基于GRU-AE网络的多视角业务流程异常检测方法、系统以及设备技术方案

本发明专利技术提供了一种基于GRU

【技术实现步骤摘要】
基于GRU
‑
AE网络的多视角业务流程异常检测方法、系统以及设备


[0001]本专利技术涉及数据异常检测领域，尤其涉及一种基于GRU
‑
AE网络的多视角业务流程异常检测方法、系统以及设备。

技术介绍

[0002]随着信息化的发展，企业越来越依赖流程感知信息系统(PAISs)来优化其流程。然而，现实生活中的流程中，异常现象无处不在，导致这些异常现象的发生有许多原因，如软件故障或操作员错误。检测业务流程执行中的异常情况是非常有意义的。一方面，尽早发现这些在业务流程执行过程中产生的异常情况，对企业的健康运行起着至关重要的作用。另一方面，为了优化流程，高质量的事件日志是必不可少的，事件日志中的异常应被检测和删除。例如，流程挖掘(PM)提供了理解和优化流程的技术。然而，大多数现有的流程挖掘技术只有在事件日志是干净的(即没有异常)时才有效。
[0003]事件日志包含多个维度的信息，如活动、资源、数据和时间，并且这些信息之间存在复杂的内在关系。例如，活动的执行遵循一定的顺序(控制流依赖)；数据在每个活动中被传递和修改(数据流依赖)；不同的活动根据不同的数据值执行(控制流和数据流耦合)；活动的持续时间不同(时间依赖)；不同的活动由不同的机器或用户执行(资源依赖)。事件日志的异常可以分为六类，即：跳过、插入、重做、提前、延误和属性异常，其中前五类异常可称为控制流异常，是由活动执行顺序中的错误引起的。资源、数据和时间的错误都被归类为属性异常。复杂的依赖关系和多样化的异常情况给业务流程中的异常检测带来了巨大的挑战。

