CN101043656A - 一种垃圾短信可疑用户监控方法和系统 - Google Patents

Abstract

本发明公开了一种垃圾短信可疑用户监控方法和系统，所述方法包括：(1)垃圾短信监控系统进行监控类型和监控规则簇的设置，然后该系统根据监控类型数量进行流量计数内存库的初始化设置；(2)垃圾短信监控系统获取待监控的短信受控结构体后，解析出其起呼用户号码，在流量计数内存库中针对监控类型对该号码进行计数；(3)垃圾短信监控系统得到该用户在某段时间内发送消息针对监控类型的计数情况后，一个规则簇一个规则簇的进行违规判断，直至发现可疑用户；所述系统包括：人机交互界面模块、监控类型定义模块、规则簇定义模块和分析模块。采用本发明的方法和系统，克服了现有垃圾短信监控系统中对捕获可疑用户的策略过于单一的缺陷。

Description

一种垃圾短信可疑用户监控方法和系统

技术领域

本发明涉及短消息系统领域，尤其涉及一种垃圾短信可疑用户监控方法和系统。

背景技术

目前，通讯领域的消息中心功能日臻壮大：从短消息中心，到多媒体消息中心再到邮件中心。用户也日益增多；各种运营商、盈利集团和个人利用消息中心的促销手段层出不穷；各网络之间的互联互通的活动如火如荼；网上流动的消息量成几何级数增长。在这种市场环境下就不可避免的会出现大量的垃圾消息、恶意消息等，而发出这种消息的集体或个人就被认为是可疑用户，甚至是黑名单用户。短时间内的垃圾消息可以使运营商的生产环境瘫痪，使其蒙受巨额的经济损失；频繁的垃圾广告、恶意消息也会使用户烦不胜烦。

鉴于此，垃圾短信监控系统也就应运而生，它们的功能就是能根据大量的受监控的短信来自动地发现可疑用户，限制其消息的发送行为。虽然当前市场上的垃圾短信监控系统商用的不少，但就其核心功能“发现可疑用户”来说，判断的依据仍然比较简单，无非是通过判断某一用户在单位时间内发送的消息(在进行具体分析时是分所有消息和含敏感内容消息两种类型的规则来处理的，所以这里我们只对流量进行讨论，而不再追究消息是否包含敏感内容)是否达到了预设的门限值来裁决该用户是否是可疑用户，甚至将其加入黑名单的。这样就不能进一步区分哪些起呼用户是在进行正常的消息发送，哪些用户是进行野蛮的号段内群发这种情况(例如，当该用户发送消息达到这个量的时候可能会有较高的概率产生这样的现象：目的用户不存在；虽然在发现用户发送消息量足够多的基础上再进行这种消息失败情况的考察是更合理的，但是通过目前的监控技术是无法实现的)，除此之外，还有很多的情况是不能仅仅凭单位时间消息发送量就认定一个用户是黑名单用户的，这时就需要对当前的监控策略进行革新。

