(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211362419.2 (22)申请日 2022.11.02 (71)申请人 上海技群信息科技有限公司 地址 200240 上海市闵行区东川路5 55号丙 楼1203室 (72)发明人 王伟　曹健　关威　 (74)专利代理 机构 上海正策律师事务所 31271 专利代理师 张晟 (51)Int.Cl. G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 基于GRU-AE网络的多视角业务流程异常检 测方法、 系统以及设备 (57)摘要 本发明提供了一种基于GRU ‑AE网络的多视 角业务流程异常检测方法， 包括以下步骤： 数据 预处理， 执行事件日志的预处理； 执行模 型训练； 以及异常检测， 将获取的特征输入训练后的模 型， 以获得属性级的异常分数， 并根据阈值， 将轨 迹或者属性标记为异常或正常； 其中， 所述数据 预处理步骤还包括步骤： 获取事件日志的每一个 轨迹， 在第一个事件之前添加一个虚拟的开始事 件， 在最后一个事件之后添加一个虚拟的结束事 件， 将事件日志转换为三阶张量， 作为待输入的 特征； 本发明既可 以应用于在线流程异常检测， 及时的报告流程执行过程中发生的异常， 又可以 应用于离线流程异常检测， 过滤事件日志中的异 常轨迹， 分析异常发生原因。 权利要求书2页 说明书9页 附图5页 CN 115545169 A 2022.12.30 CN 115545169 A 1.一种基于GRU ‑AE网络的多视角业务流程异常检测方法， 其特征在于， 所述基于GRU ‑ AE网络的多视角业 务流程异常检测方法包括以下步骤： 数据预处 理， 执行事件日志的预处 理； 执行模型训练； 以及 异常检测， 将获取的特征输入训练后的模型， 以获得属性级的异常分数， 并根据阈值， 将轨迹或者属性标记为异常或正常； 其中， 所述数据 预处理步骤还包括步骤： 获取事件日志的每一个轨迹， 在第 一个事件之 前添加一个虚拟的开始事件， 在最后一个事件之后添加 一个虚拟的结束事件， 将事件 日志 转换为三阶张量， 作为待输入的特 征； 其中， 所述执行模型训练步骤还包括步骤： GRU ‑AE网络基于转换后的三维张量执行模 型训练， 学习事件日志中的正常行为， 其中损失函数基于交叉熵准则， 重 建每个事件的每个 属性在每 个轨迹的属性 值， 公式为： 公式中， t表示轨迹， e表示事件， a表示属性， T表示日志中的轨迹数量， E表示在日志中 的轨迹的最大长度， A 表示属性个数； 其中， 所述异常检测步骤还包括步骤： 异常分数被定义为在概率分布中大于指定属性 值v的概率pv的所有概 率之和， 公式为： 其中， 通过使用一个阈值 τ， 将异常 分数映射 为0或1， 0表示 正常， 1表示异常。 2.如权利要求1所述的基于GRU ‑AE网络的多视角业务流程异常检测方法， 其中使用包 含异常轨迹的事件 日志进行训练， 学习正常行为， 用于检测异常， 根据异常分数的阈值， 从 而事件日志中重建误差大的部分被判定为异常。 3.如权利要求1所述的基于GRU ‑AE网络的多视角业务流程异常检测方法， 其中所述基 于GRU‑AE网络的多视角业务流程异常检测方法还包括步骤： 在GRU ‑AE网络训练过程中执行 教师强迫方法。 4.如权利要求1所述的基于GRU ‑AE网络的多视角业务流程异常检测方法， 其中还包括 步骤： 提供包括多个编码器和解码器的网络结构， 属 性集合中的每个属 性被分配了一个编 码器和一个解码器， 在编码器中， 以双向GRU作为主要结构， 学习特征的表示； 在解码器中， 以GRU为主 要结构， 重建正常行为； 引入注意力机制。 5.如权利 要求1至4中任一所述的基于GRU ‑AE网络的多视角业务流程异常检测方法， 其 中所述模型训练步骤中， 还 包括步骤： 使用批量归一 化和随机失活方法， 以抵制过度拟合。 6.一种基于GRU ‑AE网络的多视角业 务流程异常检测设备， 其特 征在于， 包括： 存储器， 用于存 储软件应用程序， 处理器， 用于执行所述软件应用程序， 所述软件应用程序各程序相对应地执行权利要 求1至5中任一所述的基于GRU ‑AE网络的多视角业 务流程异常检测方法中的步骤。 7.一种基于GRU ‑AE网络的多视角业务流程异常检测系统， 其特征在于， 所述基于GRU ‑权　利　要　求　书 1/2 页 2 CN 115545169 A 2AE网络的多视角业务流程异常检测系统包括事件日志预 处理单元、 模型训练单元以及异常 检测单元， 所述事件日志预 处理单元执行事件日志的预 处理， 获取事件日志的每一个轨迹， 在第一个事件 之前添加一个虚拟的开始事件， 在最后一个事件之后添加一个虚拟的结束事 件， 将事件 日志转换为三阶张量， 作为待输入的特征； 所述模型训练单元执行模型训练， 所 述异常检测单元获取所述事件日志预处理单元的特征输入所述模型训练单元训练后的模 型， 以获得属性级的异常 分数， 并根据阈值， 将轨 迹或者属性标记为异常或正常； 其中， 所述模型训练单 元中重建每 个事件的每个属性在每 个轨迹的属性 值的公式为： 公式中， t表示轨迹， e表示事件， a表示属性， T表示日志中的轨迹数量， E表示在日志中 所有轨迹的最大长度， A 表示属性个数； 其中， 所述异常检测单元中异常分数被定义为在概率 分布中大于指定属性值v的概率pv 的所有概 率之和， 公式为： 其中， 通过使用一个阈值 τ， 将异常 分数映射 为0或1， 0表示 正常， 1表示异常。 8.如权利要求7所述的基于GRU ‑AE网络的多视角业务流程异常检测系 统， 其中所述模 型训练单元设置有GRU ‑AE网络模型， 通过无监督学习训练模型， 所述模型训练单元为属性 集合中的每个属 性指定了一个编码器和 一个解码器， 所有编码器输出 的向量h被输入到每 个解码器， 而每个编码器输出的向量s被输入到相应的解码器， 所述模型训练单元在所述 GRU‑AE网络模 型中引入注意力机制以及在自动编码 器训练过程中引入教师强迫方法， 通过 注意力机制识别哪些事件的哪些属性与该解码器相关的属性的下一个目标值有关， 并对这 些属性值给予高的注意力权 重。 9.如权利要求7所述的基于GRU ‑AE网络的多视角业务流程异常检测系 统， 其中批量归 一化和随机失活方法被应用于所述基于GRU ‑AE网络的多视角业务流程异常检测系统的网 络结构中， 以抵制过度拟合。 10.如权利要求7至9中任一所述的GRU ‑AE网络的多视角业务流程异常检测系统， 其中 所述模型训练单 元执行模型训练时， 以交叉熵作为损失函数的主 要组成部分。权　利　要　求　书 2/2 页 3 CN 115545169 A 3