CN102567788A - 一种通信业务欺诈行为的实时识别系统和方法 - Google Patents

Abstract

本发明提供了一种通信业务欺诈行为的实时识别系统和方法，通过能够实时采集和处理业务数据的欺诈用户实时识别模块和根据实时判断结果更新欺诈特征规则库的欺诈用户样本实时采集模块，实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户、并进行欺诈用户处理；根据欺诈用户数据建立实时欺诈识别模型，得出实时欺诈用户特征规则，将实时欺诈用户特征规则补充至所述欺诈用户特征规则。能够实时地发现欺诈用户并处理，减少欺诈带来的损失，并且将实时发现的欺诈用户作为特征样本、实时更新欺诈用户特征规则库，动态跟踪欺诈行为的变化趋势。

Description

一种通信业务欺诈行为的实时识别系统和方法

技术领域

本发明涉及通信业务支撑技术领域，特别涉及一种通信业务欺诈行为的实时识别系统和方法。

背景技术

用户的欺诈行为一直困扰着电信运营商以及金融、保险等多个行业，带有不同目的的欺诈行为屡见不鲜，各运营商针对不同的欺诈行为也制定了不少的方法，取得了一定的效果。随着数据业务的发展，用户的欺诈方式发生了根本的变化，不是单个的用户欺诈获利，而是相关的服务提供商(SP)或内容提供商(CP)通过操作大量用户的方式进行欺诈获利，SP或CP通过操作大量用户的方法进行欺诈的方式更加的多样化，欺诈手段更加的隐蔽。现在的做法是先找出单个的欺诈用户，然后再深挖隐藏在背后的SP或CP。

对于单个的欺诈用户识别，由于缺少用户属性数据，电信行业现在针对用户欺诈行为通常利用行为数据进行识别，大致采取两类方法：一是采取阈值法，即制定一个固定阈值作为该业务用户是否发生欺诈行为的判别标准。二是根据事后行为数据，采用数据挖掘方法分析用户行为模式，识别欺诈用户。

其中，如图1所示，现有的第一种欺诈用户识别方法的系统包括数据输入模块101、阈值判定模块102和欺诈应用模块103。数据输入模块101每月或每天接收已发生业务的用户数据，并输入至阈值判定模块102。阈值判定模块102预先设定用于判定业务用户是否发生欺诈行为的固定阈值，其根据该固定阈值对用户数据进行判定，将满足阈值条件的用户数据判定为欺诈用户，并将该用户信息输出至欺诈应用模块103进行例如预警、追缴欺诈费用、形成黑名单沉淀等后续处理。

这种识别方法由于欺诈的阈值比较固定，需要人工进行参数设置，使用起来不够灵活，不能根据用户行为的变化进行自动的调整，导致欺诈识别的准确性受到一定程度的限制。而欺诈用户在一段时间内会发现阈值规律，对欺诈行为进行调整，则会导致欺诈阈值失效。

如图2所示，现有的第二种欺诈用户识别方法的系统包括样本抽取模块201、欺诈特征训练模块202、欺诈用户识别模块203和欺诈应用模块204。样本抽取模块201对已经发现的欺诈用户的历史行为数据进行样本抽取，并将抽取出的样本输出至欺诈特征训练模块202。其中，现有的欺诈样本抽取的方法有很多种，通常使用的方法为简单随机抽样，也可根据需要使用其他较为复杂的样本抽取方法，例如非概率抽样、不回置抽样等。

欺诈特征训练模块202根据欺诈样本建立欺诈识别模型，得出欺诈用户的特征规则，并将该特征规则存储在欺诈用户识别模块203的欺诈用户特征规则库中。其中，欺诈识别模型的建立可通过数据挖掘的神经网络算法、决策树算法、回归(Logistic)算法等来完成。

欺诈用户识别模块203读取已发生业务的用户历史行为数据，根据欺诈用户特征规则库的特征规则对用户数据进行判定，将满足特征规则的用户数据判定为欺诈用户，并将该用户信息输出至欺诈应用模块204进行例如预警、追缴欺诈费用、形成黑名单沉淀等后续处理。