发明内容

本发明为了克服现有垃圾短信监控系统中对捕获可疑用户的策略过于单一的缺陷，本发明提供一种垃圾短信可疑用户监控方法，包括如下步骤：

(1)垃圾短信监控系统进行监控类型和监控规则簇的设置，然后垃圾短信监控系统根据监控类型数量进行流量计数内存库的初始化设置；

(2)所述垃圾短信监控系统获取待监控的短信受控结构体后，解析出其起呼用户号码，在所述流量计数内存库中针对所述监控类型对该号码进行计数；

(3)所述垃圾短信监控系统得到该用户在某段时间内发送消息针对所述监控类型的计数情况后，接下来一个规则簇一个规则簇的进行违规判断，直至发现可疑用户。

本发明所述方法，其中，所述步骤(1)中，所述垃圾短信监控系统进行监控类型和监控规则簇的设置在该系统的人机交互界面上进行。

本发明所述方法，其中，所述步骤(2)中，所述短信受控结构体包含消息体，还包含起呼失败码和终呼失败码。

本发明所述方法，其中，所述步骤(2)中，所述起呼用户若不存在于所述流量计数内存库中，则生成一条该用户的计数空间记录插入所述流量计数内存库中。

本发明所述方法，其中，所述步骤(2)中，所述计数基于预设的时间粒度。

本发明所述方法，其中，所述步骤(3)中，所述计数情况通过多个时间粒度中计数数值相加获取。

本发明所述方法，其中，所述步骤(3)包括如下步骤：

(3.1)规则簇的首规则，记为A，判断其是否被满足，如果满足则继续，否则退出规则簇判断，该用户不可疑；

(3.2)规则A是否存在依赖规则，如果存在则令该依赖规则为A，继续，否则转步骤(3.4)；

(3.3)判断规则A是否被满足，如果是则转步骤(3.2)，否则退出规则簇判断，该用户不可疑；

(3.4)发现可疑用户。

本发明还提供一种垃圾短信可疑用户监控系统，包括如下模块：人机交互界面模块：由用户通过它进行监控类型和规则簇的设置；监控类型定义模块：与所述人机交互界面模块相连，由用户通过所述人机交互界面模块进行设置，或者系统预设一些监控类型；规则簇定义模块：与所述人机交互界面模块相连，由用户通过所述人机交互界面模块进行设置，或者系统预设一些规则簇，所述每个规则簇包含一个或多个规则，每个规则基于所述某一个监控类型；分析模块：与所述监控类型定义模块、所述规则簇定义模块相连，对短信用户进行分析以判断其是否为可疑用户。

本发明所述系统，其中，所述分析模块还包括：计数单元：针对所述监控类型在预设的时间粒度内进行计数；判断单元：针对所述规则簇的满足度进行判断；流量计数内存库：与所述计数单元相连，对计数单元的数据进行保存，并且对新用户划分计数空间进行记录保存。

本发明所述系统，其中，所述监控类型定义模块针对发送次数、可设的起呼失败原因发生次数、可设的终呼失败原因发生次数进行监控。

采用本发明所述的方法和系统，与现有技术相比，克服了现有垃圾短信监控系统中对捕获可疑用户的策略过于单一的缺陷，提供一种基于流量规则簇的垃圾短信监控系统可疑用户捕获方法，以满足可以多方位多语意的发现更加合适的可疑用户。

附图说明

图1是本发明实施例垃圾短信可疑用户监控系统结构示意图；

图2是本发明实施例垃圾短信可疑用户监控方法流程图；

图3是现有技术消息受控结构体的获取方式示意图；

图4是本发明应用实例基于不同监控类型对某个进行流量计数示意图；

图5是本发明应用实例基于规则簇的可疑用户判断示意图。

具体实施方式

以下结合附图和具体实施例对本发明进行详细描述。

为了描述的方便，首先定义几个名词：

1)监控类型：每一条规则中的必要属性之一，标志该规则是基于哪种类型进行判断的，而监控类型又分为两大类：起呼和终呼，分别针对起呼响应和终呼响应的成功失败原因。

2)按频次监控：即对单位时间内的消息量进行监控，它通过某种监控类型计数数值直接获得。

3)按比率监控：即对某一个比率值(例如起呼成功率)进行监控，它通过两种监控类型计数数值相除获得。

4)规则簇：一组存在“且”关系的规则的集合。

5)首规则：一个规则簇的起始规则。

6)父规则：一个规则簇中的规则A需要在规则B之前进行判断，则称规则A是规则B的父规则。

7)子规则：一个规则簇中的规则A需要在规则B之后进行判断，则称规则A是规则B的子规则。

8)基数规则：一条按比率监控的规则，需要得到比率值，就必须有分子和分母，分子必定是满足本规则A的消息数，而分母数却是由另一个规则B得到的，则我们称B是A的基数规则，基数规则存在于同一个规则簇中。

9)依赖规则：一个规则簇之间的相互关联就是依靠依赖规则的设定来维持的，除了规则簇的最后一条规则外的规则都必须存在依赖规则，依赖规则唯一且不能重复，默认的一个规则的依赖规则为其后续规则。

例如：一个规则簇中的规则按顺序排好为ABC，A为首规则(因为是第一个规则，所以只能是按频次监控的类型，因为不可能存在作为分母的规则)，B和C都是子规则，A的依赖规则为B，B的依赖规则为C，B(如果是按比率监控类型)和C(如果是按比率监控类型)的基数规则都可能是A或B或C，但是一般出于语义角度考虑，不把自己作为自己的基数规则。

本发明通过对多种语义规则的叠加判断，以找出更符合用户需求的可疑用户，例如可以通过本发明找出这样的可疑用户：在一个小时内发送了100条短信，其中终呼响应失败率达到40％，而在这些失败中“UnidentifiedSubscriber”(未知的目的用户)原因占了50％以上的用户。针对这样的用户，我们可以通过包含3个规则的规则簇来进行监控：其一、某用户单位时间内发送消息频次达到100(按频次监控)；其二、满足规则一的情况下，这些消息终呼失败的次数比上消息发送的总次的百分比值达到40％(按比率监控)；其三、在满足规则二的情况下，终呼失败原因是“UnidentifiedSubscriber”次数比上终呼失败的次数的百分比值达到50％(按比率监控)。

