使用推升式决策树桩和联合特征选择及剔选算法来对移动设备行为进行高效分类的方法 ...的制作方法
【专利说明】使用推升式决策树巧和联合特征选择及剔选算法来对移动 设备行为进行高效分类的方法和系统
[0001] 相关申请
[000引本申请要求于2013年9月5日提交的题为"Methods and Systems of Using Boosted Decision Stumps and Joint Feature Selection and Pruning Algorithms for 化e Efficient Classification of Mobile Device Behaviors(使用推升式决策树粧和 联合特征选择及修枝算法来对移动设备行为进行高效分类的方法和系统）"的美国临时 申请No. 61/874,129、于2013年1月2日提交的题为"On-Device Real-Time Behavior Analyzer(设备上的实时行为分析器）"的美国临时专利申请No. 61/748, 217、W及于2013 年1月2日提交的题为"Architec1:ure for Client-Cloud Behavior Analyzer(用于客户 端-云行为分析器的架构）"的美国临时专利申请No. 61/748, 220的优先权权益，W上所有 申请的全部内容通过援引纳入于此。
[000引背景
[0004] 蜂窝和无线通信技术在过去数年已见证爆发式增长。此增长已被更好的通信、硬 件、更大的网络、W及更可靠的协议推动。结果，无线服务提供方现在能够向他们的消费者 提供空前程度的对信息、资源、和通信的访问。
[0005] 为了跟上该些服务增强，移动电子设备（例如，蜂窝电话、平板设备、膝上型计算 机等）已变得比W往任何时候都更强大且更复杂。该种复杂性为恶意软件、软件冲突、硬件 故障、W及其他类似差错或现象造成了负面影响移动设备的长期和持续性能W及功率利用 水平的新机会。相应地，标识并纠正可能负面地影响移动设备的长期和持续性能W及功率 利用水平的状况和/或移动设备行为对消费者而言是有益的。
[0006] 概述
[0007] 各方面包括在移动设备中生成精简行为分类器模型的方法，其可包括在移动设备 的处理器中接收包括有限状态机的完整分类器模型，W及在移动设备中使用该完整分类器 模型来生成精简分类器模型。该有限状态机可包括适合转换成或表达为多个推升式决策树 粧的信息，且每个推升式决策树粧可包括测试条件和权重值。在一方面，该方法可进一步 包括在移动设备中使用该精简分类器模型来将该移动设备的行为分类为良性或非良性的 (良P，恶意的、使性能降级的、等等）。
[000引在一方面，基于完整分类器模型来生成精简分类器模型可包括；将完整分类器模 型中所包括的有限状态机转换成推升式决策树粧列表，W及基于推升式决策树粧列表中所 包括的推升式决策树粧来生成精简分类器模型。
[0009] 在一方面，基于完整分类器模型来生成精简分类器模型可进一步包括；确定为了 分类移动设备行为而应当评估而又不消耗该移动设备的过量处理、存储器或能量资源的独 特测试条件的数目，通过顺序地遍历该推升式决策树粧列表并将与每个顺序地遍历的推升 式决策树粧相关联的测试条件插入测试条件列表直至该测试条件列表可包括所确定数目 的独特测试条件来生成该测试条件列表，W及生成精简分类器模型W仅包括测试所生成的 测试条件列表中包括的多个测试条件之一的那些推升式决策树粧。
[0010] 在一方面，该方法可包括在移动设备中使用精简分类器模型通过如下操作来将移 动设备的行为分类为良性或非良性：将所收集的行为信息应用于精简分类器模型中的每个 推升式决策树粧，计算将所收集的行为信息应用于精简分类器模型中的每个推升式决策树 粧的结果的加权平均，W及将该加权平均与阔值作比较。
[0011] 在一方面，基于完整分类器模型来生成精简分类器模型可包括；将完整分类器模 型中所包括的有限状态机转换成推升式决策树粧列表，W及基于推升式决策树粧列表中所 包括的推升式决策树粧来生成精简分类器模型族，该精简分类器模型族包括该精简分类器 模型W及多个附加精简分类器模型，该多个附加精简分类器模型中的每一者包括不同数目 的独特测试条件。