技术实现思路

[0004]本专利技术的目的之一在于提供一种基于GRU
‑
AE网络的多视角业务流程异常检测方法、系统以及设备，通过训练一个能够重建正常行为的以GRU为主要结构的自编码器，训练好的模型被用来检测事件日志中的异常。
[0005]为了实现本专利技术的至少一个专利技术目的，本专利技术提供了一种基于GRU
‑
AE网络的多视角业务流程异常检测方法，所述基于GRU
‑
AE网络的多视角业务流程异常检测方法包括以下步骤：
[0006]数据预处理，执行事件日志的预处理；
[0007]执行模型训练；以及
[0008]异常检测，将获取的特征输入训练后的模型，以获得属性级的异常分数，并根据阈值，将轨迹或者属性标记为异常或正常；
[0009]其中，所述数据预处理步骤还包括步骤：获取事件日志的每一个轨迹，在第一个事件之前添加一个虚拟的开始事件，在最后一个事件之后添加一个虚拟的结束事件，将事件日志转换为三阶张量，作为待输入的特征；
[0010]其中，所述执行模型训练步骤还包括步骤：GRU
‑
AE网络基于转换后的三维张量执行模型训练，学习事件日志中的正常行为，其中损失函数基于交叉熵准则，重建每个事件的每个属性在每个轨迹的属性值，公式为：
[0011][0012]公式中，t表示轨迹，e表示事件，a表示属性，T表示日志中的轨迹数量，E表示在日志中的轨迹的最大长度，A表示属性个数；
[0013]其中，所述异常检测步骤还包括步骤：异常分数被定义为在概率分布中大于指定属性值v的概率p
v
的所有概率之和，公式为：
[0014][0015]其中，通过使用一个阈值τ，将异常分数映射为0或1，0表示正常，1表示异常。
[0016]在一些实施例中，其中使用可能包含异常轨迹的事件日志进行训练，学习正常行为，用于检测异常，根据属性级的异常分数的阈值，从而事件日志中重建误差大的部分被判定为异常。
[0017]在一些实施例中，其中所述基于GRU
‑
AE网络的多视角业务流程异常检测方法还包括步骤：GRU
‑
AE网络训练过程中执行教师强迫方法。
[0018]在一些实施例中，其中还包括步骤：提供包括多个编码器和解码器的网络结构，属性集合中的每个属性被分配了一个编码器和一个解码器，在编码器中，以双向GRU作为主要结构，学习特征的表示；在解码器中，以GRU为主要结构，重建正常行为；引入注意力机制。
[0019]在一些实施例中，其中所述模型训练步骤中，还包括步骤：使用批量归一化和随机失活方法，以抵制过度拟合。
[0020]根据本专利技术的另一方面，还提供了一种基于GRU
‑
AE网络的多视角业务流程异常检测设备，包括：
[0021]存储器，用于存储软件应用程序，
[0022]处理器，用于执行所述软件应用程序，所述软件应用程序各程序相对应地执行所述的基于GRU
‑
AE网络的多视角业务流程异常检测方法中的步骤。
[0023]根据本专利技术的另一方面，还提供了一种基于GRU
‑
AE网络的多视角业务流程异常检测系统，所述基于GRU
‑
AE网络的多视角业务流程异常检测系统包括事件日志预处理单元、模型训练单元以及异常检测单元，所述事件日志预处理单元执行事件日志的预处理，获取事件日志的每一个轨迹，在第一个事件之前添加一个虚拟的开始事件，在最后一个事件之后添加一个虚拟的结束事件，将事件日志转换为三阶张量，作为待输入的特征；所述模型训练单元执行模型训练，所述异常检测单元获取所述事件日志预处理单元的特征输入所述模型训练单元训练后的模型，以获得属性级的异常分数，并根据阈值，将轨迹或者属性标记为异常或正常；
[0024]其中，所述模型训练单元中重建每个事件的每个属性在每个轨迹的属性值的公式为：
[0025][0026]公式中，t表示轨迹，e表示事件，a表示属性，T表示日志中的轨迹数量，E表示在日志中所有轨迹的最大长度，A表示属性个数；
[0027]其中，所述异常检测单元中异常分数被定义为在概率分布中大于指定属性值v的概率p
v
的所有概率之和，公式为：
[0028][0029]其中，通过使用一个阈值τ，将异常分数映射为0或1，0表示正常，1表示异常。
[0030]在一些实施例中，其中所述模型训练单元设置有GRU
‑
AE网络模型，通过无监督学习训练模型，所述模型训练单元为属性集合中的每个属性指定了一个编码器和一个解码器，所有编码器输出的向量h被输入到每个解码器，而每个编码器输出的向量s被输入到相应的解码器，所述模型训练单元在所述GRU
‑
AE网络模型中引入注意力机制以及在自动编码器训练过程中引入教师强迫方法，通过注意力机制识别哪些事件的哪些属性与该解码器相关的属性的下一个目标值有关，并对这些属性值给予高的注意力权重。
[0031]在一些实施例中，其中批量归一化和随机失活方法被应用于所述基于GRU
‑
AE网络的多视角业务流程异常检测系统的网络结构中，以抵制过度拟合。
[0032]在一些实施例中，其中所述模型训练单元执行模型训练时，以交叉熵作为损失函数的主要组成部分本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于GRU
‑
AE网络的多视角业务流程异常检测方法，其特征在于，所述基于GRU
‑
AE网络的多视角业务流程异常检测方法包括以下步骤：数据预处理，执行事件日志的预处理；执行模型训练；以及异常检测，将获取的特征输入训练后的模型，以获得属性级的异常分数，并根据阈值，将轨迹或者属性标记为异常或正常；其中，所述数据预处理步骤还包括步骤：获取事件日志的每一个轨迹，在第一个事件之前添加一个虚拟的开始事件，在最后一个事件之后添加一个虚拟的结束事件，将事件日志转换为三阶张量，作为待输入的特征；其中，所述执行模型训练步骤还包括步骤：GRU
‑
AE网络基于转换后的三维张量执行模型训练，学习事件日志中的正常行为，其中损失函数基于交叉熵准则，重建每个事件的每个属性在每个轨迹的属性值，公式为：公式中，t表示轨迹，e表示事件，a表示属性，T表示日志中的轨迹数量，E表示在日志中的轨迹的最大长度，A表示属性个数；其中，所述异常检测步骤还包括步骤：异常分数被定义为在概率分布中大于指定属性值v的概率p
v
的所有概率之和，公式为：其中，通过使用一个阈值τ，将异常分数映射为0或1，0表示正常，1表示异常。2.如权利要求1所述的基于GRU
‑
AE网络的多视角业务流程异常检测方法，其中使用包含异常轨迹的事件日志进行训练，学习正常行为，用于检测异常，根据异常分数的阈值，从而事件日志中重建误差大的部分被判定为异常。3.如权利要求1所述的基于GRU
‑
AE网络的多视角业务流程异常检测方法，其中所述基于GRU
‑
AE网络的多视角业务流程异常检测方法还包括步骤：在GRU
‑
AE网络训练过程中执行教师强迫方法。4.如权利要求1所述的基于GRU
‑
AE网络的多视角业务流程异常检测方法，其中还包括步骤：提供包括多个编码器和解码器的网络结构，属性集合中的每个属性被分配了一个编码器和一个解码器，在编码器中，以双向GRU作为主要结构，学习特征的表示；在解码器中，以GRU为主要结构，重建正常行为；引入注意力机制。5.如权利要求1至4中任一所述的基于GRU
‑
AE网络的多视角业务流程异常检测方法，其中所述模型训练步骤中，还包括步骤：使用批量归一化和随机失活方法，以抵制过度拟合。6.一种基于GRU
‑
AE网络的多视角业务流程异常检测设备，其特征在于，包括：存储器，用于存储软件...

【专利技术属性】
技术研发人员：王伟，曹健，关威，
申请(专利权)人：上海技群信息科技有限公司，
类型：发明
国别省市：