如图1所示，本发明实施例垃圾短信可疑用户监控系统结构示意图，该系统包括如下模块：

人机交互界面模块101：由用户通过它进行监控类型和规则簇的设置；

监控类型定义模块102：与所述人机交互界面模块101相连，由用户通过人机交互界面模块101进行设置，或者系统预设一些常用的监控类型，例如发送次数、起呼失败次数、目的用户不存在的次数等；

规则簇定义模块103：与所述人机交互界面模块101相连，由用户通过人机交互界面模块101进行设置，或者系统预设一些规则簇；每个规则簇包含一个或多个规则，每个规则是基于某一个监控类型的；

分析模块104：与所述监控类型定义模块102、所述规则簇定义模块103相连，对短信用户进行分析以判断其是否为可疑用户。该模块还包括：计数单元104A：针对监控类型定义模块102的监控类型，在某一个预设的时间粒度内进行计数；判断单元104B：针对规则簇定义模块103的规则簇的满足度进行判断；流量计数内存库104C：与所述计数单元104A相连，对计数单元104A的数据进行保存，并且对新用户划分计数空间进行记录保存。

如图2所示，本发明实施例垃圾短信可疑用户监控方法流程图，包括如下步骤：

步骤201，垃圾短信监控系统进行监控类型和监控规则簇的设置，然后同步到垃圾短信监控系统的分析模块上(后继的监控步骤都是在这个分析模块上完成的)，该分析模块根据监控类型数量进行流量计数内存库的初始化设置(所有消息的起呼用户都会在这里被登记，并进行计数，之后会根据规则簇中规则的要求对这些计数进行计算，然后和门限值比较，以判断该起呼用户的可疑性)；

步骤202，分析模块获取待监控的短信受控结构体，在这个结构体中必须包含消息体，还需要包含起呼失败码(OResult，0表示成功)和终呼失败码(TResult，0表示成功)，解析出其起呼用户号码，分析模块的计数单元在流量计数内存库中针对监控类型对该号码进行计数(如果该用户不存在于内存库中则生成一条该用户的计数空间记录插入内存表，这里需要注意的是这些计数也是基于某一个很小的预设的时间粒度的，否则这个计数将毫无意义)。例如对于10分钟最小粒度来说，针对该用户会开辟一系列(其个数根据用户配置而定)的计数空间进行计数，而这些计数是基于(9:10，9:20)、(9:20，9:30)等区间(10分钟一个区间)的，其含义分别是该用户在时间段9:10到9:20，9:20到9:30的消息发送量，这样我们在以后要统计9:10到9:30的消息发送量时只要将这两个区间的发送数量相加即可；

步骤203，分析模块得到该用户在某段时间内发送消息针对所述监控类型的计数情况后(这里可以通过多个时间粒度中计数数值相加获取)，接下来分析模块的判断单元一个规则簇一个规则簇的进行违规判断：

步骤203.1，规则簇的首规则，记为A，判断其是否被满足，如果满足则继续，否则退出规则簇判断，该用户不可疑；

步骤203.2，规则A是否存在依赖规则，如果存在则令该依赖规则为A，继续，否则转步骤203.4；

步骤203.3，判断规则A是否被满足，如果是则转步骤203.2，否则退出规则簇判断，该用户不可疑；

步骤203.4，发现可疑用户。

接下来结合附图以及以下两表对该技术方案的实施作进一步的详细描述：

1.1	1.2	1.3	1.4	1.5	1.6	1.7
							类型大类	索引	监控类型名称	失败码1	失败码2	失败码3	备注

表1 存储在监控类型定义模块中的监控类型属性结构

2.1	2.2	2.3	2.4	2.5	2.6	2.7	2.8	2.9
									规则索引	起呼用户类型	目的用户类型	监控类型索引	是否是首规则	是否按比率进行监控	基数规则索引	依赖规则索引	门限值

表2  存储在规则簇定义模块中的规则属性结构

表1和表2是用来由用户进行规则簇预设置的，它们的完成属于预备步骤范畴。

表1是存储在监控类型定义模块中的监控类型属性结构定义表。如表1所示，一个监控类型包含如下属性：

1.1.类型大类：标志该监控类型的归属，分为起呼和终呼两大类，这个属性直接影响到后面计数步骤，如果是起呼类型则在计数时需要考虑短信受控结构体中的Oresult(起呼结果)值，如果是终呼类型则在计数时要考虑TResult(终呼结果)值。

1.2.索引：相当于该监控类型的ID，它既是主键也是外键。

1.3.监控类型名称：一个可以描述该监控类型的简短的字符串。

1.4.失败码1：这里的失败码可以遵循GSM03.40协议中的TP-FCS的定义，当然在设计具体的监控系统的时候也可以在其基础上进行系统的内部扩充；如果该值为0则表示成功，即无失败码。

