异常行为检测设计
一种人群异常行为检测系统的设计与实现
（ 京 交通 大 学 信 息科 学研 究所 ， 北 京 １ ０ ４ ） 北 ０ ０ ４
摘 要 ： 对 城 市 轨 道 交通 监 控 等 方 面 的 应 用 需 求 ，设 计 并 实现 了一 个 人 群 异 常 行 为检 测 系统 。 目前 ， 针
大部 分 的监控 系统只 能进行运 动检测和跟 踪 ，而本文 设计 的 系统主要 是对待检 视频进 行人群 密度 分析和 人
ｃｏｗｄ ｍｏ ｉｎ， ｒ ｔｏ
Ｋｅ ｖｗ０ｒ ： ｒ ｗｄ ｂ ｈ ｖｉｒ ｂ ｏｒ ａ ； ｏ ｋ ｍ ａｃ ｉ ；ｔｘ ｕ ｅ ｕ ｐｏ ｔｖ ｃｏｒｍ ａ ｈｉｅ ｄｓ ｃ ｏ ｅ ａ ｏ ；ａ ｎ ｍ ｌ ｂｌｃ ｔ ｈｎｇ ｅ ｔ ｒ ；ｓ ｐ ｒ ｅ ｔ ｃ ｎ
ＹＡ ＮＧ ｉ ．ＭＩ Ｚ ｅ －ａ ｇ Ｌｎ Ａｏ ｈ ｎｊ ｎ ｉ
（ ｃｏ ｌ ｆｎｏｍａ ｏ ｃ ｎｅ， ｅｉｇ ｉ ｔｎ ｎｖｒｉ ， ｅｉｇ １０ ４ ， ｈｎ ） Ｓｈ ｏ ｏ ｆｒ ｔ ｎＳｉ ｃｓＢ ｉｎ ａ ｏ ｇ ｉ ｓｙ Ｂ ｉｎ ０４ Ｃ ｉａ Ｉ ｉ ｅ ｊ Ｊｏ Ｕ ｅ ｔ ｊ ０
６４ －
，
－ ９氇 ７Ⅲ １
轨 道 交通 信 息 系统
ＵＲＢ Ｎ ＇ Ａ Ｉ ＲＡＮＳ １ ＮＦ ＲＩ ＡＴＩ Ｎ Ｓ ＴＥＭ Ｉ Ｉ Ｏ Ｖ ｌ Ｏ ＹＳ
史 编 ：１０ ＿４ １（００ ７０ ３ ５ ） ０ ５８ ５ ２ １ ）０－０ ７０
一
种 人群 异 常 行 为 检 测 系统 的设 计 与 实现
随 着 经 济 的飞 速 发 展 ，在 火 车 站 、地 铁 站 等
目前 ，大 部 分 监 控 系统 只 能 进 行 运 动 检 测 和
基于视频的人体异常行为识别与检测方法综述
基于视频的人体异常行为识别与检测方法综述一、本文概述随着视频监控技术的广泛应用和技术的快速发展，基于视频的人体异常行为识别与检测已成为当前研究的热点和难点问题。
该技术旨在通过分析监控视频，自动检测并识别出人体的异常行为，如暴力行为、跌倒、异常行走姿势等，从而为安全监控、智能监控等领域提供有效的技术支持。
本文旨在综述基于视频的人体异常行为识别与检测技术的研究现状、发展趋势以及面临的挑战，以期为后续研究提供参考和借鉴。
本文首先介绍了基于视频的人体异常行为识别与检测的基本概念和研究意义，阐述了该技术在安全监控、智能交通、医疗护理等领域的应用价值。
接着，本文综述了近年来国内外在该领域的研究进展，包括基于传统图像处理的方法、基于机器学习的方法以及基于深度学习的方法等。
在此基础上，本文分析了各种方法的优缺点，并指出了当前研究中存在的问题和挑战。
本文展望了基于视频的人体异常行为识别与检测技术的发展趋势和未来研究方向，以期为相关领域的研究人员提供有益的参考和启示。
二、人体异常行为识别与检测的基本理论人体异常行为识别与检测是计算机视觉和领域的重要研究方向，其基本理论涉及多个学科的知识。
本部分将介绍人体异常行为识别与检测的基本理论，包括人体行为的表示、特征提取、行为分类与识别以及异常检测的基本原理。
人体行为的表示是实现异常行为识别与检测的基础。
人体行为可以通过多种方式表示，如时空轨迹、姿态序列、骨骼点运动等。
这些表示方法旨在捕捉人体行为的时空特性和动态变化，为后续的特征提取和分类提供基础。
特征提取是行为识别与检测的关键步骤。
通过对人体行为的表示进行特征提取，可以提取出行为的关键信息，如运动模式、姿态变化、行为速度等。
这些特征对于区分正常行为和异常行为至关重要。
常见的特征提取方法包括时域分析、频域分析、运动轨迹分析、姿态分析等。
接下来，行为分类与识别是异常行为检测的核心环节。
通过利用机器学习、深度学习等分类算法，将提取出的特征输入到分类器中，实现对人体行为的分类与识别。
基于深度学习的校园异常行为检测与预警系统设计与实现
基于深度学习的校园异常行为检测与预警系统设计与实现校园异常行为检测与预警系统是一种基于深度学习的技术应用，旨在通过分析和识别学生在校园内的行为举止，及时发现异常行为并对其进行预警，以确保校园安全与秩序。
本文将详细介绍基于深度学习的校园异常行为检测与预警系统的设计与实现。
首先，我们需要明确校园异常行为的定义和分类。
校园异常行为包括但不限于暴力、欺凌、饮酒、吸烟、违规进出校园等行为。
针对不同的异常行为，我们可以使用不同的深度学习算法进行检测和预警。
其次，我们需要搜集和标注大量的校园异常行为样本数据。
这些数据可以包括校园监控录像、学生行为记录等。
对这些样本数据进行标注，即确定每个数据样本的异常行为类别。
