CN106611314A - 一种风险识别方法和设备 - Google Patents

Abstract

本申请提出了一种风险识别方法和设备，该方法包括：获取待识别事件信息，根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；根据预设的事件属性，从所述历史样本数据中确定首个第一事件，并根据首个所述第一事件的发生时间确定后累范围，从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；根据所述风险预测值，对所述待识别事件进行风险识别。本申请提高了获取到的风险评估值的准确度，也提高了后续进行风险评估的准确性。

Description

一种风险识别方法和设备

技术领域

本申请实施例涉及通信技术领域，特别涉及一种风险识别方法和设备。

背景技术

现有技术中，在基于风险识别时，所获取的样本的区间是以最近的发生的某一事件为起点，向前获取的一个时间区间，也即VELOCITY(向前累计)，而向前累计的所采取的维度为比较简单，例如VELOCITY规则规定终端设备上在3天的时间内绑定的银行卡不能超过4个、5天内绑定的银行卡不能超过7个、7天内绑定的银行卡不能超过10个；当该规则被试出来了以后，可以通过3天绑定3个银行卡、之后两天绑定3个银行卡、再之后两天绑定3个银行卡的方式成功绕过该规则，而事实上，这种方式规律性是很强的，而正常的情况下，事件的发生是没有规律的，因此实际上是有风险的，但VELOCITY对此的评估是正常，也即评估是不准确的。

由于VELOCITY所采取的规则比较简单，不会考虑账户(或卡)的使用成熟度，容易被绕过去，评估不准确，造成风险，为此现在需要一种评估更准确的风险识别方式。

发明内容

针对现有技术中的缺陷，本申请提出了一种风险识别方法，包括：

获取待识别事件信息，所述待识别事件信息包括所述待识别事件的主体信息；

根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；

根据预设的事件属性，从所述历史样本数据中确定首个第一事件，所述第一事件为符合所述事件属性的事件，并根据首个所述第一事件的发生时间确定后累范围，所述后累范围是从首个所述第一事件的发生时间开始向后累计的时间范围；

从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；

基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；

根据所述风险预测值，对所述待识别事件进行风险识别。

可选的，所述主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

可选的，根据首个所述第一事件的发生时间确定后累范围，包括：

以所述第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为所述后累范围。

可选的，在所述得到向后累计的时间范围之后，还包括：

判断在得到的向后累计的时间范围内，是否包含所述待评估事件，若是，则将得到的向后累计的时间范围确定为所述后累范围，否则，将以所述第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为所述后累范围。

可选的，根据所述风险预测值，对所述待识别事件进行风险识别，具体包括：

判断所述风险预测值是否大于预设阈值，如果是，则将所述待识别事件识别为存在风险，否则，识别为无风险。

本申请该提出了一种风险识别设备，其特征在于，包括：

第一获取模块，用于获取待识别事件信息，所述待识别事件信息包括所述待识别事件的主体信息；

第二获取模块，用于根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；

第一确定模块，用于根据预设的事件属性，从所述历史样本数据中确定首个第一事件，所述第一事件为符合所述事件属性的事件，并根据首个所述第一事件的发生时间确定后累范围，所述后累范围是从首个所述第一事件的发生时间开始向后累计的时间范围；

第二确定模块，用于从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；

计算模块，用于基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；

风险识别模块，用于根据所述风险预测值，对所述待识别事件进行风险识别。

可选的，所述主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

可选的，所述第一确定模块根据首个所述第一事件的发生时间确定后累范围，包括：

以所述第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为所述后累范围。

可选的，该设备还包括：

判断模块，用于判断在得到的向后累计的时间范围内，是否包含所述待评估事件，若是，则将得到的向后累计的时间范围确定为所述后累范围，否则，将以所述第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为所述后累范围。