1.5.失败码2：含义同失败码1。

1.6.失败码3：含义同失败码1

1.7.备注：可以在这里用较长的篇幅描述本监控类型的具体含义

需要说明的是这里设置了3个失败码，在进行实际系统设计时是可以根据需要调整的，这里的3个失败码之间的关系为“或”的关系，也就是说，只要满足了其中的一个失败码就满足了该监控类型，就可以进行计数加一了。

表2是存储在规则簇定义模块中的规则属性结构定义示意表。如表2所示，一个规则簇包含的每个规则具有如下属性：

2.1.规则索引：每个规则的关键字ID，不仅在规则簇中唯一，在整个规则空间中也唯一，它既是规则的主键也是规则的外键。

2.2.起呼用户类型：为了明细监控用户的范围，可以将用户类型分为移动用户、ESME(外部短消息实体)、SPCode(服务代码)等，这样做可以对不同的用户进行区别对待，当然该属性可以在具体的系统实现中进行调整。

2.3.目的用户类型：含义同起呼用户类型。

2.4.监控类型索引：在此填入表1中定义的监控类型的索引号，表示本规则是基于该监控类型的，这样就为后面的规则违规性判断步骤提供了数值计算比较的依据，该值不能为空。

2.5.是否是首规则：标志该规则是否是规则簇的入口规则，也是该规则簇进行规则违规性判断时的入口；其中1表示是首规则，0表示不是首规则。

2.6.是否按比率进行监控：标志该规则在进行违规性判断时是根据该规则对应的监控类型的具体计数而进行的，还是根据该规则对应的监控类型的具体计数比上该规则的基数规则对应的监控类型的计数的比值而进行的；其中1表示按比率监控，0表示按频次监控，首规则必须是按频次进行监控的，因为无法为其寻找基数规则。

2.7.基数规则索引：如果本规则是按比率进行监控(即2.6的值为1)则必须在此选择一个父规则作为其基数规则，基数规则的计数在进行比率值计算时充当分母部分；其中0表示不存在基数规则，凡是按频次进行监控的规则都不存在基数规则。

2.8.依赖规则索引：标志在本规则违规性判断完毕后还需要接下来进行的违规性判断的规则索引；其中，0表示不存在依赖规则，每个规则簇中只有最后一条规则为0，当系统分析到某一规则的依赖规则索引为0，则表示已经完成了该规则所在规则簇的所有规则的判断。

2.9.门限值：进行规则违规性判断的依据，当计算出来的值大于等于该门限值时表示这个用户违反了该规则，当2.6中设置的是按比率监控时，该值表示比率值(通常采用百分比)，当2.6中设置的是按频次监控时，该值表示实际次数。

如图3所示，现有技术消息受控结构体的获取方式示意图。垃圾短信监控系统可以从短消息业务流程的2个地方获取消息受控结构体(此结构体的具体构建需要短信中心为其提供接口)，具体来说：

3.1.如果某消息的起呼失败，则在SC(SMS Center，短消息中心)给起呼失败响应的时候生成消息受控结构体发送给垃圾短信监控系统，其中OResult被赋予起呼失败码；

3.2.如果起呼成功，则生成消息受控结构体的时机后延，直到在SC接收到首次终呼响应时(当然在实际操作时也可以对此进行调整，可以将重试策略考虑进去)将之生成并发送给垃圾短信监控系统，其中TResult被赋予终呼失败码；OResult和TResult为0表示无错误，这两个参数对于后面的计数操作是至关重要。

垃圾短信监控系统进行完上述监控类型和监控规则簇的设置后，同步到垃圾短信监控系统的分析模块上，该分析模块根据监控类型数量进行流量计数内存库的初始化设置。

分析模块从消息受控结构中解析出起呼用户，如果该用户存在于流量计数内存库中则定位到该用户的计数记录，否则需要建立一个该用户的监控类型计数记录(包含所有的监控类型，而且是基于某一个预设时间粒度的)插入库中。

