异常行为识别及模型训练方法、装置、设备及存储介质与流程

1.本发明涉及计算机技术领域，具体地说，涉及异常行为识别及模型训练方法、装置、设备及存储介质。


背景技术：

2.随着互联网的不断普及，很多业务转移到线上，用户通过相应交互界面执行业务操作，享受业务服务。但同时也注意到，线上业务执行过程中也随之产生业务风险。因此，如何识别业务处理过程中的异常行为，是业界普遍考虑的一个课题。


技术实现要素：

3.针对现有技术中的问题，本发明的目的在于提供异常行为识别及模型训练方法、装置、设备及存储介质，克服了现有技术的困难，能够有效并准确识别业务处理过程中的异常行为。
4.本发明的实施例提供一种异常行为识别方法，其包括：
5.获取用户对业务页面的行为动作数据；
6.对行为动作数据进行向量编码，得到表征向量；
7.将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果。
8.可选地，获取用户对业务页面的行为动作数据，包括：
9.服务端从用户终端接收用户对业务页面的行为动作数据。
10.可选地，获取用户对业务页面的行为动作数据，包括：
11.获取用户在提交至少一项业务的业务处理请求之前及之后对相应业务页面的行为动作数据。
12.可选地，获取用户对业务页面的行为动作数据，包括：
13.获取用户在目标时间区间内对业务页面的行为动作数据。
14.可选地，获取用户对业务页面的行为动作数据，包括：
15.获取业务页面的文本标识、及用户对业务页面的行为动作的文本标识；
16.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到行为动作数据。
17.可选地，将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到行为动作数据，包括：
18.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到拼接动作数据；
19.基于行为动作之间的时序关系，利用拼接动作数据构建序列化的行为动作数据。
20.可选地，对行为动作数据进行向量编码，得到表征向量，包括：
21.采用词嵌入对行为动作数据进行词向量编码，得到基于词向量的表征向量。
22.可选地，对行为动作数据进行向量编码，得到表征向量，还包括：
23.在基于词向量的表征向量中拼接行为动作之间的动作间隔时间。
24.可选地，将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果，包括：
25.将表征向量输入异常行为识别模型，利用异常行为识别模型对表征向量提取行为特征向量，并利用模型参数对行为特征向量进行处理，输出异常行为识别结果。
26.可选地，异常行为识别模型包括c-lstm模型，则利用异常行为识别模型对表征向量提取行为特征向量，包括：
27.将表征向量输入卷积神经网络，使用卷积神经网络在表征向量中提取第一行为特征向量；
28.将第一行为特征向量输入lstm递归神经网络，使用lstm递归神经网络在第一行为特征向量中提取第二行为特征向量，其中第二行为特征向量作为异常行为识别模型的输入。
29.可选地，异常行为识别模型还包括全连接层，则利用模型参数对行为特征向量进行处理，输出异常行为识别结果，包括：
30.将第二行为特征向量输入全连接层，利用全连接层的模型参数对第二行为特征向量识别异常行为，将异常行为概率作为异常行为识别结果。
31.可选地，利用模型参数对行为特征向量进行处理，输出异常行为识别结果，还包括：
32.在将第二行为特征向量输入全连接层之前，采用注意力机制对第二行为特征向量进行注意力计算，输出基于注意力的第二行为特征向量。
33.本公开实施例还提供一种异常行为识别模型训练方法，其包括：
34.获取用户对业务页面的行为动作数据样本；
35.对行为动作数据样本进行向量编码，得到表征向量；
36.将表征向量输入异常行为识别模型，输出异常行为识别结果，并根据异常行为识别结果确定模型损失函数，利用模型损失函数训练异常行为识别模型。
37.可选地，异常行为识别模型包括c-lstm模型及与c-lstm模型连接的全连接层；
38.将表征向量输入异常行为识别模型，输出异常行为识别结果，并根据异常行为识别结果确定模型损失函数，利用模型损失函数训练异常行为识别模型，包括：
39.将行为特征向量输入c-lstm模型，c-lstm模型提取行为特征向量，并将行为特征向量输入全连接层，输出异常行为识别结果；
40.根据异常行为识别结果计算模型损失函数，利用模型损失函数训练c-lstm模型及全连接层。
41.可选地，异常行为识别模型还包括位于c-lstm模型及全连接层之间的注意力模型；
42.异常行为识别模型训练方法还包括：
43.利用模型损失函数训练注意力模型。
44.本公开实施例还提供一种异常行为识别装置，其包括：
45.第一获取模块，获取用户对业务页面的行为动作数据；
46.第一编码模块，对行为动作数据进行向量编码，得到表征向量；
