异常应用或组件的识别方法、装置、存储介质与电子设备与流程

1.本公开涉及机器学习技术领域，尤其涉及一种异常应用或组件的识别方法、异常应用或组件的识别装置、计算机可读存储介质与电子设备。


背景技术：

2.随着智能化电子设备的不断发展，为了在多种场景下满足用户需求，提供便捷的日常生活，终端设备中涌入了海量的应用或组件。其中，不乏存在一些异常应用或组件，例如用户在使用某些应用时，弹出提醒、下载、清理或广告等内容的恶意弹窗信息，以引导用户点击、浏览非必要信息，或者下载、安装其他软件等，如图1所示，弹出引导用户下载应用程序的窗口信息。异常应用或组件可能对用户的信息安全造成威胁，因此，需要能够准确识别应用或组件是否异常。


技术实现要素：

3.本公开提供了一种异常应用或组件的识别方法、异常应用或组件的识别装置、计算机可读存储介质与电子设备，进而至少在一定程度上解决现有技术中难以对异常应用或组件进行准确、有效识别的问题。
4.本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
5.根据本公开的第一方面，提供一种异常应用或组件的识别方法，包括：获取由多个参考应用与所述参考应用的组件形成的第一关系图，所述第一关系图的节点包括所述参考应用与所述组件；在所述第一关系图中确定待识别对象的n级邻居节点，所述待识别对象包括待识别应用或待识别组件，n为正整数；通过对所述邻居节点的初始特征进行聚合处理，得到所述待识别对象的聚合特征；根据所述待识别对象的聚合特征，确定所述待识别对象是否异常。
6.根据本公开的第二方面，提供一种异常应用或组件的识别装置，包括：关系图获取模块，用于获取由多个参考应用与所述参考应用的组件形成的第一关系图，所述第一关系图的节点包括所述参考应用与所述组件；邻居节点确定模块，用于在所述第一关系图中确定待识别对象的n级邻居节点，所述待识别对象包括待识别应用或待识别组件，n为正整数；聚合特征获取模块，用于通过对所述邻居节点的初始特征进行聚合处理，得到所述待识别对象的聚合特征；对象异常判断模块，用于根据所述待识别对象的聚合特征，确定所述待识别对象是否异常。
7.根据本公开的第三方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面的异常应用或组件的识别方法及其可能的实现方式。
8.根据本公开的第四方面，提供一种电子设备，包括：处理器；存储器，用于存储所述处理器的可执行指令。其中，所述处理器配置为经由执行所述可执行指令，来执行上述第一
方面的异常应用或组件的识别方法及其可能的实现方式。
9.本公开的技术方案具有以下有益效果：
10.获取由多个参考应用与参考应用的组件形成的第一关系图，第一关系图的节点包括参考应用与组件；在第一关系图中确定待识别对象的n级邻居节点，待识别对象包括待识别应用或待识别组件，n为正整数；通过对邻居节点的初始特征进行聚合处理，得到待识别对象的聚合特征；根据待识别对象的聚合特征，确定待识别对象是否异常。一方面，本示例性实施例提出一种新的应用或组件的识别方法，通过挖掘待识别对象的n级邻居节点，对邻居节点进行特征聚合以得到待识别对象的聚合特征，利用了应用和组件之间包含与被包含的关系，使得聚合特征能够反映待识别对象的本质信息。由此，根据该聚合特征识别待识别对象是否异常，具有较高的准确度和可信度；另一方面，本示例性实施例在配置参考应用与参考应用的组件的第一关系图、以及其中节点的初始特征的情况下，即能够实现对待识别对象进行自动化地异常识别，降低了人力成本，对于与第一关系图中的参考应用或组件存在关联的待识别对象均能够进行异常识别，适用范围较广，实用性较高。
11.应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
12.此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
13.图1示出现有技术中恶意应用的弹窗示意图；
14.图2示出本示例性实施方式中一种系统架构的示意图；
15.图3示出本示例性实施方式中一种异常应用或组件的识别方法的流程图；
16.图4示出本示例性实施方式中一种第一关系图的示意图；
17.图5示出本示例性实施方式中参考应用1的邻居节点示意图；
18.图6示出本示例性实施方式中第一关系图中各节点的初始特征的示意图；
19.图7示出本示例性实施方式中一种异常应用或组件的识别方法的子流程图；
20.图8示出本示例性实施方式中一种异常应用或组件的识别方法的另一子流程图；
21.图9示出本示例性实施方式中对节点特征进行消息传递操作和聚合操作的示意图；
22.图10示出本示例性实施方式中一种异常识别网络的网络架构示意图；
23.图11示出本示例性实施方式中一种异常应用或组件的识别方法的再一子流程图；
24.图12示出本示例性实施方式中向量降维后的数据点分布示意图；
25.图13示出本示例性实施方式中第一关系图中不同的子图节点组成示意图；
26.图14示出本示例性实施方式中一种异常应用或组件的识别方法的再一子流程图；
27.图15示出了本示例性实施方式中一种待识别应用的第二关系图；
28.图16示出本示例性实施方式中一种异常应用或组件的识别装置的结构图；
29.图17示出本示例性实施方式中一种电子设备的结构图。
具体实施方式
30.现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。
31.此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
32.相关技术中，对异常应用或组件的识别往往是通过用户主动上报的方式，或者抽检的方式，从海量的应用或组件中抽取部分应用或组件进行数据监控，以进行识别等实现的。然而，基于用户主动上报的方式往往需要用户主动进行操作配合，且用户操作复杂程度较高，消耗较高的人力成本的同时，影响用户体验；另一方面，抽检的方式不能对应用或组件进行及时有效的识别，且抽检随机性较高，识别不全面，难以对海量的应用或组件进行准确识别。