接下来，我们可以选择合适的深度学习模型进行训练。
常用的模型包括卷积神经网络（CNN）和循环神经网络（RNN）。
对于校园异常行为检测与预警系统，我们可以通过构建一个多任务学习模型，将异常行为分类任务和异常行为检测任务结合在一起。
这样可以更好地学习到异常行为的特征。
在训练模型之前，我们还需要对数据进行预处理。
预处理包括数据清洗、数据增强和特征提取等步骤。
数据清洗可以去除一些无效或冗余的数据样本，以提高训练效果。
数据增强可以通过对数据进行旋转、缩放和翻转等操作，扩充数据集，增加模型的鲁棒性。
特征提取可以使用一些经典的特征提取算法，如SIFT、HOG等。
这些步骤都有助于提高模型的性能。
在模型训练完成后，我们可以使用测试数据对模型的性能进行评估。
评估指标可以包括准确率、召回率、精确率等。
通过评估结果，我们可以对模型进行调优，以提高系统的准确性和稳定性。
当模型训练和调优完成后，我们可以开始实现校园异常行为检测与预警系统的前端和后端。
前端包括用户界面设计和数据展示。
用户界面设计需要直观、简洁，并具有良好的用户体验。
数据展示可以通过可视化方式展示异常行为的检测结果和统计信息。
后端包括数据传输和处理。
数据传输可以通过网络实现，确保前端与后端之间的数据交互。
基于骨架的人体异常行为识别与检测
为了提高模型的训练效率，可以对输入的特征进行优化，例如使用骨架图像的形状、运动 和光学流等特征。
ቤተ መጻሕፍቲ ባይዱ
异常行为检测算法设计
异常行为检测算法概述
基于深度学习的异常行为检测算法通常采用监督学习的方 式，利用标注的正常行为和异常行为的样本训练模型，使 其能够自动识别异常行为。
多特征融合
将多个特征进行融合，例如骨架图像的形状、运动和光学 流等特征，以提高模型的检测精度和鲁棒性。
目前的研究主要集中在单个或多个人的异常行为识别上，如何扩展到大规模人群 的异常行为识别和分析仍是一个挑战。
下一步工作计划
针对动态特征的提取和分类问题，计 划深入研究并尝试引入新的技术手段
，提高算法的性能和准确性。
在复杂背景和多变光照等条件下，计 划开展更为深入的研究，尝试采用更 有效的特征提取和分类算法，提高算
04
跨摄像头跟踪与异常行为 识别
跨摄像头跟踪与异常行为识别
• 请输入您的内容
05
总结与展望
研究成果与贡献
基于骨架的人体异常行为识别与检测技术，为监控视频中人体行为分析 提供了有效的解决方案，对于公共安全、健康监测等领域具有重要意义 。
提出了多种基于骨架的人体异常行为识别算法，包括基于形状特征的识 别、基于时序特征的识别和基于深度学习的识别等，提高了异常行为识
别的准确率和鲁棒性。
针对实时性要求高的应用场景，研究并实现了一些高效、实时的异常行 为检测算法，保证了算法的实时性和可用性。
研究不足与展望
现有的基于骨架的人体异常行为识别算法主要集中在静态特征的提取和分类上， 对于动态特征的提取和分类还有待进一步研究。
在实际应用中，常常面临着复杂背景、多变光照、遮挡等问题，如何提高算法的 适应性和鲁棒性仍需进一步探索和研究。
通用航空飞行员异常行为检测及预警系统设计与实现
通用航空飞行员异常行为检测及预警系统设计与实现
陈农田;满永政;袁浩;董俊杰;宁威峰;李俊辉
【期刊名称】《实验室研究与探索》
【年(卷),期】2022(41)11
【摘要】为了实现通用航空飞行安全精准智慧监管,以通用航空飞行员驾驶舱异常行为图像和视频数据为基础,设计了通用航空飞行员异常行为检测预警系统。
该系统采用高精度摄像头实现通用航空器驾驶舱飞行员行为动作图像和视频捕获,结合改进的YOLOv3深度学习算法开展飞行员异常行为识别检测并建立声音和灯光告警触发机制,实现飞行员异常行为检测预警可视化。
通过树莓派将预警信息上传云端,同步实现图像和视频数据实时存储及可追溯性。
经实验测试验证,驾驶舱中飞行员抽烟行为检测准确率达88%、打电话行为检测准确率达92%,表明该系统能稳定且有效实现面向通用航空运行安全的飞行员异常行为检测预警,为下一步开展通用航空器机载原型系统适航工程验证奠定基础。
【总页数】5页(P71-75)
【作者】陈农田;满永政;袁浩;董俊杰;宁威峰;李俊辉
【作者单位】中国民用航空飞行学院航空工程学院;中国民用航空飞行学院民航安全工程学院
【正文语种】中文
【中图分类】V247.5;TP391.7
【相关文献】
1.基于Hook的程序异常行为检测系统设计与实现
2.基于时间规律的独居老人日常行为异常预警系统设计
3.基于Bmob云的通用航空资源库系统设计与实现
4.通用航空训练飞行发动机数据异常检测初探
5.通用航空飞行数据监控系统设计与实现
因版权原因，仅展示原文概要，查看原文内容请购买。