47.异常行为识别模块，将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果。
48.本公开实施例还提供一种异常行为识别模型训练装置，其包括：
49.第二获取模块，获取用户对业务页面的行为动作数据样本；
50.第二编码模块，对行为动作数据样本进行向量编码，得到表征向量；
51.训练模块，将表征向量输入异常行为识别模型，输出异常行为识别结果，并根据异常行为识别结果确定模型损失函数，利用模型损失函数训练异常行为识别模型。
52.本发明的实施例还提供一种电子设备，包括：
53.处理器；
54.存储器，其中存储有处理器的可执行指令；
55.其中，处理器配置为经由执行可执行指令来执行上述异常行为识别方法或异常行为识别模型训练方法的步骤。
56.本发明的实施例还提供一种计算机可读存储介质，用于存储程序，程序被执行时实现上述异常行为识别方法或异常行为识别模型训练方法的步骤。
57.本发明的目的在于提供异常行为识别及模型训练方法、装置、设备及存储介质，在异常行为识别方法中，获取用户对业务页面的行为动作数据，对行为动作数据进行向量编码，得到表征向量，将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果。本公开实施例不同于相关技术基于业务数据的风险用户识别方案，更关注用户对业务页面的行为动作本身的行为属性，进而通过识别异常行为最终预测风险用户的目的，因此本公开实施例提出利用模型对行为动作数据识别用户异常行为及对应的风险用户，具有较强可行性和准确率。
附图说明
58.通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显。
59.图1是本发明一个实施例的异常行为识别方法的流程图；
60.图2是本发明一个实施例的异常行为识别模型训练方法的流程图；
61.图3是本发明一个实施例的异常行为识别模型的结构示意图；
62.图4是本发明一个实施例的异常行为识别装置的模块示意图；
63.图5是本发明一个实施例的异常行为识别模型训练装置的模块示意图；
64.图6是本发明的电子设备运行的示意图。
具体实施方式
65.现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式。相反，提供这些实施方式使本发明全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。
66.附图仅为本发明的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实
体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件转发模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
67.对相关技术进行分析发现，业务平台提供大量与用户相关的业务数据，业务数据为用户通过业务平台处理业务的业务处理统计数据。在获取到海量业务数据的情况下，相关技术利用业务数据构建大数据风控模型，利用大数据风控模型识别用户业务处理过程中可能存在的异常行为。
68.也就是说，相关技术认为业务数据隐含用户的行为属性，因此通过挖掘业务数据的风险特征识别其背后所反映的用户行为。
69.本案发明人在对实践中相应异常行为进行挖掘时发现，用户在通过业务平台处理业务时，通过业务平台展示的业务页面会接收到用户动作，这些用户动作不仅仅包括业务操作相关动作，还包括基于业务页面的非业务操作相关的动作，这些基于业务页面的动作数据能够反映用户的行为属性。因此，本公开实施例提出基于用户对业务页面的动作数据进行异常行为识别，提升风险识别准确率。
70.本公开实施例提出一种异常行为识别及模型训练方法、装置、设备及存储介质，其发明思想是，获取用户对业务页面的行为动作数据，行为动作数据反映用户对具体业务页面本身的特定行为属性，包括对业务页面中相关控件的操作，也可以包括对业务页面本身的其他操作。这样，用户在业务平台内的业务页面的动作行为能从一定程度上反映风险，因此，利用这些行为动作数据进行异常行为识别，异常行为识别结果本身能够反映该用户可能存在的业务风险。
71.图1为本公开实施例提供的异常行为识别方法的流程图，如图1所示，本方法包括如下步骤：
72.步骤110：获取用户对业务页面的行为动作数据；
73.步骤120：对行为动作数据进行向量编码，得到表征向量；
74.步骤130：将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果。
75.在本实施例中，业务页面是业务平台提供并在用户终端进行展示，用户可通过用户终端对业务页面施加相应动作。其中，业务页面可以是业务处理流程中的任一或多个页面，例如从打开页面到业务结果展示页面，这期间任何时间点展示的业务页面。
