CN102769851B - 一种监控服务提供商业务的方法及系统 - Google Patents

Abstract

本发明提供了一种监控服务提供商业务的方法及系统。其中，所述方法包括：确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；根据所述山寨终端标识对应的用户号码，获得山寨用户号码；根据SP业务对所述山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；对所述第一类SP业务进行监控。本发明能够提高对SP业务的监控效率。

Description

一种监控服务提供商业务的方法及系统

技术领域

本发明涉及通信技术领域，具体涉及一种监控服务提供商业务的方法及系统。

背景技术

服务提供商(SP，Service Provider)，向电信用户提供电信增值业务服务，并通过运营商向用户收取相应费用。山寨终端(即山寨机)，通常是模仿品牌手机功能和样式而制造出来的一种仿制手机。山寨终端以其低廉的价格和独特的卖点，近年来迅速抢占国内市场，其保有量十分巨大。但随着山寨终端厂商的增加与市场竞争的加剧，山寨终端的利润已大不如前，山寨终端厂商也开始寻找新的利润增长点。山寨终端厂商勾结部分SP，通过终端内置服务或后门软件的方法，误导用户使用，甚至在用户不知情的情况下偷偷进行扣费，严重损害了用户的利益，也增加了运营商的投诉率。

然而，现有电信系统中已经存在大量的山寨终端用户以及大量SP，因此，如何确定山寨终端用户以及如何确定需要监控的SP业务，对于提高SP业务的监控效率、保护用户利益具有重要意义。

发明内容

本发明所要解决的技术问题是提供一种监控SP业务的方法及系统，用以提高对SP业务的监控效率。

为解决上述技术问题，本发明提供方案如下：

一种监控服务提供商SP业务的方法，包括：

确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；

根据所述山寨终端标识对应的用户号码，获得山寨用户号码；

根据SP业务对所述山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；

对所述第一类SP业务进行监控。

优选地，上述的方法中，所述确定山寨终端标识包括：

获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；

计算所述距离与预定速率的商值；

在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

优选地，上述的方法中，

所述对所述第一类SP业务进行监控包括：

针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

优选地，上述的方法中，还包括：

根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

优选地，上述的方法中，

所述SP欺骗模式包括时段模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期内该SP业务针对山寨用户号码所产生的扣费频率最高的时段；

统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

优选地，上述的方法中，

所述SP欺骗模式包括日期模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；

根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

优选地，上述的方法中，

所述SP欺骗模式包括间隔模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

优选地，上述的方法中，

所述SP欺骗模式包括关联模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；

计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。

本发明还提供了一种监控服务提供商SP业务的系统，包括：

山寨终端识别单元，用于确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；

山寨用户号码确定单元，用于根据所述山寨终端标识对应的用户号码，获得山寨用户号码；

监控业务确定单元，用于根据SP业务对所述山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；

监控单元，用于对所述第一类SP业务进行监控。

优选地，所述山寨终端识别单元具体用于：获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；计算所述距离与预定速率的商值；在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

优选地，上述的系统中，所述监控单元包括：

指标计算单元，用于针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

匹配记录单元，用于记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

选择单元，用于选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

处理单元，用于冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

优选地，上述的系统中，还包括：

比例计算单元，用于根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

阈值调整单元，用于在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

优选地，上述的系统中，

所述SP欺骗模式包括时段模式，所述指标计算单元包括：

第一计算单元，用于：针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期内该SP业务针对山寨用户号码所产生的扣费频率最高的时段；统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

优选地，上述的系统中，

所述SP欺骗模式包括日期模式，所述指标计算单元包括：

第二计算单元，用于针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

优选地，上述的系统中，

所述SP欺骗模式包括间隔模式，所述指标计算单元包括：

第三计算单元，用于针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

优选地，上述的系统中，

所述SP欺骗模式包括关联模式，所述指标计算单元包括：

第四计算单元，用于针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。

从以上所述可以看出，本发明提供的监控SP业务的方法及系统，采用的独特的判断山寨终端标识的方法，能够准确识别出山寨终端，并能够根据SP业务对山寨终端标识对应的山寨用户号码的扣费行为，选择出可疑的SP业务进行监控，从而缩小了需要监控的SP业务的范围，使得监控更具针对性，进而能够提高SP业务的监控效率，更好地保护用户利益。

并且，本发明还提供了多种SP欺骗模式，用以确定SP业务是否为欺骗扣费的SP欺骗业务，并且能够根据SP欺骗业务的验证结果，对各个SP欺骗模式的阈值参数进行自适应调整，从而能够更为准确的识别出存在SP欺骗扣费的SP业务，并进行智能报警和智能防范，例如收集山寨终端厂商和SP欺骗行为的证据，及时冻结可疑SP业务，准确地打击不法分子；例如，预测用户使用山寨终端遭遇SP欺骗的可能性，并及时对用户进行防范提醒，等等。

