一种异常行为识别模型确定方法及装置与流程

1.本发明涉及数据处理领域，具体而言，涉及一种异常行为识别模型确定方法及装置。


背景技术：

2.现有反欺诈技术多使用机器学习模型或规则模型，用现有的数据很难描述大量数据之间存在的某种联系，在实现复杂函数逼近和学习数据本质特征时，模型效果不佳；且graphsage算法在聚合时存在一定不足。
3.针对相关技术中异常行为识别模型效果不佳且模型中的聚合存在一定不足的问题，尚未提出解决方案。


技术实现要素：

4.本发明实施例提供了一种异常行为识别模型确定方法及装置，以至少解决相关技术中异常行为识别模型效果不佳且模型中的聚合存在一定不足的问题。
5.根据本发明的一个实施例，提供了一种异常行为识别模型确定方法，包括：
6.将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
7.对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
8.通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
9.可选地，将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签包括：
10.分别为所述预定数量的业务数据分配节点id，其中，一个业务数据对应一个节点；
11.提取所述预定数量的节点的关系作为所述图结构数据的邻接表，定义一个字典类型的变量，字典的key存节点id，对应的value为对应的所有邻居节点；
12.提取所述预定数量的节点的特征矩阵(n，m)，所述图结构数据的特征矩阵，其中，m为构建的特征维度大小，n为节点的数量；
13.提取所述预定数量的节点的标签y，组成所述图结构数据的标签矩阵。
14.可选地，对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量包括：
15.根据所述邻接表确定中心节点与相邻节点的相似度，获取相似度大于预设阈值的n个节点；
16.根据聚合函数聚合所述n个节点中的中心点和邻居节点，并形成所述图结构数据的稠密向量。
17.可选地，根据所述邻接表确定中心节点与相邻节点的相似度，获取相似度大于预设阈值的n个节点包括：
18.根据所述邻接表、所述图结构数据的标签矩阵以及所述预定数量的节点的特征向
量，训练得到单层感知网络；
19.通过所述单层感知网络计算所述预定数量的节点的预测值，并确定每两个节点的预测值的l1距离；
20.使用所述l1距离确定所述中心节点与所述相邻节点的相似度；
21.将所述相似度按照由大到小的顺序进行排序；
22.获取所述相似度大于所述预设阈值的所述n个节点。
23.可选地，根据聚合函数聚合所述n个节点中的中心点和邻居节点，并形成所述图结构数据的稠密向量包括：
24.确定所述n个节点的中心节点向量与邻居节点向量；
25.拼接所述中心节点向量与所述邻居节点向量，得到拼接后的目标向量；
26.通过聚合函数对所述目标向量进行聚合处理，得到聚合向量；
27.对所述聚合向量进行过滤，得到所述图结构数据的稠密向量。
28.可选地，通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型包括：
29.使用所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到所述目标图神经网络模型，其中，所述稠密向量为所述原始图神经网络模型的输入，训练好的所述目标图神经网络模型输出的所述稠密向量对应的标签结果与所述稠密向量实际对应的分类结果满足以下损失函数：
30.其中，yv是节点v实际的标签结果，σ(zv)是目标图神经网络预测的概率，σ是激活函数，zv是节点v的稠密向量，λ||θ||2为约束条件。
31.可选地，在通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型之后，所述方法还包括：
32.获取目标业务数据；
33.将所述目标业务数据输入预先训练好的目标图神经网络模型中，得到所述目标图神经网络模型输入的所述目标业务数据对应不同分类结果的概率，其中，所述概率大于预设阈值的分类结果为所述目标业务数据对应的异常行为识别结果。
34.根据本发明的另一个实施例，还提供了一种异常行为识别模型确定装置，包括：
