CN114666577A - 一种基于视频行为距离的设备异常检测方法和装置 - Google Patents

Abstract

本发明实施例提供了一种基于视频行为距离的设备异常检测方法和装置，涉及数据处理技术领域，上述方法包括：获取表示视频设备之间操作行为的行为数据；基于行为数据，确定各个视频设备之间的操作关系；针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由；针对任意两个视频设备，基于两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算两个视频设备之间的行为距离；基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。应用本发明实施例提供的方案可以完成异常设备检测。

Description

一种基于视频行为距离的设备异常检测方法和装置

技术领域

本发明涉及数据处理技术领域，特别是涉及一种基于视频行为距离的设备异常检测方法和装置。

背景技术

视频设备在运行过程中可能会互相传输指令等各类数据，实现视频设备之间的操作，例如，上述视频设备中包含设备M与设备N，设备M为管理设备，设备N为视频采集设备，设备M可以向设备N发送取流指令以获取设备N采集的视频流，设备N可以周期性地向设备M发送保活消息，以使得设备M在能够持续接收到保活消息的情况下确定设备N持续处于正常工作状态。上述视频设备之间互相传输数据实现的设备间操作可以被称为视频设备之间的操作行为。

但视频设备在运行过程中可能会进入异常状态，处于异常状态的异常设备可能会产生异常的操作行为，例如，设备M频繁向多个视频采集设备发送取流指令，导致接收到取流指令的视频采集设备频繁收到取流指令，影响视频采集设备的正常工作。视频设备进入异常状态不仅会对自身的运行造成影响，也会对与该视频设备共同参与操作行为的其他视频设备造成影响，为此需要对异常设备进行检测。

发明内容

本发明实施例的目的在于提供一种基于视频行为距离的设备异常检测方法和装置，以检测进入异常状态的异常设备。具体技术方案如下：

第一方面，本发明实施例提供了一种基于视频行为距离的设备异常检测方法，所述方法包括：

获取表示视频设备之间操作行为的行为数据，其中，所述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

基于所述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，所述操作关系的方向与所对应的操作行为中数据传输的方向相同；

针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，所述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，其中，所述目标操作路由为：所述操作路由中包含的起点与终点分别为所述两个视频设备的路由段；

基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

第二方面，本发明实施例提供了一种基于视频行为距离的设备异常检测装置，所述装置包括：

数据获取模块，用于获取表示视频设备之间操作行为的行为数据，其中，所述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

关系确定模块，用于基于所述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，所述操作关系的方向与所对应的操作行为中数据传输的方向相同；

路由获得模块，用于针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，所述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

距离计算模块，用于针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，其中，所述目标操作路由为：所述操作路由中包含的起点与终点分别为所述两个视频设备的路由段；

异常设备检测模块，用于基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

第三方面，本发明实施例提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现上述基于视频行为距离的设备异常检测方法步骤。

第四方面，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述基于视频行为距离的设备异常检测方法步骤。

第五方面，本发明实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述基于视频行为距离的设备异常检测方法步骤。

本发明实施例有益效果：

由以上可见，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的第一种基于视频行为距离的设备异常检测方法的流程示意图；

图2为本发明实施例提供的一种视频设备间操作关系的示意图；

图3为本发明实施例提供的第二种基于视频行为距离的设备异常检测方法的流程示意图；

图4为本发明实施例提供的第三种基于视频行为距离的设备异常检测方法的流程示意图；

图5为本发明实施例提供的一种聚类过程示意图；

图6为本发明实施例提供的第四种基于视频行为距离的设备异常检测方法的流程示意图；

图7为本发明实施例提供的第一种基于视频行为距离的设备异常检测装置的结构示意图；

图8为本发明实施例提供的第二种基于视频行为距离的设备异常检测装置的结构示意图；

图9为本发明实施例提供的第三种基于视频行为距离的设备异常检测装置的结构示意图；

图10为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了对处于异常状态的视频设备进行检测，本发明实施例提供了一种基于视频行为距离的设备异常检测方法及装置。

本发明实施例提供了一种基于视频行为距离的设备异常检测方法，上述方法包括：

获取表示视频设备之间操作行为的行为数据，其中，上述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

基于上述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，上述操作关系的方向与所对应的操作行为中数据传输的方向相同；

针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，上述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

针对任意两个视频设备，基于上述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算上述两个视频设备之间的行为距离，其中，上述目标操作路由为：上述操作路由中包含的起点与终点分别为上述两个视频设备的路由段；

基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

由以上可见，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

本发明实施例的执行主体可以是任意的、与被进行异常检测的视频设备通信连接的、具有数据处理能力的设备。被进行异常检测的视频设备可以为处于同一视频应用场景中的设备，其中可以包括进行视频数据采集或处理的处理设备以及对处理设备进行管理的管理设备等，处理设备与管理设备均有可能在执行过程中进入异常状态。

例如，上述视频应用场景可以为物联网视频场景，上述处理设备可以为用于采集视频的视频采集设备，如IPC（Intellectual Property Camera，网络摄像机）、用于存储视频数据的存储设备等，上述管理设备可以为用于管理处理设备的服务器等。

参见图1，为本发明实施例提供的第一种基于视频行为距离的设备异常检测方法的流程示意图，上述方法包括以下步骤S101-S105。

S101：获取表示视频设备之间操作行为的行为数据。

其中，上述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作。

具体的，视频设备之间可以互相传输操作指令、操作消息等数据实现视频设备之间的通信，从而使得互相传输数据的视频设备共同实现设备间操作，完成设备间的操作行为。

例如，管理设备可以向存储有视频数据的存储设备发送数据调取指令，上述视频数据是视频采集设备采集到的，存储设备接收到数据调取指令后可以向管理设备反馈所存储的视频数据，使得用户可以通过管理设备回放视频采集设备采集到的数据。在此过程中管理设备向存储设备发送数据调取指令，管理设备与存储设备共同参与完成了视频回放行为。

管理设备也可以向视频采集设备发送摄像头转向指令，上述视频采集设备接收到摄像头转向指令后转换自身摄像头的方向。在此过程中管理设备向视频采集设备发送摄像头转向指令，管理设备与视频采集设备共同参与完成了摄像头转向行为。