33.基于上述一个或多个问题，本公开的示例性实施方式提供一种异常应用或组件的识别方法。图2示出了本示例性实施方式运行环境的系统架构图。如图2所示，该系统架构200可以包括终端设备210和服务端220，两者之间通过网络形成通信交互，例如终端设备210可以将待识别应用或待识别组件的数据发送至服务端220，以使服务端220根据数据对待识别应用或待识别组件进行识别，并将识别结果通过网络返回至终端设备210等。其中，终端设备210可以是安装有应用程序(application)的电子设备，包括但不限于智能手机、平板电脑、游戏机、可穿戴设备等；服务端220是指提供互联网服务的后台服务器。
34.应当理解，图2中各装置的数量仅是示例性的。根据实现需要，可以设置任意数量的终端设备，或者服务端可以是多台服务器形成的集群。
35.本公开实施方式所提供的异常应用或组件的识别方法可以由终端设备210执行，例如终端设备210直接执行异常应用或组件的识别过程；也可以由服务端220执行，例如服务端220可以从终端设备210中获取待识别应用或组件的数据，进行异常应用或组件的识别过程等，本公开对此不做限定。
36.图3示出了异常应用或组件的识别方法的示例性流程，可以由上述终端设备210或服务端220执行，包括以下步骤s310至s340：
37.步骤s310，获取由多个参考应用与参考应用的组件形成的第一关系图，第一关系图的节点包括参考应用与组件。
38.其中，应用是指用户终端中可以安装或使用的应用软件或程序等，例如用户从应用平台下载或购买的社交应用程序、电商应用程序或游戏应用程序等，或者终端设备出厂
时已安装的工具类应用程序，如计时器、天气等应用程序等等。在本示例性实施例中，参考应用是指用于对待识别应用或待识别组件进行异常识别的参考对象，其中可以包括已知异常或非异常的应用程序，也可以包括未知是否异常的应用程序等。参考应用可以是用户主动打开的应用，也可以是被动打开的应用，例如用户主动针对某应用的图标进行触控操作，打开应用，则该应用即为主动打开的应用；在打开该应用的同时，触发其他应用打开，则其他应用即为被动打开的应用等，本示例性实施例可以采用用户主动打开的应用作为参考应用。参考应用具有对应的组件，该组件即为打开或运行参考应用时对应所调用的相关组件。
39.第一关系图是指基于参考应用以及参考应用的组件，构建的从应用到组件，以及从组件到应用的无向二部图。第一关系图中的节点可以包括参考应用与组件，一个参考应用的节点可以对应多个组件的节点，一个组件的节点也可以对应多个参考应用的节点，表示一个参考应用可以调用多个组件，一个组件可以被多个参考应用所调用，即不同参考应用之间可能存在共用组件的情况，例如根据参考应用1～5与组件6～9的对应关系，可以生成如图4所示的第一关系图，区域410中包括参考应用1～5，区域420中包括组件6～9，参考应用与组件之间的对应关系如连线所示，具体包括，参考应用1可以调用组件6和组件8，参考应用2可以调用组件6和组件7、参考应用3可以调用组件9、参考应用4可以调用组件9、参考应用5可以调用组件6和组件8等，其中，可以看出，组件6可以被参考应用1调用，也可以被参考应用2调用等等。
40.在本示例性实施例中，可以通过数据埋点的方式，从收集的埋点数据中，提取各参考应用与组件的对应关系，进而根据对应关系，生成参考应用与参考应用的组件的第一关系图。
41.步骤s320，在第一关系图中确定待识别对象的n级邻居节点，待识别对象包括待识别应用或待识别组件，n为正整数。
42.其中，待识别对象是指需要进行异常应用或组件识别的对象，其可以是待识别应用，也可以是待识别组件，具体可以根据实际需要进行自定义设置。邻居节点是指与待识别对象具有直接或间接关联关系的应用节点或组件节点，例如在第一关系图中，参考应用1可以调用组件6和组件8，则组件6和组件8即为参考应用1的邻居节点。在本示例性实施例中，根据应用与组件的调用层级，待识别对象可以具有n级邻居节点，例如参考应用直接调用的组件，可以作为参考应用的1级邻居节点，与参考应用直接调用的组件相关的参考应用，如与参考应用具有共用组件的其他应用，可以作为2级邻居节点等等，邻居节点的等级越高，其与待识别对象的关系层就越深。
43.在本示例性实施例中，待识别对象可以是第一关系图中的参考应用或组件，即可以直接将第一关系图中的某一参考应用或参考应用的组件作为待识别对象，确定其在第一关系图中的n级邻居节点，例如将图4中的参考应用1作为待识别应用，确定其n级邻居节点；待识别对象也可以在第一关系图之外，但需要与第一关系图中已有的参考应用或组件具有直接或间接的关联关系，以在第一关系图中能够确定出其n级邻居节点，例如待识别对象可以是待识别应用x，待识别应用x可以调用组件6，则进一步，可以基于组件6，在第一关系图中确定出待识别应用x的n级邻居节点，或者待识别对象可以是待识别组件y，待识别组件y可以被参考应用1调用，则可以基于参考应用1，在第一关系图中确定出待识别组件y的n级邻居节点等等。
44.在一示例性实施例中，上述步骤s220可以包括以下步骤：
45.如果待识别对象为待识别应用，则在第一关系图中查找待识别应用对应的节点，并根据该节点在第一关系图中的邻居关系确定待识别应用的n级邻居节点；
46.或者，在第一关系图中未查找到待识别应用对应的节点时，以第一关系图中待识别应用的组件对应的节点作为待识别应用的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别应用的第2级至第n级邻居节点；
47.如果待识别对象为待识别组件，则在第一关系图中查找待识别组件对应的节点，并根据该节点在第一关系图中的邻居关系确定待识别组件的n级邻居节点；
48.或者，在第一关系图中未查找到待识别组件对应的节点时，以第一关系图中待识别组件所属的参考应用对应的节点作为待识别组件的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别组件的第2级至第n级邻居节点。
49.在本示例性实施例中，待识别对象为待识别应用时，如果在第一关系图中，能够查找到待识别应用对应的节点，例如在图4所示的第一关系图中，当参考应用1为待识别应用时，则可以根据参考应用1的节点在第一关系图中的邻居关系，确定参考应用1的n级邻居节点。举例说明，图5示出了参考应用1的3级邻居节点，具体的，参考应用1 510可以调用组件6和组件7，则组件6和组件7可以作为参考应用1的第1级邻居节点520；组件6被参考应用1、2、5调用，组件8被参考应用1、5调用，则参考应用1、2、5、1、5可以作为参考应用1的第2级邻居节点530；参考应用1调用组件6、8，参考应用2调用组件6、7，参考应用5调用组件6、8，则组件6、8、6、7、6、8、6、8、6、8可以作为参考应用1的第3级邻居节点540等。