这种识别方法通过事后行为，采用数据挖掘方法分析用户行为模式，可以较为准确的找出欺诈用户。但是由于欺诈用户的识别总是在事后进行的，欺诈行为已经发生，欺诈用户已经逃之夭夭，因此对欺诈用户的识别没有起到及时阻止欺诈行为、降低损失的作用，使欺诈用户觉得有恃无恐。另一方面，用于欺诈行为模式不断“推陈出新”，对欺诈用户的行为不能及时准确的识别，会导致欺诈识别模型随时间的推移准确率不断的降低，不能迅速地适用欺诈行为的变化。

发明内容

本发明提供了一种通信业务欺诈行为的实时识别系统和方法，能够实时地发现欺诈用户并处理，减少欺诈带来的损失，并且将实时发现的欺诈用户作为特征样本、实时更新欺诈用户特征规则库，动态跟踪欺诈行为的变化趋势。

为了解决上述问题，本发明提供了一种通信业务欺诈行为的实时识别系统和方法，本发明的解决其技术问题所采用的技术方案是：

一种通信业务欺诈行为的实时识别系统，包括样本抽取模块、欺诈特征训练模块和欺诈应用模块，其进一步包括欺诈用户实时识别模块和欺诈用户样本实时采集模块，

样本抽取模块抽取欺诈用户样本、并输出至欺诈特征训练模块；

欺诈特征训练模块根据样本抽取模块抽取的样本建立欺诈识别模型，得出欺诈用户特征规则；

欺诈用户实时识别模块实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户，并将欺诈用户数据输出至欺诈应用模块进行欺诈用户处理；

欺诈用户样本实时采集模块实时采集来自欺诈用户实时识别模块的欺诈用户数据，并输出至欺诈特征训练模块建立实时欺诈识别模型，得出实时欺诈用户特征规则，并将实时欺诈用户特征规则补充至所述欺诈用户特征规则。

本发明还提供了一种通信业务欺诈行为的实时识别方法，包括如下步骤：

抽取欺诈用户样本，根据欺诈用户样本建立欺诈识别模型，得出欺诈用户特征规则；

实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户、并进行欺诈用户处理；

根据欺诈用户数据建立实时欺诈识别模型，得出实时欺诈用户特征规则，将实时欺诈用户特征规则补充至所述欺诈用户特征规则。

本发明的通信业务欺诈行为的实时识别系统和方法，建立了一套从欺诈特征识别、欺诈用户实时发现到欺诈应用处理的完整流程，这一欺诈识别处理流程具有以下两个优点：第一、能够实时地发现欺诈用户，把欺诈行为扼杀在欺诈的始发阶段，减少由欺诈带来的损失；第二、能够将实时发现的欺诈用户作为样本，进一步发现欺诈用户的特征，不管欺诈的行为、手段、模式如何变换，都能发现出欺诈用户的特征，准确地找到欺诈用户。本发明的通信业务欺诈行为的实时识别系统和方法，弥补了现在的用户欺诈分析的不足，迎合了现在对反用户欺诈的需求，对反用户欺诈行为起到了促进作用。

附图说明

图1为现有技术中第一种欺诈用户识别方法的系统结构示意图。

图2为现有技术中第二种欺诈用户识别方法的系统结构示意图。

图3为本发明的通信业务欺诈行为的实时识别系统的结构示意图。

图4为本发明的通信业务欺诈行为的实时识别方法的流程图。

具体实施方式

本发明提供了一种通信业务欺诈行为的实时识别系统和方法，能够实时地发现欺诈用户并处理，减少欺诈带来的损失，并且将实时发现的欺诈用户作为特征样本、实时更新欺诈用户特征规则库，动态跟踪欺诈行为的变化趋势。

图3为本发明的通信业务欺诈行为的实时识别系统的结构示意图。如图3所示，本发明的通信业务欺诈行为的实时识别系统包括样本抽取模块301、欺诈特征训练模块302和欺诈应用模块304，其进一步包括欺诈用户实时识别模块303和欺诈用户样本实时采集模块305。