附图说明

图1为本发明实施例所述的监控SP业务的方法的流程示意图；

图2为本发明实施例所述的监控SP业务的系统的结构示意图；

图3为本发明实施例提供的监控SP业务的系统的另一结构示意图。

具体实施方式

本发明实施例提供了一种监控SP业务的方法及系统，能够准确识别出网络中使用山寨终端的山寨用户，进而选择出对这些山寨用户进行扣费的可疑SP业务进行监控，能够提高SP业务的监控效率，保护用户利益。并且，本发明实施例还进一步提出了多种SP欺骗模式，并给出了具体的监控方式以及相应的报警处理，能够对山寨终端SP欺骗实现高效而全面的监控。

以下将结合附图，通过具体实施例对本发明做进一步的说明。

首先，请参照图1，本发明实施例所述的监控SP业务的方法，包括以下步骤：

步骤11，确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码。

这里，确定山寨终端标识的方式有多种，例如，可以直接导入终端的通信业务数据，来判断某个终端标识是否对应于两个以上的用户号码。本发明实施例特别提供了一种确定山寨终端标识的实现方式：

获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；

计算所述距离与预定速率的商值；

在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

这里，终端标识可以是国际移动设备识别号(IMEI)等标识。终端标识用来协助辨别终端身份真伪，理论上虽然不应该存在有相同IMEI码的两部终端，但是由于山寨终端厂商不能得到合法的IMEI来生产手机，但其通过高科技复制技术制造出具有合法IMEI的山寨终端，以使终端能够流通进入市场，因此网络中存在大量具有相同IMEI的终端。对于运营商，目前不能通过物理检测技术对用户的终端进行识别，因此只能从终端IMEI对应的电信行为入手来进行识别。运营商数据仓库对一个终端的唯一标识是IMEI，当IMEI对应于多个用户号码时，该终端就可能是山寨终端。但由于流通市场的终端形式多样，网络中也存在大量一机多号的合法终端，这给识别某一IMEI是否为山寨终端带来了很大的困难。这里，用户号码可以是终端的手机号码或者是存储在终端SIM卡中的国际移动用户识别码(IMSI)。

本实施例在上述步骤11中，考虑到用户号码的移动速率是有限的，如果同一终端标识所对应的相邻两次通信之间的时间非常短，而该终端标识在该相邻两次通信中的两个通信基站之间的距离非常远，并且这两次通信之间的时间又非常短，即以目前可能的移动速率不能在这么短的时间内移动这么远的距离，因此，这两次通信应该是分别由两个独立的终端所产生的，并且这两个终端具有相同的终端标识，所以这个相同的终端标识就是被至少两个终端所使用的山寨终端标识，该山寨终端标识对应的终端为山寨终端。考虑到各种交通工具的移动速率，这里的预定速率可以取如音速或音速的两倍等数值。

步骤12，根据所述山寨终端标识对应的用户号码，获得山寨用户号码。

步骤13，根据SP业务对所述山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务。

这里，根据SP业务对山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例之间的差异，选择出需要监控的第一类SP业务，所述山寨用户号码是所述山寨终端标识对应的用户号码，所述非山寨用户号码是网络中的所有用户号码中去除所述山寨用户号码外的其它用户号码。

这里，在步骤13中计算预定一段时间内SP业务对山寨用户号码扣费的第一比例，即被该SP业务扣费的山寨用户号码占网络中所有山寨用户号码的比例；以及，计算该一段时间内该SP业务对非山寨用户号码扣费的第二比例，即被该SP业务扣费的非山寨用户号码占网络中所有非山寨用户号码的比例；进而根据第一比例和第二比例之间的差异，选择出第一类SP业务，所述第一类SP业务是所述差异的程度超过预设门限的SP业务。判断所述差异的程度是否较大有多种判断方式，例如在第一比例与第二比例的差值大于预先设定的一个门限值时，或者，在第一比例与第二比例的比值(lift)大于预先设定的另一个门限值时，可以加入第一类SP业务。再例如，还可以按照从大到小的顺序，取所述比值(lift)排在前N个的SP业务作为第一类SP业务(N值可以自行选定，例如取50、100等)。

步骤14，对所述第一类SP业务进行监控。

由于第一类SP业务具有较大的欺骗扣费的嫌疑，因此在步骤14中可以对这些SP业务进行监控。

作为一种优选的实施方式，步骤14中在进行监控时，可以采用现有技术中各种基于数据挖掘技术，对所述第一类SP业务针对山寨用户号码的电信行为数据挖掘和检测，判断SP业务是否存在欺骗扣费的行为，还可以根据判断结果采取进一步的措施，例如冻结存在欺骗扣费的行为的SP业务，或者向对应的用户号码对应的用户进行提醒等。

作为另一种优选的实施方式，本发明实施例还进一步提供了多种SP欺骗模式，在步骤14中进行监控时，可以对所述第一类SP业务针对山寨用户号码的电信行为数据进行统计分析，并与各个SP欺骗模式匹配，根据所匹配的SP欺骗模式的多少，来判断该SP业务是否存在欺骗扣费的行为，即上述步骤14可以具体包括以下步骤：