上述存储设备也可以周期性地向管理设备发送保活消息，使得管理设备在接收到保活消息的情况下确定存储设备处于正常工作状态。在此过程中存储设备向管理设备发送保活消息，存储设备与管理设备共同参与完成了设备保活行为。

本发明的另一个实施例中，上述行为数据中可以包含操作行为的发起方的标识、操作行为的接收方的标识、产生操作行为的时间、操作行为的类型等。上述操作行为的发起方为视频设备间数据的发送端，操作行为的接收方为视频设备间数据的接收端。例如，上述操作行为的类型可以为前文所示的视频回放行为、摄像头转向行为、设备保活行为等。

具体的，上述行为数据可以为视频应用场景中预设时间段产生的所有行为数据，上述预设时间段可以为近1天、近一周等。

本发明的一个实施例中，可以获取各个视频设备生成的日志，从日志中读取表示该视频设备向其他视频设备发送数据的日志数据，作为该视频设备的行为数据。

本发明的另一个实施例中，可以通过以下步骤A获取上述行为数据。

步骤A：采用旁路监听的方式，获得表示视频设备之间操作行为的行为数据。

具体的，本发明实施例的执行主体可以采用旁路监听的方式监听各个视频设备之间的信道传输的数据，确定视频设备之间传输的操作指令、操作消息等，记录数据发送端与数据接收端的标识，作为参与操作行为的视频设备的标识，其中数据发送端即为操作行为的发起方，并记录数据传输的时间，作为产生操作行为的时间，并分析视频设备之间所传输的数据，根据所传输的指令或消息的类型确定操作行为的类型。

由于采用旁路监听的方式获取行为数据的过程中所采集的数据是视频设备之间传输的数据，而不是视频设备自身的数据，因此获取行为数据的过程不会对视频设备进行访问，也就不会对视频设备的运行造成影响。

S102：基于上述行为数据，确定各个视频设备之间的操作关系。

其中，共同参与同一操作行为的视频设备之间存在操作关系，上述操作关系为有向关系，上述操作关系的方向与所对应的操作行为中数据传输的方向相同，也就是从操作行为的发起方指向操作行为的接收方。

本发明的一个实施例中，可以读取上述行为数据确定操作行为的发起方的标识与操作行为的接收方的标识，从而确定上述发起方与接收方之间存在从发起方至接收方的操作关系。

具体的，任意两个视频设备之间的操作关系可以以序列的形式存储，序列中包含操作行为的发起方的标识、操作行为的接收方的标识以及操作关系的类型标识，上述操作关系的类型即为所对应的视频设备之间操作行为的类型。

另外，两个视频设备之间可能存在多次操作行为，则若多次操作行为的类型相同，则可以将操作关系的类型确定为多次操作行为的类型，若多次操作行为的类型不同，则可以将操作关系的类型确定为多次操作行为的类型的集合。

参见图2，为本发明实施例提供的一种视频设备间操作关系的示意图，图2中包含视频设备1-视频设备7，视频设备之间的箭头表示视频设备之间存在操作关系，箭头的指向即为视频设备之间的操作关系的方向。其中，视频设备1与视频设备2之间存在从视频设备1至视频设备2的操作关系，视频设备2与视频设备3之间存在从视频设备2至视频设备3的操作关系，视频设备1与视频设备4之间存在从视频设备1至视频设备4的操作关系，视频设备5与视频设备6之间存在从视频设备5至视频设备6的操作关系，视频设备5与视频设备7之间存在从视频设备5至视频设备7的操作关系。

S103：针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由。

其中，上述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系。

本发明的一个实施例中，针对每一视频设备，以该视频设备为起点，将该视频设备作为当前设备，查找基于视频设备之间的操作关系，按照预设的关系遍历方式查找一个视频设备作为下一遍历设备，并将当前设备与下一遍历设备之间的操作关系写入操作路由，作为操作路由的起始元素；再将查找到的下一遍历设备作为新的当前设备，继续查找一个新的视频设备作为新的下一设备，并将新的当前设备与新的下一遍历设备之间的操作关系写入当前的操作路由的尾端，依此类推，直至遍历所有视频设备，获得作为起点的视频设备对应的操作路由。在上述遍历过程中同一视频设备不会被遍历两次。

在遍历过程中，若不存在未被遍历的、与当前设备直接或间接存在的操作关系的下一遍历设备，则可以选择任意未被遍历的视频设备作为下一遍历设备，也可以按照设备编号，选择未被遍历的、设备编号最小的视频设备作为下一遍历设备。在此情况下，可以将表示不存在操作关系的标识写入当前的操作路由尾端。

若上述视频设备的数量为N，则所确定的操作路由中包含的元素的数量为N-1。

以前述图2所示的视频设备间的操作关系为例，以视频设备1为起点，可以依次遍历视频设备2、视频设备3，返回视频设备1继续遍历下一遍历设备，即视频设备4，在视频设备4为当前设备的情况下，不存在与视频设备4直接或间接存在操作关系的其他设备，则可以将视频设备5作为新的当前设备继续遍历视频设备6，再返回视频设备5继续遍历视频设备7。

此过程中依次将视频设备1与视频设备2间的操作关系、视频设备2与视频设备3间的操作关系、视频设备1与视频设备4间的操作关系、视频设备4与视频设备5间的操作关系，视频设备5与视频设备6间的操作关系、视频设备5与视频设备7间的操作关系写入操作路由。其中，视频设备4与视频设备5间实质上不存在操作关系，因此可以以表示不存在操作关系的标识代表视频设备4与视频设备5间的操作关系。

本发明的另一个实施例中，在选择当前设备对应的下一遍历设备时可以参照预设的关系遍历方式，上述预设的关系遍历方式可以为一种或多种。基于不同的关系遍历方式，在进行下一遍历设备选择时选择的下一遍历设备往往不同，因此基于不同的关系遍历方式往往可以生成不同的操作路由。因此，在预设的关系遍历方式为多种的情况下，针对每一视频设备可以生成该视频设备对应的多个操作路由。

具体的，上述预设的关系遍历方式可以包含以下方式中的至少两种：广度优先遍历方式、深度优先遍历方式、随机遍历方式。对于广度优先遍历方式、深度优先遍历方式、随机遍历方式的描述可以参见下文，在此暂不详述。