其中，样本抽取模块301从历史欺诈用户数据311中抽取欺诈用户样本312、并将欺诈用户样本312输出至欺诈特征训练模块302。

欺诈特征训练模块302根据欺诈用户样本312，可运用多种数据挖掘算法建立欺诈识别模型，得出欺诈用户特征规则，并将欺诈用户特征规则输出至欺诈用户实时识别模块303。

欺诈用户实时识别模块303实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户，并将判定为欺诈用户的数据输出至欺诈应用模块304进行欺诈用户处理；

欺诈用户样本实时采集模块305实时采集来自欺诈用户实时识别模块303的欺诈用户数据，并将该欺诈用户数据输出至欺诈特征训练模块302建立实时欺诈识别模型，得出实时欺诈用户特征规则，并将实时欺诈用户特征规则补充至所述欺诈用户特征规则，从而实现欺诈用户特征规则的动态更新。

如图3所示，本发明的通信业务欺诈行为的实时识别系统的欺诈用户特征规则建立流程为一个闭环的循环过程，在对欺诈用户的实时识别过程中，不断补充新的欺诈用户特征，能够实时更新欺诈用户特征规则库，动态跟踪欺诈行为的变化趋势。

具体地，样本抽取模块301的主要功能是进行欺诈用户的数据样本抽取，主要是随机抽样的方法、分层抽样来实现对欺诈用户的历史行为数据的样本抽取。也可根据需要使用其他较为复杂的样本抽取方法，例如非概率抽样、不回置抽样等。

欺诈特征识别模块302的主要功能是训练欺诈用户模型，找出欺诈用户的特征规则。欺诈特征识别模块302可包括多个数据挖掘算法模块，如神经网络算法模块321、决策树算法模块322、Logistic算法模块等。由于欺诈用户模型的构建方法和特征规则的总结方法与现有方法相同，在此不再赘述。通过多种算法模型的共同作用，相互加强和补充，使欺诈识别更加准确和稳定，欺诈特征训练模块302将欺诈用户特征规则输出至欺诈用户实时识别模块303进行储存。

欺诈用户实时识别模块303是本发明的核心模块之一，它主要的功能是根据欺诈特征训练模块302提供的特征规则对实时数据进行实时的处理，检测出满足欺诈特征的欺诈用户。

欺诈用户实时识别模块303包括实时数据接口331、欺诈用户特征规则库332和实时识别模块333三个子模块。实时数据主要为用户行为数据，例如彩铃订购话单和计费话单等。实时数据接口331与通信业务系统对接，对实时数据进行数据格式配置、实时扫描和读取，并实时传输到实时识别模块333；用户欺诈特征规则库332中存放来自欺诈特征训练模块302的所有欺诈用户规则。实时识别模块333通过读取欺诈用户特征规则库332的特征规则和实时数据接口331的流数据，计算匹配特征规则的用户行为数据，把满足欺诈特征规则的用户判别为欺诈用户，进行输出。该数据一方面传输到欺诈应用模块304，进行欺诈用户处理，另一方面作为欺诈样本输入至欺诈用户样本实时采集模块305，去寻找和更新新的欺诈特征模式。实时识别模块333采用现有的流处理技术，能达到1000000条/秒的处理能力。

欺诈用户样本实时采集模块305也是本发明的核心模块之一，它的主要功能是不断的发现新的欺诈用户特征规则，最大可能的识别出欺诈用户。其工作的原理是实时采集实时识别模块333实时发现的欺诈用户数据，当该欺诈用户数据的数量达到预定数量N时，则立即将其作为新的欺诈用户样本传输至欺诈特征训练模块302，建立新的实时欺诈用户模型，得出实时欺诈用户特征规则。如果得到新的实时欺诈用户特征规则，则对欺诈用户特征规则库332进行更新，将实时欺诈用户特征规则补充至欺诈用户特征规则库332中。实时识别模块333使用新的实时欺诈特征规则对实时数据接口331的数据进行计算，发现新的欺诈用户，从而形成一个自适应发现欺诈行为的闭环。在本系统中，欺诈用户样本实时采集模块305的优点在于，不管欺诈用户的欺诈行为、欺诈模式、欺诈手段怎么变换，欺诈用户样本实时采集模块305通过闭环的方式总能迅速准确识别出欺诈用户的特征。