50.如果在第一关系图中不能查找到待识别应用对应的节点，则可以以第一关系图中待识别应用的组件对应的节点作为待识别应用的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别应用的第2级至第n级邻居节点，即如果待识别应用不在第一关系图中，只要第一关系图中具有待识别应用可以调用的组件，也可以确定出待识别应用的n级邻居节点。例如待识别应用x不在如图4所示的第一关系图中，但是待识别应用x可以调用组件6，则可以将组件6作为待识别应用的第1级邻居节点，将共用组件6的参考应用作为待识别应用的第2级邻居节点，直至确定出待识别应用x的n级邻居节点等。
51.待识别对象为待识别组件时，如果在第一关系图中能够查找到待识别组件对应的节点，则可以在第一关系图中查找待识别组件对应的节点，并根据该节点在第一关系图中的邻居关系确定待识别组件的n级邻居节点，例如将图4中的组件6作为待识别组件时，调用组件6的参考应用1、2、5即可以作为组件6的第1级邻居节点，对应于参考应用1、2、5具有调用关系的组件可以作为组件6的第2级邻居节点等，直至依次确定出组件6的n级邻居节点等。
52.如果在第一关系图中不能查找到待识别组件对应的节点，则可以以第一关系图中待识别组件所属的参考应用对应的节点作为待识别组件的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别组件的第2级至第n级邻居节点，即如果待识别组件不在第一关系图中，只要第一关系图中具有待识别组件所属的应用，也可以确定出待识别组件的n级邻居节点。例如待识别组件y不在图4所示的第一关系图中，但是待识别组件y可以被参考应用2调用，则参考应用2可以作为待识别组件y的第1级邻居节点，与参考应用2具有调用关系的组件可以作为待识别组件y的第2级邻居节点等，直至确定出待识别组
件y的n级邻居节点等。
53.本示例性实施例可以基于构建的第一关系图，通过逐级寻找的方式，确定出待识别对象的每一级的邻居节点。其中，根据应用与组件的调用关系，当待识别对象为应用时，其奇数级邻居节点为组件的节点，偶数级邻居节点为应用的节点；当待识别对象为组件时，其奇数级邻居节点为应用的节点，偶数级邻居节点为组件的节点。
54.步骤s330，通过对邻居节点的初始特征进行聚合处理，得到待识别对象的聚合特征。
55.在本示例性实施例中，第一关系图中的参考应用和组件可以具备对应的初始特征，该初始特征可以是用于表征参考应用或组件特征的向量或矩阵等。初始特征可以通过对收集的参考应用或参考应用的组件的数据进行数据统计或计算确定，例如获取预设时间段内，或者特定的敏感时机下，参考应用、参考应用的组件以及组件被调用的次数等原始数据，根据获取的原始数据，确定黑名单应用、白名单应用以及黑名单应用中各应用的异常评分等，进一步，根据黑名单应用、白名单应用或黑名单应用中各应用的异常评分为参考应用的节点或组件的节点赋予初始特征。在得到每个参考应用和参考应用的初始特征后，可以通过对邻居节点的初始特征进行聚合处理，得到待识别对象的聚合特征，该聚合处理可以根据邻居节点的层级进行逐级聚合，例如在图5所示的参考应用1的邻居节点示意图中，参考应用1具有3级邻居节点，则可以根据第3级邻居节点540的初始特征进行聚合处理，得到第2级邻居节点530的中间聚合特征，进一步对第2级邻居节点530的中间聚合特征进行聚合处理，得到第1级邻居节点520的中间聚合特征，最后，基于第1级邻居节点520的中间聚合特征进行聚合处理，得到待识别应用，也即参考应用1 510的聚合特征。其中，聚合处理可以采用具有聚合功能的网络或模型进行处理，例如可以通过图神经网络(graph neural networks)中的gin(graph isomorphism network，图同构网络)层实现等；也可以采用特定的聚合算法进行聚合处理等，本公开对此不做具体限定。
56.步骤s340，根据待识别对象的聚合特征，确定待识别对象是否异常。
57.最后，基于待识别对象的聚合特征，可以对待识别对象是否异常进行识别，确定待识别对象为异常应用可以是指待识别应用或组件为恶意应用或恶意组件。本示例性实施例可以通过预先训练的异常识别网络对待识别对象的聚合特征进行处理，得到待识别对象是否异常的识别结果，例如可以采用图神经网络，对待识别对象与第一关系图中参考应用或组件对应的节点之间关系进行处理，得到待识别对象的聚合特征后，对待识别对象的聚合特征进行处理，得到待识别对象是否异常的识别结果。该识别结果可以包括待识别对象是否异常的分类结果；也可以包括是否异常的分类结果的概率结果；当待识别对象为待识别应用，且识别到待识别应用为异常应用时，识别结果还可以包括确定待识别应用为异常应用的相关异常组件等等。
58.综上，本示例性实施方式中，获取由多个参考应用与参考应用的组件形成的第一关系图，第一关系图的节点包括参考应用与组件；在第一关系图中确定待识别对象的n级邻居节点，待识别对象包括待识别应用或待识别组件，n为正整数；通过对邻居节点的初始特征进行聚合处理，得到待识别对象的聚合特征；根据待识别对象的聚合特征，确定待识别对象是否异常。一方面，本示例性实施例提出一种新的应用或组件的识别方法，通过挖掘待识别对象的n级邻居节点，对邻居节点进行特征聚合以得到待识别对象的聚合特征，利用了应
用和组件之间包含与被包含的关系，使得聚合特征能够反映待识别对象的本质信息。由此，根据该聚合特征识别待识别对象是否异常，具有较高的准确度和可信度；另一方面，本示例性实施例在配置参考应用与参考应用的组件的第一关系图、以及其中节点的初始特征的情况下，即能够实现对待识别对象进行自动化地异常识别，降低了人力成本，对于与第一关系图中的参考应用或组件存在关联的待识别对象均能够进行异常识别，适用范围较广，实用性较高。
59.在一示例性实施例中，上述异常应用或组件的识别方法还可以包括以下步骤：
60.根据针对参考应用的行为监控结果，确定参考应用的初始特征。