76.行为动作数据反映用户对业务页面本身的操作动作，其包含在相应页面区域或对页面控件的动作行为，既可以与业务相关，也可以与业务不相关。例如，用户对业务页面进行浏览、点击、复制、粘贴、截图等行为动作。
77.其中，异常行为识别模型是基于机器学习模型得到，其模型参数是利用训练样本训练得到。因此，异常行为识别模型能够对行为动作数据提取行为动作特征，并利用事先训练的模型参数对行为动作特征进行处理，达到识别异常行为的目的。
78.本公开实施例不同于相关技术基于业务数据的风险用户识别方案，更关注用户对业务页面的行为动作本身的行为属性，进而通过识别异常行为最终预测风险用户的目的，因此本公开实施例提出利用模型对行为动作数据识别用户异常行为及对应的风险用户，具有较强可行性和准确率。
79.在本公开实施例中，用户对业务页面的行为动作数据可以是实时采集得到，在这种情况下，用户通过用户终端对业务页面输入相应动作，服务端从用户终端接收用户对业务页面的行为动作数据。
80.在另外实施例中，行为动作数据还可以是从数据库提取得到，数据库中的行为动作数据是事先采集并存储的。
81.在实际应用中，用户通过业务平台处理多项业务，每项业务均对应有至少一个业务页面。因此，行为动作数据包括用户在提交至少一项业务的业务处理请求之前及之后对相应业务页面的行为动作信息。
82.通常，每项业务均对应有业务处理流程，其呈现序列化，这使得用户在提交业务处理请求前后的一串行为动作呈现序列化，因此行为动作数据是一种序列数据。因此，行为动作数据不仅包含各个行为动作信息，还隐含行为路径信息，这能够提升异常行为识别效果。
83.例如，在提交业务处理请求之前，用户对业务页面进行文本输入、复制、粘贴等行为动作，在提交业务处理请求之后，对业务结果页面的截图、转发等操作。
84.在本公开实施例中，获取用户对业务页面的行为动作数据，包括：
85.获取用户在目标时间区间内对业务页面的行为动作数据。
86.一方面，通过设置合理的目标时间区间，获得用户在较长时间周期内对一项或多项业务的业务页面的行为动作数据，能够提取到更丰富的行为动作特征，这能够提升异常行为提升的准确率。
87.另一方面，在获取到用户一定数量的行为动作数据的情况下，集中处理，能够提升数据处理效率。
88.在本公开实施例中，获取用户对业务页面的行为动作数据，具体包括如下步骤：
89.获取业务页面的文本标识、及用户对业务页面的行为动作的文本标识；
90.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到行为动作数据。
91.业务页面的文本标识是表征业务页面的文本信息，如页面类型或名称。行为动作的文本标识是表征行为动作的文本信息，如行为动作类型。在这种情况下，行为动作数据表现为文本形式的非结构化数据。
92.在本公开实施例中，将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到行为动作数据，具体包括如下步骤：
93.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到拼接动作数据；
94.基于行为动作之间的时序关系，利用拼接动作数据构建序列化的行为动作数据。
95.在实际应用中，用户在业务平台内同一个业务页面会进行不同的动作，同一个动作会发生在不同的业务页面，因此本公开实施例的行为动作数据为基于行为动作之间的时序关系构建的序列数据，其中时序关系反映了行为动作之间的路径关系，更能反映用户的特定行为属性，能够更精准预测用户行为是否异常。
96.在本公开实施例中，在行为动作数据为非结构化数据的情况下，可以对行为动作数据进行向量编码，得到能够被异常行为识别模型所理解的结构化数据。
97.在一种可选方式中，对行为动作数据进行向量编码，得到表征向量，包括：
98.采用词嵌入对行为动作数据进行词向量编码，得到基于词向量的表征向量。
99.结合前文，行为动作数据为文本形式的非结构化数据，采用词嵌入将其转换成词向量，词向量为模型能够理解的结构化数据。
100.词嵌入(word embedding)是自然语言处理(nlp)中语言模型与表征学习技术的统称。概念上而言，它是指把一个维数为所有词的数量的高维空间嵌入到一个维数低得多的连续向量空间中，每个单词或词组被映射为实数域上的向量。
101.在可选实施例中，词嵌入方法可以是word2vec或glove。
102.在本实施例中，word2vec模型可以是使用海量的行为动作数据进行预训练得到的。其中在word2vec中对于每个单词有两个向量表示，一个是当它是中心词时的向量表示，另一个是当它是上下文词时的向量表示。当训练好之后，就可以把上下文向量表示丢掉了，使用中心词向量表示。
103.在本公开可选实施例中，词嵌入还可选择其他方式，在此不再一一列举。
104.在本公开实施例中，考虑到风险用户在作案过程中的时间间隔与正常用户有所区别，存在短时间快速操作或者固定时间间隔操作等特点，因此，可以在基于词向量的表征向量中拼接行为动作之间的动作间隔时间，将拼接有动作间隔时间的表征向量作为异常行为识别模型的输入。