S104：针对任意两个视频设备，基于上述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算上述两个视频设备之间的行为距离。

其中，上述目标操作路由为：上述操作路由中包含的起点与终点分别为上述两个视频设备的路由段。

本发明的一个实施例中，针对两个视频设备中的任意一个视频设备，从所获得的该视频设备对应的操作路由中提取以该视频设备为起点，以另一视频设备为终点的、两个视频设备之间的路由段，作为目标操作路由。

基于上述方式，可以获得到以两个视频设备中的第一设备为起点，第二设备为终点的目标操作路由；也可以获得到以第二设备为起点，第一设备为终点的目标操作路由，也就是可以得到两个不同的目标操作路由。

另外，若在获取操作路由时，针对每一视频设备，基于多种不同的关系遍历方式，生成了多种不同的操作路由，则针对所生成的每一操作路由，均可以获得一个目标操作路由。

具体的，可以预先为不同的操作关系的类型设置不同的权重，特别的，表示操作关系不存在的标识可以被设置为特殊的权重值，如-1。将两个视频设备之间操作关系的权重作为操作关系的关系值，若两个视频设备之间存在多种不同类型的操作关系，则可以将不同类型对应的权重相加，作为两个视频设备之间操作关系的关系值。

其中，针对每一目标操作路由，可以将目标操作路由中包含的各操作关系对应的关系值相加，作为两个视频设备之间的子行为距离。

或者计算目标操作路由中包含的各个操作关系的关系值的平方和的方根，作为两个视频设备之间的子行为距离。

计算得到各个目标操作路由对应的子行为距离后，可以将两个视频设备之间各个目标操作路由对应的子行为距离相加，得到两个视频设备之间的行为距离。

例如，可以基于以下公式计算视频设备1与视频设备2之间的行为距离。

其中，

为视频设备1与视频设备2之间的行为距离，

是以视频设备1为起点以视频设备2为终点、基于广度优先遍历方式获得的目标操作路由对应的子行为距离，

是以视频设备1为起点以视频设备2为终点、基于深度优先遍历方式获得的目标操作路由对应的子行为距离，

是以视频设备1为起点以视频设备2为终点、基于随机遍历方式获得的目标操作路由对应的子行为距离，

是以视频设备2为起点以视频设备1为终点、基于广度优先遍历方式获得的目标操作路由对应的子行为距离，

是以视频设备2为起点以视频设备1为终点、基于深度优先遍历方式获得的目标操作路由对应的子行为距离，

是以视频设备2为起点以视频设备1为终点、基于随机遍历方式获得的目标操作路由对应的子行为距离。

本发明的另一个实施例中，为了便于计算，可以采用one-hot（独热编码）算法对各个操作关系的类型对应的权重值进行编码，从而降低权重值的数据量。进一步的还可以基于PCA（Principal Components Analysis，主成分分析技术）对编码后的权重值进行处理，降低权重值的维度。处理后的权重值的数据量较小，对处理后的权重值进行计算可以提高计算效率。

另外，在对权重值进行处理之后，若两个视频设备之间存在多种类型的操作关系，则在计算两个视频设备之间关系值时可以对处理后的权重值进行按位相加计算，或直接进行拼接得到关系值。

本发明的又一个实施例中，可以将计算得到的各个视频设备之间的行为距离存储于矩阵中，其中，该矩阵的维度为N×N，N为设备的数量，矩阵的每一行对应一个视频设备，矩阵的每一列对应一个视频设备，针对矩阵中的每一元素，该元素的取值为：该元素所在行对应的视频设备与所在列对应的视频设备之间的行为距离。上述矩阵为对称矩阵。

S105：基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

具体的，针对每一视频设备，确定由与该视频设备之间的行为距离小于预设距离的视频设备组成的设备集合，与预设的正常情况下该视频设备对应的设备集合，若本方案得到的设备集合与预设的设备集合中包含的设备不同，则确定该视频设备为异常设备。

另外，也可以通过下文图3所示步骤S105A-S105B实现步骤S105，在此暂不详述。

由以上可见，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

另外，本发明实施例不借助于视频设备自身的信息判断设备是否为异常设备，而是基于各个视频设备之间的操作行为判断视频设备是否为异常设备，在对视频设备进行异常检测时不需要对视频设备进行访问，也就不会影响视频设备的正常运行。

本发明的一个实施例中，上述广度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的同级设备作为下一遍历设备。

其中，上述同级设备和上述当前设备与同一父设备存在操作关系，且所存在的操作关系分别由上述父设备指向上述当前设备与上述同级设备。

具体的，上述广度优先遍历方式可以被称为BFS（Breadth First Search，广度优先搜索）。

以图2所示的操作关系为例，视频设备1为视频设备2和视频设备4的父设备，视频设备1与视频设备2为同级设备。

以视频设备1为起点，按照广度优先遍历方式，各个设备的遍历顺序可以为视频设备1、视频设备2、视频设备4、视频设备3、视频设备5、视频设备6、视频设备7。

基于广度优先遍历方式得到的操作路由可以反映各个视频设备之间的结构相似性，表示各个视频设备之间形成的关系网的结构，体现视频设备在结构维度上的信息。

另外，上述深度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的操作关系指向的、上述同级设备之外的其他设备作为下一遍历设备。

具体的，上述深度优先遍历方式可以被称为DFS（Depth First Search，深度优先搜索）。

以图2所示的操作关系为例，以视频设备1为起点，按照广度优先遍历方式，各个视频设备的遍历顺序可以为视频设备1、视频设备2、视频设备3、视频设备4、视频设备5、视频设备6、视频设备7。

基于深度优先遍历方式得到的操作路由可以反映各个视频设备之间的同质性，表示各个视频设备在关系网中的位置，体现视频设备在位置维度上的信息。

再者，上述随机遍历方式表示：在遍历过程中确定下一遍历设备时，随机将当前设备的操作关系指向的任一视频设备作为下一遍历设备。

具体的，上述随机遍历方式可以被称为RD（Random，随机游走）。

以图2所示的操作关系为例，以设备1为起点，按照随机遍历方式，各个视频设备的遍历顺序可以为视频设备1、视频设备3、视频设备4、视频设备2、视频设备5、视频设备7、视频设备6。