61.本示例性实施例可以根据对参考应用的行为监控结果，对参考应用以及参考应用的组件赋予初始特征。其中，行为监控结果可以包括参考应用的使用情况，与组件的调用关系、调用次数等，基于行为监控结果可以确定不同参考应用的异常评分，或者确定参考应用为异常或非异常分类属性等，例如考虑到用户体量越大，应用越规范，即受众用户数量越多，或者下载的次数越多的应用，其属于异常应用的概率就越低，因此，基于应用组件被调用的次数可以计算参考应用的用户数量，将用户数量超过一定阈值的参考应用添加至白名单应用中；或者，提取已知的异常应用添加至黑名单应用中，并在特定时机下对已知异常应用进行监控，根据监控数据，确定其异常评分等。进一步的，即可以基于建立的白名单应用、黑名单应用以及已知异常应用的异常评分，构建参考应用的初始特征。
62.初始特征的维度，以及每个维度的含义表征可以根据需要进行自定义设置，为了便于后续计算，本示例性实施例在设置参考应用的组件的初始特征时，可以使其与参考应用的初始特征具有相同的维度，通过不同维度的含义表征区分即可。例如可以对参考应用和组件均设置4个维度的初始特征，前两个维度用于表示参考应用或参考应用的组件的分类结果，如参考应用的前两个维度可以表示为(0，1)，参考应用的组件的前两个维度可以表示为(1，0)，后两个维度用于表示参考应用或参考应用组件的数值特征，如参考应用的后两个维度可以根据行为监控结果的异常评分得到，白名单应用中的参考应用或未知应用可以赋予(0，0)，黑名单应用中的异常参考应用可以基于评分赋值；参考应用的组件的后两个维度可以用于表征其透明和单像素属性，为了便于计算，可以均设置为(0，0)等，本示例性实施例仅作示意性说明，具体初始特征的维度设置可以根据需要进行设置或调整等，本公开对此不做具体限定。
63.在一示例性实施例中，上述行为监控结果可以包括：参考应用在多个敏感时机是否存在异常行为；根据对参考应用的行为的监控结果，确定参考应用的初始特征，包括：
64.以每个敏感时机为一个维度，根据参考应用在每个敏感时机是否存在异常行为，确定每个敏感时机对应的维度值，以得到参考应用的初始特征。
65.其中，敏感时机是指应用更容易表现其异常行为的时机，例如恶意应用往往在用户进行解/锁屏幕或插拔电源时，更容易弹出广告或其他恶意弹窗等。为了提高数据监控的针对性和初始特征的有效性，本示例性实施例可以预先确定多个敏感时机，并根据参考应用在每个敏感时机是否存在异常行为，确定每个敏感时机对应的维度值，得到参考应用的初始特征，例如可以在每个敏感时机下对异常参考应用的行为进行监控，计算每个敏感时机的异常评分，并以每个敏感时机为一个维度，以每个敏感时机对应的异常评分为该维度下的维度值，从而确定异常参考应用的初始特征。其中，敏感时机以及敏感时机的数目可以
根据实际需要进行自定义设置，例如敏感时机可以是插拔电源时，也可以是自定义的某一时刻或时间段等，又例如可以设置两个敏感时机，也可以设置三个敏感时机，对应生成两个或三个敏感时机对应的维度值等等。
66.以4个维度的初始特征进行举例说明，前两个维度用于表示参考应用或组件的分类结果，参考应用的前两个维度表示为(0，1)，组件的前两个维度表示为(1，0)，设置解/锁屏幕或插拔电源两个敏感时机，则参考应用的后两个维度分别为，在解/锁屏幕下以及插拔电源时，两个敏感时机对应的异常评分确定的维度值，组件的后两个维度表示为(0，0)。则对图4所示的第一关系图中的各个参考应用以及组件进行初始特征的赋值后，如图6所示，参考应用1、4为黑名单应用中已知异常的参考应用，其初始特征分别为(0，1，7，10)、(0，1，3，5)，参考应用2为白名单应用中已知非异常的参考应用，其初始特征为(0，1，0，0)，参考应用3和参考应用5为未知是否异常的参考应用，其初始特征为(0，1，0，0)、(0，1，0，0)；组件6、组件7、组件8以及组件9的初始特征分别为(1，0，0，0)、(1，0，0，0)、(1，0，0，0)、(1，0，0，0)。
67.在一示例性实施例中，如图7所示，上述异常应用或组件的识别方法还可以包括以下步骤：
68.步骤s710，获取预先训练的异常识别网络，异常识别网络包括第一子网络与第二子网络；
69.上述步骤s330，可以包括：
70.步骤s720，利用第一子网络，对待识别对象的第n级邻居节点的初始特征按照待识别对象的各级邻居节点间的关系进行逐级的聚合处理，得到待识别对象的聚合特征；
71.上述步骤s340，可以包括：
72.步骤s730，利用第二子网络对待识别对象的聚合特征进行处理，得到待识别对象是否异常的识别结果。
73.本示例性实施例可以通过预先训练的异常识别网络，对待识别对象的n级邻居节点的初始特征进行处理，以根据待识别对象的聚合特征进行处理，得到待识别对象是否异常的识别结果，其中，异常识别网络可以是图神经网络，识别结果可以为异常或非异常的分类结果，例如待识别应用为恶意应用，或非恶意应用等，也可以是分类结果的概率结果，例如待识别应用为恶意应用的概率等。
74.异常识别网络可以包括第一子网络与第二子网络，其中，第一子网络可以用于对待识别对象的第n级邻居节点的初始特征按照待识别对象的各级邻居节点之间的关系进行逐级的聚合处理。具体的，可以根据邻居节点的层级，设置多个聚合层，例如当待识别对象具有3级邻居节点时，可以通过三个聚合层，逐级聚合至待识别对象，生成待识别对象的聚合特征。第二子网络可以用于对待识别对象的聚合特征进行处理，以输出待识别对象是否异常的识别结果。
75.在一示例性实施例中，上述第一子网络可以包括n个聚合层；如图8所示，上述步骤s720可以包括以下步骤：
76.步骤s810，将第n级邻居节点的初始特征输入至第1聚合层，得到待识别对象的第n-1级邻居节点的中间聚合特征；
77.步骤s820，将第k-1聚合层输出的待识别对象的第n-k 1级邻居节点的中间聚合特征输入至第k聚合层，利用第k聚合层对第n-k 1级邻居节点的中间聚合特征进行聚合处理，
得到待识别对象的第n-k级邻居节点的中间聚合特征；k为不大于n的正整数；
78.步骤s830，在得到第1级邻居节点的中间聚合特征后，利用第n聚合层对第1级邻居节点的中间聚合特征进行聚合处理，得到待识别对象的聚合特征。
79.其中，第一子网络可以包括n个聚合层，聚合层的数量可以根据邻居节点的级数确定，例如在图5所示的参考应用1的邻居节点示意图中，参考应用1具有3级邻居节点，则可以通过3个聚合层来得到参考应用1的聚合特征。在本示例性实施例中，聚合层可以是图神经网络中的gin层。
