CN107222865A - 基于可疑行为识别的通讯诈骗实时检测方法和系统 - Google Patents

Abstract

本发明公布了一种基于可疑行为识别的通讯诈骗实时检测方法和系统，包括离线模型训练阶段与实时诈骗检测阶段；建立动作特征识别模型和动作特征风险预测模型，通过分析陌生来电的通话语音和短信内容，检测其异常的、可疑的行为来进行诈骗预测。来电语音通过语音转文字的方式将来电主叫方的通话内容转变成文字信息，与短信内容同时使用自然语言处理方法提取出动作行为特征，并判断对话中出现的动作行为特征中是否有包含隐私信息询问和恶意命令等在内的可疑行为的可能性。利用本发明所实现的实时通讯诈骗检测技术方案，能够实现快速准确的防通讯诈骗检测，降低用户被欺诈的可能性。

Description

基于可疑行为识别的通讯诈骗实时检测方法和系统

技术领域

本发明涉及通讯诈骗检测领域，尤其涉及一种针对移动电话端的基于机器学习分析可疑行为的通讯诈骗实时检测方法和系统。

背景技术

近几年来，得益于电信领域的高速发展，移动通讯已经成为了人们生活和工作中不可缺少的一部分。据工信部统计，截止到2016年7月份，中国移动电话的总用户数达到13.04亿户，其中包含4G用户数6.46亿户。然而，伴随着移动通讯带来的不仅是便利，也同样带来了诸多问题。

移动通讯技术在给我们工作生活带来便利的同时，也给不法分子的行骗打开了方便之门，这其中就以通讯诈骗最为普遍。通讯诈骗指不法分子通过电话、短信等移动通讯方式，设计骗局，通过编造的虚假内容骗取受骗人的信任后，向受骗人索取个人隐私信息或诱导受骗人执行特定的指令，最终给受骗人带来相应的损失。通讯诈骗直接威胁到了民众的信息与财产的安全，给我们的生活造成了极大的安全隐患。大部分通讯诈骗的案例当中，当行骗人诈骗成功后，相关机构很难从诈骗案件中留下的线索去追回损失，因为诈骗人通常通过一些无记名、冒名或公共电话行骗，并且留下的信息也是经过层层设计，很难从中追查到具体的线索。

面对猖狂的通讯诈骗，目前的防诈骗手段主要集中于提高民众自身警惕性和提升防诈骗打击力度两方面。其中，提高民众自身警惕性的主要方法是公安机构及相关电信机构，定期整理通讯诈骗的案件，分析其行骗流程后将其特征整理为教育资料，再通过电视、讲座、宣传册以及APP等形式去提醒、教育民众，以此提高民众的防诈骗意识，使得民众在收到类似诈骗电话时能够保持足够的警惕性，减少不必要的损失。而在提升打击力度方面，主要是电信机构配合公安机关，加强监测机制，利用立法、建立黑名单等手段，减少通讯诈骗案件的发生。

然而，面对通讯诈骗手段的层出不穷和手法的不断更新，上述现有方案都不能及时有效的跟上行骗者的步伐。提高民众自身的警惕性依赖于相关机构对诈骗案例信息的分析整理，以及宣传教育流程，一般而言，案例资料的整理是在诈骗案件发生后才能进行，加上宣传教育也要花费较长的时间，这无疑带给骗子一个空窗期，只要不断改变行骗流程，就可以较为完美的绕开这种防诈骗方式。同时，民众自身的文化修养层次不齐，难以保证每一个人都能有一个较高的警惕性。而在提升打击力度方面，现有的方法依赖于政府机构和商业公司的配合，且需要投入大量的人力物力，如果要通过该方法快速且有效的打击通讯诈骗，需要消耗大量的社会资源，而如果在此投入过多的资源，则会严重影响整个电信行业的正常发展。因此，目前尚缺乏防通讯诈骗的技术解决方案，能够快速有效且不需要消耗较多社会资源，实现对日益猖狂的通讯诈骗进行有力打击。

发明内容

为了克服上述现有技术的不足，本发明提供了一种基于可疑行为识别的通讯诈骗实时检测方法和系统，通过分析陌生来电的通话语音和短信内容，检测其异常的、可疑的行为来进行诈骗预测。其中，来电语音通过语音转文字技术将来电主叫方的通话内容转变成文字信息，与短信内容同时使用自然语言处理技术提取动作行为特征，并判断对话中出现的动作行为特征中是否有包含隐私信息询问和恶意命令等在内的可疑行为的可能性，若存在一定数量的可疑行为则会实时提醒用户。本发明所实现的实时诈骗通话识别方法，可减少防范意识较差的用户被欺诈的可能性。