105.在具体应用中，上述动作间隔时间可以使用动作间隔时间分位数，并在对该分位数进行编码后拼接到表征向量的最后一维，作为最终模型的输入，大量实践表明加入时间后的异常行为识别效果更好。
106.在本公开可选实施例中，将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果，具体包括如下步骤：
107.将表征向量输入异常行为识别模型，异常行为识别模型对表征向量提取行为特征向量，并利用模型参数对行为特征向量进行处理，输出异常行为识别结果。
108.其中，模型参数是采用相应训练样本训练得到的。
109.在本公开可选实施例中，异常行为识别模型包括c-lstm模型，则利用异常行为识别模型对表征向量提取行为特征向量，具体包括如下步骤：
110.将表征向量输入卷积神经网络(convolutional neural network，cnn)，使用卷积神经网络在表征向量中提取第一行为特征向量；
111.将第一行为特征向量输入长短期记忆(long short-term memory，lstm)递归神经网络，使用长短期记忆递归神经网络在第一行为特征向量中提取第二行为特征向量，其中第二行为特征向量作为异常行为识别模型的输入。
112.本实施例使用c-lstm模型提取行为特征向量。c-lstm模型为cnn和lstm递归神经网络融合得到。其中，cnn用于提取短期的局部动作路径特征，即为第一行为特征向量，作为lstm递归神经网络的输入。
113.lstm递归神经网络用于提取用户的长期动作路径特征，即为第二行为特征向量。因此，本公开实施例的异常行为识别模型充分利用了cnn的局部表征能力和lstm递归神经网络的上下文表征能力，c-lstm模型既能捕捉行为动作数据中的局部序列特征，也能捕捉更长时间区间的长路径特征，考虑到这些局部序列特征之间的长期风险模式，从而发现整个行为路径的异常行为，进而提升异常行为识别准确率，更准确预测用户带来的业务风险。
114.在本公开实施例中，异常行为识别模型还包括全连接层，则利用模型参数对行为特征向量进行处理，输出异常行为识别结果，包括：
115.将第二行为特征向量输入全连接层，利用模型参数对第二行为特征向量识别异常行为，将异常行为概率作为异常行为识别结果。
116.其中，全连接层(fully connected layers，fc)在整个异常行为识别模型中起到“分类器”的作用。如果说c-lstm模型是将原始表征向量映射到隐层特征空间的话，全连接层则起到将学到的“分布式特征表示”映射到样本标记空间的作用。
117.fc中的每一个节点都与上一层的所有节点相连，用来把前边提取到的特征综合起来，对用户行为进行分类。
118.在本公开实施例中，全连接层中包含激活函数(activation functions)，该激活函数用于将非线性特性引入全连接层中，来将神经单元中的输入信号转换为输出信号。该激活函数的输出信号可以作为下一层卷积层的输入，激活函数可以是sigmoid函数。
119.全连接层通过激活函数输出用户存在异常行为的风险概率。
120.在本公开实施例中，利用模型参数对行为特征向量进行处理，输出异常行为识别结果，还包括：
121.在将第二行为特征向量输入全连接层之前，采用注意力机制对第二行为特征向量进行注意力计算，输出基于注意力的第二行为特征向量。
122.其中，注意力attention实质为第二行为特征向量中各行为特征的权重，这样注意力计算实质为基于权重的加权平均计算，从而可以根据注意力自动确定相应动作序列的权重，将模型注意力放在某些特定的高风险行为上，从而进一步提高异常行为预测准确度度。
123.attention可以对行为特征进行权重分配，最后加权平均，并且可解释性也较强。attention方法通过不断训练得到每个行为动作的权重，例如反刷单风控中最终截图行为权重大，表明这种行为的贡献度高，与异常行为风险的关系大。
124.本公开实施例提出上述异常行为识别方法的一个应用场景，其中业务可以是线上交易，则对应的异常行为为欺诈、刷单或其他行为，欺诈一般指盗用用户的身份信息或者银行卡等进行交易，刷单一般指商户为了获取补贴、信誉等行为恶意刷单。
125.欺诈风险中的盗卡用户可能会存在填写卡号时的复制粘贴行为，而刷单可能会存在下单后截图等行为。本公开实施例认为，如果相应动作出现较高频次，可以认定为欺诈或刷单等异常行为。因此，本公开实施例采用异常行为识别模型识别下单过程中的异常行为，整体ks指标提升2％，识别的准确率也能提升3％，更加有效的维护了业务平台的公正性。
126.图2为本公开实施例提供异常行为识别模型训练方法的流程图，如图2所示，该异常行为识别模型训练方法包括如下步骤：
127.步骤210：获取用户对业务页面的行为动作数据样本；
128.步骤220：对行为动作数据样本进行向量编码，得到表征向量；
129.步骤230：将所述表征向量输入异常行为识别模型，输出异常行为识别结果，并根据所述异常行为识别结果确定模型损失函数，利用所述模型损失函数训练异常行为识别模型。
