[发明专利]用于建模在线商务行为和检测异常值的自动化分析系统

说明书

背景

数据驱动的电子商务环境必须处理极其大量的数据。这些大量数据可以使得难以监控电子商务系统的一般健康并且回答每天的商务问题，诸如门户是否正常地运行、或为什么今天的商务与昨天的商务不同、或为什么它与最后一个星期同一天的商务不同。

数据源可能遍布公司。例如，计算机使用信息可以被公司的信息技术(IT)部门使用，并且销售信息可以被公司的销售和市场营销部门使用。一些数据源可以给出相同的结果，而其他数据源可能变得过时并且对商务无影响。所有这些不同类型的信息可能产生使得在企业系统中的重要商务事件模糊不清的垃圾效果。

选择性的独立(单变量)统计手段可以试探性地拾取用于在企业系统中的监控的重要信息源，但是不可识别可能是系统异常的原因的其他重要事件。监控独立的数据项目也可能产生误报警，其可以减少报告系统的可信度。

附图说明

图1描述了网络会话分析系统的示例。

图2描述了用于建模正常网络消费者活动和识别异常值的示例处理。

图3描述了用于处理网络会话事件的操作的示例。

图4A和4B描述了示出网络会话事件的出现的表格的示例。

图5描述了用于建立用于网络会话数据的主分量模型的处理的示例。

图6A和6B描述了示出用于网络会话模型的主分量的图形的示例。

图7A和7B描述了相对于从网络会话事件产生的模型的两个不同距离的示例。

图8A-8E描述了识别异常值和异常值之一的事件贡献的图表的示例。

图9描述了用于识别最重要的(significant)贡献事件的处理的示例。

图10描述了用于在实时监控时段识别最重要的贡献事件的处理的示例。

图11描述了用于识别重要的用户界面事件的处理的示例。

具体实施方式

图1描述了分析系统130的示例，该分析系统130自动地生成用于正常的网络会话活动的模型，并且使用该模型来识别异常值(outlier)和检测重要的网络会话事件。分析系统130访问从被称为会话档案132的数据库访问存储的网络会话事件数据118。网络会话事件数据118可以包含在网络会话100期间关于用户体验的重要信息。然而，如上所述，披露这个信息可能不是直接的。例如，在在线销售中的降低可能与在某个时段连贯地出现的一组网络会话事件相关联。在该情况下，实际上不可能通过随意选取(cherry-picking)和监控独立的事件数据而检测和解释该异常。而且，从会话档案132错误地选择的其他网络会话事件118可能产生其他错误消息，错误消息阻碍操作员将特定用户界面事件数据的重要性(significance)与在销售上的降低相关。

分析系统130通过下述方式来处理这些问题：分析整个的一组可获得网络会话事件，并且自动地仅选择在信息上对于模型重要的那些事件。以这种方式，分析系统130实际上通过下述方式将与太多的网络会话事件相关联的问题变为资源(asset)：使用大量的不同网络会话事件来产生电子商务系统的更整体的模型，而且同时隔离异常电子商务系统行为的最可能的起因。

分析系统130产生网络会话模型136，该网络会话模型136建模正常的运行的网络会话。模型136可以识别在模型空间中的异常值，该异常值指示不寻常的网络会话操作，并且识别对于异常值具有最高贡献的网络会话事件142的列表。

网络会话建模也可以最小化误报警的数量。例如，特定事件当被单独分析时可能看起来是异常值。然而，多变量网络会话模型可以确定这样的网络会话条件与正常的网站操作相关联，或者可以确定特定的网络会话事件对于异常的网络会话条件具有很小的重要性。分析系统130也可以识别可能在网络会话面向中以相同的方式操作但是可能被给出不同的事件名称的复制网络会话事件。例如，产生相同结果的事件可以不注意地由公司的不同部门创建的＝＝。可以然后从进一步的捕获操作去除复制事件之一。

网络会话事件

可以在操作在网络服务器102上网络应用104和不同的用户装置110之间进行网络会话100。网络应用104可以被配置用于任何类型的在线会话，诸如在线购买或在线金融服务。当然，这些仅是示例，并且可以使用网络应用104来执行任何类型的基于电子网络的事务或在线活动。