35.提取模块，用于将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
36.聚合模块，用于对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
37.训练模块，用于通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
38.可选地，所述提取模块，还用于：
39.分别为所述预定数量的业务数据分配节点id，其中，一个业务数据对应一个节点；
40.提取所述预定数量的节点的关系作为所述图结构数据的邻接表，定义一个字典类型的变量，字典的key存节点id，对应的value为对应的所有邻居节点；
41.提取所述预定数量的节点的特征矩阵(n，m)，所述图结构数据的特征矩阵，其中，m为构建的特征维度大小，n为节点的数量；
42.提取所述预定数量的节点的标签y，组成所述图结构数据的标签矩阵。
43.可选地，所述聚合模块包括：
44.获取子模块，用于根据所述邻接表确定中心节点与相邻节点的相似度，获取相似度大于预设阈值的n个节点；
45.聚合子模块，用于根据聚合函数聚合所述n个节点中的中心点和邻居节点，并形成所述图结构数据的稠密向量。
46.可选地，所述获取子模块，还用于：
47.根据所述邻接表、所述图结构数据的标签矩阵以及所述预定数量的节点的特征向量，训练得到单层感知网络；
48.通过所述单层感知网络计算所述预定数量的节点的预测值，并确定每两个节点的预测值的l1距离；
49.使用所述l1距离确定所述中心节点与所述相邻节点的相似度；
50.将所述相似度按照由大到小的顺序进行排序；
51.获取所述相似度大于所述预设阈值的所述n个节点。
52.可选地，所述聚合子模块，还用于：
53.确定所述n个节点的中心节点向量与邻居节点向量；
54.拼接所述中心节点向量与所述邻居节点向量，得到拼接后的目标向量；
55.通过聚合函数对所述目标向量进行聚合处理，得到聚合向量；
56.对所述聚合向量进行过滤，得到所述图结构数据的稠密向量。
57.可选地，所述训练模块，还用于：
58.使用所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到所述目标图神经网络模型，其中，所述稠密向量为所述原始图神经网络模型的输入，训练好的所述目标图神经网络模型输出的所述稠密向量对应的标签结果与所述稠密向量实际对应的分类结果满足以下损失函数：
59.其中，yv是节点v实际的标签结果，σ(zv)是目标图神经网络预测的概率，σ是激活函数，zv是节点v的稠密向量，λ||θ||2为约束条件。
60.可选地，所述装置还包括：
61.获取模块，用于获取目标业务数据；
62.输入模块，用于将所述目标业务数据输入预先训练好的目标图神经网络模型中，得到所述目标图神经网络模型输入的所述目标业务数据对应不同分类结果的概率，其中，所述概率大于预设阈值的分类结果为所述目标业务数据对应的异常行为识别结果。
63.根据本发明的又一个实施例，还提供了一种计算机可读的存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行上述任一项方法实施例中的步骤。
64.根据本发明的又一个实施例，还提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述任一项
方法实施例中的步骤。
65.通过本发明，将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别，可以解决相关技术中异常行为识别模型效果不佳且模型中的聚合存在一定不足的问题，通过图神经网络模型，各类关系及属性可以很好的进行图数据化的表示，结合深度学习在实现复杂函数逼近和学习数据本质特征的能力更强，模型效果更优。
附图说明
66.此处所说明的附图用来提供对本发明的进一步理解，构成本技术的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
67.图1是本发明实施例的异常行为识别模型确定方法的移动终端的硬件结构框图；
68.图2是根据本发明实施例的异常行为识别模型确定方法的流程图；
69.图3是根据本发明实施例的图神经网络的示意图；
70.图4是根据本发明实施例的图神经网络中聚合的示意图一；
71.图5是根据本发明实施例的图神经网络中聚合的示意图二；
72.图6是根据本发明实施例的异常行为识别模型确定装置的框图。