80.在聚合处理时，本示例性实施例可以以第n级的邻居节点的初始特征作为第1聚合层的输入数据，得到待识别对象的第n-1级邻居节点的中间聚合特征；再将第n-1级邻居节点的中间聚合特征作为第2聚合层的输入数据，得到待识别对象的第n-2级邻居节点的中间聚合特征，以此类推，直至得到待识别对象的聚合特征。以图5所示的参考应用1的邻居节点示意图为例，进行具体说明，参考应用1具有3级邻居节点，则可以设置3个聚合层，将第3级邻居节点540中各个组件的初始特征输入第一聚合层，可以进行聚合处理得到第2级邻居节点530中各个参考应用的中间聚合特征；将第2级邻居节点530的中间聚合特征输入第二聚合层，可以进行聚合处理得到第1级邻居节点520中组件6和组件8的中间聚合特征；最后，将第1级邻居节点520的中间聚合特征输入第三聚合层，进行聚合处理，可以得到参考应用1 510的聚合特征。
81.当采用gin层作为聚合层对邻居节点的特征进行聚合处理时，gin层可以包括message(消息传递)操作和agg(aggregation，聚合)操作，其中，message操作用于将节点对应的特征进行传递，agg操作用于对节点对应的特征进行聚合，在本示例性实施例中，以图5所示的参考应用1的邻居节点示意图为例，对上述gin层中的message操作和agg操作进行具体说明，如图9所示，图9中的长条910和方块920可以分别表示gin层的message操作和agg操作，例如组件6和组件8的初始特征可以通过第一聚合层的message操作先进行初始特征的传递，进一步通过agg操作进行初始特征的聚合处理。
82.需要说明的是，在本示例性实施例中，当白名单应用是基于计算得到的用户数确定时，可能会因为应用所连的组件过多，聚合后数值过大，然而已知异常应用值偏小，网络模型倾向于将数值小的都判定为异常应用，造成误判的情况。因此，上述agg操作的聚合处理可以采用mean(均值)方法。
83.以三层gin聚合层为例，图10示出了本示例性实施例中一种异常识别网络的网络架构示意图，其中，包括第一子网络1010和第二子网络1020。
84.第一子网络1010可以包括第一gin聚合层1011、第二gin聚合层1012、第三gin聚合层1013，每层gin聚合层可以包括message agg层10111，message agg层之后还可以连接非线性函数mlp(multilayer perceptron，多层感知机)10112，以进行非线性处理。其中，mlp多层感知机10112可以包括linear层(线性层)101121、batchnorm层(批归一化层)101122、relu层(激活层)101123、linear层101124以及relu层101125等，batchnorm层用于稳定神经网络的训练，relu层用于引入非线性运算，linear层用于进行全连接操作运算。
85.本示例性实施例在通过各聚合层对第n级邻居节点的特征进行聚合处理时，第k级节点的特征值c
(k)
(v)由其邻居第k 1级节点的特征值确定，具体可以采用如下计算公式确定第k级对应节点的中间聚合特征或聚合特征：
[0086][0087]
其中，∈为网络训练参数，v表示节点，u表示节点v的邻居节点，|n(v)|为节点v的所有邻居节点，对应图10的mlp多层感知机10112。
[0088]
第二子网络1020可以包括linear layer1(第一全连接层)1021、relu激活函数 droupout(丢弃)层1022、linear layer2(第二全连接层)1023、以及log_softmax函数层(归一化层)1024，其中，linear layer层用于进行全连接运算，droupout层用于防止网络模型过拟合现象，relu激活函数用于引入非线性运算，log_softmax函数层用于输出待识别对象的识别结果。
[0089]
在一示例性实施例中，上述异常应用或组件的识别方法还可以包括：
[0090]
获取至少一部分参考应用的标签，标签用于表示参考应用是否异常；
[0091]
利用参考应用的初始特征与参考应用的标签，训练异常识别网络。
[0092]
标签是指网络模型在训练时的分类标签，其可以通过预先建立的黑名单应用或白名单应用确定，例如黑名单应用中的参考应用对应的标签可以是异常，白名单应用中的参考应用对应的标签可以是非异常等，本示例性实施例将具有标签的参考应用作为训练数据，标签作为训练标签对异常识别网络进行训练，直到网络收敛或准确率达到一定程度，可以认为网络训练完成。
[0093]
异常识别网络在训练时，可以采用early_stop(早停机制)判断是否停止训练，在本示例性实施例中，当epoch(时期)＝30时，验证集的准确率达到1，但是在该epoch时，验证集的损失值依然较大，且之后在不断下降。考虑是由于该epoch下预测的概率仅刚过0.5的边界线，还处于分类判断模棱两可的状态，与1相差还很大，故损失值较大。因此，本示例性实施例可以根据val_loss(一种测试集的损失值)作为网络模型停止训练的依据，将epoch＝90时，val
loss
＝0.063时的网络参数作为目标参数，确定最终的异常识别网络，执行后续处理过程。
[0094]
在一示例性实施例中，上述获取至少一部分参考应用的标签，可以包括：
[0095]
根据针对参考应用的行为监控结果和/或用户统计结果，从参考应用中确定异常参考应用与非异常参考应用，以得到异常参考应用与非异常参考应用的标签。
[0096]
其中，行为监控结果以及用户统计结果可以用于反映应用是否存在异常行为，例如恶意应用往往在用户进行解/锁屏幕或插拔电源时，更容易弹出广告或其他恶意弹窗等。因此，可以通过行为监控结果对应用进行异常评分，基于异常评分确定应用是否异常，进而可以得到异常应用以及对应的异常标签，异常应用以及对应的异常标签也可以根据已知异常的应用建立的黑名单应用确定等。用户统计结果是指根据用户使用应用的统计数据确定的统计结果，例如用户使用应用的体量数据，具体可以通过应用组件被调用的次数确定，调用的次数越多，说明应用的体量越大，则应用为非异常应用的概率就越大。本示例性实施例可以通过提取用户数位于前预设数量的应用建立白名单应用，基于白名单应用确定非异常参考应用以及对应的非异常标签等。本示例性实施例可以根据对参考应用的行为监控结果、用户统计结果或者行为监控结果和用户统计结果，从参考应用中提取用于训练网络模
型的异常参考应用与非异常参考应用，以及其对应的异常参考应用的标签与非异常参考应用的标签。
[0097]