步骤141，针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

步骤142，记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

步骤143，选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

步骤144，冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

从以上所述可以看出，本发明实施例采用的独特的判断山寨终端标识的方法，进而根据SP业务对山寨标识对应的山寨用户号码的扣费行为，选择出可疑的SP业务进行监控，从而缩小了需要监控的SP业务的范围，使得监控更具针对性，进而能够提高SP业务的监控效率，更好地保护用户利益。

本发明实施例在上述步骤14之后，还可以通过各种方式与部分山寨用户号码对应的用户进行沟通，以验证该山寨用户是否订购或有意识的使用了对应的第一类SP业务，进而可以确认SP业务是否为SP欺骗业务(SP欺骗业务是指误导用户使用或未经用户订购即行扣费的SP业务)。然后，本发明实施例可以根据这部分山寨用户的验证结果，来验证所述第二类SP业务为SP欺骗业务的可信度，并在该可信度来决定是否需要对SP欺骗模式对应的阈值进行自适应调整，即本发明实施例在上述步骤14之后还可以包括以下步骤：

步骤15，根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

步骤16，在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

通过以上步骤，可以形成一个完整的闭环，能够根据SP欺骗业务的验证结果，自适应地对所述SP欺骗模式对应的阈值进行调整，从而能够更为准确的选择出存在SP欺骗消费的所述第二类SP业务。

下面对本发明实施例提供的SP欺骗模式以及如何进行匹配进行说明。

本发明实施例提供的SP欺骗模式包括时段模式、日期模式、间隔模式和关联模式。在利用上文中提及的所述另一种优选的实施方式，来执行上述步骤14中的监控时，本发明实施例可以采用以上四种模式中的至少一种。以下分别对这四种模式进行说明。

1)时段模式

时段模式是基于SP业务扣费频率的时段，来设置相应的异常扣费指标。由于SP欺骗业务通常在用户不知情的情况下，从后台进行定时扣费，其扣费行为具有一定的周期性，因此可以通过日期模式来判断SP业务的扣费是否可疑。此时，上述步骤141中所述的计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期(如以每天为一个时间周期)内该SP业务针对山寨用户号码所产生的扣费频率最高的时段(如以每小时为一个时段，一天共24个时段)，所述时间周期包括多个所述时段；统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

如果统计得到的最高次数高于预先设定的所述时段模式对应的阈值，则判断该SP业务匹配时段模式。

2)日期模式

日期模式是基于SP业务在一段周期内的扣费次数的膨胀率，来设置相应的异常扣费指标。由于一些SP欺骗业务希望短期内获得最大的利润，其对用户号码的扣费次数有着非常快的增加，因此可以通过日期模式来判断扣费次数的增加是否可疑。此时，上述步骤141中所述的计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

如果计算得到的膨胀率高于预先设定的所述日期模式对应的阈值，则判断该SP业务匹配日期模式。

3)间隔模式

间隔模式是基于SP业务对同一IMEI所对应的用户号码的相邻两次扣费行为之间的间隔，来设置相应的异常扣费指标。部分SP通过山寨终端绑定的软件来误导用户消费或偷偷扣费，由于同一IMEI对应多个山寨终端，因此针对同一IMEI的扣费间隔将小于正常终端的扣费间隔。因此可以通过间隔模式来判断扣费间隔是否可疑。此时，上述步骤141中所述的计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

4)关联模式

关联模式是基于SP业务订购用户号码的关联度，来设置相应的异常扣费指标。部分SP通过在山寨终端上绑定两个以上的SP欺骗业务，因此具有相同IMEI的这些山寨终端可能同时被这些SP欺骗业务扣费，因此可以通过关联模式来判断这种扣费关联关系是否可疑。此时，上述步骤141中所述的计算第一类SP业务对应的异常扣费指标包括：

针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。

本发明实施例在上述步骤14中可以采用以上四种模式中的一种、两种或多种来进行匹配和分析。例如，在仅采用一种模式时，如果某个SP业务匹配该模式，则将该SP业务加入到第二类SP业务；再例如，在采用两种、三种或四种模式时，可以在某个SP业务同时匹配两个以上的模式时，才将该SP业务加入到第二类SP业务。

从以上所述可以看出，本发明实施例提供了多种SP欺骗模式，并能够根据SP欺骗业务的验证结果，进行自适应地参数调整，实现了对山寨终端SP欺骗高效而全面的监控管理。

基于以上所述的监控SP业务的方法，本发明实施例还提供了一种监控SP业务的系统，如图2所示，该系统包括：

山寨终端识别单元，确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；

山寨用户号码确定单元，用于根据所述山寨终端标识对应的用户号码，获得山寨用户号码；

监控业务确定单元，用于根据SP业务对所述山寨用户号码扣费的第一比例和对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；

