CN101945006A

CN101945006A - 一种异常呼叫的检测方法

Info

Publication number: CN101945006A
Application number: CN 201010272405
Authority: CN
Inventors: 孙健; 隆克平; 许都; 马卉慧; 由佳礼
Original assignee: University of Electronic Science and Technology of China
Current assignee: University of Electronic Science and Technology of China
Priority date: 2010-09-03
Filing date: 2010-09-03
Publication date: 2011-01-12
Anticipated expiration: 2030-09-03
Also published as: CN101945006B

Abstract

本发明公开了一种异常呼叫的检测方法，设置粗检门限时间，若用户的一个话路空闲时长和一个相邻的话路占用时长之和大于粗检门限时间，则对于该被叫号码不存在异常呼叫。同时，在本发明中，还利用粗检测哈希表来对呼叫信令数据进行处理，当一直未出现用户的一个话路空闲时长和一个相邻的话路占用时长之和大于粗检门限时间时，被叫次数将被累加，当其为设定的粗检门限次数n的整数倍时，触发精确检测，以保证检测的准确性。通过粗检门限时间以及设定的粗检门限次数n两个条件，将大部分的呼叫信令数据过滤掉，只剩下小部分可疑的呼叫信令数据做精确检测，使得精确检测需要分析的数据大大减少，从而提高了系统实时性和检测的准确率。

Description

一种异常呼叫的检测方法

技术领域

本发明属于通信技术领域，更为具体地讲，涉及一种适合电信行业通信领域话音业务的监控和管理，针对电话网用户的异常呼叫的检测方法，通过该检测方法，可以及时准确地检测出异常呼叫发起号码，从而对异常呼叫实施拦截，以保证电话网用户正常使用语音业务。

背景技术

近年来，随着VoIP电话的出现和网络技术的发展，各个组织或个人都具有多种通信手段，而增长的通信手段给电话网用户带来了许多潜在的安全威胁。某些组织或个人可能会因为各种目的发起各种异常呼叫，这些异常呼叫给电话网用户正常使用语音业务带来了很大影响。最常见的有骚扰电话，比如全国各地的特服电话频繁遭遇骚扰电话，这些骚扰电话使特服电话的宝贵话路资源被占用，而那些急需帮助的人却打不进电话，无法及时得到帮助。据统计，110报警服务台每天呼入电话平均达3000个，其中有三分之一为骚扰电话，有的地方甚至占到了接警量的80％到90％，这种呼叫不仅浪费了大量警力，扰乱国家机关正常办公秩序，还给急需报警的人带来了很大危险。对于普通电话网用户来说，被异常呼叫骚扰的现象也很常见。

可见，异常呼叫不仅对电话网用户个人通信自由和生活安宁造成侵害，也可能带来严重的社会问题。所以，及时正确检测出异常呼叫发起号码，即主叫号码并拦截异常呼叫成为不容忽视的一个问题。

异常呼叫的行为特征主要表现为：主叫呼叫频率高，呼叫时间短，用户拒接率高等。现有异常呼叫的检测方法主要是通过在网络侧采集呼叫信令数据，恢复出信令流程，并对呼叫信令数据进行分析，统计单位时间内主叫的呼叫记录，将超过呼叫次数门限的主叫号码确认为异常呼叫发起号码。但此检测方法存在如下缺陷：对于大量的呼叫信令数据进行统计分析，需要检测系统具有较高处理性能，而且这种检测方法比较单一，不能涵盖所有异常呼叫行为的特征，导致误检率和漏检率很高，检测准确率低且实时性差。

发明内容

本发明的目的在于克服现有检测方法的不足，提出一种检测准确性高、实时性好的异常呼叫的检测方法。

为实现上述发明目的，本发明异常呼叫的检测方法，其特征在于，包括以下步骤：

(1)、建立一张粗检测哈希表，粗检测哈希表包括：被叫号码，第一次呼叫开始时间，被叫次数，被叫记录标志和本次呼叫结束时间；

(2)、在网络侧采集呼叫信令数据，并逐条判断呼叫信令数据中的呼叫结束方式是否为超时、拒绝或者正常，如果是，进入步骤(3)，如果不是，则该条呼叫信令数据的处理结束；