基于随机遍历方式得到的操作路由可以反映各个视频设备在关系网中的分布情况，体现视频设备在分布维度上的信息。

由以上可见，采用不同的预设的关系遍历方式，生成的操作路由可以体现各个视频设备之间操作关系不同维度的信息，基于能够反映不同维度信息的操作路由检测异常设备，可以使得检测结果更准确。

参见图3，为本发明实施例提供的第二种基于视频行为距离的设备异常检测方法的流程示意图，与前述图1所示的实施例相比，上述步骤S105可以通过以下步骤S105A-S105B实现。

S105A：基于各个视频设备之间的行为距离，对各个视频设备进行聚类，得到分别包含不同视频设备的各个设备类，作为聚类结果。

本发明的一个实施例中，可以采用现有技术中的聚类算法，例如k-means（k聚类均值）算法对各个视频设备进行聚类。

也可以采用下文图4所示的步骤S105A1-S105A3实现上述步骤S105A，在此暂不详述。

S105B：基于上述聚类结果，检测各个视频设备中包含的异常设备。

具体的，由于对于一个视频设备而言，与该视频设备之间操作关系较为紧密的视频设备，即与该视频设备处于同一设备类中的视频设备的数量往往较为固定。因此，对于每一视频设备可以设置该视频设备对应的预设数量，若与该视频设备属于同一设备类的视频设备的数量与所述预设数量的差值的绝对值大于预设绝对值，则可以确定该视频设备为异常设备。

另外，也可以通过以下步骤B-步骤C，实现上述步骤S105B。

步骤B：对比上述聚类结果与预设的正常设备的正常聚类结果。

具体的，可以预先对处于正常状态的正常设备进行聚类处理，得到正常设备的正常聚类结果。

针对每一视频设备，可以确定该本方案得到的聚类结果中与该视频设备处于同一设备类的第三设备，以及正常聚类结果中与该视频设备处于同一设备类的第四设备，对第三设备与第四设备进行对比。

步骤C：基于对比结果，确定各个视频设备中包含的异常设备。

具体的，若视频设备正常运行，则与该视频设备处于同一设备类的视频设备，也就是与该视频设备操作关系较为密切的视频设备往往不会发生较大变化。

因此对于每一视频设备，若该视频设备对应的第三设备与第四设备完全不同，则将该视频设备确定为异常设备。

或者，若第三设备与第四设备不完全相同，则将该视频设备确定为异常设备。

又或者，若第三设备中包含，但第四设备中不包含的视频设备的数量除以第三设备的总数得到的比值大于预设比值，则将该视频设备确定为异常设备。

由以上可见，本发明实施例中基于视频设备与其他视频设备之间的操作关系，可以对视频设备进行聚类，将操作关系较为密切的视频设备划分至同一设备类。由于正常状态下设备之间的操作行为较为固定，因此操作关系较为密切的视频设备较为固定，也就是处于同一设备类的视频设备较为固定，因此根据各个视频设备的聚类结果，能够对视频设备是否是异常设备进行检测。

参见图4，为本发明实施例提供的第三种基于视频行为距离的设备异常检测方法的流程示意图，与前述图3所示的实施例相比，上述步骤S105A可以通过以下步骤S105A1-S105A3实现。

S105A1：将类别距离最小的两个设备类中包含的视频设备合并为同一设备类。

其中，初始状态下，每一视频设备位于一个设备类中，各个设备类之间的类别距离为：所包含的视频设备之间最小的行为距离。

具体的，初始状态下每一视频设备位于一个设备类中，也就是初始状态下视频设备的数量与设备类的数量相同。初始状态下各个设备类之间的类别距离即为所包含的视频设备之间的行为距离。

另外，包含的视频设备之间的行为距离越小，设备类之间的类别距离越小，又由于视频设备之间的行为距离越小，视频设备之间的操作关系越密切，因此设备类之间的类别距离越小，设备类中包含的视频设备之间的操作关系越密切。本方案中在进行聚类时，优先将操作关系密切的视频设备划分至同一设备类，因此可以选择类别距离最小的设备类中包含的视频设备合并为同一设备类。

S105A2：若合并后设备类的数量未达到预设数量，则更新合并得到的设备类与其他设备类之间的行为距离。

由于每执行一次步骤S105A1，两个设备类中包含的视频设备会合并为一个设备类，也就是设备类的数量会减1，随着步骤S105A1的执行，设备类的数量会逐渐减少，若上述预设数量大于1，则最终得到的设备类的数量大于1，若上述预设数量为1，则相当于最终将各个视频设备统一合并为一个设备类。

若合并后设备类的数量未达到预设数量，则继续进行设备类的合并，返回执行步骤S105A1，否则设备类的合并达到要求，可以执行步骤S105A3。

具体的，完成一次设备类合并之后，可以分别确定新合并得到的设备类中包含的各个视频设备与其他设备类中包含的各个视频设备之间的行为距离，选择最小的行为距离作为新合并得到的设备类与其他设备类之间的类别距离。

参见图5，为本发明实施例提供的一种聚类过程示意图。

具体的，横轴上的圆形表示各个视频设备，分别为视频设备1-视频设备7，初始状态下视频设备1-视频设备7分别位于设备类1-设备类7中，纵轴表示设备类之间的类别距离，设备之间存在连线表示设备被合并至同一类。

由图可见，设备类5与设备类6之间的类别距离最小，为距离a，将设备类5中包含的视频设备5与设备类6中包含的视频设备6合并为一个新的设备类8；继续进行设备类合并，设备类1与设备类2之间的类别距离最小，为距离b，将设备类1中包含的视频设备1与设备类2中包含的视频设备2合并为一个新的设备类9；继续进行设备类合并，设备类3与设备类4之间的类别距离最小，为距离c，将设备类3中包含的视频设备3与设备类4中包含的视频设备4合并为一个新的设备类10；继续进行设备类合并，设备类8与设备类7之间的类别距离最小，为距离d，将设备类8中包含的视频设备5、视频设备6与设备类7中包含的视频设备7合并为一个新的设备类11；继续进行设备类合并，设备类9与设备类10之间的类别距离最小，为距离e，将设备类9中包含的视频设备1、视频设备2与设备类10中包含的视频设备3、视频设备4合并为一个新的设备类12；继续进行设备类合并，设备类11与设备类12之间的类别距离最小，为距离f，将设备类11中包含的视频设备5、视频设备6、视频设备7与设备类12中包含的视频设备1、视频设备2、视频设备3、视频设备4合并为一个新的设备类13，最终合并得到一个设备类。