本发明提供的技术方案是：

一种基于可疑行为识别的通讯诈骗实时检测方法，包括离线模型训练阶段与实时诈骗检测阶段；

离线模型训练阶段包含动作特征识别训练、动作特征风险预测训练两部分。在动作特征识别训练训练中，接收经过时间分段标注的用户语音、短信以及其参照结果，其中语音内容需要经过预处理，使用语音转文本工具进行转换，得到一个语音转文字的信息，本方法将文本化的语音和短信，合并作为动作特征识别训练的数据集。在训练时首先对输入的文本信息采用HMM、CRF等机器学习算法针对文本进行分词、词性标注、语法树分析以及实体识别的训练并得到动作行为三元组，该元组包含动作的主体、动作的类型和实体信息三部分内容，用于表示双方交流中出现的某一个动作行为的特征，识别出来的三元组使用输入的参照结果来衡量准确度，最后得到一个可以用于识别文本中的动作特征识别模型。在动作特征风险预测的训练方面，需要接收已经标注好风险值的动作特征三元组，以及可疑行为规则，使用线性回归等机器学习方法进行训练，得到动作特征风险预测模型。动作特征识别模型和动作特征风险预测模型在离线训练好后，会集成在客户端中实时使用。

实时通讯诈骗检测阶段通过监听来电主叫方的通话语音和短信内容，并使用集成在客户端中的已训练好的离线模型来进行诈骗检测。客户端首先将语音内容转换为文本，并连同短信内容一起转化为时间序列的文本数据，使用离线训练好的动作特征识别模型对这些文字内容进行分词、词性标注、语法树分析的工作，并且输出动作行为三元组，该序列中的所有文本都会进行如上的元组识别过程，随后客户端会使用离线计算好模型中的动作特征风险预测部分，计算当前行为的危险程度分值，每一个动作的危险程度分值按时间顺序计算，根据场景模式的不同的，当分数达到一定的程度后，将会触发相应的提醒事件。

针对上述基于可疑行为识别的防通讯诈骗方法，进一步地，所述离线模型第一阶段的训练，动作特征识别训练的具体执行如下步骤：

11)接受通话录音数据、短信及其两者对应的标注内容信息，通过标注内容里的时间信息，将通话录音进行分段，每段包含讲话人完整的一句话，使用语音转文本的工具将语音内容转变为文本信息，称为录音文本；随后结合时间信息，将语音转换后的文本和短信放到一起，构成一个按照时间先后排序的时间序列数组，称为通讯序列数据，并且关联该通讯序列数据在标注信息中的动作实体信息(人工标注的正确动作实体信息，用于模型训练)，生成数据集。

12)将得到的数据集按照一定比例分为训练集和测试集，并利用机器学习的方法训练得到实体识别的模型，随后使用测试集输入到该模型中得到预测结果集，通过计算准确度、召回率以及F值的方式来评估识别效果。在实体识别模型的训练过程中，需要使用步骤11)已标注好的参考实体信息，根据通讯时间训练信息，利用实体识别模型学习如何从中提取动作实体信息。

13)多次重复步骤12)，再选出F值最高的模型作为最终的实体识别模型。

在上述的动作特征识别训练阶段，进一步地，步骤12)所述的实体识别模型的内容包含：文本分词、词性标注、语法树构建、实体搜索步骤。文本内容首先进行分词，将文本内容转化成词的序列后进行词性标注，使得每个词都获得一个对应的词性，随后根据分词结果和词性标注结果，生成语法树，在语法树上进行搜索存在的实体信息。

针对上述基于可疑行为识别的防通讯诈骗方法，进一步地，所述离线模型第二阶段的训练，动作特征风险预测训练的具体执行步骤如下：

21)根据历史案例和资料整理得到通讯诈骗中的关键特征规则，特征规则是由一系列的动作行为构成，其中每个动作行为都使用一个三元组来描述，该三元组包含动作的主体、动作的类型和实体信息。这些通讯诈骗中整理出来的关键规则特征，都需要通过具有相关领域知识的人员(专家)确定一个隔离阈值m，并且每一条规则手工指定一个危险分数，该分数需要大于m且小于等于1，表示其该规则可能出现在通讯诈骗中的可能性；