可选的，所述风险识别模块，具体用于：

判断所述风险预测值是否大于预设阈值，如果是，则将所述待识别事件识别为存在风险，否则，识别为无风险。

与现有技术相比，本申请中通过事件频率，事件间隔和事件分布信息来对待评估事件的风险进行评估，考虑了待评估事件的主体的使用成熟度，能很好的识别待评估事件的风险，提高了获取到的风险评估值的准确度，也提高了后续进行风险评估的准确性。

附图说明

图1为本申请提出的一种风险识别方法的流程示意图；

图2为本申请提出的一种风险识别方式与现有的风险识别方法的效果对比示意图；

图3为本申请提出的一种风险识别设备的结构示意图。

具体实施方式

如背景技术，现有技术中的风险识别方案无法准确识别风险，为此，本申请中为了更好地识别风险，提出了一种风险识别方法，如图1所示，包括以下步骤：

步骤101、获取待识别事件信息，待识别事件信息包括待识别事件的主体信息。

当用户进行网络交互操作时，通过终端向服务器端发起响应的操作请求，该操作请求则为待识别事件，相对应地，服务器端能够获取到该待识别事件信息。待识别事件信息中包括待识别事件的主体信息、待识别事件的发生时间、待识别事件的编号等信息。其中，主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

在一个具体的实施例中，例如当在完成网络购物，准备金额结算时，获取到结算信息，该结算信息中的涉及到的账户，银行卡，或者当使用的是移动端(例如手机)进行结算时，该移动端设备的信息都是与事件的发起者(用户)有对应关系的信息，可以认为这些信息是主体(账户)信息。

对于网络交易的待识别事件信息，除了上述的主体信息、待识别事件的发生时间、待识别事件的编号信息，可能还可以包括物品名称、金额等其他信息。

步骤102、根据待识别事件信息，获取与待识别事件的主体信息相关的历史样本数据。

历史样本数据可以包括与所述主体信息有关的历史操作数据，包括浏览、交易、登录、注册、修改个人信息、修改密码、绑卡、解绑等操作数据。

具体的，与主体信息相关的历史样本数据，以账号为例，可以是该账号上进行交易的历史样本数据、该账号的浏览操作信息等等。

步骤103、根据预设的事件属性，从历史样本数据中确定首个第一事件，第一事件为符合事件属性的事件，并根据首个第一事件的发生时间确定后累范围，后累范围是从首个第一事件的发生时间开始向后累计的时间范围。

预设的事件属性是预先定义的与事件主体(账户)的账户安全相关的事件类型，例如：登录事件、注册事件、改密码事件、绑卡事件、解绑事件、支付事件、转账事件等等，这些有可能涉及到账户的安全的事件。在具体实施时，可以将这些有可能涉及到账户的安全的事件类型形成事件属性的名单，根据该事件属性名单从历史样本数据中筛选出符合预设的事件属性的各个事件，从而确定首个第一事件。

具体的过程中，在获取了历史样本数据之后，根据预设的事件属性，例如事件属性为转账，为此，在历史样本数据中确定首个转账事件，并根据首个转账事件的发生时间确定后累范围，具体的包括：

以第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为后累范围。

具体的，例如首个第一事件发生的时间为2015年5月15日，确定预设时间窗口为1个月，由此可以得到后累范围为2015年5月15日到2015年6月15日。

而在得到向后累计的时间范围之后，还包括：

判断在得到的向后累计的时间范围内，是否包含待识别事件，若是，则将得到的向后累计的时间范围确定为后累范围，否则，将以首个第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为后累范围。特定时间窗口是考虑到有些事件主体的首个第一事件发生的时间距离待识别事件的时间较长，因此，设定一个较长的评估时间，例如，5个月等，可以根据实际使用场景进行调整。

具体的，以上述例子来进行说明，当确定后累范围为2015年5月15日到2015年6月15日时，判断该后累范围内是否包括待评估事件，例如结算事件，若包括，则确定2015年5月15日到2015年6月15日为后累范围，若不包括，则选取预设时间窗口为时间长度的时间范围，例如选取长度为2个月的时间窗口，并以此确定后累范围。