基于动态贝叶斯网络的异常行为检测算法研究
基于动态贝叶斯网络的异常行为检测算法研究动态贝叶斯网络（Dynamic Bayesian Network，DBN）是一种用于建模动态系统的概率图模型，具有广泛的应用领域。
其中，异常行为检测是DBN的一个重要应用之一。
本文将重点研究基于动态贝叶斯网络的异常行为检测算法，并探讨其在实际应用中的优势和挑战。
第一部分：引言异常行为检测在许多领域中都具有重要意义，如网络安全、金融风险管理和工业控制系统等。
传统的异常行为检测方法往往基于规则或统计模型，无法有效地适应动态环境下数据分布的变化。
而基于动态贝叶斯网络的异常行为检测算法通过建模系统中变量之间的概率关系，能够更好地适应数据分布变化，并提高检测准确性。
第二部分：动态贝叶斯网络介绍本节将介绍动态贝叶斯网络（DBN）及其基本原理。
DBN是一种概率图模型，能够通过学习数据之间的条件依赖关系来进行预测和推理。
与传统贝叶斯网络不同，DBN能够建模动态系统中变量之间的时序关系，并且能够动态地更新模型参数以适应数据的变化。
第三部分：基于DBN的异常行为检测算法本节将详细介绍基于DBN的异常行为检测算法。
首先，我们将介绍如何构建DBN模型，包括选择适当的变量、建立时序关系和参数学习等。
然后，我们将介绍如何使用DBN模型进行异常行为检测，包括计算数据的概率、设置阈值和进行实时监测等。
第四部分：实验设计与结果分析本节将设计实验来评估基于DBN的异常行为检测算法。
我们将使用真实数据集，并与其他传统方法进行比较。
通过比较不同方法在准确性、召回率和误报率等指标上的表现，评估基于DBN的算法在异常行为检测中的优势。
第五部分：应用案例研究本节将通过一个真实案例来展示基于DBN的异常行为检测算法在实际应用中的效果。
以网络安全领域为例，我们将使用网络流量数据集，并通过基于DBN的算法来识别潜在攻击或恶意活动。
第六部分：挑战与未来研究方向本节将讨论基于DBN的异常行为检测算法面临的挑战，并提出未来的研究方向。
工厂场景中的异常行为检测
第 23卷第 1期2024年 1月Vol.23 No.1Jan.2024软件导刊Software Guide工厂场景中的异常行为检测赵廉1，周雷1，郭育恒2，陈骅桂1（1.上海理工大学健康科学与工程学院，上海 200093；2.上海应用技术大学计算机科学与信息工程学院，上海 201418）摘要：针对目前工业场景中的安全生产问题，提出一种异常行为检测框架，主要针对工人睡觉和发生跌倒两种特殊情况。
采用人体关键点识别与机器学习分类器相结合的思路，先通过对视频图像中的工人进行关键点识别，提取身体坐标点信息，再训练分类器进行分类，采用多种机器学习方法及一种集成学习模型，实现了对异常情况的检测。
在跌倒数据集上，集成学习算法的准确率、精确率和召回率分别达到92.86%、87.58%、98.96%；在睡觉检测方面，算法的准确率、精确率和召回率分别达到98.51%、95.81%、 94.97%。
实验表明，该框架能有效检测异常情况，有助于规范生产行为，具有实际应用价值。
关键词：行为识别；动作检测；异常行为；跌倒检测；机器学习DOI：10.11907/rjdk.222514开放科学（资源服务）标识码（OSID）：中图分类号：TP391 文献标识码：A文章编号：1672-7800（2024）001-0057-06Abnormal Behavior Detection in Factory ScenariosZHAO Lian1， ZHOU Lei1， GUO Yuheng2， CHEN Huagui1（1.School of Health Science and Engineering， University of Shanghai for Science and Technology， Shanghai 200093， China；2.School of Computer Science and Information Engineering， Shanghai Institute of Technology， Shanghai 201418， China）Abstract：A framework for abnormal behavior detection is proposed to address safety production issues in current industrial scenarios， mainly targeting two special situations： workers sleeping and