22)在整理通讯诈骗的关键特征规则以外，需要同时加入不存在通讯诈骗行为的正常规则，表达的方式和上述21)的方式一样，无诈骗行为的征程规则仍然是由一系列的动作构成，每个动作使用一个三元组表示，同时这里的危险分数被设定为0；

23)将上述21)和22)的两部分数据随机排序并构成一个规则识别数据集，将混合后的规则识别数据集再次随机划分为训练数据集和测试数据集，利用训练数据集和机器学习的回归方法训练得到动作特征风险预测模型。然后将测试数据集输入该预测模型得到预测结果集，通过计算R²和均方误差来评估模型的预测效果。

24)多次重复步骤23)，并选出R²最高且均方误差最小的模型，作为最终的动作特征风险预测模型。

在上述的规则识别模型的训练阶段，进一步地，步骤21)和步骤22)所述的规则危险分数适用于表现该规则有诈骗风险的可信度，分数取值为0到1，0代表完全无风险，1代表风险最大，一般来说，为了保证有诈骗风险和无诈骗风险两类规则的清楚区分，需要设立一个隔离阈值m，即存在诈骗风险的规则至少都会比没有诈骗风险的规则在评分上高m。

所述23)中的R²计算方法如式1：

其中，y_i表示危险分数的真实值，表示危险分数的预测值，表示危险分数真实值的平均值。R²的范围为0到1，值越接近1表示模型预测效果越好。

均方误差通过式2计算得到：

其中，n表示测试数据集中数据个数，常数2用于简化后续求导运算，y_i表示诈骗概率真实值，表示诈骗概率预测值，MeanSquaredError表示均方误差。均方的值越接近0表示模型预测效果越好。

针对上述基于可疑行为识别的防通讯诈骗方法，进一步地，所述实时通讯诈骗检测的具体执行步骤如下：

31)用户下载客户端软件，并且在移动电话端上完成相应的安装、配置以及授权。

32)当用户收到陌生来电时，客户端软件将会监听来自主叫方的通话语音，以及短信信息。其中针对语音内容，客户端软件将会通过语音转文字技术将语音转变为对应的文字信息，随后将这两部分的文字信息进行相应的文字信息修正以及预处理，随后按照时间发生先后实时的输出。

33)当客户端获得当前实时输出的文本信息后，利用已经离线训练好的动作特征识别模型，在文字信息上抽取主叫方通话行为动作实体，抽取结果是三元组<动作主体，动作类型，实体信息>，该三元组表示主叫方和被叫方通话中出现的某一个具体动作以及动作的主体和对象。

34)客户端把所有动作行为的特征三元组按照时间先后放入一个时序数组，称为通讯序列数据，并且按顺序利用离线训练好的动作特征风险预测器进行检索和预测，判别该动作其是否属于某种可疑行为。

35)当客户端软件从时序行为数组中每识别出一个可疑行为后，将会同时获得一个危险性打分，并累加到当前可疑行为总分当中，根据用户设定的场景模式，当总分达到某设定的相应阈值时，会触发相应等级的提醒事件。

36)云端服务器会定期的根据最新加入的数据，而对动作特征识别模型和动作特征风险预测器进行相应的更新，为了保证识别效果，客户端将会定时同云端数据库进行通讯，当云端离线模型发生变动后，客户端将会从云端下载最新的模型文件替换本机客户端的离线模型，保证实际使用的体验。

一般地，训练可以使用诸如AdaBoost、线性回归、人工神经网络ANN等机器学习回归方法，以及如Word2Vec、LDA等在内的一些词嵌入方法来将词汇转化成数值的方法来训练该预测模型，此后，使用测试集输入到训练出的模型中得到预测结果，并且使用R²和均方误差两个指标来计算预测结果的好坏，评估模型的性能。

本发明还提供一种通讯诈骗实时检测系统，是基于可疑行为识别的防通讯诈骗系统，包括：离线模型训练模块和实时防诈骗检测模块；其中：

离线模型训练模块包括动作特征识别训练器和风险预测训练器，动作特征识别训练器对通话训练数据和可疑规则数据进行预处理后，通过自然语言对文本内容进行分词、词性标注及语法树构建；随后从语法树中提取文本中包含动作的三元组信息作为特征后，结合训练数据已标注的特征共同进行训练并得到动作特征识别模型；然后使用风险预测训练器进行训练，选取R²最高且平均误差最小的模型作为最终训练得到的风险预测模型。

