[发明专利]基于Android智能手机的应用程序行为状态转换模式识别方法

权利要求书

1.基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：该方法的具体过程为：

步骤1、按照时间间隔，系统监听模块对系统状态进行拦截，对拦截信息进行过滤、转换，并记录生成的复合状态序列，然后将复合状态序列送入到数据中心模块；

步骤2、行为学习模块从数据中心模块读取待学习的序列以及初始模型，通过重复的学习，并以一定收敛标准介绍，将学习的结果存入到数据中心模块，学习的结果即为该类应用的HMM；

步骤3、行为检测模块根据待检测应用类型设置检测策略，如果是已知类型的应用，选择相应的HMM进行一次完整的序列评估，获得检测结果；如果是未知类型的应用，首先检测待检测应用类型中是否含有不安全的行为，利用所有代表恶意行为的HMM进行多次完整序列评估，并最终输出检测结果。

2.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤1所述的系统监听模块利用交互控制模块配置监听参数，并对系统各模块的运行进行控制。

3.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤1的具体过程为：

步骤1.1、启动系统监听模块，用户设置监听参数：启动监听组件，监听应用运行时反应到系统的状态；设置监听的参数，包括监听的时间间隔的时间参数和应用名称；

步骤1.2、判断是否继续监听，如果是，则执行步骤1.3，如果否，则生成观测序列同步到数据中心模块；

步骤1.3、获取被监听应用对应的系统状态信息：包括组成复合状态的各要素，栈顶组件类型、应用当前状态、应用CPU和内存耗费情况；

步骤1.4、判断被监听的信息是否过滤，如果是，则执行步骤1.2，如果否，则执行步骤1.5；

步骤1.5、将捕捉的信息组合生成一个复合状态，并按时间顺序记录成一串复合状态序列，完成后返回步骤1.2。

4.根据权利要求3所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：步骤1.4中所述监听信息过滤的规则为：

第一、没有意义的状态；

第二、实验统计中不出现或者出现概率小于0.1的状态； 

第三、不能有效刻画复合行为的状态；

第四、显状态集合V应该是相对于S集合产生V集合的一个相对完备最小的集合。

5.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤2的具体过程为：

步骤2.1、启动行为学习模块，用户设置学习参数，并从数据中心模块中读取待学习的复合状态序列；

步骤2.2、开始一次完整的学习，读取所有的待测序列，统计各状态间转换的规律，根据统计的结果修改和学习模型参数；

步骤2.3、判断模型的学习结果是否收敛到一个稳定结果，如果是，将学习后的HMM同步到数据中心模块，如果否，则返回步骤2.2。

6.根据权利要求5所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤2.3中判断模型的学习结果是否收敛到一个稳定结果的判断标准为：用学习完的模型对所有符合序列进行评估，将所有评估结果取平均值，即获得学习完成后的模型对样本的一个认知度，设定一个上限，当相邻两次模型的认知度之差小于这个上限时，学习结果已经收敛到了一个稳定的结果，当相邻两次模型的认知度之差大于这个上限时，学习结果没有收敛到一个稳定的结果。

7.根据权利要求1所述的基于Android智能手机的应用程序行为状态转换模式识别方法，其特征在于：所述步骤3的具体过程为：

步骤3.1、启动行为检测模块，用户设置检测参数，从数据中心模块读取待测应用的复合状态序列，读取指定的HMM；

步骤3.2、从步骤3.1读取的复合状态序列中依次取出一条复合状态序列，

步骤3.3、用步骤3.1读取的HMM对取出的一条复合状态序列进行评估，判断评估结果是否正常，如果是则执行步骤3.4，如果否则执行步骤3.2；

步骤3.4、根据评估结果进行综合评估，输出检测结果。