[0012] 在一方面，生成精简分类器模型可包括生成多个精简分类器模型，每个精简分类 器模型包括使用不同权重值和不同阔值来测试第一条件的决策树粧。在一方面，该方法可 包括重新计算与在移动设备中基于完整分类器模型生成的多个精简分类器模型中的推升 式决策树粧相关联的阔值。在一方面，该方法可包括重新计算与在移动设备中基于完整分 类器模型生成的多个精简分类器模型中的推升式决策树粧相关联的权重值。
[0013] 在一方面，该方法可包括在服务器中通过W下操作来生成完整分类器模型；在服 务器中接收关于移动设备行为的信息素材库，W及基于关于移动设备行为的信息素材库来 生成有限状态机W包括适合转换成多个推升式决策树粧的数据，W及将有限状态机作为完 整分类器模型发送给移动设备。在一方面，该多个测试条件中的每个测试条件与概率值相 关联，该概率值标识其相关联的测试条件将使得移动设备能确定移动设备行为是否为良性 的可能性，该方法进一步包括：在将有限状态机作为完整分类器模型发送给移动设备之前 基于概率值来组织有限状态机中的推升式决策树粧。
[0014] 进一步的方面包括一种具有处理器的移动计算设备，该处理器配置有处理器可执 行指令W执行上述方法的操作。
[0015] 进一步的方面包括其上存储有处理器可执行软件指令的非瞬态计算机可读存储 介质，该些软件指令被配置成使移动设备中的处理器执行上述方法的操作。
[0016] 进一步的方面包括一种系统，其包括：包括设备处理器的移动设备；W及服务器， 其配置有服务器可执行指令W执行操作，该些操作包括；接收关于移动设备行为的信息素 材库，基于该信息素材库来生成有限状态机并包括适合转换成多个推升式决策树粧的数 据，每个推升式决策树粧包括测试条件和权重值，W及将有限状态机作为完整分类器模型 发送给移动设备。在一方面，该设备处理器可配置有处理器可执行指令W用于执行操作，该 些操作包括；接收完整分类器模型，在移动设备中基于所接收的完整分类器模型来生成精 简分类器模型，W及使用该精简分类器模型来将该移动设备的行为分类为良性或非良性。
[0017] 在一方面的系统中，该设备处理器可配置有处理器可执行指令W执行操作，W使 得基于完整分类器模型来生成精简分类器模型包括：将完整分类器模型中所包括的有限状 态机转换成推升式决策树粧列表；确定为了分类移动设备的行为而应当评估而又不消耗该 移动设备的过量处理、存储器或能量资源的独特测试条件的数目；通过顺序地遍历推升式 决策树粧列表并将与每个顺序地遍历的推升式决策树粧相关联的测试条件插入测试条件 列表直至该测试条件列表包括所确定数目的独特测试条件来生成该测试条件列表；W及生 成精简分类器模型W包括推升式决策树粧列表中所包括的测试所生成的测试条件列表中 所包括的多个测试条件之一的推升式决策树粧。
[0018] 在一方面的系统中，该设备处理器可配置有处理器可执行指令W执行操作，W使 得使用精简分类器模型来分类移动设备的行为包括：将所收集的行为信息应用于该精简分 类器模型中的每个推升式决策树粧，计算将所收集的行为信息应用于该精简分类器模型中 的每个推升式决策树粧的结果的加权平均，W及将该加权平均与阔值作比较。在一方面的 系统中，该设备处理器可配置有处理器可执行指令W执行操作，W使得基于完整分类器模 型来生成精简分类器模型包括：将完整分类器模型中所包括的有限状态机转换成推升式决 策树粧列表，W及基于推升式决策树粧列表中所包括的推升式决策树粧来生成精简分类器 模型族，该精简分类器模型族包括该精简分类器模型W及多个附加精简分类器模型，该多 个附加精简分类器模型中的每一者包括不同数目的独特测试条件。
[0019] 在一方面的系统中，该设备处理器可配置有处理器可执行指令W执行操作，W使 得基于完整分类器模型来生成精简分类器模型包括；生成多个精简分类器模型，每个精简 分类器模型包括使用不同权重值和不同阔值来测试第一条件的决策树粧。在一方面的系统 中，该设备处理器可配置有处理器可执行指令W用于执行操作，该些操作进一步包括；重新 计算与该多个精简分类器模型中的推升式决策树粧相关联的阔值和权重值。