实时防诈骗检测模块集成在客户端软件中，利用离线模型训练模块训练得到的动作特征识别模型和风险预测模型，通过监听用户来电通话内容和短信内容，实时预测用户通话诈骗的风险程度，并按照不同的场景规则，实时提醒用户；包括语音转文本模块、对话内容处理模块和实时诈骗识别模型；语音转文本模块用于来自通话中的语音内容经过语音转文本，得到相应的通话文字内容；对话内容处理模块用于接收语音转文字模块所识别得到的通话文字内容，并且监听用户的短信内容并将短信的内容按照时间插入到整个对话时间线当中，并设定所得到的对话的ID(如设定M作为ID的标识符)；实时诈骗识别模型使用离线模块训练好的动作特征识别模型和风险预测模型，实时接收由对话内容处理模块按照时间顺序输出的对话条目信息，实时地进行诈骗风险的预测：首先调用动作特征识别模型提取每一个对话条目的动作特征三元组；随后使用风险预测模型实时计算该句对话的诈骗风险值；将每一个条目的风险值累加计算，得到在当前的最新时刻的分值，用于衡量总体风险值。

与现有技术相比，本发明的有益效果是：

本发明提供一种移动电话的基于可疑行为识别的防通讯诈骗的方法与系统，利用历史通讯诈骗案例中学习诈骗识别特征规则，并且将此规则集成到客户端软件中，用户可以通过在移动电话上安装客户端软件的方式获得通讯防诈骗保护。客户端通过实时监听陌生来电主叫方的语音和短信，其中语音部分通过语音转文本工具转化为文字信息后，使用动作特征识别模型获得通讯内容对应的动作序列，其中每一个动作采用三元组的形式进行描述，通过这个动作序列和内置的动作特征风险预测器，实时评估通话及短信中每个动作特征存在诈骗行为的程度，如果当前的风险系数超过一定阈值，将会以合适的方式提醒用户。本发明可以实现快速准确的防通讯诈骗检测，提供给民众一个通讯保障，减少民众个人隐私流失的可能性，并保证了民众的自有资金安全。

附图说明

图1是本发明提供的基于可疑行为识别的防通讯诈骗方法的流程框图。

图2是本发明实施例提供的基于可疑行为识别的防通讯诈骗系统的结构框图。

图3是本发明实施例根据文本语料进行分词及语法分析过程的示意图。

具体实施方式

下面结合附图，通过实施例进一步描述本发明，但不以任何方式限制本发明的范围。

本发明提供一种基于可疑行为识别的防通讯诈骗方法，通过识别通话语音以及短信内容，并使用自然语言处理技术提取主叫方语音当中的动作行为特征，每个行为特征以一个三元组的形式表达，通话中的所有行为特征都会一一进行可疑行为识别并且计算相应的风险预测分值，通过该分值实现通讯诈骗行为的检测和提醒。

图1是基于可疑行为识别的防通讯诈骗方法的流程框图；图2是基于可疑行为识别的通讯防诈骗系统的结构框图。

实施例提供的基于可疑行为识别的防通讯诈骗系统以通话训练数据、可疑行为规则、来电监听语音以及短信内容作为数据输入，包括离线训练的动作特征识别模块、风险预测模块，以及实时的防诈骗检测模块。整个系统的流程如下：

系统流程分为离线模型训练与实时防诈骗检测阶段：离线模型训练阶段主要是利用通话及短信训练数据训练动作特征识别模型，然后再结合可疑行为识别规则训练风险预测模型；实时防诈骗检测模块利用上述的离线模型，根据来电主叫方的语音内容进行通讯诈骗检测。

离线模型训练阶段首先根据已经标注好的通话及短信内容进行动作特征识别模型的训练。在该阶段，接收基于文本格式的对话信息，识别对话中出现的动作特征信息，提取特征后训练识别模型。在训练完成识别模型之后，再结合可疑行为规则数据，共同训练一个利用动作特征和可疑行为规则实现的诈骗风险预测模型。动作特征识别模型和诈骗风险预测模型，将会集成到客户端软件中供用户在通话中进行实时的诈骗检测。

实时的防通讯诈骗模块将会集成在手机客户端当中，当安装了客户端的手机收到陌生来电时，客户端软件将会监听对方的语音内容，通过语音转文字技术将语音内容转化为文字，并读取相关号码的来往短信内容，然后利用已经集成在客户端中的动作特征识别模型提取动作特征，随后把提取出来的动作特征输入到风险预测模型，为每一个动作特征计算一个风险预测值，并且按照一定规则累加到总体风险值当中，而当总体风险值超过一定阈值后，将会触发提醒事件，提醒注意用户鉴别是否为诈骗电话。