(3)、获取呼叫信令数据中的被叫号码，判断该被叫号码是否已存在于粗检测哈希表中，如果不存在，进入步骤(4)；如果已经存在，进入步骤(5)；

(4)、将该被叫号码添加到粗检测哈希表中，增加一条记录：被叫号码为信令数据中的被叫号码，设置第一次呼叫开始时间为呼叫信令数据中的发起会话请求时间，被叫次数为1，被叫记录标志为真，本次呼叫结束时间为当前系统时间，该条呼叫信令数据的处理结束；

(5)、将当前系统时间减去该被叫号码粗检测哈希表中的本次呼叫结束时间得到时间差，这个时间差即该被叫号码一个空闲时长和一个话路占用时长；如果该时间差没有超过设定的粗检门限时间，则进入步骤(6)，如果超过则进入步骤(7)；

(6)、a1、更新粗检测哈希表：被叫号码的被叫次数加1，被叫记录标志为假，本次呼叫结束时间为当前系统时间；

a2、判断被叫次数是否为设定的粗检门限次数n的整数倍，如果是，则发送精确检测触发消息，触发异常呼叫的精确检测，得到异常呼叫的主叫号码，如果不是，则该条呼叫信令数据的处理结束；

(7)、判断被叫记录标志是否为假，如果是，则发送精确检测触发消息，触发异常呼叫的精确检测，得到异常呼叫的主叫号码，同时，更新粗检测哈希表：设置被叫号码的被叫次数为1，第一次呼叫时间为呼叫该信令数据中的发起会话请求时间，设置被叫记录标志为真，通话结束时间为当前系统时间，该条呼叫信令数据的处理结束；

如果不是，则更新粗检测哈希表，设置被叫号码的被叫次数为1，第一次呼叫时间为呼叫该信令数据中的发起会话请求时间，本次呼叫结束时间为当前系统时间，该条呼叫信令数据的处理结束。

本发明的发明目的是这样实现的：

在本发明中，考虑到1、话路占用时长为一次呼叫开始到本次呼叫结束之间的时段，话路空闲时长为上一次呼叫的结束到本次呼叫开始之间的时段，每个被叫用户的话路使用情况由话路空闲时长和话路占用时长交替组成。2、对于某一被叫来说，如果出现连续多次空闲时长很长的情况，说明该被叫的话路大部分时间处于空闲状态，没有被骚扰，对于该被叫号码不存在异常呼叫；如果连续多次话路占用时长很长，说明该用户接听到的为正常呼叫，不存在异常，因为对于异常呼叫，用户不会接听很长时间，其话路占用时长应该很短。因此，综合上面两点分析，设置粗检门限时间，若用户的一个话路空闲时长和一个相邻的话路占用时长之和，即步骤(5)中的当前系统时间减去该被叫号码粗检测哈希表中的本次呼叫结束时间得到的时间差大于粗检门限时间，则对于该被叫号码不存在异常呼叫。

同时，在本发明中，还利用粗检测哈希表来对呼叫信令数据进行处理，当一直未出现用户的一个话路空闲时长和一个相邻的话路占用时长之和大于粗检门限时间时，被叫次数将被累加，当其为设定的粗检门限次数n的整数倍时，触发精确检测，以保证检测的准确性。

在本发明中，通过步骤(5)的粗检门限时间以及步骤(6)的设定的粗检门限次数n两个条件，将大部分的呼叫信令数据过滤掉，只剩下小部分可疑的呼叫信令数据做精确检测，使得精确检测需要分析的数据大大减少，从而提高了系统实时性和检测的准确率。此外，被叫记录标志有两个作用，一是将第一次呼叫时间点后移，使得精确检测中需要分析的时间段更短，分析量更少；二是用来保证至少有第3条信令数据到来时，才触发精确检测，发送触发消息后将哈希表中数据复位，以继续新的检测。

作为进一步的改进，在本发明步骤(1)中，还建立有一信令数据库，用于接收采集的呼叫信令数据，所述的精确检测，包括以下步骤：

401、接收精确检测触发消息，启动精确检测；

402、在信令数据库中，查询所有与精确检测触发消息中被叫号码匹配的记录；

403、判断呼叫该被叫号码的主叫号码的个数是否小于主叫号码个数门限值，如果则进入步骤404，如果大于，则进入步骤407；

404、计算呼叫该被叫号码的各个主叫号码的平均观测时长，并判断其是否小于平均观测时长门限值，如果小于，进入步骤405，反之进入步骤412；在本步骤中，观测时长是从振铃开始到超时、拒接或正常挂断呼叫结束之间的时长，平均观测时长＝主叫用户A至被叫用户B的所有观测时长/主叫用户A至被叫用户B的呼叫次数；

