(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211084180.7 (22)申请日 2022.09.06 (71)申请人 国网智能电网研究院有限公司 地址 102209 北京市昌平区未来科技城 滨 河大道18号 申请人 国网江苏省电力有限公司 　 国家电网有限公司客户服 务中心 (72)发明人 沈文　郭骞　俞庚申　李慧芹　 杨睿　韩维　刘一凡　 (74)专利代理 机构 北京三聚阳光知识产权代理 有限公司 1 1250 专利代理师 陈丕光 (51)Int.Cl. H04L 9/40(2022.01) G06K 9/62(2022.01)G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 一种基于行为关联挖掘的业务数据异常识 别方法及装置 (57)摘要 本发明公开了一种基于行为关联挖掘的业 务数据异常识别方法及装置， 涉及数据安全处理 领域， 该方法包括： 从业务数据中确定用户的上 网行为信息， 从上网行为信息中提取用户特征和 行为特征； 用户特征用于表征用户上网操作的操 作环境信息， 行为特征用于表征用户上网操作的 时间顺序信息； 将用户特征和行为特征输入至业 务数据识别模型中， 得到由业务数据识别模型输 出的异常行为信息； 业务数据 识别模型是基于用 户的样本行为流图训练得到的； 样 本行为流图是 基于用户的样本用户特征和样本行为特征构建 的。 本发明通过业务数据识别模型进行异常识 别， 能够对异常行为迅速地做出裁决和响应， 以 此准确实现用户行为管理限制等， 能够满足大数 据时代的发展 要求。 权利要求书4页 说明书14页 附图4页 CN 115473718 A 2022.12.13 CN 115473718 A 1.一种基于行为关联挖掘的业 务数据异常识别方法， 其特 征在于， 所述方法包括： 从业务数据中确定用户的上网行为信息， 从上网行为信息中提取用户特征和行为特 征； 用户特征用于表征用户上网操作的操作环境信息， 行为特征用于表征用户上网操作的 时间顺序信息； 将用户特征和行为特征输入至业务数据识别模型中， 得到由业务数据识别模型输出的 异常行为信息； 业务数据识别模型是基于用户的样本行为流图训练得到的； 样本行为流图 是基于用户的样本用户特 征和样本行为特 征构建的； 业务数据识别模型用于基于用户特征和行为特征构建行为流图， 确定行为流图中各个 节点对应的融合邻域特征以及基于节点的融合领域特征确定节点对应的嵌入表示特征， 并 基于从嵌入表示特征中确定得到的分类结果， 对业务数据进行异常行为预测； 节点包含了 用户特征和行为特征， 且节点之间基于行为特征进行连线， 连线用于表示节点之间的时序 关系。 2.根据权利要求1所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述业务数据识别模型包括 流图构建层、 同质用户关系网络层和异质用户消息网络层； 流图构建层用于基于用户特 征和行为特 征， 构建用户的行为 流图； 同质用户关系网络层用于基于节点以及节点的邻居节点， 对行为流图中各个节点进行 注意力运 算， 确定节点的融合邻域特 征； 邻居节点 为与当前节点存在连线的节点； 异质用户 消息网络层用于节点的融合邻域特征以及邻居节点的融合邻域特征进行注 意力运算以及语义注意力理解， 确定节点的嵌入表示特征， 基于嵌入表示特征得到分类结 果， 并基于分类结果确定异常行为信息 。 3.根据权利要求2所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述将用户特征和行为特征输入至业务数据识别模型中， 得到由业务数据识别模型输出的异 常行为信息， 具体包括： 将用户特 征和行为特 征输入至流图构建层中， 得到流图构建层输出的行为 流图； 将行为流图输入至同质用户关系网络层中， 得到同质用户关系网络层输出的节点对应 的融合邻域特 征； 将融合邻域特征输入至异质用户消息网络层中， 得到异质用户消息网络层输出的异常 行为信息； 异常行为信息包括节点以及节点对应的状态特 征。 4.根据权利要求3所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述同质用户关系网络层包括邻域卷积层、 相似度确定层、 归一化处理层和第一注意力运算 层； 邻域卷积层用于对节点、 节点的邻居节点以及节点对应的卷积权重进行卷积运算， 确 定节点的状态特 征； 状态特 征用于表征节点的标签； 相似度确定层用于确定邻居节点对应的状态特征与节点对应的状态特征之间相似系 数； 归一化处理层用于对所述相似系数进行归一化处理， 确定领域节点与节点之间的注意 力系数； 第一注意力运算层用于基于邻居节点对应的状态特征、 拼接权重以及注意力系数进行 加权处理， 确定节点对应的融合邻域特 征。权　利　要　求　书 1/4 页 2 CN 115473718 A 25.根据权利要求3所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述异质用户消息网络层包括权重学习层、 第二注意力运算层、 语义注意力理解层和预测输 出层； 权重学习层用于基于自注意力机制， 确定节点的注意力权 重； 第二注意力运算层用于基于邻居节点对应的融合邻域特征以及注意力权重进行加权 处理， 确定节点的时序特 征； 时序特 征用于表征节点的语义； 语义注意力理解层用于对节点对应的时序特征进行映射， 确定节点的语义注意力权 重， 并基于节点对应的时序特征以及语义注意力权重进行加权处理， 确定节点的嵌入表示 特征； 预测输出模块用于对确定嵌入表示特征的分类结果， 并基于分类结果输出异常行为信 息。 6.根据权利要求4所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述将行为流图输入至同质用户关系网络层中， 得到同质用户关系网络层输出的节点对应的 融合邻域特 征， 具体包括： 将行为流图输入至邻域卷积层中， 得到邻域卷积层输出的节点对应的状态特 征； 将节点特 征输入至相似度确定层中， 得到相似度确定层输出的节点之间的相似系数； 将相似系数输入至归一化处理层中， 得到归一化处理层输出的节点之间的注意力系 数； 将节点的邻居节点对应的状态特征、 拼接权重以及注意力系数输入至第 一注意力运算 层中， 得到第一注意力运 算层输出的节点对应的融合邻域特 征。 7.根据权利要求5所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述将融合邻域特征输入至异质用户消息网络层中， 得到异质用户消息网络层输出的异常行 为信息， 具体包括： 将融合邻域特征输入至权重学习层中， 得到权重学习层输出的节点对应的注意力权 重； 将节点的融合邻域特征以及注意力 权重输入至第 二注意力运算层中， 得到第 二注意力 运算层输出的节点对应的时序特 征； 将时序特征输入至语义注意力理解层中， 得到语义注意力理解层输出的节点对应的嵌 入表示特 征； 将嵌入表示特 征输入至预测输出模块中， 得到预测输出模块输出的异常行为信息 。 8.根据权利要求1所述的基于行为关联挖掘的业务数据异常识别方法， 其特征在于， 所 述业务数据识别模型通过以下步骤训练得到： 从样本行为流图中确定样本节点的样本状态特征； 样本行为流图中各个样本节点包含 了样本用户特征和样本行为特征， 样本节点之间基于样本行为特征进行连线， 连线用于表 示样本节点之间的时序关系； 将样本行为流图作为训练使用的输入数据， 将样本节点对应的样本状态特征作为训练 使用的标签， 采用深度学习的方式进行训练， 得到用于生成用户的上网行为信息的异常行 为信息的业 务数据识别模型。 9.一种基于行为关联挖掘的业 务数据异常识别装置， 其特 征在于， 所述装置包括：权　利　要　求　书 2/4 页 3 CN 115473718 A 3