欺诈应用模块304的主要功能是提供了一个实时数据输出的接口，可以对欺诈用户行为进行实时封堵、可以对彩铃等业务欺诈行为进行预警、还可以进行沉淀形成黑名单库等等。

本发明的通信业务欺诈行为的实时识别系统，通过在欺诈用户实时识别模块303中设置与通信业务系统对接的实时数据接口331，能够在线采集发生业务的用户数据，及时地发现欺诈用户并处理，而不是像现有的欺诈识别方法那样以天或以月为单位对欺诈用户数据进行处理，这样不仅能够及时阻止欺诈行为的扩大蔓延，而且能够减少由欺诈带来的损失。

进一步地，本发明的实时识别系统不仅实时地判断欺诈用户，并且针对判断为欺诈用户的业务数据建立新的实时欺诈用户模型，提取新的实时欺诈特征规则，能够根据实时数据调整欺诈用户的判断标准，做到了欺诈特征发现的自适应性，使欺诈识别更加准确。

另外，通过设定欺诈用户数据的判断数量N，能够防止系统对欺诈用户的误判断，防止系统反应过当。

本发明还提供了一种通信业务欺诈行为的实时识别方法，如图4所示，包括如下步骤：

步骤401：从历史欺诈用户数据中抽取欺诈用户样本；

步骤402：根据欺诈用户样本建立欺诈识别模型，得出欺诈用户特征规则，将该欺诈用户特征规则存储至欺诈用户特征规则库；

步骤403：实时采集业务用户数据，根据欺诈用户特征规则库的欺诈用户特征规则判断欺诈用户，对欺诈用户进行欺诈用户处理；

步骤404：将步骤403中判断为欺诈用户的数据建立欺诈用户样本，执行步骤402。

其中，如图4所示，自步骤402至步骤404的根据欺诈用户样本建立欺诈识别模型，得出欺诈用户特征规则，并根据欺诈用户特征规则判断欺诈用户的流程为一个自适应发现欺诈行为的闭环执行过程。

即，通信业务欺诈行为的实时识别系统与通信业务系统对接，对实时数据进行数据格式配置、实时扫描和读取，并根据用户欺诈特征规则库中存放的所有欺诈用户规则和实时数据接口的流数据，计算匹配特征规则的用户行为数据，把满足欺诈特征规则的用户判别为欺诈用户，进行输出。该数据一方面用于进行欺诈用户处理，另一方面作为新的实时欺诈样本再次进行欺诈用户模型的建立和欺诈特征规则的总结，以寻找和更新新的欺诈特征模式。

优选地，当实时发现的欺诈用户数据的数量达到预定数量N时，则立即将其作为新的欺诈用户样本，建立新的实时欺诈用户模型，得出实时欺诈用户特征规则。如果得到新的实时欺诈用户特征规则，则对欺诈用户特征规则库进行更新，将新的实时欺诈用户特征规则补充至欺诈用户特征规则库中，并进一步使用新的实时欺诈特征规则对实时数据接口的数据进行计算，发现新的欺诈用户。

如此循环，不仅实时地判断欺诈用户，并且针对判断为欺诈用户的业务数据建立新的实时欺诈用户模型，提取新的实时欺诈特征规则，能够根据实时数据调整欺诈用户的判断标准，做到了欺诈特征发现的自适应性，使欺诈识别更加准确。