优选地，所述山寨终端识别单元具体用于：获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；计算所述距离与预定速率的商值；在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

监控单元，用于对所述第一类SP业务进行监控。

优选地，该系统还可以根据SP欺骗业务的验证结果，自适应地调整SP欺骗模式对应的阈值，此时该系统还包括：

比例计算单元，用于根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

阈值调整单元，用于在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

优选地，所述监控单元具体包括：

指标计算单元，用于针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

匹配记录单元，用于记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

选择单元，用于选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

处理单元，用于冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

针对不同的SP欺骗模式，可以在指标计算单元中设置不同的计算单元来计算对应的指标：

其中，在所述SP欺骗模式包括时段模式时，所述指标计算单元包括：第一计算单元，用于：针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期内该SP业务针对山寨用户号码所产生的扣费频率最高的时段；统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

在所述SP欺骗模式包括日期模式时，所述指标计算单元包括：第二计算单元，用于针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

在所述SP欺骗模式包括间隔模式时，所述指标计算单元包括：第三计算单元，用于针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

在所述SP欺骗模式包括关联模式时，所述指标计算单元包括：第四计算单元，用于针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。

最后，再结合具体的运营商通信网络，通过更为细化的流程对本发明实施例的监控SP业务的方法的实施进行说明。

请参照图3为本发明实施例提供的监控SP业务的系统的另一结构示意图。本发明实施例所述方法可以通过图3所示系统的各个装置予以实施。

该系统各装置的功能及其协作流程具体如下：

1.本实施方案中所述的数据管理装置，具有数据存储、更新、传输功能，实现山寨终端识别装置、SP业务管理装置、山寨终端用户SP业务行为分析装置数据的上传与下载。

2.本实施方案中所述的山寨终端识别装置，通过本方案设计的识别算法，找出可疑的山寨终端，并将结果传输到山寨终端用户SP业务行为分析装置。

3.本实施方案中所述的SP业务管理装置，通过本方案提出的选择算法，列出具有欺骗可能性较高的SP业务(即上文所述的第一类SP业务)，并结果传输到山寨终端用户SP业务行为分析装置。

4.本实施方案中所述的山寨终端用户SP业务行为分析装置，利用山寨终端识别装置和SP业务管理装置，从数据管理装置中抽取用户号码的历史SP业务行为数据，并传输到自适应山寨终端SP欺骗挖掘装置进行特征分析。

5.本实施方案中所述的自适应山寨终端用户SP欺骗模式挖掘装置，通过本方案提出的模式挖掘算法，制定山寨终端SP的欺骗模式，并将其进行规则化后传输到山寨终端SP欺骗模式库。

6.本实施方案中所述的山寨终端SP欺骗模式库，当其收到预防装置或报警装置发现的可疑的山寨终端SP的欺骗模式时，首先对规则进行增加，对规则的其他参数进行调整，然后根据模式规则参数阈值，相对应地激活预防装置或报警装置。

7.本实施方案中所述的报警装置，收到自适应山寨终端SP欺骗挖掘装置发出的信号时，根据欺骗模式，智能地从山寨终端用户SP业务行为分析装置中提取出有利的数据样本作为SP业务涉嫌欺骗的证据，并向网络管理者发出报警的信号。

8.本实施方案中所述的预防装置，收到自适应山寨终端SP欺骗挖掘装置发出的信号时，根据欺骗模式，智能地从山寨终端用户SP业务行为分析装置中提取出可能遭遇欺骗的用户号码，及时进行关怀和提醒，以避免经济损失。

以下再对本实施方案所涉及的算法及步骤细节，介绍如下：

步骤1.数据准备：数据管理装置接合运营商的数据仓库，通过日常作业配置，分别传输相应的数据到山寨终端识别装置、SP业务管理装置、山寨终端用户SP业务行为分析装置。

步骤2.识别山寨终端：手机的串号也就是IMEI，运营商数据仓库对一个手机的唯一标识是IMEI，当其对应于多个手机号码时，为山寨终端的可能性增加。但由于网络中也存在大量一机多号的合法终端，这给识别某一IMEI是否为山寨终端带来了很大的困难。本技术方案从另外的角度，即用户基站的移动模式入手，提出一种山寨终端识别方式，过程具体如下：

1)提取出对应于两个以上的用户号码的IMEI，建立这些IMEI与用户号码之间的对应关系，形成一个IMEI终端列表。

2)从数据管理装置中抽取上述IMEI终端列表中所有IMEI的电信行为数据，定义最近一个时间段(如最近一个星期)为观察窗口，取其所有的通话行为数据、基站活动数据等。

3)本技术方案提出一种新颖的识别山寨终端标识的方法：对同一IMEI，定义一天的时间序列，用t_i表示通信行为发生时间，用s_i表示基站(最小粒度为区县)、用c_i表示IMEI对应的用户号码(如手机号码)，其中下标i则表示时间序列中按照先后顺序出现的次序编号；n为该IMEI一天内记录的有出现通信基站的次数，从而可以根据一天内该IMEI的通信记录得到以下的序列：