falling. The idea of combining human key point recognition with machine learning classi⁃fiers is adopted. Firstly， key point recognition is performed on workers in video images， body coordinate point information is extracted， and then the classifier is trained for classification. Multiple machine learning methods and an integrated learning model are used to detect abnormal situations. On the fall dataset，the accuracy，accuracy，and recall of the ensemble learning algorithm reached 92.86%，87.58%，and 98.96%，respectively；In terms of sleep detection，the accuracy，accuracy，and recall of the algorithm reached 98.51%，95.81%，and 94.97%， respectively. Experiments have shown that this framework can effectively detect abnormal situations， help standardize production be⁃havior， and has practical application value．Key Words：behavior recognition； action recognition； abnormal behavior； fall detection； machine learning0 引言随着人工智能的发展和工厂产业化升级，将计算机与机器人融入工业生产中，打造“智慧工厂”模式成为近年来国内外智能制造领域的主流趋势［1］，借助人工智能技术保障安全生产的智慧安全方向是其中重要的一环［2-3］。
基于日志分析的异常检测系统的设计与实现
2、数据预处理：对采集到的原始日志数据进行清洗、过滤和标准化处理， 提取出所需的字段信息，生成结构化数据。
3、Spark任务设计：根据分析需求，设计Spark任务，对预处理后的数据进 行聚合、分析和计算。
4、数据存储：将处理后的结果数据存储到分布式数据库中，如HBase或 Cassandra，方便后续的数据查询和访问。
5、实时检测
通过网络流量实时采集数据，对数据进行实时分析，利用分类器对数据进行 分类，从而实现对网络异常行为的实时检测。实时检测可以及时发现网络异常行 为，提高系统的响应速度和准确度。
二、系统实现
1、数据源获取
通过网络监控系统、入侵检测系统、安全审计系统等途径获取网络流量数据、 网络日志数据、用户行为数据等数据源。
谢谢观看
随着网络规模的扩大和网络应用的增多，网络异常行为检测成为一个重要的 研究领域。网络异常行为是指网络用户或者网络设备在网路中的不正常的或者不 可预见的行为，这些行为可能对网络安全和网络性能产生严重影响。因此，设计 和实现一个基于大数据技术的网络异常行为检测系统具有重要意义。
一、系统设计
1、数据源
基于日志分析的异常检测系统的设 计与实现
01 引言
目录
02 日志分析
03 异常检测系统设计
04 异常检测系统实现
05 实验结果与分析
06 参考内容
引言
随着信息化技术的快速发展，各种系统和应用在运行过程中会产生大量的日 志数据。这些日志数据中包含了系统或应用的运行状态、异常情况等信息，对于 分析和监控系统的运行状态具有重要意义。在众多日志数据中，异常数据往往是 比较少的一部分，但这些异常数据对于系统的稳定运行和安全性至关重要。因此， 设计和实现一个基于日志分析的异常检测系统，及时发现和处理异常数据，对于 保障系统的正常运行具有重要意义。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4 用户规则/学习规则 规则序号1 规则序号2 model_id model_id 用户名1 用户名2 Ip Ip 应用程序 应用程序 Sql模板 Sql模板 Sql模板id Sql模板id