具体地，系统的执行流程如图1所示，包括如下步骤：

首先，离线模型分为基于通话训练数据的动作特征提取识别模型，以及再加入可疑规则数据的风险预测模型。首先需要根据通话训练数据对动作特征提取识别模型进行训练，训练完成后将该部分模型的输出，以及可疑行为规则的数据，同时作为风险预测模型的输入进行风险预测模型的训练。当这两部分的模型都训练完成后，将会将其集成到客户端软件中，以提供客户端软件实时使用。

当用户接听了未知来电的时候，客户端软件将会自动监听主叫方的通话内容以及短信内容，其中，通话语音将实时转化为文字信息，语音和短信对应的文字信息则会调用集成在客户端软件中已训练好的离线模型进行识别。首先，这些文字信息需要进行预处理，随后调用动作识别模型，从文本内容中提取出所有的动作行为特征，随后将这些动作行为特征传递给风险预测模块，计算每一个动作行为特征的风险值。所有动作特征的风险值，都会按照场景模式的不同，累加到总的风险值中，当风险值达到场景模式中设置的某些阈值时，将会触发对应的提醒事项。

本实施例提供的基于可疑行为识别的防通讯诈骗系统中，各个模块的操作通过与其他相关模块进行信息交互来完成，下面分别对不同的模块进行具体说明。

S1)离线模型训练模块

离线训练模块的主要功能是接收通话训练数据以及可疑规则数据，对数据进行预处理后，通过自然语言对文本内容进行分词、词性标注以及语法树构建，通过动作特征识别器，使用语法树的方式从中提取文本中包含动作的三元组信息作为特征，然后再使用风险预测训练器进行训练，并且选取R²最高且平均误差最小的模型作为最终的离线模型。具体来说，该部分包含动作特征识别训练器和风险预测训练器两个子模块：

S11)动作特征识别器

动作特征识别器主要接受基于文本格式的已标注通话训练数据。其中语音部分对应的数据维度如表1所示。

表1通话训练数据格式举例

如表1所示，语音部分对应的数据维度包括通话ID、通话类型、开始时间、结束时间、通话内容以及动作特征。其中，通话ID标识某一特定的通话，所有该通话内的数据都使用一个共同的ID，通话内容是在该条数据的开始时间至结束时间之间，通话方在通话中说话的内容；动作特征是一个三元组，用于描述一个特定的动作的主体是谁、动作是什么的以及行动的对象是谁，三元组具体的内容和结构如表2所示。

表2动作三元组结构

接收到通话训练数据，首先将文本形式的通话和短信内容进行分词，并且进行词性标注和词与词之间的语法树分析(或称为句子结构分析)。其中，分词是指将文本内容从句子的形式，转变为一个个独立的词语；词性标注的工作是已为分好的词语，标注特定的、符合其含义的词性；语法树分析的工作则是找到这句话的主语、宾语、谓语等语法结构，形成一个语法树，图3是通话文本内容经过文本处理后的示意图。随后，通过相应的算法从通话内容对应的文本树当中抽取动作特征三元组，然后根据实际的动作特征三元组计算误差值，并且整个流程通过不断的训练参数，最终选择一个误差最小的模型作为最后模型。

S12)风险预测训练器

风险预测器的主要功能是，接收包含动作特征识别出动作特征三元组的通话训练数据集和可疑行为规则并合并形成一个数据集，利用该数据集进行风险预测模型训练。其中，特征规则的构成和上述的动作特征形式近似，都为一个三元组，且三元组的构造都是动作主体、动作内容和相关实体。特征规则三元组和动作特征三元组的区别在于动作特征三元组里面的内容是一些相对具体的词，而特征规则的三元组里面的内容是泛化的、包含一系列具体的词的集合。具体的特征规则构造结合和实例如表3所示。

表3特征规则三元组结构

训练的过程，需要首先将上述通话训练数据集和特征规则合并成一个数据集，合并后的数据集按照一定比例，划分为训练集和测试集，一般来说，训练集的数据量要大于测试数据集的数据量，训练集用于训练预测模型，测试集用于检验模型的预测效果和调节参数。一般来说，训练可以使用诸如AdaBoost、线性回归、人工神经网络ANN等机器学习回归方法，以及如Word2Vec、LDA等在内的一些词嵌入方法来将词汇转化成数值的方法来训练该预测模型，此后，使用测试集输入到训练好的模型中得到预测结果，并且使用R²和均方误差两个指标来计算预测结果的好坏，评估模型的性能。