(t₁，s₁，c₁)，(t₂，s₂，c₂)，(t_i，s_i，c_i)…(t_n，s_n，c_n)

则该IMEI异常移动的次数可以表示为：

$P={\mathrm{\Σ}}_{i=1}^{n}g(t_{i+1}-t_i,\min t(s_i,s_{i+1}))$

其中，mint(s_i，s_i+1)是一个时间函数，表示两个基站s_i和s_i+1中从一个基站到达另一基站所需的最短时间(考虑到实际使用的交通工具的速率，本方案以音速或者飞机速度的2倍作为极限速度，来计算两个基站可达的最快时间。系统可根据地图上基站之间的距离和上述极限速度，来建立到达不同基站的时间索引表；t_i+1-t_i表示的是同一个IMEI发生的相邻两次通信行为之间的时间差；而g(t_i+1-t_i，mint(s_i，s_i+1))为0/1指示函数，当c_i+1≠c_i且t_i+1-t_i＜mint(s_i，s_i+1)时，g(t_i+1-t_i，min t(s_i，s_i+1))＝1，否则为0。

即g(t_i+1-t_i，mint(s_i，s_i+1))＝1这种情况发生是，同一个IMEI从一个基站到达另一个基站所需的移动时间，短于正常交通工具所需的时间，此时认为发生了异常移动，可认为是该IMEI对应的不同手机(即山寨终端)分布在不同的位置。定义一天内发送异常移动次数大于1时，即P＞1时，则认为该IMEI是山寨终端标识，该IMEI对应的终端为山寨终端，该IMEI对应的用户号码为山寨用户号码。

4)如果不满足3)中的条件，则认为该IMEI为非山寨终端标识；如果满足，则认为该IMEI为山寨终端标识，将该IMEI加入到山寨终端IMEI列表中，以便实施监控。

5)根据山寨终端IMEI列表，过滤出当前使用过其中IMEI的所有手机号码，并建立山寨用户手机号码的列表。

步骤3.由SP业务管理装置，对于每个SP业务，统计一段时间内(如一个月)该SP业务的山寨用户号码数a1和非山寨用户号码数b1，并统计出山寨用户号码数a1中发生扣费行为的用户号码数a2、和非山寨用户号码数b1中发生扣费行为的用户号码数b2，则该SP对山寨用户号码发生扣费行为的比例为r1＝a2/a1，而对非山寨用户号码发生扣费行为的比例为r2＝b2/b1。对比两个比例，计算差异提升值，其中一种计算公式如下：

lift＝r1/r2，

取lift值排名前N的SP业务作为可疑的欺骗SP业务(即第一类SP业务)，建立SP业务实时监控列表。N可以根据现网中已有的SP业务的总量来决定，例如取总量的10％～20％等等。

步骤4.山寨终端用户SP业务行为分析装置通过对于步骤2和步骤3中得到的山寨终端IMEI列表和SP业务实时监控列表进行整合，获得最近一段时间内(如最近一个月内)，山寨终端IMEI列表涉及的所有山寨用户号码，对SP业务实时监控列表中的SP业务的SP扣费行为特征数据，主要包括消费行为发生的时间、时段、消费行为之间的间隔、及业务量等参数。

步骤5.自适应山寨终端用户SP欺骗模式挖掘装置将当前山寨终端的SP欺骗模式可分为两大类：

1)主动模式：山寨终端通过安装软件，或者定义按键误导用户消费。当用户触发软件或者按动定义键时，即激发了SP扣费行为。

2)被动模式：SP商在后台进行控制，用户在不知情的情况下进行扣费。由于SP商狡猾多变，这种模式更难以被发现。

利用步骤4中获得的SP扣费行为特征数据，通过分析山寨用户SP业务行为，检验其是否符合本技术方案设计的山寨终端的SP欺骗模式：

1)时段模式：这种模式用以发现SP商通过定制作业方式，在用户不知情的情况下，从后台对其进行定时的扣费，其特征是具有周期性。对最近一月内的每一天d划分成24个时段t_i，每个时段的时长为1小时，针对SP业务实时监控列表中的每个SP业务，计算每个小时该SP业务对山寨终端IMEI列表涉及的所有山寨用户号码的扣费次数h，形成一个由时间和扣费次数组成的序列：(t₁，h₁)，(t₂，h₂)…，(t₂₄，h₂₄)；对每个时段t_i，统计在一月内该时段出现过当天的最高扣费次数的出现次数D(t_i)，公式如下：

$D\left(t_i\right)=\underset{d}{\mathrm{\Σ}}f(d,h_i,\max (h_1,h_2,\·\·\·h_{24}))$

其中，用d表示一月内的第d日(即日期)，f(d，h_i，max(h₁，h₂，…h₂₄))为0/1指示函数，当满足h_i＝max(h₁，h₂，…h₂₄)时，f(d，h_i，max(h₁，h₂，…h₂₄))＝1，即表明在t_i时段出现过当天的最高扣费次数，否则f(d，h_i，max(h₁，h₂，…h₂₄))为0。