具体实施方式
73.下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本技术中的实施例及实施例中的特征可以相互组合。
74.需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
75.实施例1
76.本技术实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在移动终端上为例，图1是本发明实施例的异常行为识别模型确定方法的移动终端的硬件结构框图，如图1所示，移动终端可以包括一个或多个(图1中仅示出一个)处理器102(处理器102可以包括但不限于微处理器mcu或可编程逻辑器件fpga等的处理装置)和用于存储数据的存储器104，可选地，上述移动终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述移动终端的结构造成限定。例如，移动终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。
77.存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如本发明实施例中的异常行为识别模型确定方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至移动终端。上述网络的实
例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
78.传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括移动终端的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(network interface controller，简称为nic)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(radio frequency，简称为rf)模块，其用于通过无线方式与互联网进行通讯。
79.在本实施例中提供了一种运行于上述移动终端或网络架构的异常行为识别模型确定方法，图2是根据本发明实施例的异常行为识别模型确定方法的流程图，如图2所示，该流程包括如下步骤：
80.步骤s202，将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
81.步骤s204，对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
82.步骤s206，通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
83.通过上述步骤s202至s206，可以解决相关技术中异常行为识别模型效果不佳且模型中的聚合存在一定不足的问题，通过图神经网络模型，各类关系及属性可以很好的进行图数据化的表示，结合深度学习在实现复杂函数逼近和学习数据本质特征的能力更强，模型效果更优。
84.本发明实施例从业务应用层面进行了提高，使用图神经网络替代原有的技术，图神经网络是基于图的深度学习方法，图结构在描述社交网络、对象关系等类型的数据时具有优势，尤其在金融的支付或信贷场景中，这类业务本身存在很多的关系属性，用现有的数据很难描述大量数据之间存在的某种联系，而图结构在描述这些关系时具有天然的优势，各类关系及属性可以很好的进行图数据化的表示；同时结合深度学习在实现复杂函数逼近和学习数据本质特征的能力更强，其模型效果也优于传统的机器学习或规则模型。现有的graphsage算法在聚合时存在一定不足，因此本发明实施例对现有的图神经网络在技术框架上进行了调整，主要包括：
85.图算法中需要对中心点的邻居节点进行聚合，聚合的方法决定了模型表现的好坏。本发明设计了一种感知网络模型度量邻居节点的相似性，并基于相似程度有选择的对邻居节点信息进行聚合。而现有方法没有度量节点相似性的模块。
86.基于计算出的邻居节点相似度，设计了一种优化的采样方法，即根据优化的阈值对邻居节点进行选择，把相似性高的前n个邻居节点聚合在一起。而现有方法为随机进行采样，很难有好的效果。
87.现有的方法对节点聚合常采用注意力机制，这样会耗费大量的计算时间，本发明考虑到邻居节点已经聚合了相似的节点，无需再使用注意力机制，在聚合中心点时直接采用拼接法聚合中心点和邻居节点信息即可。
