(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211011554.2 (22)申请日 2022.08.23 (71)申请人 天翼安全科技有限公司 地址 100010 北京市东城区朝阳门北 大街 19号中国电信大厦 (72)发明人 梁希望　倪魁　韦佳明　 (74)专利代理 机构 北京同达信恒知识产权代理 有限公司 1 1291 专利代理师 卢亚培 (51)Int.Cl. H04L 9/40(2022.01) H04L 43/04(2022.01) H04L 43/0876(2022.01) (54)发明名称 一种异常流量检测方法、 装置、 电子设备及 存储介质 (57)摘要 本申请涉及通信技术领域， 尤其涉及一种异 常流量检测方法、 装置、 电子设备及存储介质。 该 方法中识别各个业务流量的N个业务类型； N为大 于或等于1的整数； 根据第n个业务类型的告警系 数以及第n个业务类型的业务流量， 确定综合业 务流量； n为大于或等于1， 且小于N的整数； 在综 合业务流量大于或等于第二阈值的情况下， 生成 告警信息。 上述方案， 在异常流量检测过程中， 精 准识别用户输入的业务流量的业务类型。 根据业 务类型的告警系数及时检测异常流量， 对业务流 量形成有力防护， 提高异常流 量检测效率。 权利要求书2页 说明书20页 附图6页 CN 115412326 A 2022.11.29 CN 115412326 A 1.一种异常流 量检测方法， 其特 征在于， 所述方法包括： 识别各个业 务流量的N个业 务类型； 所述 N为大于或等于1的整数； 根据第n个业务类型的告警系数以及所述第n个业务类型的业务流量， 确定综合业务流 量； 所述n为大于或等于1， 且小于N的整数； 其中， 所述第 n个业务类型的告警系数根据 所述第n个业务类型在历史告警信 息中的预 测准确率确定； 所述历史告警信息是在一个或多个预设周期 内获得的， 所述预测准确 率为 历史综合业务流量大于或等于第一阈值的次数与所述一个或多个预设周期的数量的比值， 所述历史综合业务流量是根据所述第n个业务类型的告警系数和一个所述预设周期内所述 历史告警信息中所述第n个业 务类型的历史业 务流量确定的； 在所述综合 业务流量大于或等于第二阈值的情况 下， 生成告警信息 。 2.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 在所述告警信息 达到预设值的情况 下， 向用户发送告警； 接收用户发送的异常流 量防护指令； 将所述异常流 量防护指令下发给防护设备 执行所述异常流 量防护指令对应的操作。 3.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 根据第n个业 务类型的预测准确率， 确定所述 N个业务类型的优先级信息； 按照所述优先级信 息从高到低的顺序， 生成检测链； 所述检测链包括第 n个业务类型以 及所述第n个业 务类型的告警系数。 4.根据权利要求3所述的方法， 其特征在于， 所述按照所述优先级信息从高到低的顺 序， 生成检测链， 包括： 根据第k个检测信 息点以及所述第 k个检测信 息点的第 一告警系数， 确定所述历史综合 业务流量； 所述第k个检测信息点是所述检测链中优先级从 高到低的顺序确定的第n个业务 类型； k为大于或等于 0的整数； 在所述历史综合业务流量小于第 一阈值的情况下， 根据 所述第一告警系数和预设的步 长确定更新的第一告警系数； 在所述历史综合业务流量大于或等于所述第 一阈值的情况下， 确定所述检测链的预测 准确率； 所述预测准确率是 所述第k个 检测信息点在所述历史告警信息中的预测准确率； 在所述预测准确率大于或等于预设概率的情况下， 确定所述第 一告警系数作为所述第 k个检测信息点的告警系数。 5.根据权利要求 4所述的方法， 其特 征在于， 所述方法还 包括： 在所述检测链的预测准确率小于预设概率的情况下， 根据 所述第一告警系数和所述预 设的步长确定更新的第一告警系数； 根据所述第k个检测信息点以及所述更新的第一告警系数， 确定更新的历史综合业务 流量。 6.根据权利要求 4所述的方法， 其特 征在于， 所述方法还 包括： 在所述更新的第一告警系数达到告警系数最大值， 且所述历史综合业务流量小于所述 第一阈值， 或， 所述预测准确率小于所述预设概率的情况下， 根据第k个检测信息点以及所 述告警系数最大值， 第k+1个检测信息点以及所述第k+1个检测信息点的第二告警系数， 确 定更新的历史综合业务流量； 所述第k+1个检测信息点是所述检测链中优先级从高到低的权　利　要　求　书 1/2 页 2 CN 115412326 A 2顺序确定的第n+1个业 务类型； 在所述更新的历史综合业务流量小于所述第 一阈值的情况下， 根据所述第 二告警系数 和所述预设的步长确定更新的第二告警系数。 7.根据权利要求6所述的方法， 其特 征在于， 所述方法还 包括： 在所述更新的历史综合业务流量大于或等于所述第 一阈值的情况下， 确定更新的预测 准确率； 所述更新的预测准确率是所述第k个检测信息点和所述第k+1个检测信息点在所述 历史告警信息中的预测准确率； 在所述更新的预测准确率大于或等于预设概率的情况下， 确定所述告警系数最大值为 所述第k个检测信息点的告警系数， 确定所述更新的第二告警系数为所述第k+1个检测信息 点的告警系数。 8.根据权利要求7 所述的方法， 其特 征在于， 所述方法还 包括： 在所述更新的预测准确率小于预设概率的情况下， 根据 所述第二告警系数和所述预设 的步长确定更新的第二告警系数。 9.一种异常流 量检测装置， 其特 征在于， 包括： 识别模块， 用于识别各个业 务流量的N个业 务类型； 所述 N为大于或等于1的整数； 处理模块， 用于根据第n个业务类型的告警系数以及所述第n个业务类型的业务流量， 确定综合 业务流量； 所述n为大于或等于1， 且小于N的整数； 其中， 所述第 n个业务类型的告警系数根据 所述第n个业务类型在历史告警信 息中的预 测准确率确定； 所述历史告警信息是在一个或多个预设周期 内获得的， 所述预测准确 率为 历史综合业务流量大于或等于第一阈值的次数与所述一个或多个预设周期的数量的比值， 所述历史综合业务流量是根据所述第n个业务类型的告警系数和一个所述预设周期内所述 历史告警信息中所述第n个业 务类型的历史业 务流量确定的； 生成模块， 用于在所述综合 业务流量大于或等于第二阈值的情况 下， 生成告警信息 。 10.一种电子设备， 包括存储器， 处理器及存储在存储器上并可在处理器运行的计算机 程序， 其特征在于， 所述处理器执行所述计算机程序时实现如权利要求 1‑8中任一项 所述的 异常流量检测方法。 11.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序 被处理器执行时实现如权利要求1 ‑8中任一所述方法的步骤。 12.一种计算机程序产品， 其特征在于， 所述计算机程序产品在被计算机调用时， 使得 所述计算机执 行如权利要求1 ‑8中任一所述方法的步骤。权　利　要　求　书 2/2 页 3 CN 115412326 A 3