该时段模式对应的判定阈值D由自适应山寨终端用户SP欺骗模式挖掘装置自适应调整，初始值可以根据合法SP的扣费习惯自行设定。当任意一个时段的D(t_i)超过该阈值D时，即判断该SP匹配时段模式。

该模式主要用于预测，可以进一步通过找到匹配该模式的SP进行验证，同时对使用该SP业务的山寨用户号码进行提醒，告知用户该SP有对其扣费，如有非法扣费则可及时举报。

2)日期模式：对于SP业务实时监控列表中的每个SP业务，抽取最近一月内每一天d的针对山寨用户手机号码的扣费次数h，建立一个时间序列，形式为(d_r，h_r)(d_r+1，h_r+2)…(d_r+u，h_r+u)，其中r为观察时间窗口的起始时间(即开始日期)，而u为一月内的时间长度(即观察的总天数)。量化该SP业务在连续时间u天内扣费次数的膨胀率S(r)，公式如下：

S(r)＝slope(h_r，h_r+1，…h_r+s)

其中slope为经典的线性拟合斜率，其计算方法可参考高等数学参考书，在此不再赘述。该公式量化了山寨用户号码的使用SP业务扣费次数在短期内的突增程度。从长期的角度，欺骗SP业务发展增长迅猛容易被发现，因此某些狡猾的SP商采用不定时扣费的方式，使其欺骗方式隐蔽而难以发现。因此可以通过采取合适的时间间隔u来予以发现。

该日期模式对应的判定阈值S由自适应山寨终端用户SP欺骗模式挖掘装置自适应调整。当某个SP业务的膨胀率S(r)大于该阈值S时，即判断该SP匹配日期模式。

3)间隔模式：定位同一个IMEI使用同一个SP业务的扣费时间序列，则对于非山寨终端用户号码，由于使用具有唯一IMEI的手机，因此其对应IMEI的扣费间隔仅由该1个用户号码使用SP业务的情况决定；而对于山寨终端，由于是多个用户号码同时在使用，则其IMEI发生扣费间隔由多人决定，并发可能性大大增加，即该IMEI被同一SP业务连续两次扣费的间隔较短。因此，定义同一SP业务对同一IMEI的扣费时间序列(t₁，t₂，…，t_n)，这里t_i定义表示扣费发生的时间，i取值1到n，n是统计到该SP业务针对该IMEI的扣费次数。基于上述扣费时间序列，计算相邻两次扣费行为之间的最短时间间隔T(IMEI)，公式如下：

T(IMEI)＝min(t₂-t₁，t₃-t₂，t₄-t₃…，t_n-t_n-1)

当该时间间隔T(IMEI)对比于非山寨终端用户号码要短的多时，则该SP业务欺骗扣费的可疑性越大。

该间隔模式对应的判定阈值T由自适应山寨终端用户SP欺骗模式挖掘装置自适应调整。当某个SP业务的T(IMEI)小于该阈值T时，即判断该SP匹配间隔模式。

4)关联模式：经对山寨终端的分析发现，部分SP业务的订购用户号码的重叠度比较高，这表明有可能同一个IMEI对应的多个山寨终端上捆绑了几个欺骗SP业务。于是，定义SP业务的关联度A(IMEI)的计算公式为：

A(IMEI)＝ASS(sp1，sp2)/N(IMEI)

其中N(IMEI)是该IMEI对应的用户号码总数，而ASS(sp1，sp2)是该IMEI对应的号码中，同时使用了两种相同的SP1和SP2业务的用户号码的数量。该比例A(IMEI)越高，则预警级别越高。

该关联模式对应的判定阈值A由自适应山寨终端用户号码SP欺骗模式挖掘装置自适应调整。当某些个SP业务的A(IMEI)大于该阈值A时，即判断这些SP业务匹配关联模式。

以下说明自适应山寨终端用户SP欺骗模式挖掘装置的工作过程：

1)根据SP业务实时监控列表和山寨终端IMEI列表，再结合上述四种模式的阈值，判断各个SP业务是否符合上述的四个模式，最终可建立山寨终端SP欺骗宽表，格式如下：

上表中，根据预先设定的规则，对于匹配四种模式的SP业务，其预警级别为报警；对于匹配一种以上、三种以下模式的SP业务，其预警级别为防范；对于与四种模式都不匹配的SP业务，其预警级别为监控。

上表中，是否确认为SP欺骗扣费，可以通过与用户号码外呼接触，通过询问进行验证，确定是否为SP欺骗扣费。例如，在月度结算时，如果接到用户号码电话投诉或者用户号码到营业厅查询质疑时，可及时了解用户号码是否使用山寨终端，同时确认客户是否主动订购被扣费的SP业务，然后记录反馈客户的信息，据此确认SP业务是否为SP欺骗扣费。而对于扣费严重的用户号码，可及时进行主动外呼，并建议用户带上手机到营业厅进行检查，等等。