88.本发明实施例中，上述步骤s202具体可以包括：
89.s2021，分别为所述预定数量的业务数据分配节点id，其中，一个业务数据对应一个节点；
90.s2022，提取所述预定数量的节点的关系作为所述图结构数据的邻接表，定义一个
字典类型的变量，字典的key存节点id，对应的value为对应的所有邻居节点；
91.s2023，提取所述预定数量的节点的特征矩阵(n，m)，所述图结构数据的特征矩阵，其中，m为构建的特征维度大小，n为节点的数量；
92.s2024，提取所述预定数量的节点的标签y，组成所述图结构数据的标签矩阵。
93.本发明实施例中，上述步骤s204具体可以包括：
94.s2041，根据所述邻接表确定中心节点与相邻节点的相似度，获取相似度大于预设阈值的n个节点，进一步的，根据所述邻接表、所述图结构数据的标签矩阵以及所述预定数量的节点的特征向量，训练得到单层感知网络；通过所述单层感知网络计算所述预定数量的节点的预测值，并确定每两个节点的预测值的l1距离；使用l1距离确定所述中心节点与所述相邻节点的相似度；将所述相似度按照由大到小的顺序进行排序；获取所述相似度大于所述预设阈值的所述n个节点；
95.s2042，根据聚合函数聚合所述n个节点中的中心点和邻居节点，并形成所述图结构数据的稠密向量，进一步的，确定所述n个节点的中心节点向量与邻居节点向量；拼接所述中心节点向量与所述邻居节点向量，得到拼接后的目标向量；通过聚合函数对所述目标向量进行聚合处理，得到聚合向量；对所述聚合向量进行过滤，得到所述图结构数据的稠密向量，具体可以使用relu函数过滤。
96.本发明实施例中，上述步骤s206具体可以包括：使用所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到所述目标图神经网络模型，其中，所述稠密向量为所述原始图神经网络模型的输入，训练好的所述目标图神经网络模型输出的所述稠密向量对应的标签结果与所述稠密向量实际对应的分类结果满足以下损失函数：
97.其中，yv是节点v实际的标签结果，σ(zv)是目标图神经网络预测的概率，σ是激活函数，zv是节点v的稠密向量，λ||θ||2为约束条件。
98.在一可选的实施例中，在上述步骤s206之后，所述方法还包括：获取目标业务数据；将所述目标业务数据输入预先训练好的目标图神经网络模型中，得到所述目标图神经网络模型输入的所述目标业务数据对应不同分类结果的概率，其中，所述概率大于预设阈值的分类结果为所述目标业务数据对应的异常行为识别结果。
99.本发明实施例主要基于图神经网络算法，结合业务的实际情况，把该算法中的关键模块进行优化改进后应用于具体欺诈场景中。将社交关系网络、支付交易、设备硬件关系等数据利用图结构进行表示，同时对现有的图神经网络算法中的节点聚合方式和采样方法进行了优化改进，提高了模型的效果，此外避免了使用注意力机制等方法，节省了计算开销。以下将先介绍总体算法框架，之后详细阐述主要创新点的技术细节。
100.图3是根据本发明实施例的图神经网络的示意图，如图3所示，图神经网络(graph neural network)是一种基于图结构的深度学习方法，主要由“图结构”和神经网络两部分组成。本发明中图神经网络主要解决二分类的欺诈问题，通过输入的图数据特征和标签，使用有监督学习的方式训练模型，其主要包括：数据预处理,聚合采样,图神经网络结构,损失优化。
101.其中，数据预处理的主要功能是把业务数据转化为图结构的数据，依据具体场景定义相关的顶点、连接关系以及邻接表来表示相应的网络关系。聚合采样包括了图神经网
络的聚合函数和节点聚合方法，以及如何把节点转化为稠密向量，放入模型进行训练。图神经网络结构定义了网络的层数，网络参数以及输入输出的目标值类型。损失优化定义了具体的损失计算函数、优化算法以及迭代次数等。
102.业务数据通常包含多种复杂信息，这里需要按照目标提取相应的关系，并把它转化为图结构的数据，因为图提供了一种更好的描述现实世界对象关系的一种数据结构。
103.图是用以表示实体及其关系的结构，记为g＝(v,e)。图由两个集合组成，一是节点的集合v，一个是边的集合e。在边集e中，一条边(u,v)连接一对节点u和v，表明两节点间存在关系。节点之间的关系用邻接表表示，每一个节点都包含一个列表,这个列表中的每一个元素都是与该节点相连的。可以使用array或hashmap作为邻接表容器来表示图，容器中的元素就是图节点.而每一个节点实体又包含一个列表(数组,链表,集合等),来包含与该节点邻接的节点，a节点与b、c节点相连，b节点与a、g节点相连，以此类推。邻接表如下所示：