如图4所示，本发明应用实例基于不同监控类型对某个进行流量计数示意图。包括如下步骤：

步骤401，从监控类型队列中取出第一个监控类型，如果该类型属于起呼类型则继续，否则转步骤403；

步骤402，判断结构体的OResult是否属于该监控类型中定义的失败码之一，如果是则转步骤404，否则转步骤405；

步骤403，判断结构体的TResult是否属于该监控类型中定义的失败码之一，如果是则继续，否则转步骤405；

步骤404，该用户的该时间粒度的该监控类型计数数值加一，继续；

步骤405，在监控类型队列中是否还存在其它的监控类型，如果是转步骤401，否则流程结束。

在完成图4所示的操作后就需要实时的对该用户进行违规性判断，也就是进行规则簇违规分析。

如图5所示，本发明应用实例基于规则簇的可疑用户判断示意图，包括如下步骤：

步骤501，从规则簇队列中取出一个规则簇，并取出其首规则，继续；

步骤502，该规则是否是按比率进行监控，如果是则继续，否则转步骤505；

步骤503，该规则的基数规则对应的监控类型的计数是否为0(因为考察的是一个时间段，所以在获取这个计数时可能对多个时间粒度内的各个计数进行了加成，后面步骤的计数含义与此相同，不再累述)，如果不是则继续，否则转步骤506；

步骤504，计算：(该规则对应监控类型的计数/该规则的基数规则对应监控类型的计数)≥该规则的门限值，如果不等式成立则转步骤506，否则转步骤509；

步骤505，计算：(该规则对应的监控类型的计数)≥该规则的门限值，如果不等式成立则继续，否则转步骤509；

步骤506，该规则的依赖规则索引是否为0，如果是表示后面没有其它规则需要判断了，继续，否则转步骤508；

步骤507，该用户为可疑用户，转步骤509；

步骤508，取该规则的依赖规则，转步骤502；

步骤509，规则簇队列中是否还存在其它的规则簇，如果存在则转步骤501，否则流程结束。

Claims (10)

1、一种垃圾短信可疑用户监控方法，其特征在于，包括如下步骤：

(1)垃圾短信监控系统进行监控类型和监控规则簇的设置，然后垃圾短信监控系统根据监控类型数量进行流量计数内存库的初始化设置；

(2)所述垃圾短信监控系统获取待监控的短信受控结构体后，解析出其起呼用户号码，在所述流量计数内存库中针对所述监控类型对该号码进行计数；

(3)所述垃圾短信监控系统得到该用户在某段时间内发送消息针对所述监控类型的计数情况后，接下来一个规则簇一个规则簇的进行违规判断，直至发现可疑用户。

2、如权利要求1所述方法，其特征在于，所述步骤(1)中，所述垃圾短信监控系统进行监控类型和监控规则簇的设置在该系统的人机交互界面上进行。

3、如权利要求1所述方法，其特征在于，所述步骤(2)中，所述短信受控结构体包含消息体，还包含起呼失败码和终呼失败码。

4、如权利要求1所述方法，其特征在于，所述步骤(2)中，所述起呼用户若不存在于所述流量计数内存库中，则生成一条该用户的计数空间记录插入所述流量计数内存库中。

5、如权利要求1所述方法，其特征在于，所述步骤(2)中，所述计数基于预设的时间粒度。

6、如权利要求1所述方法，其特征在于，所述步骤(3)中，所述计数情况通过多个时间粒度中计数数值相加获取。

7、如权利要求1所述方法，其特征在于，所述步骤(3)包括如下步骤：

(3.1)规则簇的首规则，记为A，判断其是否被满足，如果满足则继续，否则退出规则簇判断，该用户不可疑；

(3.2)规则A是否存在依赖规则，如果存在则令该依赖规则为A，继续，否则转步骤(3.4)；

(3.3)判断规则A是否被满足，如果是则转步骤(3.2)，否则退出规则簇判断，该用户不可疑；

(3.4)发现可疑用户。

8、一种垃圾短信可疑用户监控系统，其特征在于，包括如下模块：人机交互界面模块：由用户通过它进行监控类型和规则簇的设置；监控类型定义模块：与所述人机交互界面模块相连，由用户通过所述人机交互界面模块进行设置，或者系统预设一些监控类型；规则簇定义模块：与所述人机交互界面模块相连，由用户通过所述人机交互界面模块进行设置，或者系统预设一些规则簇，所述每个规则簇包含一个或多个规则，每个规则基于所述某一个监控类型；分析模块：与所述监控类型定义模块、所述规则簇定义模块相连，对短信用户进行分析以判断其是否为可疑用户。

9、如权利要求8所述系统，其特征在于，所述分析模块还包括：计数单元：针对所述监控类型在预设的时间粒度内进行计数；判断单元：针对所述规则簇的满足度进行判断；流量计数内存库：与所述计数单元相连，对计数单元的数据进行保存，并且对新用户划分计数空间进行记录保存。

10、如权利要求8所述系统，其特征在于，所述监控类型定义模块针对发送次数、可设的起呼失败原因发生次数、可设的终呼失败原因发生次数进行监控。

Images