在一示例性实施例中，如图11所示，上述异常应用或组件的识别方法还可以包括以下步骤：
[0098]
步骤s1110，在训练异常识别网络后，利用异常识别网络得到参考应用和/或参考应用的组件的中间特征；
[0099]
步骤s1120，将中间特征降维并映射至低维空间，以得到低维空间内的数据点；
[0100]
步骤s1130，根据低维空间内的数据点的分布，验证异常识别网络的训练效果。
[0101]
考虑到已知标签的训练集和验证集的数目较小，即使异常识别网络在训练集以及验证集中具有较高的准确率，也无法保证异常识别网络具有较好的识别效果。为了提高异常识别网络的泛化效果，需要在未知应用或组件集合中做进一步的测试，保证输出的异常对象尽量精确。
[0102]
本示例性实施例可以通过embedding(嵌入)可视化的方式将应用或组件的节点对应的中间特征降维至低维空间，并基于低维空间中节点对应的数据点的分布情况，直观地表征异常识别网络的训练是否有效，当可疑的异常对象与非异常对象的向量表征，在低维空间内的数据点分布能够有效区分时，说明异常识别网络的训练是有效的，即可以进一步执行后续过程。其中，中间特征可以是异常识别网络中任何一个中间层得到的待识别对象的特征，例如其可以是第一子网络的输出特征，也可以是第二子网络中第一全连接层的输出特征等等。
[0103]
具体而言，可以在训练异常识别网络后，利用异常识别网络得到的参考应用、参考应用的组件或者参考应用和参考应用的组件的中间特征，将其降维并映射至低维的空间中，例如可以将图10中第一全连接层1021的输出特征数据，作为节点的embedding向量，然后基于tsne(t stochastic neighbor embedding，一种降维算法)算法对embedding向量进行降维处理，得到低维空间内的数据点。进一步，根据低维空间内数据点的分布进行判断，如果异常对象和非异常对象可以有效区分，则验证异常识别网络的训练效果为有效。
[0104]
图12示出了将多个待识别应用的节点的embedding向量降维至2维空间的示意图，其中，区域1210中的点为非恶意应用，区域1220中的点为已知的恶意应用，区域1230中的点为异常识别网络预测的恶意应用，其他未标出的点均为非恶意应用，区域1230中越接近区域1220的点对应的应用，其预测的恶意程度越高，在图12所示的二维点集示意图中，恶意应用与非恶意应用具有明显的线可以区分，即说明异常识别网络的训练具有有效性。
[0105]
在一示例性实施例中，当上述待识别对象为待识别应用时，上述异常应用或组件的识别方法还可以包括：
[0106]
当待识别应用异常时，确定与待识别应用关联的目标异常组件。
[0107]
当待识别对象为待识别应用，且识别到待识别应用为异常应用时，例如当确定待识别应用为恶意应用时，为了更深入的了解待识别应用的异常原因，便于对其他应用或组件进行分析，本示例性实施例还可以确定出与待识别应用关联的目标异常组件。其中，目标异常组件即可以认为是确定待识别应用为异常应用时组件层面的原因，例如待识别应用是由于调用了哪些异常组件，被判定为异常应用的，则这些异常组件，可以视为待识别应用关联的目标异常组件。
[0108]
在一示例性实施例中，上述确定与待识别应用关联的目标异常组件，可以包括以下步骤：
[0109]
根据第一关系图提取待识别应用对应的解释子图，作为第二关系图；
[0110]
在第二关系图中，根据待识别应用的第1级邻居节点与第二关系图中的各参考应用间的边权重，从待识别应用的第1级邻居节点中确定目标异常组件。
[0111]
在本示例性实施例中，第一关系图是由参考应用及组件对应的多个节点以及节点之间的关系生成，第一关系图中可以包括多个子图，每个子图可以包括第一关系图中的部分节点，例如图13所示，根据图4与图5所示的第一关系图中参考应用与节点之间的关系，参考应用1对应的子图可以由区域1310内的节点构成，也可以由区域1320内的节点构成，需要说明的是图13仅为示例性说明，具体子图中的节点的分布与数量在此不做具体限定。
[0112]
解释子图是指，基于待识别应用对应的子图确定的最优子图，也即第二关系图，第二关系图可以用于对图神经网络的输出结果进行解释，可以认为其是由与异常识别网络的预测结果相关性比较大的重要节点构成的关系图，通过第二关系图可以反映第一关系图中哪些节点最大程度的影响了异常识别网络的输出结果。例如当确定参考应用1为异常应用时，主要是由于受到了区域1310节点的影响，区域1310对应的节点构成了第二关系图。
[0113]
在本示例性实施例中，可以通过gnnexplainer(graph neural networks explainer，图神经网络解释)算法，从第一关系图中提取待识别应用对应的解释子图，作为第二关系图，即从多个子图中找出最优的解释子图。具体而言，可以假定第一关系图、第一关系图中的边集合、以及第一关系图中的节点的集合分别为g、e、v，并且第一关系图中每个节点的特征可以构成节点特征集合，例如可以是计算得到的待识别应用的四维特征，表示为x＝x1,
…
,xn,xi∈r4，通过gnnexplainer算法对图中单个节点的预测结果进行解释，以找到预测结果重要的解释子图gs，即第二关系图，其中解释子图gs第一关系图gc，解释子图中的节点特征构成特征子集xs，利用互信息可以将gnnexplainer表示为：
[0114]
maxmi(y,(gs,xs))＝h(y)-h(y|g＝gs,x＝xs)
[0115]
在上式中，由于异常识别网络和预测结果已经确定，故h(y)是常数，对于第二项h(y|g＝gs,x＝xs)，当解释子图和特征子集带来的预测结果不确定性越小，即解释子图和特征子集和预测结果越相关，则目标函数的互信息越大。因此，也就可以通过最大化互信息实现从第一关系图中提取出解释子图，以生成第二关系图。
[0116]
本示例性实施例可以根据邻居节点的级数，构建对应的第二关系图，例如当待识别应用具有3级邻居节点时，可以生成3级结构的第二关系图，从第0级到第3级的节点分别可以包括：待解释的待识别应用的节点—待识别应用的组件的节点—共用组件的应用的节点—共用组件的应用的组件的节点。通过gnnexplainer算法还可以确定第二关系图中每个节点之间的边权重值。
[0117]