104.a-》{b c}
105.b-》{a g}
106.c-》{a e}
107.……
108.本发明实施例通过pytorch深度学习框架进行实现，这里假设数据样本总量为n，每一个样本是唯一的，数据处理的方式包括：给每一个样本分配唯一的节点id，节点id为唯一主键，即共有n个id，id取值范围从0到n-1。提取节点的关系作为邻接表，定义一个字典类型的变量，字典的key存节点id，对应的value为其所有的邻居节点。根据每个节点提取其相应的特征矩阵，如哑变量或独热编码，矩阵大小为(n，m)，m为构建的特征维度大小。最后提取每个节点对应的标签y,y～(0，1)。
109.最终得到关于图结构的三个矩阵(特征矩阵，邻接表，标签矩阵)，这样就要把整个图结构表示为可计算的数据，使其可以放入神经网络进行学习和训练。
110.聚合采样基于图神经网络的graphsage，在此基础上对算法本身进行了较大改进，提高了模型效果，改进点主要有三部分，图4是根据本发明实施例的图神经网络中聚合的示意图一，如图4所示，包括：
111.对于中心点首先其邻居节点的相似性，然后基于邻居节点采样的方法过滤掉不相似的节点，选择相似度高的前n个节点，之后根据聚合函数聚合中心点和邻居节点并形成稠密向量。下面分别依次介绍每个过程的技术实现。
112.2.1节点相似性度量函数；
113.在欺诈场景中，黑产通常会伪装成正常用户的行为方式，在图数据上这造成黑产节点与正常节点产生了连接，这样导致相对应的中心节点会采样到黑产的行为特征，即给特征增加了噪声，如果可以在采样时过滤掉伪装的黑产节点则可以提升模型效果，可以设计一个单层感知网络来预测节点的标签，并使用l1距离来衡量两个节点的相似度。定义节点v,v'，两个节点的l1距离计算如下：
[0114][0115]
其中，mlp是单层感知网络函数，是第l-1层的节点向量，即通过第l-1层的节点向量计算在第l层的预测分数(这里为节省计算使用节点本身的向量特征)，然后再计算两
个节点相似度。节点的相似度计算如下：
[0116]
s(v,v')＝1-d(v,v')
[0117]
这里通过单层感知网络可以计算出每个中心节点与其邻居节点的相似度。
[0118]
2.2邻居节点采样；
[0119]
在计算出中心节点与其邻居节点的相似度后，需要决定哪些邻居节点应该被采样，采样的原则是选择相似度高的节点，这样可以提升图神经网络的预测能力。由于一个中心点可能连接上百个邻居节点，如果对每个关系分别计算合适的采样节点数是较困难的，现有的图神经网络通过随机采样的方法进行采样，这样很容易采样到含有噪声信息的节点，影响模型的表现。
[0120]
本发明实施例对此做出了优化，即利用已经计算出的节点相似度，对于中心节点v，设定一个阈值threshold，对于中心节点v的邻居节点，对其邻居节点的相似度由高到低进行排序，仅采样相似度大于阈值threshold的前n个节点(n由开发者根据数据特点定义合适的值)，这样就保证了被采样到的信息包含较少的噪声或不包含噪声，同时也节省了一定计算时间。
[0121]
2.3节点聚合函数。
[0122]
确定选取的邻居节点后，接下来需要聚合中心点和邻居节点的信息形成稠密向量。现有的方法对节点聚合常采用注意力机制，该机制的目的也是选取对模型贡献更重要的节点信息，但这样会耗费大量的计算时间，本发明考虑到邻居节点已经聚合了相似的节点，无需再使用注意力机制。这里聚合时采用函数，在聚合节点时拼接中心点和邻居节点信息，并通过聚合函数进行运算，最后使用relu函数进行输出，图5是根据本发明实施例的图神经网络中聚合的示意图二，如图5所示，在第l层聚合，聚合表达式如下所示：
[0123][0124]
是中心节点向量，是邻居节点向量，代表了两个向量拼接求和，agg为聚合函数，这里聚合函数可以采用平均法或权值法，
[0125]
对于平均法，在拼接邻居节点向量和中心节点向量后，会除以拼接向量的总使用节点数量。
[0126]
对于权值法，在拼接邻居节点向量时，会用邻居节点向量乘以一个权值，权值等于邻居节点过滤时所用的阈值。
[0127]
通过上述方法，得到一个稠密向量，再经过relu函数过滤后进行输出。relu函数是线性整流函数，即斜坡函数，函数表达式为：