S105A3：基于聚类过程中得到过的设备类之间的类别距离，从得到过的设备类中选择设备类，作为聚类结果。

若上述预设数量大于1，则可以直接将最终得到的设备类作为聚类结果。

另外，也可以通过以下步骤D-步骤E或步骤F实现步骤S105A3。

步骤D：针对每一次合并设备类的过程，计算第一最大类别距离与第二最大类别距离的比值，作为该次合并设备类的过程对应的比值。

其中，上述第一最大类别距离为：该次合并设备类之后各个设备类之间类别距离的最大值，上述第二最大类别距离为：该次合并设备类之前各个设备类之间的类别距离之间类别距离的最大值。

具体的，首先针对倒数第二次设备类合并，确定第一最大类别距离与第二最大类别距离，再计算倒数第二次设备类合并对应的第一最大类别距离与第二最大类别距离之间的比值。以图5所示的实施例为例，进行倒数第二次设备类合并之前得到的设备类分别为设备类9-设备类11，则第一最大类别距离为设备类9-设备类11之间的类别距离的最大值，进行倒数第二次设备类合并之后得到的设备类分别为设备类11-设备类12，则第二最大类别距离为设备类11与设备类12之间的类别距离。

之后，针对倒数第三次设备类合并，确定第一最大类别距离与第二最大类别距离，再计算倒数第三次设备类合并对应的第一最大类别距离与第二最大类别距离之间的比值。以图5所示的实施例为例，进行倒数第三次设备类合并之前得到的设备类分别为设备类7-设备类10，则第一最大类别距离为设备类7-设备类10之间的类别距离的最大值，进行倒数第三次设备类合并之后得到的设备类分别为设备类9-设备类11，则第二最大类别距离为设备类9-设备类11之间的类别距离的最大值。

依次类推，针对每一次合并设备类的过程，计算得到各次设备类合并对应的比值。

步骤E：按照合并设备类的过程从后至前的执行次序，依次比较该次合并设备类的过程对应的比值与上一次合并设备类的过程对应的比值，直至该次合并设备类的过程对应的比值小于上一次合并设备类的过程对应的比值，将该次合并设备类后得到的设备类作为所选择的设备类。

具体的，首先对比倒数第二次设备类合并对应的比值与倒数第三次设备类合并对应的比值，若倒数第二次设备类合并对应的比值小于倒数第三次设备类合并对应的比值，则将倒数第二次设备类合并得到的设备类作为聚类结果中的设备类。否则继续对比倒数第三次设备类合并对应的比值与倒数第四次设备类合并对应的比值。

若倒数第三次设备类合并对应的比值小于倒数第四次设备类合并对应的比值，则将倒数第三次设备类合并得到的设备类作为聚类结果中的设备类。否则继续对比倒数第四次设备类合并对应的比值与倒数第五次设备类合并对应的比值。

依次类推，直至该次合并设备类的过程对应的比值小于上一次合并设备类的过程对应的比值，得到聚类结果。

本发明的另一个实施例中，也可以通过步骤F实现上述步骤S105A3。

步骤F：按照合并设备类的过程从后至前的执行次序，若该次合并设备类之后得到的设备类之间的类别距离均小于预设距离，则将该次合并设备类之后得到的设备类作为所选择的设备类。

具体的，首先确定倒数第二次合并设备类之后得到的设备类之间的类别距离是否均小于预设距离。若是，则将倒数第二次合并设备类之后得到的设备类作为聚类结果；否则，继续确定倒数第三次合并设备类之后得到的设备类之间的类别距离是否均小于预设距离，若是，则将倒数第三次合并设备类之后得到的设备类作为聚类结果；否则，继续确定倒数第四次合并设备类之后得到的设备类之间的类别距离是否均小于预设距离，依次类推，直至该次合并设备类之后得到的设备类之间的类别距离均小于预设距离，则将该次合并设备类之后得到的设备类作为所选择的设备类。

以前述图5所示的实施例为例，首先确定倒数第二次合并设备类之后得到的设备类11-设备类12之间的类别距离是否均小于预设距离，若是，则将设备类11与设备类12作为聚类结果。

否则，确定倒数第三次合并设备类之后得到的设备类9-设备类11之间的类别距离是否均小于预设距离，若是，则将设备类9-设备类11作为聚类结果。

以此类推，直至该次合并设备类之后得到的设备类之间的类别距离均小于预设距离，则将该次合并设备类之后得到的设备类作为所选择的设备类。

具体的，通过上述步骤D-步骤E以及步骤F进行设备聚类的方式可以被称为SEC（Self-Embedded Clustering，自编码聚类）算法，使用该算法进行设备聚类的过程中，不存在聚类条件的固定限制，上述聚类条件与各个设备类之间实际的类别距离相适应，并且最终得到的聚类结果中包含的设备类的数量也会随着设备类之间实际的类别距离发生变化，不需要预先对最终得到的设备类的数量进行限定。

由以上可见，本发明实施例中，在每次进行设备类合并时，均优先对类别距离最近的设备类，也就是所包含的视频设备之间操作关系最密切的设备类进行聚类，使得越早得到的设备类中包含的视频设备之间的操作关系越密切。本实施例中不直接将最终得到的设备类作为聚类结果，而是基于聚类过程中每一次进行设备类合并之后得到的设备类之间的类别距离从得到过的所有设备类中进行筛选，从而可以使得筛选得到的、聚类结果中的每一设备类内包含的视频设备之间的操作关系最为密切。

参见图6，为本发明实施例提供的第四种基于视频行为距离的设备异常检测方法的流程示意图，与前述图1所示的实施例相比，上述步骤S102可以通过以下步骤S102A实现，上述步骤S103可以通过以下步骤S103A实现，上述步骤S104可以通过以下步骤S104A实现。