在本实施例当中，采用Word2Vec将文本内容转换成数值特征，并用线性回归方程的方法作为实例，说明风险预测模型的训练过程。Word2Vec是一种利用深度学习的思想，通过模型的训练，将文本内容简化为K维向量空间中的向量，使得我们可以基于文本做包含聚类、同义词等工作。

此处以采用线性回归算法为例，说明诈骗风险预测模型的训练步骤。

上述步骤8中，预测器根据当前的参数w和b估算预测值的公式为式3：

其中x_j为当前训练迭代时采样的训练数据集Di中第j条训练数据，w和b为线性回归模型里面的两个参数，w的维度和数据集里x_j的特征维度一致，b为一个单值；为当前根据参数w和b，针对输入的样例x_j所估计的风险预测值。

上述步骤10中，计算预测值和真实值的误差的公式为式4：

其中ε_i表示风险预测期在当前训练迭代时的误差，误差为步骤8中计算出来x_j的预测值，而y_j为x_j的真实值。

上述步骤11中，确定当且步骤更新参数时所使用的学习率的计算公式是式5：

lr_i＝max(minlr,lr₀*decay_rate^i-1) (式5)

lr_i其中代表当前的学习率，max()代表选择二者最高的函数，minlr为指定的一个最小学习率，而lr₀代表初始学习率，decay_rate代表学习率的衰减程度。

上述步骤12中，根据当前学习率和误差对参数w进行更新的公式是式6：

其中lr_i为当前的学习率，ε_i为当前的平均误差，代表根据和求导得出的梯度并根据该梯度更新参数w。

上述步骤13中，根据但钱学习率和误差对参数b进行更新的公式是式7：

其中lr_i为当前的学习率，ε_i为当前的平均误差，代表根据和求导得出的梯度并根据该梯度更新参数b。

S2)实时防诈骗模块

实时防诈骗模块是集成在客户端软件当中的，实时防诈骗模块利用离线训练模块训练好的模型，并通过监听用户来电通话内容和短信内容，实时的预测用户通话诈骗的风险程度，并按照不同的场景规则，实时的提醒用户。

S21)语音转文本模块

实时防诈骗模块的输入来自用户的通话或者短信，其中短信直接是以文本形式表述，不需要做额外的处理，但是来自通话中的语音内容并不能直接使用，必须要经过语音转文本的工作。

语音转文本模块的语音输入来自于客户端监听的语音对话内容，并且调用相应的算法和模型输出识别的结果。输出的结果，按照句子为单位，并且在构造ID时使用D作为标识符，分别输出这句话的开始时间、结束时间、文本内容、说话人等信息，具体的形式和示例如表4所示。

表4语音转文本输出示例

S22)对话内容处理模块

为了提高识别的准确性，本发明提出的行为检测模块在检测语音的同时，也会同时读取短信内容，用以加强诈骗行为检测的准确性。对话内容处理模块接收语音转文字模块所识别出来文字内容，并且监听用户的短信内容并将短信的内容按照时间插入到整个对话时间线当中，并且以M作为ID的标识符。例如，针对上述表4语音转文本的通话识别结果，再经过对话内容处理模块后，将会加入短信结果，并入表5所示。

表5对话内容处理后结果实例

S23)实时诈骗识别模型

实时诈骗识别模型是使用离线模块训练好的动作特征识别模型以及风险预测模型，并实时接收由对话内容处理模块按照时间顺序输出的对话条目信息，实时的进行诈骗风险的预测。实施诈骗识别模型，首先调用动作特征识别模型提取每一个对话条目的动作特征三元组，随后使用风险预测模型实时的计算该句对话的诈骗风险值。实时诈骗模型将会将每一个条目的风险值，按照一定方法累加计算，使得在当前的最新时刻都有一个可以衡量总体风险值的分值。实时防诈骗模型的识别示意可如表6所示：

表6实时防诈骗工作格式举例

其中上表6中的对话内容部分同表5对应ID，总风险预测值的计算方式如式8：

total_score_t＝α*total_score_t-1+β*current_score (式8)