[0128]
f(x)＝max(0,x)，该函数有助于更加有效的梯度下降以及反向传播，同时避免了梯度爆炸和梯度消失的问题，也使神经网络整体的计算成本下降。
[0129]
图神经网络结构定义了网络的层数，网络参数以及输入输出的目标值类型。本发明实施例训练时使用两层的神经网络，同时本框架支持更多的网络层数。网络层的输入包括：
[0130]
输入维度：需依据具体使用数据的维度和大小定义输入的大小；
[0131]
分类数：即预测标签y的类别个数；
[0132]
邻接表：表示图中各个顶点的的连接关系的矩阵，输入为字典格式，keys值为中心
节点标号，values值为与其连接的节点标号；
[0133]
聚合函数：聚合层中定义的聚合函数；
[0134]
聚合函数方法：平均法或权值法,默认值为平均法；
[0135]
cuda：是否使用cuda进行计算，框架支持cpu计算。
[0136]
本发明实施例中图神经网络输出为二分类的标签。
[0137]
损失优化定义了具体的损失计算函数、优化算法以及迭代次数等。
[0138]
本发明使用的损失函数为交叉熵，主要用来判定实际的输出与期望的输出的接近程度，损失表达式定义为：
[0139][0140]
其中，yv是目标节点实际标签结果，σ(zv)是目标图神经网络预测的概率，σ是激活函数，zv是节点v的稠密向量。λ||θ||2是增加的一个约束，主要目的是避免过拟合，这里采用l2-范式进行正则化。
[0141]
优化算法使用adam优化器，即一种对随机目标函数执行一阶梯度优化的算法，该算法基于适应性低阶矩估计。adam算法很容易实现，并且有很高的计算效率和较低的内存需求。adam算法和传统的随机梯度下降不同。随机梯度下降保持单一的学习率(即alpha)更新所有的权重，学习率在训练过程中并不会改变。而adam通过计算梯度的一阶矩估计和二阶矩估计而为不同的参数设计独立的自适应性学习率。adam是一种可以替代传统随机梯度下降过程的一阶优化算法，它能基于训练数据迭代地更新神经网络权重。adam在深度学习领域内是十分流行的算法，因为它能很快地实现优良的结果。经验性结果证明adam算法在实践中性能优异，相对于其他种类的随机优化算法具有很大的优势。
[0142]
框架中adam优化器有如下参数：
[0143]
params：待优化参数的iterable或者是定义了参数组的dict；
[0144]
lr：学习率(默认值为：1e-3)；
[0145]
betas：用于计算梯度以及梯度平方的运行平均值的系数(默认值为：0.999)；
[0146]
eps：为了增加数值计算的稳定性而加到分母里的项(默认值为：1e-8)；
[0147]
weight_decay：权重衰减(l2惩罚)(默认值为:0)。
[0148]
根据本发明的另一个实施例，还提供了一种异常行为识别模型确定装置，图6是根据本发明实施例的异常行为识别模型确定装置的框图，如图6所示，包括：
[0149]
提取模块62，用于将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
[0150]
聚合模块64，用于对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
[0151]
训练模块66，用于通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
[0152]
可选地，所述提取模块62，还用于：
[0153]
分别为所述预定数量的业务数据分配节点id，其中，一个业务数据对应一个节点；
[0154]
提取所述预定数量的节点的关系作为所述图结构数据的邻接表，定义一个字典类
型的变量，字典的key存节点id，对应的value为对应的所有邻居节点；
[0155]
提取所述预定数量的节点的特征矩阵(n，m)，所述图结构数据的特征矩阵，其中，m为构建的特征维度大小，n为节点的数量；
[0156]
提取所述预定数量的节点的标签y，组成所述图结构数据的标签矩阵。
[0157]
可选地，所述聚合模块64包括：
[0158]
获取子模块，用于根据所述邻接表确定中心节点与相邻节点的相似度，获取相似度大于预设阈值的n个节点；
[0159]
聚合子模块，用于根据聚合函数聚合所述n个节点中的中心点和邻居节点，并形成所述图结构数据的稠密向量。
[0160]
可选地，所述获取子模块，还用于：
[0161]