5 用户规则统计 Id1 id2 Model_id1 Model_id2 资源账号数 资源账号数 Ip数 Ip数 程序数 程序数 Sql模板数 Sql模板数
将sql模版和sql模版id的 对应关系插入sql模版频 次表
遍历sql模版id 找到 取得每个用户的频 次，计算方差和均 值 找不到 更新该模版id的均 值和方差
开始
开始
按照采样间 隔计算模版 的频次 该模板频次在 今天是否为异 常点
是
今天模版的采 样点是否足够
否
是
分析今天模版 频次的分布
该模板的历史 分布是否已知
开始
开始
计算学习的 时间范围
计算学习的 时间范围
计算学习的 协议类型
计算学习的 协议类型
创建sql模版 频次表
创建sql模版 频次表中间 表
遍历学习范围 内的表 找到 拼接联表查询sql 找不到
遍历学习范围 内的表 找到 按照资源账号、sql模版 和模版id归并，按采样 周期计算sql模版频次 找不到
dc_parse_packet _parse_audit_event
事件1 事件2
用户名 用户名
Ip Ip
... ...
sql模板 sql模板
开始
计算学习的 时间范围
计算学习的 协议类型 CREATE TABLE `ca_abnormal_user_rule_tmp` ( `k_id` int(11) NOT NULL AUTO_INCREMENT, `model_id` int(11) NOT NULL, `bizaccount` varchar(40) NOT NULL, `src_ip` varchar(40) NOT NULL, `client_software` varchar(40) NOT NULL, `template_id` bigint(20) NOT NULL, PRIMARY KEY (`k_id`), KEY `bizaccount` (`bizaccount`), KEY `src_ip` (`src_ip`), KEY `client_software` (`client_software`), KEY `template_id` (`template_id`) ) ENGINE=MyISAM DEFAULT CHARSET=utf8;
是 统计频次
匹配线程
入库线程 规则调整线程
1 主线程
1 主线程 初始化 创建线程 管理线程
学习线程 初始化 读取学习模型表 过滤并读取事件 用户建模形成规则
是否全部学习结束
读匹配策略线程 初始化 读取策略表 读取规则表 生成规则匹配树 策略切换
匹配线程 初始化 读取策略表 读取关心学习模型配置 读取规则表 生成规则匹配树
开始 select distinct business_name from ca_abnor _policy
在策略表中获取所有业务系统 select model_id, model_name, policy_name, distinct time_name from ca_abnor _policy where business_name = ? 获取每一个业务系统下的所有生效时间 段，模型ID，策略ID select distinct bizaccount from ca_abnormal_user_rule where model_id = ? 获取每一个模型ID下的所有资源账号 否 否 获取每一个模型ID下的资源账号下的源 IP 地址，客户端程序名，SQL模板 否 资源账号遍历结束 ？ 是 模型ID遍历结束？ 是 业务系统遍历结束 ？ 是 结束 select distinct client_software from ca_abnormal_ user_rule where bizaccount = ? and model_id = ? select distinct src_ip from ca_abnormal_user_rule where bizaccount = ? and model_id = ?
用户组规则频次统计 Id1 id2 2 用户组 用户组规则id 用户组规则id 采样点 采样点 期望值 期望值 方差 方差
用户信息 用户名 Ip 应用程序 组id Id1 id2 用户名1 用户名2 组名1 组名2 业务系统名 业务系统名
=hash_key
业务系统 业务主机 服务
3 sql模板 id1 id2 sql模板id1 Sql模板id2 期望值（次数） 期望值 方差 方差
select distinct template from ca_abnormal_user _rule where bizaccount = ? and model_id = ?