2)初始化步骤6中定义的四种模式的阈值参数，例如设置时段模式参数D＝10天，日期模式参数S＝4天，间隔模式参数T＝13秒，关联模式参数A＝0.3。该阈值参数可以根据SP欺骗扣费的验证结果，进行自适应调整。

3)抽取已经确认是否为SP欺骗扣费的SP业务的验证结果，进行训练评分，检查验证结果的准确率。例如，设定一个判断规则，该规则认为匹配上述四种模式的SP业务为SP欺骗业务，此时可以根据该规则，对宽表中的SP业务是否为SP欺骗业务做出初步判断；然后，可以通过外呼验证等方式，对初步判断出的SP欺骗业务中的部分SP业务与用户号码对应的用户沟通以进行验证，验证这部分的SP业务是否为SP欺骗业务；然后，根据这部分SP业务的验证结果，判断初步判断的准确率：如果其准确率达到设定阈值(经验值为80％，可由决策者调整)，则按照步骤2)的参数以及上述规则确定SP业务是否为SP欺骗业务；如果其准确率过低，则对应调整步骤2)的参数。调整时可以采用随机算法，一种可能的参数调整公式如下：

D＝D*(1+random(-1，1))

S＝S*(1+random(-1，1))

T＝T*(1+random(-1，1))

A＝A*(1+random(-1，1))

其中random(-1，1)是一个返回-1至1之间的一个数值的随机函数。

每次调整后，可以根据调整后的阈值参数，去更新SP业务与各个模式的匹配结果，然后再进行上述的训练评分，并检查验证结果的准确率。

这里，可以设定一个调整次数，最后取所有调整次数中验证结果的准确率最高的那一次所对应的阈值参数，作为实际使用的阈值参数。

步骤6.山寨终端SP欺骗模式库根据步骤5的计算结果进行更新，更新的步骤如下：1)更新阈值参数，即更新D、S、T、A这4个模式的判定阈值；2)重新计算每对IMEI与SP业务与4种模式的匹配情况；3)根据重新计算得到的匹配情况，对山寨终端SP欺骗宽表进行更新；4)将预警级别为报警的SP及对应的IMEI的信息传送到报警装置，将预警级别为防范的SP及对应的IMEI的信息传送到预防装置，对预警级别为监控的SP及对应的IMEI则继续进行监控。

步骤7.报警装置收到山寨终端SP欺骗模式库发送的信息后，进行如下处理：1)将接收到的IMEI所对应的用户号码，加入到报警用户号码名单；2)对每个IMEI和SP进行合计，统计终端标识为该IMEI、且使用该SP的总用户号码数，以及统计所述总用户号码数中预警级别为报警的用户号码数，将后者除以前者，以计算得到报警比例；3)在报警比例高于某个预定值时，说明该SP业务非常可以，因此可以进行必要的取证，即记录预警级别为报警的报警用户号码、以及报警用户号码对应的IMEI和SP的电信行为数据；4)与报警用户号码对应的用户进行外呼沟通，确认其是否使用山寨终端，并是否在不知情情况订购了SP业务，该SP业务的扣费是否欺骗扣费；5)统计沟通后确认为被欺骗的用户号码的比例，如果超过一门限(如50％)，则对涉嫌欺骗扣费的SP业务进行暂时的冻结。

步骤8.预防装置收到山寨终端SP欺骗模式库发送的信息后，进行如下处理：1)将接收到的IMEI所对应的用户号码，加入到防范用户号码名单；2)对每个IMEI和SP进行合计，统计终端标识为该IMEI、且使用该SP的总用户号码数，以及统计所述总用户号码数中预警级别为防范的用户号码数，将后者除以前者，以计算得到防范比例；3)在防范比例高于某个预定值时，进行取证，即记录预警级别为防范的防范用户号码、以及防范用户号码对应的IMEI和SP的电信行为数据；4)对防范用户号码对应的用户进行外呼沟通，确认其是否使用山寨终端，并是否在不知情情况订购了SP业务，是否被欺诈；5)统计沟通后确认为被欺骗的用户号码的比例，如果超过一门限(如10％)，则通过短信、外呼等方式对防范用户进行关怀和提醒。

步骤9.将报警用户号码和防范用户号码是否被SP欺骗扣费的验证结果，反馈给山寨终端SP欺骗模式库，以利用该验证结果调整阈值参数和更新宽表，从而实现一个闭环优化。

最后，通过下表对实施本技术方案前后的各种指标进行比较，进一步说明本技术方案的有益效果：

综上，本发明实施例提供的监控SP业务的方法及系统，具有高稳定性、高准确率、高智能化的优点，能够系统而高效地对山寨终端SP欺骗行为进行监管。

以上所述仅是本发明的实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种监控服务提供商SP业务的方法，其特征在于，包括：