根据所述邻接表、所述图结构数据的标签矩阵以及所述预定数量的节点的特征向量，训练得到单层感知网络；
[0162]
通过所述单层感知网络计算所述预定数量的节点的预测值，并确定每两个节点的预测值的l1距离；
[0163]
使用l1距离确定所述中心节点与所述相邻节点的相似度；
[0164]
将所述相似度按照由大到小的顺序进行排序；
[0165]
获取所述相似度大于所述预设阈值的所述n个节点。
[0166]
可选地，所述聚合子模块，还用于：
[0167]
确定所述n个节点的中心节点向量与邻居节点向量；
[0168]
拼接所述中心节点向量与所述邻居节点向量，得到拼接后的目标向量；
[0169]
通过聚合函数对所述目标向量进行聚合处理，得到聚合向量；
[0170]
对所述聚合向量进行过滤，得到所述图结构数据的稠密向量。
[0171]
可选地，所述训练模块66，还用于：
[0172]
使用所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到所述目标图神经网络模型，其中，所述稠密向量为所述原始图神经网络模型的输入，训练好的所述目标图神经网络模型输出的所述稠密向量对应的标签结果与所述稠密向量实际对应的分类结果满足以下损失函数：
[0173]
其中，yv是节点v实际的标签结果，σ(zv)是目标图神经网络预测的概率，σ是激活函数，zv是节点v的稠密向量，λ||θ||2为约束条件。
[0174]
可选地，所述装置还包括：
[0175]
获取模块，用于获取目标业务数据；
[0176]
输入模块，用于将所述目标业务数据输入预先训练好的目标图神经网络模型中，得到所述目标图神经网络模型输入的所述目标业务数据对应不同分类结果的概率，其中，所述概率大于预设阈值的分类结果为所述目标业务数据对应的异常行为识别结果。
[0177]
需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。
[0178]
实施例3
[0179]
本发明的实施例还提供了一种计算机可读的存储介质，该存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述任一项方法实施例中的步骤。
[0180]
可选地，在本实施例中，上述存储介质可以被设置为存储用于执行以下步骤的计算机程序：
[0181]
s1，将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
[0182]
s2，对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
[0183]
s3，通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
[0184]
可选地，在本实施例中，上述存储介质可以包括但不限于：u盘、只读存储器(read-only memory，简称为rom)、随机存取存储器(random access memory，简称为ram)、移动硬盘、磁碟或者光盘等各种可以存储计算机程序的介质。
[0185]
实施例4
[0186]
本发明的实施例还提供了一种电子装置，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。
[0187]
可选地，上述电子装置还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。
[0188]
可选地，在本实施例中，上述处理器可以被设置为通过计算机程序执行以下步骤：
[0189]
s1，将获取的预定数量的业务数据转换为图结构数据，并提取所述预定数量的业务数据对应的分类标签；
[0190]
s2，对所述图结构数据进行聚合处理，得到所述图结构数据的稠密向量；
[0191]
s3，通过所述稠密向量与所述分类标签对原始图神经网络模型进行训练，得到训练好的目标图神经网络模型，其中，所述目标图神经网络模型用于异常行为识别。
[0192]
可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。
[0193]
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
[0194]
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。