其中total_score_t表示在时刻时候的累加分数值，由上一时刻的分数total_score_t-1和当前时刻动作特征产生的分数current_score的加权求和而成，α和β分别为上一时刻分值total_score_t-1和当前新增特征对应分值current_score的系数。在表6中，α和β的系数分别为0.667和0.9。

下面结合实施例说明本发明的具体实施步骤：

在离线模型训练阶段，收集100条诈骗及100条正常的通讯对话内容(其中每个内容包含若干语音和短信)，并将其作为训练数据集。首先使用文本预处理模块对这些数据进行预处理，然后将数据输入到动作特征提取器进行训练并且得到每个通讯记录的动作特征集合，并将这些动作特征数据输入到风险预测训练器，并进行训练。结合线性回归的方法，设定迭代次数为2000，并使用如上的算法1进行训练，最后选择误差最小时的参数作为最终参数，并得到模型，供客户端使用。

在实时预测阶段，客户端(安卓)需要申请用户手机的短信读取权限以及电话声音录音权限，在用户接收到未接来电时，将会通过这两个权限获取对话语音和短信，然后利用离线模型训练得到的模型进行预测。

为验证本方法的有效性，通过真人场景模拟的方式，模拟诈骗和非诈骗场景的对话与短信，并使用本文提出的方法进行预测，利用本文所提出的方法在诈骗场景的对话中均会发出相应的提示信息，说明本方法能够识别一定程度的通讯诈骗信息。

需要注意的是，公布实施例的目的在于帮助进一步理解本发明，但是本领域的技术人员可以理解：在不脱离本发明及所附权利要求的精神和范围内，各种替换和修改都是可能的。因此，本发明不应局限于实施例所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (10)

1.一种通讯诈骗实时检测方法，通过识别可疑行为进行诈骗检测，包括离线模型训练阶段与实时诈骗检测阶段；所述离线模型训练阶段包括动作特征识别训练过程和动作特征风险预测过程；

所述动作特征识别训练过程包括如下步骤：

11)获取通话录音数据、短信和对应的标注内容，所述标注内容包含时间信息和动作实体信息；将通话录音进行分段，得到多段录音；将多段录音的语音内容转换为文本信息，称为录音文本；根据所述时间信息，将所述录音文本和短信一起构成一个按照时间先后排序的时间序列数组，并且所述时间序列数组关联相应的动作实体信息，由此生成动作特征数据集；所述动作特征表示为三元组<动作主体，动作类型，实体信息>；

12)将得到的数据集分为训练集和测试集，利用机器学习的方法对训练集进行训练，得到实体识别模型，然后将测试集输入到上述得到的实体识别模型中，得到预测结果集；进一步可评估所述实体识别模型的识别效果；

13)多次重复步骤12)，再选出评估最优的模型，作为最终的实体识别模型；

动作特征风险预测过程包括如下步骤：

21)设置通讯诈骗中的关键特征规则，所述关键特征规则由一系列包含动作的主体、动作的类型和实体信息的动作行为构成；每个关键特征规则均相应设置一个危险分数，用于表示该关键特征规则出现在通讯诈骗中的可能性；所述关键特征规则的危险分数的取值为大于0小于等于1；

22)同时设置不存在通讯诈骗行为的正常规则，所述正常规则的表达方式与所述关键特征规则相同；所述正常规则的危险分数取值为0；

23)将步骤21)得到的关键特征规则和步骤22)得到的正常规则数据进行混合后随机排序，构成一个规则识别数据集，将所述规则识别数据集随机划分为训练数据集和测试数据集，利用训练数据集和机器学习的回归方法训练得到动作特征风险预测模型；然后将测试数据集输入所述动作特征风险预测模型，得到预测结果集；可进一步通过计算R²和均方误差来评估所述动作特征风险预测模型的预测效果；

24)多次重复步骤23)，并选出R²最高且均方误差最小的模型作为最终的动作特征风险预测模型。

(二)实时诈骗检测阶段

31)开发客户端软件，用户下载客户端软件，在移动电话端上完成客户端软件相应的安装、配置及授权；所述客户端软件将诈骗识别特征规则内置其中，形成规则库；

32)所述客户端软件通过实时监听陌生来电主叫方的语音和短信，将其中的语音部分转化为文字信息，将语音转化的文字信息和短信信息进行相应的文字信息修正以及预处理，得到按时间顺序实时输出的通讯内容；

33)当客户端获得当前实时输出的文本信息后，利用已经离线训练好的动作特征识别模型，在文字信息上抽取主叫方通话行为动作实体，表示主叫方和被叫方通话中出现的某一个具体动作以及动作的主体和对象；