S102A：基于上述行为数据，构建设备关系图。

其中，上述设备关系图中包含的各个节点对应各个视频设备，节点之间存在边表示：节点对应的视频设备之间存在操作关系，每一边的方向与所表示的操作关系的方向相同，每一边的权重值表示：该边连接的节点对应的视频设备之间操作行为的类型。

具体的，所有视频设备均可以以设备关系图中的节点表示，任意两个节点之间的边可以表示两个节点对应的两个视频设备之间的操作关系，因此以上述设备关系图可以表示所有节点之间的操作关系。

S103A：针对每一节点，按照预设的关系遍历方式，以该节点为起点，按照各个节点之间边的方向遍历上述设备关系图中的所有节点，生成该节点对应的边权重序列，作为该节点对应的视频设备对应的操作路由。

其中，上述边权重序列中包含：遍历过程中经过的各个边的边权重值，各个权重值的排列顺序为：所对应的边在遍历过程中的遍历顺序。

具体的，各个边的边权重值为该边表示的操作关系的关系值，关系值的计算方式可以参见前述步骤S103，不再赘述。

上述边权重序列可以以边权重向量的形式表示，边权重向量中包含的各个元素分别为边权重序列中包含的各个元素，各个元素在边权重向量中的排列顺序与元素在边权重序列中的排列顺序相同。

S104A：针对任意两个节点，基于上述两个节点之间的目标边权重序列，计算上述两个节点在上述设备关系图中的距离，作为上述两个节点对应的两个视频设备之间的行为距离。

具体的，从边权重序列中提取目标边权重序列的方式与前述步骤S104所示的方式相似，在此不再赘述，在上述边权重序列以边权重向量的形式表示的情况下，所提取的目标边权重序列也可以以目标边权重向量的形式表示。

本发明的一个实施例中，可以计算目标边权重向量的向量模，作为上述两个节点对应的两个视频设备之间的行为距离。

具体的，上述图6所示的实施例与前述图1所示的实施例相似，区别仅为图6所示的实施例处理的数据是设备关系图，相似内容不再赘述。

由以上可见，本发明实施例可以以设备关系图的形式表示视频设备之间的操作关系，并在后续对设备关系图进行处理，从而完成异常设备识别。上述操作关系涉及多个视频设备之间的关系，使用图的形式便于上述操作关系的存储，也利于实现对操作关系的处理。

与上述基于视频行为距离的设备异常检测方法相对应，本发明实施例还提供了一种基于视频行为距离的设备异常检测装置。

参见图7，为本发明实施例提供的第一种基于视频行为距离的设备异常检测装置的结构示意图，上述装置包括：

数据获取模块701，用于获取表示视频设备之间操作行为的行为数据，其中，所述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

关系确定模块702，用于基于所述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，所述操作关系的方向与所对应的操作行为中数据传输的方向相同；

路由获得模块703，用于针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，所述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

距离计算模块704，用于针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，其中，所述目标操作路由为：所述操作路由中包含的起点与终点分别为所述两个视频设备的路由段；

异常设备检测模块705，用于基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

由以上可见，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

本发明的一个实施例中，上述关系遍历方式包含以下方式中的至少两种：广度优先遍历方式、深度优先遍历方式、随机遍历方式；

其中，所述广度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的同级设备作为下一遍历设备，其中，所述同级设备和所述当前设备与同一父设备存在操作关系，且所存在的操作关系分别由所述父设备指向所述当前设备与所述同级设备；

所述深度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的操作关系指向的、所述同级设备之外的其他设备作为下一遍历设备；

所述随机遍历方式表示：在遍历过程中确定下一遍历设备时，随机将当前设备的操作关系指向的任一设备作为下一遍历设备。

由以上可见，采用不同的预设的关系遍历方式，生成的操作路由可以体现各个视频设备之间操作关系不同维度的信息，基于能够反映不同维度信息的操作路由检测异常设备，可以使得检测结果更准确。

参见图8，为本发明实施例提供的第二种基于视频行为距离的设备异常检测装置的结构示意图，与前述图7所示的实施例相比，上述异常设备检测模块705，包括：

聚类子模块705A，用于基于各个视频设备之间的行为距离，对各个视频设备进行聚类，得到分别包含不同视频设备的各个设备类，作为聚类结果；

异常设备检测子模块705B，用于基于所述聚类结果，检测各个视频设备中包含的异常设备。

由以上可见，本发明实施例中基于视频设备与其他视频设备之间的操作关系，可以对视频设备进行聚类，将操作关系较为密切的视频设备划分至同一设备类。由于正常状态下设备之间的操作行为较为固定，因此操作关系较为密切的视频设备较为固定，也就是处于同一设备类的视频设备较为固定，因此根据各个视频设备的聚类结果，能够对视频设备是否是异常设备进行检测。

参见图9，为本发明实施例提供的第三种基于视频行为距离的设备异常检测装置的结构示意图，与前述图8所示的实施例相比，所述聚类子模块705A，包括：

设备类合并单元705A1，用于将类别距离最小的两个设备类中包含的视频设备合并为同一设备类，其中，初始状态下，每一视频设备位于一个设备类中，各个设备类之间的类别距离为：所包含的视频设备之间最小的行为距离；

行为距离更新单元705A2，用于若合并后设备类的数量未达到预设数量，则更新合并得到的设备类与其他设备类之间的行为距离，并返回执行所述将类别距离最小的两个设备类中包含的视频设备合并为同一设备类的步骤；

聚类结果获得单元705A3，用于基于聚类过程中得到过的设备类之间的类别距离，从得到过的设备类中选择设备类，作为聚类结果。

由以上可见，本发明实施例中，在每次进行设备类合并时，均优先对类别距离最近的设备类，也就是所包含的视频设备之间操作关系最密切的设备类进行聚类，使得越早得到的设备类中包含的视频设备之间的操作关系越密切。本实施例中不直接将最终得到的设备类作为聚类结果，而是基于聚类过程中每一次进行设备类合并之后得到的设备类之间的类别距离从得到过的所有设备类中进行筛选，从而可以使得筛选得到的、聚类结果中的每一设备类内包含的视频设备之间的操作关系最为密切。