现有技术中均采用向前累计的方式，又称为VELOCITY，是指基于当前事件的某一介质(主体)在当前待识别事件之前某一时间窗口内，累计与之一度关联(即同时出现)的另一要素(客体，该客体指各种事件)的出现次数(COUNT)、个数(DISTINCT COUNT)、和(SUM)、均值(AVERAGE)、最大值(MAX)、最小值(MIN)等。

本申请中采用的后累范围是向后累计，是指基于当前待识别事件的某一介质(主体)在该介质(主体)首次出现之后的一段时间内，计算与该介质(主体)一度关联(即同时出现)的另一要素(客体，该客体指各种事件)的属性。

本申请中可以充分考虑到各个主体(卡、账号等)的使用成熟度，对于新卡、旧卡来说，均是计算相同时间范围内的历史事件的频次信息，较为公平，能够解决当前VELOCITY(向前累计)的“不公平性”，因而评估的准确度高。

步骤104、从历史样本数据中，在后累范围内，确定其他符合事件属性的第一事件，计算发生第一事件的事件频率、事件间隔或事件分布信息。

其中，具体的，事件频率为第一事件在后累范围内(如每日)发生的次数；事件间隔为相邻的第一事件之间的时间间隔的平均值和或标准差等；事件分布为在单位时间切片中第一事件的事件个数的平均值和或标准差等，

在一个具体的实施例中，关于事件频率，具体可以是利用账户1在进行交易1时的支付事件在取样时间内发生的具体时间，例如在2015年03月01日，在2015年03月06日又发送了一次，则记录对应的频率值，具体可以为2，其中一个对应时间：2015.03.01，另一个对应时间：2015.03.06。

至于事件间隔，则是相邻的利用账户1在进行交易1时的支付事件之间的时间间隔，例如支付事件发生了三次，第一次发生是2015年03月01日，第二次发生是2015年03月02日，第三次发生是2015年03月04日，相邻的支付事件发生的时间间隔即为1天和2天，后续在对获取到的时间间隔的数据进行其他的处理，例如求平均值，标准差等，来作为时间间隔的数据。

事件分布，是利用账户1在进行交易1时的支付事件在时间切片(例如每2天作为一个时间切片)，例如在2015年03月01日发生了1次支付事件，2015年03月02日没有发生，2015年03月03日发生了3次，2015年03月04日发生了2次，2015年03月05日没有发生，2015年03月06日发生了2次，从而得到3时间切片的数据，分别为1(1+0)、5(3+2)、2(2+0)，后续对该数据进行求平均值，标准差等的处理，得到处理数据，来作为在预设时间切片发生的次数之和的处理数据。

步骤105、基于第一事件的事件频率、事件间隔或事件分布信息，计算待识别事件的风险预测值。

由步骤104得到的第一事件的事件频率、事件间隔或事件分布信息，可以确定待识别事件的风险预测值。

而具体的，预测过程中，可以以第一事件的事件频率、事件间隔或事件分布信息为三个输入变量，采用机器模型，计算风险预测值。

具体的过程中，得到了3个输入变量的评估值，分别为输入变量1的评估值1(例如为35)，输入变量2的评估值2(例如为11)，输入变量3的评估值3(例如为24)，后续基于风险程度确定各个输入变量的权重，例如输入变量1的权重值为0.2，输入变量2的权重值为0.3，输入变量3的权重值为0.1，后续就可以利用上述数据确定待评估客体事件的风险评估值，例如风险评估值可以是12.7＝35×0.2+11×0.3+24×0.1，当然除此以外，还可以是其他的方式，例如风险评估值还可以是316.8＝35²×0.2+11²×0.3+24²×0.1，具体的可以基于需要进行设置。