本发明的通信业务欺诈行为的实时识别系统和方法，建立了一套从欺诈特征识别、欺诈用户实时发现到欺诈应用处理的完整流程，这一欺诈识别处理流程具有以下两个优点：第一、能够实时地发现欺诈用户，把欺诈行为扼杀在欺诈的始发阶段，减少由欺诈带来的损失；第二、能够将实时发现的欺诈用户作为样本，进一步发现欺诈用户的特征，不管欺诈的行为、手段、模式如何变换，都能发现出欺诈用户的特征，准确地找到欺诈用户。本发明的通信业务欺诈行为的实时识别系统和方法，弥补了现在的用户欺诈分析的不足，迎合了现在对反用户欺诈的需求，对反用户欺诈行为起到了促进作用。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (9)

1.一种通信业务欺诈行为的实时识别系统，包括样本抽取模块、欺诈特征训练模块和欺诈应用模块，其特征在于，进一步包括欺诈用户实时识别模块和欺诈用户样本实时采集模块，

样本抽取模块抽取欺诈用户样本、并输出至欺诈特征训练模块；

欺诈特征训练模块根据样本抽取模块抽取的样本建立欺诈识别模型，得出欺诈用户特征规则；

欺诈用户实时识别模块实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户，并将欺诈用户数据输出至欺诈应用模块进行欺诈用户处理；

欺诈用户样本实时采集模块实时采集来自欺诈用户实时识别模块的欺诈用户数据，并输出至欺诈特征训练模块建立实时欺诈识别模型，得出实时欺诈用户特征规则，并将实时欺诈用户特征规则补充至所述欺诈用户特征规则。

2.根据权利要求1所述的通信业务欺诈行为的实时识别系统，其特征在于，所述欺诈用户实时识别模块包括实时数据接口、欺诈用户特征规则库和实时识别模块，

实时数据接口实时采集业务用户数据、并输出至实时识别模块；

欺诈用户特征规则库存储所述欺诈用户特征规则和所述实时欺诈用户特征规则；

实时识别模块根据欺诈用户特征规则库的欺诈用户特征规则和实时欺诈用户特征规则判断业务用户数据、识别欺诈用户。

3.根据权利要求1或2所述的通信业务欺诈行为的实时识别系统，其特征在于，欺诈用户样本实时采集模块实时采集来自欺诈用户实时识别模块的欺诈用户数据，当所述欺诈用户数据输出至欺诈特征训练模块建立实时欺诈识别模型，得出实时欺诈用户特征规则。

4.根据权利要求3所述的通信业务欺诈行为的实时识别系统，其特征在于，所述通信业务为彩铃业务。

5.一种通信业务欺诈行为的实时识别方法，其特征在于，包括如下步骤：

抽取欺诈用户样本，根据欺诈用户样本建立欺诈识别模型，得出欺诈用户特征规则；

实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户、并进行欺诈用户处理；

根据欺诈用户数据建立实时欺诈识别模型，得出实时欺诈用户特征规则，将实时欺诈用户特征规则补充至所述欺诈用户特征规则。

6.根据权利要求5所述的通信业务欺诈行为的实时识别方法，其特征在于，

所述抽取欺诈用户样本，根据欺诈用户样本建立欺诈识别模型，得出欺诈用户特征规则之后，进一步包括建立欺诈用户特征规则库，所述欺诈用户特征规则库中存储欺诈用户特征规则和实时欺诈用户特征规则。

7.根据权利要求5或6所述的通信业务欺诈行为的实时识别方法，其特征在于，所述实时采集业务用户数据，根据欺诈用户特征规则判断欺诈用户包括根据所述欺诈用户特征规则和实时欺诈用户特征规则判断欺诈用户。

8.根据权利要求5所述的通信业务欺诈行为的实时识别方法，其特征在于，

所述根据欺诈用户数据建立实时欺诈识别模型，得出实时欺诈用户特征规则包括：当所述欺诈用户数据的数量大于预设数量时，根据该欺诈用户数据建立实时欺诈识别模型，得出实时欺诈用户特征规则。

9.根据权利要求6或8所述的通信业务欺诈行为的实时识别方法，其特征在于，所述通信业务为彩铃业务。

Images