本发明的一个实施例中，上述聚类结果获得单元705A3，具体用于：

针对每一次合并设备类的过程，计算第一最大类别距离与第二最大类别距离的比值，作为该次合并设备类的过程对应的比值，其中，所述第一最大类别距离为：该次合并设备类之后各个设备类之间类别距离的最大值，所述第二最大类别距离为：该次合并设备类之前各个设备类之间的类别距离之间类别距离的最大值；

按照合并设备类的过程从后至前的执行次序，依次比较该次合并设备类的过程对应的比值与上一次合并设备类的过程对应的比值，直至该次合并设备类的过程对应的比值小于上一次合并设备类的过程对应的比值，将该次合并设备类后得到的设备类作为所选择的设备类，作为聚类结果。

由以上可见，使用本发明实施例进行设备聚类的过程中，不存在聚类条件的固定限制，上述聚类条件与各个设备类之间实际的类别距离相适应，并且最终得到的聚类结果中包含的设备类的数量也会随着设备类之间实际的类别距离发生变化，不需要预先对最终得到的设备类的数量进行限定。

本发明的一个实施例中，上述聚类结果获得单元705A3，具体用于：

按照合并设备类的过程从后至前的执行次序，若该次合并设备类之后得到的设备类之间的类别距离均小于预设距离，则将该次合并设备类之后得到的设备类作为所选择的设备类，作为聚类结果。

由以上可见，使用本发明实施例进行设备聚类的过程中，不存在聚类条件的固定限制，上述聚类条件与各个设备类之间实际的类别距离相适应，并且最终得到的聚类结果中包含的设备类的数量也会随着设备类之间实际的类别距离发生变化，不需要预先对最终得到的设备类的数量进行限定。

本发明的一个实施例中，上述异常检测子模块705B，具体用于：

对比所述聚类结果与预设的正常设备的正常聚类结果；

基于对比结果，确定各个视频设备中包含的异常设备。

本发明的一个实施例中，所述关系确定模块702，具体用于：

基于所述行为数据，构建设备关系图，其中，所述设备关系图中包含的各个节点对应各个视频设备，节点之间存在边表示：节点对应的视频设备之间存在操作关系，每一边的方向与所表示的操作关系的方向相同，每一边的权重值表示：该边连接的节点对应的视频设备之间操作行为的类型；

上述路由获得模块703，具体用于：

针对每一节点，按照预设的关系遍历方式，以该节点为起点，按照各个节点之间边的方向遍历所述设备关系图中的所有节点，生成该节点对应的边权重序列，作为该节点对应的视频设备对应的操作路由，其中，所述边权重序列中包含：遍历过程中经过的各个边的边权重值，各个权重值的排列顺序为：所对应的边在遍历过程中的遍历顺序；

所述距离计算模块704，具体用于：

针对任意两个节点，基于所述两个节点之间的目标边权重序列，计算所述两个节点在所述设备关系图中的距离，作为所述两个节点对应的两个视频设备之间的行为距离。

由以上可见，本发明实施例可以以设备关系图的形式表示视频设备之间的操作关系，并在后续对设备关系图进行处理，从而完成异常设备识别。上述操作关系涉及多个视频设备之间的关系，使用图的形式便于上述操作关系的存储，也利于实现对操作关系的处理。

本发明的一个实施例中，上述数据获取模块701，具体用于：

采用旁路监听的方式，获得表示视频设备之间操作行为的行为数据。

由以上可见，由于采用旁路监听的方式获取行为数据的过程中所采集的数据是设备之间传输的数据，而不是设备自身的数据，因此获取行为数据的过程不会对设备进行访问，也就不会对设备的运行造成影响。

本发明实施例还提供了一种电子设备，如图10所示，包括处理器1001、通信接口1002、存储器1003和通信总线1004，其中，处理器1001，通信接口1002，存储器1003通过通信总线1004完成相互间的通信，

存储器1003，用于存放计算机程序；

处理器1001，用于执行存储器1003上所存放的程序时，实现上述基于视频行为距离的设备异常检测方法任一所述的方法步骤。

应用本发明实施例提供的电子设备进行基于视频行为距离的设备异常检测时，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

上述电子设备提到的通信总线可以是外设部件互连标准（Peripheral ComponentInterconnect，PCI）总线或扩展工业标准结构（Extended Industry StandardArchitecture，EISA）总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括随机存取存储器（Random Access Memory，RAM），也可以包括非易失性存储器（Non-Volatile Memory，NVM），例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器（Central Processing Unit，CPU）、网络处理器（Network Processor，NP）等；还可以是数字信号处理器（Digital SignalProcessor，DSP）、专用集成电路（Application Specific Integrated Circuit，ASIC）、现场可编程门阵列（Field-Programmable Gate Array，FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本发明提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一基于视频行为距离的设备异常检测方法的步骤。

执行本发明实施例提供的应用于代理端的计算机可读存储介质中存储的计算机程序进行基于视频行为距离的设备异常检测时，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

在本发明提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一基于视频行为距离的设备异常检测方法的步骤。

执行本发明实施例提供的计算机程序进行基于视频行为距离的设备异常检测的情况下，应用本发明实施例提供的方案可以基于获取到的行为数据确定表示视频设备间操作行为的操作关系，从而基于视频设备间的操作关系确定视频设备之间的行为距离，两个视频设备之间的行为距离可以表示两个视频设备之间至直接或间接的操作关系的关系程度，行为距离越大说明两个视频设备之间操作关系的关系程度越小，行为距离越小说明两个视频设备之间的操作关系的关系程度越大。在正常运行的情况下，各个视频设备之间进行的数据传输较为固定，也就是各个视频设备之间共同参与的操作行为的类型较为固定，从而使得在正常运行的情况下，各个视频设备之间的行为距离较为固定。反之若视频设备发生异常，即该视频设备产生异常行为，则该视频设备与其他视频设备之间的行为距离往往会发生较大变化，因此通过本发明实施例中获得的视频设备之间的行为距离可以实现异常设备的检测。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线（例如同轴电缆、光纤、数字用户线（DSL））或无线（例如红外、无线、微波等）方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质（例如固态硬盘Solid State Disk (SSD)）等。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、电子设备、计算机可读存储介质和计算机程序产品而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (12)