405、统计此主叫号码到该被叫号码的呼叫次数，判断是否大于呼叫次数门限值，如果大于，进入步骤406，反之进入步骤413；

406、将此主叫号码定为异常呼叫发起号码；

407、计算该被叫号码的话路占用率，计算方法为：话路占用率＝所有话路占用时长/(所有话路占用时长+所有空闲时长)，并判断被叫号码的话路占用率是否大于话路占用率门限值，如果大于，则进入步骤408，如果不大于，进入步骤404；

408、统计所有主叫号码的呼叫次数，判断此呼叫次数是否大于所有主叫号码呼叫次数门限值，如果大于，进入步骤409，如果不大于，进入411；

409、计算各个主叫的话路占用率，判断主叫的话路占用率是否大于话路占用率门限值，如果大于，则进入步骤410，如果不大于，进入步骤411；

410、将此主叫号码定为异常呼叫发起号码；

411、将此主叫号码定为正常号码；

412、此主叫号码到该被叫号码的呼叫次数，判断是否大于呼叫次数门限值，如果大于，进入步骤406，反之进入步骤414；

413、计算此主叫号码的被叫拒接比，判断被叫拒接比是否大于拒接比门限值，如果大于，则进入步骤406，如果不大于，进入步骤414；在本步骤中，拒接比＝(主叫用户A至被叫用户B呼叫时间小于呼叫时间门限值的次数+超时次数+拒接次数)/主叫用户A至被叫用户B的呼叫总次数；

414、将此主叫号码定为正常号码。

在本发明中，精确检测从信令数据库中查找相关表项，运算得到平均观测时长、拒接比、话路占用率、呼叫发起号码个数，再与各个设定的门限值比较，得到主叫号码为正常号码或异常呼叫发起号码的检测结果。由于精确检测较为全面地检测了异常呼叫行为的各个方面，因此，检测准确度较高。

附图说明

图1是本发明异常呼叫的检测方法的一种具体实施方式流程图；

图2是本发明异常呼叫的检测方法中精确检测的一种具体实施方式流程图；

图3是话路占用时长和话路空闲时长的示意图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

图1是本发明异常呼叫的检测方法的流程图。

该流程图与前面的发明内容一致，在此不再赘述。下面以一个具体实例，对本发明进行说明。

在网络侧采集呼叫信令数据，以SIP呼叫为例，表1为收到呼叫信令数据，格式如下：

表1

其中，CallID是一次会话的唯一标识，Source表示主叫号码，Destination表示被叫号码，Invite表示主叫发起会话请求时间，Ringing表示振铃时间，OK表示成功建立会话的时间，Bye表示释放会话的时间，Hang标志哪一方发送Bye消息，主叫发送则为0，被叫发送为1。Call_Complete表示呼叫结束方式，超时SIP_4XX，拒接SIP_6XX，正常SIP_NORMAL。

在本实施例中，粗检测哈希表结构如下：

表2

被叫号码61855672已经存在与粗检测哈希表中，计算该被叫号码的最近的空闲时长和话路占用时长之和，即当前系统时间(2010-04-2217:44:56.320)-(2010-04-2217:42:53.222)＝123.098s，没有超过设置的粗检门限时间。在本实施例中，粗检门限时间设置为1200s，则更新哈希表，如下：

