[发明专利]一种基于双重自注意的动态图异常检测方法

说明书

本发明公开了一种基于双重自注意的动态图异常检测方法，包括如下步骤：S1：DuSAG提取动态图的结构特征和时序特征进行异常边的检测；S2：DuSAG将结构自注意应用于图的随机游走采样得到的顶点序列，使DuSAG能够关注顶点序列中更加重要的顶点，以此增强图的结构特征学习；S3：DuSAG将时序自注意应用在不同时间戳的顶点嵌入上，使DuSAG能够捕获顶点的进化模式，学习图的时序特征。本发明引入结构自注意机制，关注更加重要的顶点，相比NetWalk增强了结构特征的提取。DuSAG引入时序自注意，学习顶点的进化模式，提取时序特征。DuSAG在检测异常数据有较好的效果以及双重自注意在异常检测的有效性。

技术领域

本发明属于动态图异常检测技术领域，具体涉及一种基于双重自注意的动态图异常检测方法。

背景技术

动态图异常检测是图领域的一个重要研究方向。动态图的异常包括：顶点异常、边异常和子图异常。动态图的许多应用都会使用边来表示复杂的拓扑结构和时序特征。因此，异常边检测是动态图异常检测技术中关键的一部分。动态图中的异常边检测有着广泛的应用，如入侵检测系统、社交网络欺诈检测等。通过挖掘动态图中的异常，可以避免一些安全事故，避免或减少经济损失。

图嵌入模型是一种可以将图上的顶点，边或子图映射到新的向量空间的模型。在新的向量空间中，嵌入可以根据不同的图嵌入方法表达出不同的属性，并且嵌入的学习是无需人工干预的。在大型复杂的图中，图嵌入模型相比传统的启发式方法的性能更佳。由于图嵌入模型性能优秀，有许多的研究基于图嵌入方法提取图的特征，利用提取到的特征进行异常检测。

NetWalk是经典并且常用的基于图嵌入的动态图异常检测算法之一。NetWalk可以随着动态图的更新而动态更新网络表示，并将更新的网络表示用于动态图异常检测。NetWalk首先通过带团嵌入的自编码器将动态图的顶点编码为向量，然后最小化随机游走中顶点嵌入的距离，并将自编码器重建误差作为全局正则化项。利用蓄水池算法，向量表示可以用恒定的空间要求来计算。学习到顶点嵌入后，采用一种基于聚类的技术来增量和动态地检测网络异常。

现有技术缺点：NetWalk是动态图异常检测方向的重要研究，但是存在着两个问题：(一)，当随机游走得到的顶点序列比较长时，NetWalk平等地对待随机游走集合上的每个顶点，由于没有关注更重要的顶点，导致方法性能下降；(二)，使用随机游走算法采样新的顶点序列用于训练，这会使得难以捕捉顶点的进化模式。这两个问题一定程度上影响了异常检测性能。为此，我们提出一种基于双重自注意的动态图异常检测方法，以解决上述背景技术中提到的问题。

发明内容

本发明的目的在于提供一种基于双重自注意的动态图异常检测方法，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于双重自注意的动态图异常检测方法，包括如下步骤：

S1：DuSAG提取动态图的结构特征和时序特征进行异常边的检测；

S2：DuSAG将结构自注意应用于图的随机游走采样得到的顶点序列，使DuSAG能够关注顶点序列中更加重要的顶点，以此增强图的结构特征学习；

S3：DuSAG将时序自注意应用在不同时间戳的顶点嵌入上，使DuSAG能够捕获顶点的进化模式，学习图的时序特征。

所述结构自注意用于进行提取图的结构特征，使用随机游走算法在图上采样顶点序列，每个序列可以被看为是一个“句子”，使用自然语言处理技术得到顶点嵌入；

DuSAG先使用Node2Vec的随机游走算法生成顶点序列，并通过对随机游走集应用结构自注意来学习结构特征，通过结构自注意，顶点嵌入捕获图局部区域的特征；