[0020] 在一方面的系统中，服务器可配置有服务器可执行指令W用于执行操作，W使得 该多个测试条件中的每个测试条件与概率值相关联，该概率值标识其相关联的测试条件将 使得移动设备能确定移动设备行为是否为良性的可能性。在一方面的系统中，服务器可配 置有服务器可执行指令W用于执行操作，该些操作进一步包括在将有限状态机作为完整分 类器模型发送给移动设备之前基于概率值来组织有限状态机中的推升式决策树粧。
[0021] 附图简述
[0022] 纳入本文且构成本说明书一部分的附图解说了本发明的示例性方面，并与W上给 出的一般描述和下面给出的详细描述一起用来解释本发明的特征。
[0023] 图1是解说适合与各种方面联用的示例电信系统的网络组件的通信系统框图。
[0024] 图2是解说一方面的移动设备中被配置成确定特定移动设备行为是恶意的、使性 能降级的、可疑的、还是良性的示例逻辑组件和信息流的框图。
[0025] 图3是解说包括网络服务器的一方面的系统中的示例组件和信息流的框图，该网 络服务器被配置成与移动设备协作W确定特定移动设备行为是恶意的、使性能降级的、可 疑的、还是良性的。
[0026] 图4是解说包括移动设备的一方面的系统中的示例组件和信息流的框图，该移动 设备被配置成从完整分类器模型生成目标定向的且精简的分类器模型而无需重新训练数 据、行为向量或分类器模型。
[0027] 图5A是解说在移动设备中生成精简分类器模型的一方面的移动设备方法的过程 流图，该精简分类器模型包括从网络服务器接收到的完整分类器模型中所包括的特征和数 据点的子集。
[002引图5B是解说在移动设备中本地生成精简分类器模型的另一方面的移动设备方法 的过程流图。
[0029] 图5C是解说使用本地生成的精简分类器模型来分类移动设备的行为的一方面的 移动设备方法的过程流图。
[0030] 图5D是解说在移动设备中生成精简分类器模型的又一方面的移动设备方法的过 程流图。
[0031] 图6A是解说在网络服务器中生成完整分类器模型的一方面的网络服务器方法的 过程流图，该完整分类器模型包括适合由移动设备用于生成目标更集中和更精简的分类器 模型的推升式决策树粧。
[0032] 图6B是解说根据各方面的适合用于生成推升式决策树粧分类器的示例方法的过 程流图。
[0033] 图7是根据一方面的生成包括推升式决策树粧的分类器模型的示例方法的过程 流图。
[0034] 图8是可由一方面的服务器处理器生成并由移动设备处理器用来生成精简分类 器模型的示例推升式决策树粧的解说。
[0035] 图9是解说根据一方面的被配置成执行动态和自适应观测的观测器模块中的示 例逻辑组件和信息流的框图。
[0036] 图10是解说根据另一方面的实现观测器守护进程的计算系统中的逻辑组件和信 息流的框图。
[0037] 图11是解说用于在移动设备上执行自适应观测的一方面方法的过程流图。
[003引图12是适于在一方面中使用的移动设备的组件框图。
[0039] 图13是适于在一方面中使用的服务器设备的组件框图。
[0040] 详细描述
[0041] 将参照附图详细描述各种方面。在可能之处，相同附图标记将贯穿附图用于指代 相同或类似部分。对特定示例和实现所作的引用是用于解说性目的，而无意限定本发明或 权利要求的范围。
[0042] 措辞"示例性"在本文中用于表示"用作示例、实例或解说"。本文中描述为"示例 性"的任何实现不必然被解释为优于或胜过其他实现。
[0043] 概言之，各种方面包括用于高效地标识、分类、建模、防止和/或纠正常常使移动 设备的性能和/或功率利用水平随时间降级的状况和/或移动设备行为的网络服务器、移 动设备、系统和方法。网络服务器可被配置成从中央数据库（例如，"云"）接收关于各种 状况、特征、行为和纠正性动作的信息，并使用此信息来生成W能由移动设备快速地转换成 一个或多个精简分类器模型的格式或结构来描述大型行为信息素材库的完整分类器模型 (即，数据或行为模型）。
[0044] 在一方面，完整分类器模型可W是大型行为信息素材库的有限状态机描述或表 示。在一方面，该有限状态机可包括适于表达为多个推升式决策树粧的信息。例如，该有限 状态机可W是可表达为推升式决策树粧族的信息结构，该些推升式决策树粧共同地标识、 描述、测试、或评估与确定移动设备行为是否为良性或是否造成该移动设备随时间推移的 性能降级相关的所有或许多特征和数据点。网络服务器可随后将完整分类器模型（即，包 括有限状态机和/或推升式决策树粧族等的信息结构）发送给移动设备。