1.一种基于视频行为距离的设备异常检测方法，其特征在于，所述方法包括：

获取表示视频设备之间操作行为的行为数据，其中，所述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

基于所述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，所述操作关系的方向与所对应的操作行为中数据传输的方向相同；

针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，所述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，其中，所述目标操作路由为：所述操作路由中包含的起点与终点分别为所述两个视频设备的路由段；

基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

2.根据权利要求1所述的方法，其特征在于，所述关系遍历方式包含以下方式中的至少两种：广度优先遍历方式、深度优先遍历方式、随机遍历方式；

其中，所述广度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的同级设备作为下一遍历设备，其中，所述同级设备和所述当前设备与同一父设备存在操作关系，且所存在的操作关系分别由所述父设备指向所述当前设备与所述同级设备；

所述深度优先遍历方式表示：在遍历过程中确定下一遍历设备时，优先将当前设备的操作关系指向的、所述同级设备之外的其他设备作为下一遍历设备；

所述随机遍历方式表示：在遍历过程中确定下一遍历设备时，随机将当前设备的操作关系指向的任一设备作为下一遍历设备。

3.根据权利要求1所述的方法，其特征在于，所述基于各个视频设备之间的行为距离，检测各个视频设备中包含的异常设备，包括：

基于各个视频设备之间的行为距离，对各个视频设备进行聚类，得到分别包含不同视频设备的各个设备类，作为聚类结果；

基于所述聚类结果，检测各个视频设备中包含的异常设备。

4.根据权利要求3所述的方法，其特征在于，所述基于各个视频设备之间的行为距离，对各个视频设备进行聚类，得到分别包含不同视频设备的各个设备类，作为聚类结果，包括：

将类别距离最小的两个设备类中包含的视频设备合并为同一设备类，其中，初始状态下，每一视频设备位于一个设备类中，各个设备类之间的类别距离为：所包含的视频设备之间最小的行为距离；

若合并后设备类的数量未达到预设数量，则更新合并得到的设备类与其他设备类之间的行为距离，并返回执行所述将类别距离最小的两个设备类中包含的视频设备合并为同一设备类的步骤；

基于聚类过程中得到过的设备类之间的类别距离，从得到过的设备类中选择设备类，作为聚类结果。

5.根据权利要求4所述的方法，其特征在于，所述基于聚类过程中得到过的设备类之间的类别距离，从得到过的设备类中选择设备类，包括：

针对每一次合并设备类的过程，计算第一最大类别距离与第二最大类别距离的比值，作为该次合并设备类的过程对应的比值，其中，所述第一最大类别距离为：该次合并设备类之后各个设备类之间类别距离的最大值，所述第二最大类别距离为：该次合并设备类之前各个设备类之间的类别距离之间类别距离的最大值；

按照合并设备类的过程从后至前的执行次序，依次比较该次合并设备类的过程对应的比值与上一次合并设备类的过程对应的比值，直至该次合并设备类的过程对应的比值小于上一次合并设备类的过程对应的比值，将该次合并设备类后得到的设备类作为所选择的设备类。

6.根据权利要求4所述的方法，其特征在于，所述基于聚类过程中得到过的设备类之间的类别距离，从得到过的设备类中选择设备类，包括：

按照合并设备类的过程从后至前的执行次序，若该次合并设备类之后得到的设备类之间的类别距离均小于预设距离，则将该次合并设备类之后得到的设备类作为所选择的设备类。

7.根据权利要求3所述的方法，其特征在于，所述基于所述聚类结果，检测各个视频设备中包含的异常设备，包括：

对比所述聚类结果与预设的正常设备的正常聚类结果；

基于对比结果，确定各个视频设备中包含的异常设备。

8.根据权利要求1-7中任一项所述的方法，其特征在于，所述基于所述行为数据，确定各个视频设备之间的操作关系，包括：

基于所述行为数据，构建设备关系图，其中，所述设备关系图中包含的各个节点对应各个视频设备，节点之间存在边表示：节点对应的视频设备之间存在操作关系，每一边的方向与所表示的操作关系的方向相同，每一边的权重值表示：该边连接的节点对应的视频设备之间操作行为的类型；

所述针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，包括：

针对每一节点，按照预设的关系遍历方式，以该节点为起点，按照各个节点之间边的方向遍历所述设备关系图中的所有节点，生成该节点对应的边权重序列，作为该节点对应的视频设备对应的操作路由，其中，所述边权重序列中包含：遍历过程中经过的各个边的边权重值，各个权重值的排列顺序为：所对应的边在遍历过程中的遍历顺序；

所述针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，包括：

针对任意两个节点，基于所述两个节点之间的目标边权重序列，计算所述两个节点在所述设备关系图中的距离，作为所述两个节点对应的两个视频设备之间的行为距离。

9.根据权利要求1-7中任一项所述的方法，其特征在于，所述获取表示视频设备之间操作行为的行为数据，包括：

采用旁路监听的方式，获得表示视频设备之间操作行为的行为数据。

10.一种基于视频行为距离的设备异常检测装置，其特征在于，所述装置包括：

数据获取模块，用于获取表示视频设备之间操作行为的行为数据，其中，所述操作行为表示：通过视频设备之间的数据传输实现的视频设备间操作；

关系确定模块，用于基于所述行为数据，确定各个视频设备之间的操作关系，其中，共同参与同一操作行为的视频设备之间存在操作关系，所述操作关系的方向与所对应的操作行为中数据传输的方向相同；

路由获得模块，用于针对每一视频设备，按照预设的关系遍历方式，以该视频设备为起点，按照各个视频设备之间的操作关系的方向遍历各个视频设备，根据各个视频设备的遍历顺序，获得该视频设备对应的操作路由，其中，所述操作路由中包含遍历顺序相邻的各个视频设备之间的操作关系；

距离计算模块，用于针对任意两个视频设备，基于所述两个视频设备之间目标操作路由中包含的操作关系对应的操作行为的类型，计算所述两个视频设备之间的行为距离，其中，所述目标操作路由为：所述操作路由中包含的起点与终点分别为所述两个视频设备的路由段；

异常设备检测模块，用于基于各个视频设备之间的行为距离，检测各个视频设备中的异常设备。

11.一种电子设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现权利要求1-9任一所述的方法步骤。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-9任一所述的方法步骤。

Images