130.采用本方法训练得到的异常行为识别模型可用于图1所示异常行为识别方法，图1所示异常行为识别方法中提到的异常行为识别模型也可以采用其他方法训练得到。
131.本公开所示模型训练方法可以是有监督训练，在数据样本中对异常行为和正常行为进行标记。
132.在其他实施例中，也可以采用半监督或无监督训练方案。
133.在本公开实施例中，参照图3，异常行为识别模型包括c-lstm模型31及与c-lstm模型31连接的全连接层32。
134.其中c-lstm模型31用于对表征向量提取行为特征向量，该行为特征向量既包括行为动作特征信息，还包括行为路径信息。
135.全连接层32用于对异常行为的概率进行预测，输出异常行为的概率值，该异常行为的概率值反映了相应用户为风险用户的概率。
136.在训练阶段，基于模型损失函数调整c-lstm模型31及全连接层32的模型参数，直到模型损失函数收敛。
137.继续参考图3，异常行为识别模型还包括注意力模型33，注意力模型33位于c-lstm模型31与全连接层32之间。在训练过程中，基于模型损失函数训练注意力模型33对行为特征向量的权重值。
138.在本公开实施例中，对于行为动作数据样本可参考上文行为动作数据的内容，在此不再赘述。对于向量编码的内容可参考上文对行为特征数据的编码内容，在此不再详述。
139.图4是本发明的异常行为识别装置的一种实施例的模块示意图。本发明的异常行为识别装置400，如图4所示，包括但不限于：
140.第一获取模块410，获取用户对业务页面的行为动作数据；
141.第一编码模块420，对行为动作数据进行向量编码，得到表征向量；
142.异常行为识别模块430，将表征向量输入基于机器学习模型构建的异常行为识别模型，输出异常行为识别结果。
143.在可选实施例中，第一获取模块410具体用于：
144.服务端从用户终端接收用户对业务页面的行为动作数据。
145.在可选实施例中，第一获取模块410具体用于：
146.获取用户在提交至少一项业务的业务处理请求之前及之后对相应业务页面的行为动作数据。
147.在可选实施例中，第一获取模块410具体用于：
148.获取用户在目标时间区间内对业务页面的行为动作数据。
149.在可选实施例中，第一获取模块410具体用于：
150.获取业务页面的文本标识、及用户对业务页面的行为动作的文本标识；
151.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到行为动作数据。
152.在可选实施例中，第一获取模块410具体还用于：
153.将业务页面的文本标识与对应的行为动作的文本标识进行拼接，得到拼接动作数据；
154.基于行为动作之间的时序关系，利用拼接动作数据构建序列化的行为动作数据。
155.在可选实施例中，第一编码模块420具体用于：
156.采用词嵌入对行为动作数据进行词向量编码，得到基于词向量的表征向量。
157.在可选实施例中，第一编码模块420具体还用于：
158.在基于词向量的表征向量中拼接行为动作之间的动作间隔时间。
159.在可选实施例中，异常行为识别模块430具体用于：
160.将表征向量输入异常行为识别模型，利用异常行为识别模型对表征向量提取行为特征向量，并利用模型参数对行为特征向量进行处理，输出异常行为识别结果。
161.在可选实施例中，异常行为识别模型包括c-lstm模型，则异常行为识别模块430具体还用于：
162.将表征向量输入卷积神经网络，使用卷积神经网络在表征向量中提取第一行为特征向量；
163.将第一行为特征向量输入lstm递归神经网络，使用lstm递归神经网络在第一行为特征向量中提取第二行为特征向量，其中第二行为特征向量作为异常行为识别模型的输入。
164.在可选实施例中，异常行为识别模型还包括全连接层，则异常行为识别模块430具体还用于：
165.将第二行为特征向量输入全连接层，利用全连接层的模型参数对第二行为特征向量识别异常行为，将异常行为概率作为异常行为识别结果。
166.在可选实施例中，异常行为识别模块430具体还用于：
167.在将第二行为特征向量输入全连接层之前，采用注意力机制对第二行为特征向量进行注意力计算，输出基于注意力的第二行为特征向量。
168.上述模块的实现原理参见异常行为识别方法中的相关介绍，此处不再赘述。
169.本发明实施例提供的异常行为识别装置能够提供不同于相关技术的异常行为识别方案，更关注用户对业务页面的行为动作本身的行为属性，进而通过识别异常行为最终预测风险用户的目的，因此本公开实施例提出利用模型对行为动作数据识别用户异常行为及对应的风险用户，具有较强可行性和准确率。
170.图5是本发明的异常行为识别模型训练装置的一种实施例的模块示意图。本发明的异常行为识别模型训练装置500，如图5所示，包括但不限于：
171.第二获取模块510，获取用户对业务页面的行为动作数据样本；
172.第二编码模块520，对行为动作数据样本进行向量编码，得到表征向量；