[0045] 移动设备可被配置成接收并使用完整分类器模型来生成精简分类器模型或有不 同复杂度水平（或"精简度"）的精简分类器模型族。为完成此举，移动设备可剔选出从网 络服务器接收的完整分类器模型（本文称为"完整推升式决策树粧分类器模型"）中所包括 的稳健推升式决策树粧族，w生成包括缩减数目的推升式决策树粧和/或评估有限数目的 测试条件的精简分类器模型。对完整推升式决策树粧分类器模型的此剔选可通过W下方式 来完成：选择一推升式决策树粧；标识依赖于与所选决策树粧相同的移动设备状态、特征、 行为或状况（且由此可基于一个确定结果而被应用）的所有其他推升式决策树粧；在精简 分类器模型中包括所选推升式决策树粧和所有标识出的依赖于相同移动设备状态、特征、 行为或状况的其他推升式决策树粧；W及针对尚未被包括在精简分类器模型中的有限数目 个所选推升式决策树粧重复该过程。W此方式，可生成包括依赖于有限数目个不同移动设 备状态、特征、行为或状况的所有推升式决策树粧的精简分类器模型。移动设备随后可使用 该本地生成的精简分类器模型来快速地分类移动设备行为，而不会消耗其过量处理、存储 器或能量资源。
[0046] 在一方面，移动设备可使用不同数目个不同移动设备状态、特征、行为或状况来数 次执行剔选完整推升式决策树粧分类器模型的操作，W生成有不同精简度的精简分类器模 型族。用于创建精简分类器模型的不同移动设备状态、特征、行为或状况的数目越大，该模 型将越有可能准确地标识恶意或可疑行为，但将消耗越多处理能力。由此，在一方面，移动 设备可被配置成例行地应用精简分类器模型族中最精简的分类器模型（即，基于最少数目 的不同移动设备状态、特征、行为、或状况的模型）。如果最精简的分类器模型所生成的结果 是可疑的，则移动设备处理器可应用评估更多设备状态、特征、行为、或状况的更强的（即， 精简度较低的）分类器模型，W确定该行为能被标识为恶意的还是良性的。如果通过应用 该精简度较低的分类器模型所生成的结果仍是可疑的，则可应用甚至更强的（精简度甚至 更低的）分类器模型，依此类推，直至该行为被确定性地分类为恶意的或良性的。
[0047] 通过将关于此类行为和纠正性动作的信息存储在中央数据库（例如，"云"）中，并 且将移动设备和网络服务器配置成彼此协作W使用存储在中央数据库中的该信息来智能 且高效地标识造成每个移动设备的性能和功率利用水平随时间降级的因素，各方面使得移 动设备能更准确且高效地标识并响应于该移动设备的限制性能的和不期望的操作状况。
[0048] 另外，通过在网络服务器中生成包括推升式决策树粧的分类器模型并将该些分类 器/模型发送给移动设备，各种方面允许移动设备通过W上述方式剔选出数个推升式决策 树粧来在移动设备中快速且高效地生成精简（或目标更集中的）分类器模型，而无需访问 训练数据或进一步与网络服务器、中央数据库、或云网络/服务器通信。该显著减少了移动 设备对网络的依赖性，并进一步改善了移动设备的性能和功耗特性。
[0049] 有数种不同的蜂窝和移动通信服务和标准可用或在将来被构想，其皆可实现各方 面并受益于各方面。此类服务和标准包括例如第S代伙伴项目（3GP巧、长期演进（LTE) 系统、第=代无线移动通信技术（3G)、第四代无线移动通信技术（4G)、全球移动通信系统 佑SM)、通用移动电信系统（UMTS)、3GSM、通用分组无线电服务佑PRS)、码分多址（CDMA)系 统（例如C血a0ne、CDMA1020TM)、增强数据率GSM演进巧DGE)、高级移动电话系统（AMP巧、 数字AMPS(IS-136/TDMA)、演进数据优化巧V-DO)、数字增强型无绳电信值ECT)、微波接入 全球互通（WiMAX)、无线局域网（WLAN)、Wi-Fi受保护接入化II(WPA、WPA2)、W及综合数字 增强网络（iden)。该些技术中的每一者设及例如语音、数据、信令、和/或内容消息的传送 和接收。应理解，对与个体电信标准或技术相关的术语和/或技术细节的任何引述是仅用 于解说目的的，且并不意在将权利要求的范围限定于特定通信系统或技术，除非权利要求 语言中有具体陈述。
[0化0] 本文可互换地使用术语"移动计算设备"和