在得到第二关系图之后，本示例性实施例可以从第二关系图中待识别应用的第1级邻居节点对应的组件中，进行过滤，确定出与待识别应用的预测结果影响较大的目标异常组件。具体可以根据待识别应用的第1级邻居节点与第二关系图中各参考应用间的边权重，从待识别应用的第1级邻居节点中确定目标异常组件。
[0118]
在一示例性实施例中，如图14所示，上述在第二关系图中，根据待识别应用的第1级邻居节点与第二关系图中的各参考应用间的边权重，从待识别应用的第1级邻居节点中
确定目标异常组件，可以包括以下步骤：
[0119]
步骤s1410，在第二关系图中，将待识别应用的第1级邻居节点中与异常参考应用间存在边的节点确定为候选异常组件；
[0120]
步骤s1420，针对每个候选异常组件，根据候选异常组件的全部边权重之和以及候选异常组件与待识别应用间的边权重，确定候选异常组件的异常概率；
[0121]
步骤s1430，根据各候选异常组件的异常概率，从各候选异常组件中确定目标异常组件。
[0122]
在本示例性实施例中，通过gnnexplainer算法确定的第二关系图中每个节点之间的边都具有相应的权重值，根据第1级邻居节点与第二关系图中各参考应用之间的边权重，可以从第1级邻居节点中筛选出目标异常组件。首先可以在第二关系图中，确定出第1级邻居节点对应的所有组件，并记录组件与参考应用相连的边权重；然后，对第1级邻居节点对应的组件进行初步筛选，将第1级邻居节点中与异常参考应用之间存在边的节点对应的组件，作为候选异常组件，并记录候选异常组件与参考应用相连的边权重；进一步，根据候选异常组件的全部边权重之和，以及候选异常组件与待识别应用间的边权重，确定出各个候选异常组件的异常概率，针对每个候选异常组件，可以通过以下公式确定：候选异常组件的异常概率等于候选异常组件与共同组件的应用所有边的边权重之和乘以候选异常组件与待识别应用之间的边权重；最后，根据各候选异常组件的异常概率，可以从各个候选异常组件中确定出目标异常组件，例如可以按照候选异常组件的异常概率排名，将前预设数量的候选异常组件确定为目标异常组件，或者将异常概率超过预设阈值的候选异常组件确定为目标异常组件等等。
[0123]
图15示出了一种预测为异常应用的待识别应用的第二关系图，其中示意性示出待识别应用节点的异常组件节点以及共用组件的异常应用节点，实心原点表示待识别应用对应的节点，空心原点表示待识别应用的异常组件节点，方形点表示与待识别应用共用异常组件的已知异常应用，通过图15可以看出待识别应用与已知异常应用共用了com.xx.j.ad类的组件，造成待识别应用被判定为异常应用，且可以输出目标异常组件com.xx.j.ad。
[0124]
本示例性实施例基于共用组件对待识别应用进行识别，并且能够在待识别应用被判定为异常应用时，确定与判定结果相关的目标异常组件，一方面，能够对待识别应用进行有效、准确的识别，另一方面，能够从组件方面，分析待识别应用的异常判定结果，具有较好的异常原因追溯性。
[0125]
本公开的示例性实施方式还提供一种异常应用或组件的识别装置。如图16所示，该异常应用或组件的识别装置1600可以包括：关系图获取模块1610，用于获取由多个参考应用与参考应用的组件形成的第一关系图，第一关系图的节点包括参考应用与组件；邻居节点确定模块1620，用于在第一关系图中确定待识别对象的n级邻居节点，待识别对象包括待识别应用或待识别组件，n为正整数；聚合特征获取模块1630，用于通过对邻居节点的初始特征进行聚合处理，得到待识别对象的聚合特征；对象异常判断模块1640，用于根据待识别对象的聚合特征，确定待识别对象是否异常。
[0126]
在一示例性实施例中，上述邻居节点确定模块包括：第一确定单元，用于如果待识别对象为待识别应用，则在第一关系图中查找待识别应用对应的节点，并根据该节点在第一关系图中的邻居关系确定待识别应用的n级邻居节点；或者，在第一关系图中未查找到待
识别应用对应的节点时，以第一关系图中待识别应用的组件对应的节点作为待识别应用的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别应用的第2级至第n级邻居节点；第二确定单元，用于如果待识别对象为待识别组件，则在第一关系图中查找待识别组件对应的节点，并根据该节点在第一关系图中的邻居关系确定待识别组件的n级邻居节点；或者，在第一关系图中未查找到待识别组件对应的节点时，以第一关系图中待识别组件所属的参考应用对应的节点作为待识别组件的第1级邻居节点，并根据第1级邻居节点在第一关系图中的邻居关系确定待识别组件的第2级至第n级邻居节点。
[0127]
在一示例性实施例中，异常应用或组件的识别装置还包括：网络获取模块，用于获取预先训练的异常识别网络，异常识别网络包括第一子网络与第二子网络；聚合特征获取模块包括：聚合特征获取单元，用于利用第一子网络，对待识别对象的第n级邻居节点的初始特征按照待识别对象的各级邻居节点间的关系进行逐级的聚合处理，得到待识别对象的聚合特征；对象异常判断模块包括：聚合特征处理单元，用于利用第二子网络对待识别对象的聚合特征进行处理，得到待识别对象是否异常的识别结果。
[0128]
在一示例性实施例中，第一子网络包括n个聚合层；聚合特征处理单元，包括：第一聚合子单元，用于将第n级邻居节点的初始特征输入至第1聚合层，得到待识别对象的第n-1级邻居节点的中间聚合特征；第二聚合子单元，用于将第k-1聚合层输出的待识别对象的第n-k 1级邻居节点的中间聚合特征输入至第k聚合层，利用第k聚合层对第n-k 1级邻居节点的中间聚合特征进行聚合处理，得到待识别对象的第n-k级邻居节点的中间聚合特征；k为不大于n的正整数；第n聚合子单元，用于在得到第1级邻居节点的中间聚合特征后，利用第n聚合层对第1级邻居节点的中间聚合特征进行聚合处理，得到待识别对象的聚合特征。
[0129]
在一示例性实施例中，异常应用或组件的识别装置还包括：初始特征确定模块，用于根据针对参考应用的行为监控结果，确定参考应用的初始特征。
[0130]
在一示例性实施例中，行为监控结果包括：参考应用在多个敏感时机是否存在异常行为；初始特征确定模块包括：维度值确定单元，用于以每个敏感时机为一个维度，根据参考应用在每个敏感时机是否存在异常行为，确定每个敏感时机对应的维度值，以得到参考应用的初始特征。
[0131]
在一示例性实施例中，异常应用或组件的识别装置还包括：标签获取模块，用于获取至少一部分参考应用的标签，标签用于表示参考应用是否异常；网络训练模块，用于利用参考应用的初始特征与参考应用的标签，训练异常识别网络。
