[发明专利]一种基于大数据和人工智能的异常识别装置

权利要求书

1.一种基于大数据和人工智能的异常识别装置，其特征在于：包括以下几个阶段，

(1)行为萃取阶段，在此阶段完成对IT管理操作行为从原始信息中的提取，提供给后续的基线生成和异常检测；

(2)用户分群阶段，在此阶段完成对于行为数据的去重聚类，以及根据行为特征分布情况进行用户群体分群；

(3)基线生成阶段：此阶段在各个群体内部计算行为基线，包括行为时间分布基线和行为序列基线；

(4)异常实时检测阶段，此阶段将根据行为时间分布基线和行为序列基线对实时进入系统的行为数据进行异常检测；

(5)异常行为预测阶段，该阶段有两种预测方法，一种是基于以及被确认的异常行为进行反向学习的预测方法，另一种是基于历史行为模式的风险预测方法；

(6)异常结果处理阶段：该阶段主要负责剔除非异常结果、生成行为轨迹以及触发告警和联动控制动作。

2.根据权利要求1所述的一种基于大数据和人工智能的异常识别装置，其特征在于：所述步骤(1)包括以下步骤方法：

(a)IT管理操作行为的数字化留痕通常位于操作日志及操作记录数据库中，相关数字化留痕信息包括操作发起者、操作事件、操作行为和操作地点和被操作对象的五元组信息；

(b)通过API和数据接口对接等方式将相关的行为留痕信息获取到软件系统中；

(c)将行为留痕中的五元组信息进行萃取并存储于系统中。

3.根据权利要求1所述的一种基于大数据和人工智能的异常识别装置，其特征在于：所述步骤(2)包括以下步骤方法：

(a)将当前时间点过去六个月数据作为分群依据；

(b)统计计算历史上每个行为在每个用户的每个时间周期内的行为频数值；

(c)基于上述的频数值进行聚类计算并判定聚类结果之间的欧氏距离关系，并进行多次迭代，当所有结果之间的欧式距离平均值最远时迭代结束，此时各个用户群体的行为特征分离度最显著，用户分群完成；

(d)系统自动每个月执行分群计算。

4.根据权利要求1所述的一种基于大数据和人工智能的异常识别装置，其特征在于：所述步骤(3)包括以下步骤方法：

(a)遍历每个群体的各行为在每个时间周期内操作频数的数值分布；

(b)将每个行为的数据进行正态分布拟合；

(c)系统根据3sigma原则，自动选取置信区间上下界数据；

(d)根据行为分布概率密度动态生成行为陡增因子与行为陡降因子；

(e)根据行为频数基线数量自动生成动态容忍区间，至此行为时间分布基线完成；

(f)基于行为特征序列的先后顺序服从马尔可夫性；

(g)对训练数据的切分2-gram的行为对，并进行统计分析倒序排列，根据统计数据计算行为对权重；

(h)根据行为对关系和权重生产行为知识图谱，代表所有行为之间的关系和序列概率；

(I)将训练数据切分为滑动行为序列，并对比行为知识图谱，计算所有序列的序列权重总值；

(j)根据3sigma原则，自动选取置信区间上下界数据；

(k)至此行为序列基线完成；

(L)系统将每周自动执行该基线训练。

5.根据权利要求1所述的一种基于大数据和人工智能的异常识别装置，其特征在于：所述步骤(4)包括以下步骤方法：

(a)系统在每个时间窗到达，根据每种不同的行为数据周期设定有所不同，时将实时进行基线对比检测。

(b)系统将发现以下异常情况：

a)新增行为类型：当某一行为从未在该群体的历史行为中出现过，即视为新增行为类型；

b)群体总行为单位时间内数量突增或突降，某群体在一单位时间内的总行为数量超越了历史上训练样本中该单位时间总行为平均值的3倍；

c)个体行为频数对比行为时间分布基线值突增/突降，在某一群体中，某个行为在一单位时间内的行为数量超越了历史上训练样本中该行为频数所生成基线的3sigma区域；

d)个体行为序列偏离行为序列基线,在某一群体中，某个大于4的行为序列的综合权重值小于基于3sigma原则生成的综合权重下阈值。