网络的性[0102]时间序列输入xeRT在进入时间卷积模块之前使用线性层进行变换以产生向量Z=concat(z*fx2,z*fx3,z*fxs,z*fx6)（9）r=m(k-1)+1（11）h=tanh(91*z+b1)⊙o(02*z+b2)（12）o为元素积，tanh入到第一隐层的权矩阵表示隐层到输出的权矩阵；C表示输入特征的维择z_score而不是标准的归一化技术（如min_max因为z_score确保分数被放置在一个共MADi=med(lerrori,r-med:l)给出了xi:系列的MAD值。本公开将异常事件视为全局其中max是一个聚合函数，通过在时间t的所有节点异常得其中，errori,e表示误差值；表示异常行为MADi=med(lerrori,r-med:l)，med(-)表示取中[0124]图2示出了本公开另一实施例的联网设备的异常行为检测方法的示例性流程图[0129]在此先统一介绍本公开拓扑模式增强的组级图模型330相关的技术手段，以便于理解后文的技术方案。图5示出了根据本公开的一些实施例的拓扑模式增强的组级图框架通过利用拓扑模式信息来识别组级别的异常，以及一个多跳图自动编码器（Multi_Hop图卷积学习（TopologyPattern_basedGraph学习，为了捕获拓扑模式信息，引入了两种类型的拓扑增强：模式保持增强（Pattern[0138]基于GAE的节点级异常检测的核心假设是，图中的异常节点与其相邻节点相比通[0139]基于GAE的异常检测利用重构误差来量化这种局部不一致。具体来说，使用基于z=fnc(A,x)，其中A和x分别是图的邻接矩阵和特征矩阵。然后，从生成的嵌入z中，使用解码器faec重构图结构A'和属性x':A'，。r=入·Tstru十(1-N)·Tattr（18）rsrru=zjewcolAij-A'yl（19）其中N(i)是节点i（不包括i）的邻居集，ne[0,1]是调节结构和属性误差之间的最大化作为训练目标。GCL中常用的增强包括对节点和边的扰动，例如添加或删除节点或C=fc1=(V1,E1)…,cm=(vm,Em)},visv,EisE,vci,cjEC,（22）S={S1,S2,..,sm}（23）其中si为与组ci相关的异常评分。地，Sub_GAD输出一个由节点集vsub诱导的子图ssub={vsup,Esub}，以及每个节点Sub_GAD在节点级别产生异常分数，识别的异常节点构成单个异常子图。相比之个节点级别上被认为异常的节点组成的子图。这使得TPGCL能够有效地为候选组生成嵌入。然后通过现有的SUOD和ECOD等无监督异常值上式以AK为重构目标，要求模型不仅重构一跳Svu=(UUEVU)=s,su(v,⃞)EE（26）BUSV、EVUEE。为超参数。可以帮助GNN学习[0163]树搜索算法旨在检测锚节点和之间的层次结构，表明图中存在分支关系或嵌在确定候选组之后，引入一种新的GCL变体，称为基于拓扑模式的图对比学习练目标函数的构造。扑模式与异常组共享较少的相互信息，而正面视图将共享更多的相互信息，这将有助于构建训练目标函数。PBA）分别生成正视图cp={cpa,cp2…,cpm}和负视图cn={cna,cn2,.…,cnm}。设[0173]图结构数据的表示学习应遵循图信息瓶颈(GraphInformationBottleneck,I(Y;f⃞(C,))-I(Y;f,(cn))有一个共同的最大化目标。[0178]将邻接矩阵和多变量时间序列数据输入加权图神经网络预测模型320，获得异常[0181]将因果图和多变量时间序列数据输入拓扑模式增强的组级图模型330，获得嵌入利用多跳图自动编码器从因果图和多变量时间序列数据中定位出锚节点；其中，加权GNN预测，对多变量时间序列数据的因果图结构和时间模式进行建模；3)中位偏差评[0193]处理器610