[0132]
在一示例性实施例中，标签获取模块，包括：标签获取单元，用于根据针对参考应用的行为监控结果和/或用户统计结果，从参考应用中确定异常参考应用与非异常参考应用，以得到异常参考应用与非异常参考应用的标签。
[0133]
在一示例性实施例中，异常应用或组件的识别装置还包括：中间特征获得模块，用于在训练异常识别网络后，利用异常识别网络得到参考应用和/或参考应用的组件的中间特征；降维模块，用于将中间特征降维并映射至低维空间，以得到低维空间内的数据点；验证模块，用于根据低维空间内的数据点的分布，验证异常识别网络的训练效果。
[0134]
在一示例性实施例中，待识别对象为待识别应用，异常应用或组件的识别装置还包括：目标异常组件确定模块，用于当待识别应用异常时，确定与待识别应用关联的目标异常组件。
[0135]
在一示例性实施例中，目标异常组件确定模块包括：第二关系图确定单元，用于根据第一关系图提取待识别应用对应的解释子图，作为第二关系图；异常组件确定单元，用于在第二关系图中，根据待识别应用的第1级邻居节点与第二关系图中的各参考应用间的边权重，从待识别应用的第1级邻居节点中确定目标异常组件。
[0136]
在一示例性实施例中，异常组件确定单元包括：候选异常组件确定子单元，用于在第二关系图中，将待识别应用的第1级邻居节点中与异常参考应用间存在边的节点确定为候选异常组件；异常概率确定子单元，用于针对每个候选异常组件，根据候选异常组件的全部边权重之和以及候选异常组件与待识别应用间的边权重，确定候选异常组件的异常概率；异常组件确定子单元，用于根据各候选异常组件的异常概率，从各候选异常组件中确定目标异常组件。
[0137]
上述装置中各部分的具体细节在方法部分实施方式中已经详细说明，因而不再赘述。
[0138]
本公开的示例性实施方式还提供了一种计算机可读存储介质，可以实现为程序产品的形式，包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤，例如可以执行图3、图7、图8、图11或图14中任意一个或多个步骤。该程序产品可以采用便携式紧凑盘只读存储器(cd-rom)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
[0139]
程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、光纤、便携式紧凑盘只读存储器(cd-rom)、光存储器件、磁存储器件、或者上述的任意合适的组合。
[0140]
计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
[0141]
可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、rf等等，或者上述的任意合适的组合。
[0142]
可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如java、c 等，还包括常规的过程式程序设计语言—诸如“c”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(lan)或广域网(wan)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商
来通过因特网连接)。
[0143]
本公开的示例性实施方式还提供一种用于实现异常应用或组件的识别方法的电子设备，该电子设备例如可以是上述服务端220。该电子设备可以包括处理器与存储器。存储器存储有处理器的可执行指令，如可以是程序代码。处理器通过执行该可执行指令来执行本示例性实施方式中的异常应用或组件的识别方法，如可以执行图3的方法步骤。
[0144]
下面参考图17，以通用计算设备的形式对电子设备进行示例性说明。应当理解，图17显示的电子设备1700仅仅是一个示例，不应对本公开实施方式的功能和使用范围带来限制。
[0145]
如图17所示，电子设备1700可以包括：处理器1710、存储器1720、总线1730、i/o(输入/输出)接口1740、网络适配器1750。
[0146]
本示例性实施方式中的异常应用或组件的识别方法可以由处理器1710来执行，例如处理器1710可以加载图神经网络参数并执行图神经网络相关的算法指令，以实现对待识别对象的异常识别。
[0147]
存储器1720可以包括易失性存储器，例如ram 1721、缓存单元1722，还可以包括非易失性存储器，例如rom 1723。存储器1720还可以包括一个或多个程序模块1724，这样的程序模块1724包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。例如，程序模块1724可以包括上述装置1600中的各模块。
[0148]
总线1730用于实现电子设备1700的不同组件之间的连接，可以包括数据总线、地址总线和控制总线。
[0149]
电子设备1700可以通过i/o接口1740与一个或多个外部设备1800(例如键盘、鼠标、外置控制器等)进行通信。
[0150]
电子设备1700可以通过网络适配器1750与一个或者多个网络通信，例如网络适配器1750可以提供如3g/4g/5g等移动通信解决方案，或者提供如无线局域网、蓝牙、近场通信等无线通信解决方案。网络适配器1750可以通过总线1730与电子设备1700的其它模块通信。
[0151]
尽管图17中未示出，还可以在电子设备1700中设置其它硬件和/或软件模块，包括但不限于：显示器、微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、raid系统、磁带驱动器以及数据备份存储系统等。
[0152]
所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施方式。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施方式仅被视为示例性的，本公开的真正范围和精神由权利要求指出。
[0153]
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限定。