步骤106、根据风险预测值，对待识别事件进行风险识别。

根据风险预测值，对待识别事件进行风险识别，具体包括：

判断风险预测值是否大于预设阈值，如果是，则将待识别事件识别为存在风险，否则，识别为无风险。

具体的，除此以外，还可以设置多个预设阈值，若风险评估值大于前一个预设阈值，且小于后一个预设阈值，则确实待评估客体事件存在风险，且风险的级别与前一个预设阈值对应。

具体的，例如风险评估值大于阈值2，且小于阈值1，则确定待评估客体事件存在风险，且可以确定风险的级别为阈值2对应的风险级别。

本申请中，增加交易频率、交易间隔、交易分布等新维度，能够提升坏人绕过当前VELOCITY规则的难度。例如，当前VELOCITY规则部署为卡过去3天交易不能超过4笔、5天不能超过7笔、7天不能超过10笔。当坏人试出该逻辑后，可以通过3天交易3笔、之后两天交易3笔、再之后两天交易3笔的方式成功绕过规则。但通过新增维度，能够很容易的识别坏人的行为规律，即每两天交易3笔，以此弥补当前VELOCITY规则的不足。

其中，在具体的应用场景中，本申请还做了参照实验，基于相同的样本，方式一，是仅仅使用现有的VELOCITY累计维度来计算和获取风险评估值，方式二，则是使用VELOCITY累计维度和频率维度，间隔维度，分布维度结合一起来计算和获取风险评估值，其对应的效果图如图2所示，具体的，横坐标为分数从低到高的坏样本累计比例，纵坐标为分数从低到高的好样本累计比例。曲线越靠近左上角，表示模型对好坏样本的区分度越好；通过比较图2中的ROC曲线可看出，方式二优于方式一，也由此验证了频率维度、间隔维度、分布维度在风险评估中的重要作用。

另外，还可以在事件频率、事件间隔或事件分布信息的基础上，加入现有velocity类变量，采用与现有技术结合的方式，来共同进行风险预测值的确定，其中，VELOCITY累计维度中可以包含有出现次数、个数、和、均值、最大值、最小值等，而不管是次数，还是个数，和，均值等都包含有几个要素：主体，客体，事件属性，以及时间切片，例如过去30天(对应时间切片)卡(对应主体)累计邮箱数(对应客体以及事件属性)、还例如过去5天IP累计支付金额之和、过去1小时设备累计修改密码数、过去1小时设备累计登陆账户数等，如此例如当面临需要在某终端设备(例如终端设备1)上进行交易时，需要绑定银行卡来进行支付，设置取样时间为从2015年03月01日(待评估客体事件第一次发生的时间)到2015年03月06日，在这个取样时间内绑定的银行卡数为3个。

本申请提供的风险识别方法，通过事件频率，事件间隔和事件分布信息来对待评估事件的风险进行评估，考虑了待评估事件的主体的使用成熟度，提高了获取到的风险评估值的准确度，也提高了后续进行风险评估的准确性。

为了对本申请进行进一步的说明，本申请还提出了一种风险识别设备，如图3所示，包括：

第一获取模块301，用于获取待识别事件信息，所述待识别事件信息包括所述待识别事件的主体信息；

第二获取模块302，用于根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；

第一确定模块303，用于根据预设的事件属性，从所述历史样本数据中确定首个第一事件，所述第一事件为符合所述事件属性的事件，并根据首个所述第一事件的发生时间确定后累范围，所述后累范围是从首个所述第一事件的发生时间开始向后累计的时间范围；

第二确定模块304，用于从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；

计算模块305，用于基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；

风险识别模块306，用于根据所述风险预测值，对所述待识别事件进行风险识别。

具体的，所述主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

具体的，所述第一确定模块303根据首个所述第一事件的发生时间确定后累范围，包括：

以所述第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为所述后累范围。

该设备，还包括：

判断模块，用于判断在得到的向后累计的时间范围内，是否包含所述待评估事件，若是，则将得到的向后累计的时间范围确定为所述后累范围，否则，将以所述第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为所述后累范围。