表3

此时被叫次数为5是设定的粗检门限次数n＝5的整数倍，则发送精确检测触发消息，触发异常呼叫的精确检测，得到异常呼叫的主叫号码。

精确触发触发消息格式如下：

第一次呼叫时间	被叫号码	本次呼叫结束时间
			2010-04-2217:38:34.865	61855672	2010-04-2217:44:56.320

表4

图2是本发明异常呼叫的检测方法中精确检测的一种具体实施方式流程图。

该流程图与前面的发明内容一致，在此不再赘述。下面以一个具体实例，对精确检测进行说明。

接收到触发消息后查询信令数据库中数据，在本实施例中，信令数据库如下表：

表5

首先统计2010-04-2217:38:34.865到2010-04-2217:44:56.320时间段内呼叫61855672的主叫数，结果为1个，号码为11111111。在本实施例中，主叫号码个数门限值为10，小于门限值，进入步骤404，计算该主叫号码11111111平均观测时长，结果为84.209s，设置的平均观测时长门限值为240s，结果小于门限，进入步骤405，计算拒接比，拒接次数为3，总呼叫次数为5，则拒接比为60％，设置的拒接比门限值为50％，大于门限值，则此号码为异常呼叫发起号码，到此，该条呼叫信令数据的检测过程结束。

图3是话路占用时长和话路空闲时长的示意图。

如图3所示，每个被叫用户的话路使用情况由话路空闲时长和话路占用时长交替组成。图中，话路空闲时长和话路占用时长之和没有超过设置的粗检门限时间。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims

1.一种异常呼叫的检测方法，其特征在于，包括以下步骤：

(4)、将该被叫号码添加到粗检测哈希表中，增加一条记录：被叫号码为信令数据中的被叫号码，设置第一次呼叫开始时间为信令数据中的发起会话请求时间，被叫次数为1，被叫记录标志为真，本次呼叫结束时间为当前系统时间，该条呼叫信令数据的处理结束；

(5)、将当前系统时间减去该被叫号码粗检测哈希表中的本次呼叫结束时间得到的时间差；如果该时间差没有超过设定的粗检门限时间，则进入步骤(6)，如果超过则进入步骤(7)；

2.根据权利要求1所述的异常呼叫的检测方法，其特征在于，步骤(1)中，还建立有一信令数据库，用于接收采集的呼叫信令数据；

所述的精确检测，包括以下步骤：

b1、接收精确检测触发消息，启动精确检测；

b2、在信令数据库中，查询所有与精确检测触发消息中被叫号码匹配的记录；

b3、判断呼叫该被叫号码的主叫号码的个数是否小于主叫号码个数门限值，如果则进入步骤b4，如果大于，则进入步骤b7；

b4：计算呼叫该被叫号码的各个主叫号码的平均观测时长，并判断其是否小于平均观测时长门限值，如果小于，进入步骤b5，反之进入步骤b12；在本步骤中，观测时长是从振铃开始到超时、拒接或正常挂断呼叫结束之间的时长，平均观测时长＝主叫用户A至被叫用户B的所有观测时长/主叫用户A至被叫用户B的呼叫次数；

b5：统计此主叫号码到该被叫号码的呼叫次数，判断是否大于呼叫次数门限值，如果大于，进入步骤b6，反之进入步骤b13；

b6：将此主叫号码定为异常呼叫发起号码；

b7：计算该被叫号码的话路占用率，计算方法为：话路占用率＝所有话路占用时长/(所有话路占用时长+所有空闲时长)，并判断被叫号码的话路占用率是否大于话路占用率门限值，如果大于，则进入步骤b8，如果不大于，进入步骤b4；

b8：统计所有主叫号码的呼叫次数，判断此呼叫次数是否大于所有主叫号码呼叫次数门限值，如果大于，进入步骤b9，如果不大于，进入b11；

b9：计算各个主叫的话路占用率，判断主叫的话路占用率是否大于话路占用率门限值，如果大于，则进入步骤b10，如果不大于，进入步骤b11；

b10：将此主叫号码定为异常呼叫发起号码；

b11：将此主叫号码定为正常号码；

b12：此主叫号码到该被叫号码的呼叫次数，判断是否大于呼叫次数门限值，如果大于，进入步骤b6，反之进入步骤b14；

b13：计算此主叫号码的被叫拒接比，判断被叫拒接比是否大于拒接比门限值，如果大于，则进入步骤b6，如果不大于，进入步骤b14；在本步骤中，拒接比＝(主叫用户A至被叫用户B呼叫时间小于呼叫时间门限值的次数+超时次数+拒接次数)/主叫用户A至被叫用户B的呼叫总次数；

b14：将此主叫号码定为正常号码。

3.根据权利要求1所述的异常呼叫的检测方法，其特征在于，所述粗检门限时间＝1200s。