34)将主叫方通话行为动作实体按照时间先后放入一个时序数组，称为通讯序列数据，并按顺序利用离线训练好的动作特征风险预测器进行检索和预测，识别该动作其是否属于某种可疑行为，并获得可疑行为的危险性打分，累加到当前可疑行为总分当中；设定风险系数阈值，由此检测通讯中存在的可疑诈骗行为。

2.如权利要求1所述通讯诈骗实时检测方法，其特征是，设置云端服务器，所述云端服务器实现离线模型的构建，并根据最新加入的数据定期对离线模型进行相应更新；所述客户端定时同云端服务器中的云端数据库进行通讯，当云端离线模型发生变动后，所述客户端从云端下载最新的离线模型，进行客户端离线模型更新。

3.如权利要求1所述通讯诈骗实时检测方法，其特征是，步骤12)所述实体识别模型包括：对文本内容进行分词；将文本内容转化成词的序列后进行词性标注；根据分词结果和词性标注结果，构建语法树；在语法树上搜索动作实体信息，识别得到动作实体。

4.如权利要求1所述通讯诈骗实时检测方法，其特征是，步骤12)具体通过计算准确度、召回率或F值，对所述实体识别模型进行评估。

5.如权利要求1所述通讯诈骗实时检测方法，其特征是，步骤21)设置隔离阈值m，意义表示有诈骗风险的规则至少都会比无诈骗风险的规则在评分上多m，用于区别有诈骗风险规则和无诈骗风险规则。

6.如权利要求1所述通讯诈骗实时检测方法，其特征是，步骤23)中通过式1计算得到R²：

其中，y_i表示危险分数的真实值，表示危险分数的预测值，表示危险分数真实值的平均值；R²的范围为0到1，值越接近1表示模型预测效果越好。

均方误差通过式2计算得到：

其中，n表示测试数据集中数据个数，常数2用于简化后续求导运算，y_i表示诈骗概率真实值，表示诈骗概率预测值，MeanSquaredError表示均方误差；均方的值越接近0表示模型预测效果越好。

7.如权利要求1所述通讯诈骗实时检测方法，其特征是，训练所述动作特征风险预测模型采用的机器学习方法包括AdaBoost、线性回归、人工神经网络ANN方法。

8.一种基于可疑行为识别的通讯诈骗实时检测系统，包括：离线模型训练模块和实时防诈骗检测模块；所述离线模型训练模块包括动作特征识别训练器和风险预测训练器；所述实时防诈骗检测模块包括语音转文本模块、对话内容处理模块和实时诈骗识别模型；其中：

所述动作特征识别训练器实现对通话训练数据和可疑规则数据进行预处理，标注动作特征；然后对文本内容进行分词、词性标注及语法树构建；再从语法树中提取文本中包含的动作信息作为动作特征，再结合训练数据标注的动作特征，进行训练并得到动作特征识别模型；

所述风险预测训练器用于将识别得到动作特征的通话训练数据集和可疑行为规则合并形成一个数据集，利用该数据集进行风险预测模型训练，得到训练好的风险预测模型；

所述实时防诈骗检测模块利用离线模型训练模块训练得到的动作特征识别模型和风险预测模型，通过监听用户来电通话内容和短信内容，实时预测用户通话诈骗的风险程度，并按照不同的场景规则，实时提醒用户；

所述语音转文本模块用于将通话中的语音内容经过语音转文本，得到相应的通话文字内容；所述对话内容处理模块用于接收所语音转文本模块所识别得到的通话文字内容，监听用户的短信内容并将短信的内容按照时间插入到整个对话时间线中，得到对话条目信息；

所述实时诈骗识别模型实时接收由对话内容处理模块按照时间顺序输出的对话条目信息，使用离线模块训练得到的动作特征识别模型和风险预测模型，实时计算对话的诈骗风险值，由此达到实时地预测诈骗风险的目的。

9.如权利要求8所述通讯诈骗实时检测系统，其特征是，所述实时防诈骗检测模块集成在客户端软件中。

10.如权利要求9所述通讯诈骗实时检测系统，其特征是，设置云端服务器用于实现离线模型训练模块，定期对离线模型进行更新；所述客户端定时同云端服务器中的云端数据库进行通讯，当云端离线模型发生变动后，所述客户端从云端下载最新的离线模型，进行客户端离线模型更新。