确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；

根据所述山寨终端标识对应的用户号码，获得山寨用户号码；

根据SP业务对所述山寨用户号码扣费的第一比例和该SP业务对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；

对所述第一类SP业务进行监控。

2.如权利要求1所述的方法，其特征在于，所述确定山寨终端标识包括：

获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；

计算所述距离与预定速率的商值；

在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

3.如权利要求1所述的方法，其特征在于，

所述对所述第一类SP业务进行监控包括：

针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

4.如权利要求3所述的方法，其特征在于，还包括：

根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

5.如权利要求3所述的方法，其特征在于，

所述SP欺骗模式包括时段模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期内该SP业务针对山寨用户号码所产生的扣费频率最高的时段；

统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

6.如权利要求3所述的方法，其特征在于，

所述SP欺骗模式包括日期模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；

根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

7.如权利要求3所述的方法，其特征在于，

所述SP欺骗模式包括间隔模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

8.如权利要求3所述的方法，其特征在于，

所述SP欺骗模式包括关联模式，所述针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标包括：

针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；

计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。

9.一种监控服务提供商SP业务的系统，其特征在于，包括：

山寨终端识别单元，用于确定网络中存在的山寨终端标识，所述山寨终端标识对应于至少两个用户号码；

山寨用户号码确定单元，用于根据所述山寨终端标识对应的用户号码，获得山寨用户号码；

监控业务确定单元，用于根据SP业务对所述山寨用户号码扣费的第一比例和该SP业务对非山寨用户号码扣费的第二比例，选择出需要监控的第一类SP业务；

监控单元，用于对所述第一类SP业务进行监控。

10.如权利要求9所述的系统，其特征在于，

所述山寨终端识别单元具体用于：获得同一终端标识所对应的相邻两次通信之间的时间差和该终端标识在该相邻两次通信所对应的通信基站之间的距离；计算所述距离与预定速率的商值；在所述时间差小于所述商值时，判断该终端标识为山寨终端标识。

11.如权利要求9所述的系统，其特征在于，所述监控单元包括：

指标计算单元，用于针对预先设定的SP欺骗模式，计算第一类SP业务对应的异常扣费指标；

匹配记录单元，用于记录所述第一类SP业务中匹配所述SP欺骗模式的SP业务，其中，匹配所述SP欺骗模式是指所述异常扣费指标超出所述SP欺骗模式对应的阈值；

选择单元，用于选择出所匹配的SP欺骗模式的数量达到预定第一门限的SP业务，加入到第二类SP业务中；

处理单元，用于冻结所述第二类业务和/或向所述第二类业务对应的山寨用户号码提醒可能存在欺骗性扣费的SP欺骗业务。

12.如权利要求11所述的系统，其特征在于，还包括：

比例计算单元，用于根据对所述第二类SP业务中的部分业务是否为SP欺骗业务的验证结果，计算所述部分业务中SP欺骗业务的比例；

阈值调整单元，用于在所述比例低于预定第二门限时，调整所述SP欺骗模式对应的所述阈值，以减少所述第一类SP业务中匹配所述SP欺骗模式的SP业务的数量。

13.如权利要求11所述的系统，其特征在于，

所述SP欺骗模式包括时段模式，所述指标计算单元包括：

第一计算单元，用于：针对所述第一类SP业务中的每个SP业务，统计并记录在预定的时间周期内该SP业务针对山寨用户号码所产生的扣费频率最高的时段；统计在连续的多个所述时间周期内，各个时段出现过所述扣费频率最高的次数，并将统计得到的最高次数作为该SP业务对应的异常扣费指标。

14.如权利要求11所述的系统，其特征在于，

所述SP欺骗模式包括日期模式，所述指标计算单元包括：

第二计算单元，用于针对所述第一类SP业务中的每个SP业务，统计预定的时间周期内该SP业务针对山寨用户号码的扣费次数，建立由多个连续的所述时间周期内的所述扣费次数所形成的一个序列；根据所述序列，计算所述扣费次数的膨胀率，得到该SP业务对应的异常扣费指标。

15.如权利要求11所述的系统，其特征在于，

所述SP欺骗模式包括间隔模式，所述指标计算单元包括：

第三计算单元，用于针对所述第一类SP业务中的每个SP业务，提取在一段时间内该SP业务针对同一山寨终端身份标识对应的所有山寨用户号码发生扣费行为的时间，并计算相邻两次扣费行为之间时间间隔，得到该SP业务对应的异常扣费指标。

16.如权利要求11所述的系统，其特征在于，

所述SP欺骗模式包括关联模式，所述指标计算单元包括：

第四计算单元，用于针对每个山寨终端标识，提取该山寨终端标识对应的所有山寨用户号码中第三类用户号码的数量，所述第三类用户号码为同时被所述第一类SP业务中两种以上相同SP业务扣费的用户号码；计算所述第三类用户号码的数量与所述所有山寨用户号码的数量的比值，得到所述两种以上的SP业务对应的异常扣费指标。