173.训练模块530，将表征向量输入异常行为识别模型，输出异常行为识别结果，并根据异常行为识别结果确定模型损失函数，利用模型损失函数训练异常行为识别模型。
174.在可选实施例中，异常行为识别模型包括c-lstm模型及与c-lstm模型连接的全连接层；
175.训练模块530具体用于：
176.将行为特征向量输入c-lstm模型，c-lstm模型提取行为特征向量，并将行为特征向量输入全连接层，输出异常行为识别结果；
177.根据异常行为识别结果计算模型损失函数，利用模型损失函数训练c-lstm模型及全连接层。
178.在可选实施例中，异常行为识别模型还包括位于c-lstm模型及全连接层之间的注意力模型；
179.训练模块530具体还用于：
180.利用模型损失函数训练注意力模型。
181.本发明实施例还提供一种电子设备，包括处理器。存储器，其中存储有处理器的可执行指令。其中，处理器配置为经由执行可执行指令来执行的异常行为识别方法或异常行为识别模型训练方法的步骤。
182.所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“平台”。
183.图6是本发明的电子设备的结构示意图。下面参照图6来描述根据本发明的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
184.如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同平台组件(包括存储单元620和处理单元610)的总线630、显示单元640等。
185.其中，存储单元存储有程序代码，程序代码可以被处理单元610执行，使得处理单元610执行本说明书异常行为识别方法或异常行为识别模型训练方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元610可以执行如图1或图2中所示的步骤。
186.存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(ram)621和/或高速缓存存储单元622，还可以进一步包括只读存储单元(rom)623。
187.存储单元620还可以包括具有一组(至少一个)程序模块625的程序/实用工具624，这样的程序模块625包括但不限于：处理系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
188.总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
189.电子设备600也可以与一个或多个外部设备670(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(i/o)接口650进行。
190.并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(lan)，广域网(wan)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、raid系统、磁带驱动器以及数据备份存储平台等。
191.本发明实施例还提供一种计算机可读存储介质，用于存储程序，程序被执行时实现的异常行为识别方法或异常行为识别模型训练方法的步骤。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述异常行为识别方法或异常行
为识别模型训练方法部分中描述的根据本发明各种示例性实施方式的步骤。
192.根据本发明的实施方式的用于实现上述方法的程序产品，其可以采用便携式紧凑盘只读存储器(cd-rom)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
193.程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、光纤、便携式紧凑盘只读存储器(cd-rom)、光存储器件、磁存储器件、或者上述的任意合适的组合。
194.计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、rf等等，或者上述的任意合适的组合。
195.可以以一种或多种程序设计语音的任意组合来编写用于执行本发明处理的程序代码，程序设计语音包括面向对象的程序设计语音—诸如java、c++等，还包括常规的过程式程序设计语音—诸如“c”语音或类似的程序设计语音。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(lan)或广域网(wan)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
196.以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。