具体的，所述风险识别模块306，具体用于：

判断所述风险预测值是否大于预设阈值，如果是，则将所述待识别事件识别为存在风险，否则，识别为无风险。

具体地，所述风险识别设备还根据指令执行上述实施例所述的风险识别方法，具体在此不再赘述。

与现有技术相比，本申请中通过事件频率，事件间隔和事件分布信息来对待评估事件的风险进行评估，考虑了待评估事件的主体的使用成熟度，避免了现有技术中的方式被规避的缺陷，同时能很好的识别待评估事件的风险，提高了获取到的风险评估值的准确度，也提高了后续进行风险评估的准确性。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本申请可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施场景所述的方法。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本申请所必须的。

本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本申请序号仅仅为了描述，不代表实施场景的优劣。

以上公开的仅为本申请的几个具体实施场景，但是，本申请并非局限于此，任何本领域的技术人员能思之的变化都应落入本申请的保护范围。

Claims (10)

1.一种风险识别方法，其特征在于，所述方法包括：

获取待识别事件信息，所述待识别事件信息包括所述待识别事件的主体信息；

根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；

根据预设的事件属性，从所述历史样本数据中确定首个第一事件，所述第一事件为符合所述事件属性的事件，并根据首个所述第一事件的发生时间确定后累范围，所述后累范围是从首个所述第一事件的发生时间开始向后累计的时间范围；

从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；

基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；

根据所述风险预测值，对所述待识别事件进行风险识别。

2.如权利要求1所述的方法，其特征在于，所述主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

3.如权利要求1所述的方法，其特征在于，根据首个所述第一事件的发生时间确定后累范围，包括：

以所述第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为所述后累范围。

4.如权利要求3所述的方法，其特征在于，在所述得到向后累计的时间范围之后，还包括：

判断在得到的向后累计的时间范围内，是否包含所述待评估事件，若是，则将得到的向后累计的时间范围确定为所述后累范围，否则，将以所述第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为所述后累范围。

5.如权利要求1所述的方法，其特征在于，根据所述风险预测值，对所述待识别事件进行风险识别，具体包括：

判断所述风险预测值是否大于预设阈值，如果是，则将所述待识别事件识别为存在风险，否则，识别为无风险。

6.一种风险识别设备，其特征在于，包括：

第一获取模块，用于获取待识别事件信息，所述待识别事件信息包括所述待识别事件的主体信息；

第二获取模块，用于根据所述待识别事件信息，获取与所述待识别事件的主体信息相关的历史样本数据；

第一确定模块，用于根据预设的事件属性，从所述历史样本数据中确定首个第一事件，所述第一事件为符合所述事件属性的事件，并根据首个所述第一事件的发生时间确定后累范围，所述后累范围是从首个所述第一事件的发生时间开始向后累计的时间范围；

第二确定模块，用于从所述历史样本数据中，在所述后累范围内，确定其他符合所述事件属性的第一事件，计算发生所述第一事件的事件频率、事件间隔或事件分布信息；

计算模块，用于基于所述第一事件的事件频率、事件间隔或事件分布信息，计算所述待识别事件的风险预测值；

风险识别模块，用于根据所述风险预测值，对所述待识别事件进行风险识别。

7.如权利要求6所述的设备，其特征在于，所述主体信息包括以下所列中的一种或任意结合：发起所述待识别事件的账户的卡号、账号、设备信息。

8.如权利要求6所述的设备，其特征在于，所述第一确定模块根据首个所述第一事件的发生时间确定后累范围，包括：

以所述第一事件的发生时间为起点，预设时间窗口为时间长度，得到向后累计的时间范围，将得到的向后累计的时间范围确定为所述后累范围。

9.如权利要求8所述的方法，其特征在于，还包括：

判断模块，用于判断在得到的向后累计的时间范围内，是否包含所述待评估事件，若是，则将得到的向后累计的时间范围确定为所述后累范围，否则，将以所述第一事件的发生时间为起点，预设特定时间窗口为时间长度的时间范围，确定为所述后累范围。

10.如权利要求6所述的设备，其特征在于，所述风险识别模块，具体用于：

判断所述风险预测值是否大于预设阈值，如果是，则将所述待识别事件识别为存在风险，否则，识别为无风险。