ቤተ መጻሕፍቲ ባይዱ
开始
资源账号在该 时间段的模型内 ？ 是
否
告警， 类型为 “异常用户 ”
从共享内存获取一条事件
该用户规则下 源 IP数小于特定值 ？ 是 该 IP地址在资 源账号的规则下 ？ 否 是 是 规则客户端程序不空 且事件客户端不为空 ？ 否 告警， 类型为“异常 IP”
当天一小时统计 一次数据，组下 面sql模板一小时 出现次数
1 学习模型 global_study指针 数组[max] Filter model_name 业务系统 开始时间，结束时间 勾选Ip 勾选用户行为 告警 采样间隔 ... hash Cookie list
每用户组只有前 一天数据，当天 与前一天会进行 迭代
13版本异常行为架构设计 引擎组 2015-01-15
进程结构
目录层次 mysql相关整理 入库 /common
学习线程
1 主线程
读匹配策略线程 datacenter
abnor_main.c abnor_thread.c /abnor_detect abnor_common.c abnor_study.c abnor_match.c abnor_policy.c abnor_model.c
判断账号的 类型
创建中间表
遍历学习范围 内的表 找到 按照（账号、ip、程序 和模版id）归并数据， 找不到 插入中间表 按照（账号、ip、程序 和模版id）归并中间表 数据，插入学习规则表
insert into ca_abnormal_user_rule_tmp (bizaccount, client_ip, client_software,template_id) select bizaccount,client_ip,client_software,template_id from biao where server_ip fanwei and server_port fanwei GROUP BY bizaccount,client_ip,client_software,template_id;
缓存文件已入库
Y
自动1，分析告警事件在一定时间内稳定出现，转为学习规则，不分析频次 自动2，每天分析频次, 加权修改频次
用户信息统计 学习结束，置状态
1 学习 数据库事件 事件1 事件2 用户名 用户名 Ip Ip ... ... sql模板 sql模板
频次中间表 Id1 id2 Sql模板id Sql模板id 用户名1 用户名2 时间切片(0-1点) 时间切片(1-2点) 次数 次数
3 adcenter
2 匹配 策略 global_match指针 数组[max] policy_id model_id 业务系统 响应方式 ... Cookie hash Cookie list 共享内存 sql模板1 sql模板2 用户信息 用户名 Ip_list 应用程序_list =hash_key ip1 ip2 告警事件1 告警事件2 用户名 用户名 Ip Ip ... ... sql模板 sql模板 1边学习边匹配---某用户配置学习结束，可立即匹配 2 编辑规则 增、删、改ip, 应用程序，只需要修改某 ip_list,app_list 问题1 删除，更改用户，用户组信息不好更新， 问题2，例 应用程序异常，删除该条规则，用户组sql模板无法 更新
是
该模板频次在 历史是否为异 常点
是 否 否
更新历史分布
否
频次异常告 警 结束
结束
开始 读取配置： N天 至少M天超过K次告警事件 分析当天告警事件表
事件结束 N N 是否超过K次
Y 读取分析表中相同事件
在N天内是否有M-1天 N 入到分析表中 Y 插入规则表 Y 存在行为异常 N Y 插入sql模板频次表 删除分析表中该事件所有记录
从事件中提取目的 IP、目的端 口，按特定格式拼成业务系统
在策略树中查找业务系统
否
查找到业务系统 ？ 是 按特定格式获取事件时间 否
是 客户端程序名在 用户规则下 ？ 是 SQL模板在用户规则下 ？ 否 告警， 类型为“异常操作 ” 否 告警， 类型为“异常客户端 ”
生成时间 在业务系统策略的生效 时间内？ 否
入库线程 初始化 根据不同文件类型 入不同表 （异常事件表，告警表）
规则调整线程 初始化 根据不同调整类型
自动
手动
学习规则写缓存文件
调整 从共享内存取事件 通知读匹配线程重新加载已经修改的规则 匹配 告警 入库
手动自动修改 1（增）将告警事件转化为一条学习规则，（用户名，ip,应用程序，sql模板） 2 将频次告警事件将sql模板修改频次（方差）
删除分析表中超过7天数据
结束
开始
加载已启用策略
策略是否有变动？ 是 获取策略表中启用策略？ 有记录 该策略已在策略树中加载？ 是 否 策略生效事件=加载时间？ 是 将策略树中的策略状态置为保留 否 更新策略树中的策略节点 否 加载已启用策略 无记录 删除未保留的策略