CN109754258A

CN109754258A - 一种基于个体行为建模的面向线上交易欺诈检测方法

Info

Publication number: CN109754258A
Application number: CN201811579237.4A
Authority: CN
Inventors: 王成; 朱航宇
Original assignee: Tongji University
Current assignee: Tongji University
Priority date: 2018-12-24
Filing date: 2018-12-24
Publication date: 2019-05-14
Anticipated expiration: 2038-12-24
Also published as: CN109754258B

Abstract

本发明为一种基于个体行为建模的面向线上交易欺诈检测方法，涉及互联网金融网络交易的反欺诈检测。该方法分为两个部分：第一个部分，利用关系图谱生成异质信息网络和利用异质网络表征学习得到能够挖掘交易属性之间联系的向量表示；第二个部分，在学习到节点的向量表示情况下，建立个体行为模型和预测交易异常可能性的过程。本发明克服传统欺诈检测方法的不足，增加其对数据潜在联系的挖掘能力，对检测欺诈交易、拦截欺诈交易和保护用户和企业的资金安全有更好的保障。

Description

一种基于个体行为建模的面向线上交易欺诈检测方法

技术领域

本发明涉及互联网金融网络交易的反欺诈检测。

背景技术

随着移动互联网的兴起，各种传统的业务逐渐转至线上，互联网金融，电子商务迅速发展，网络在线交易的产生将带来大量的电子交易数据，同时伴随着在线支付欺诈交易数量的大量增加。攻击者通过窃取用户账户，盗取个人隐私信息，甚至恶意攻击服务器等方式来完成欺诈。为保障用户和公司业务安全，需要建立切实有效的网络交易欺诈检测系统。

目前传统的网络交易欺诈检测系统通常针对交易属性进行特征变换，使用这些特征变换的欺诈检测系统往往忽略了不同交易属性之间很多潜在的联系，不能够有效地解决的互联网在线交易场景下的要反欺诈任务。互联网欺诈行为方式充满了多样性与进化性，加之欺诈等恶意行为日益趋向产业化、团伙化，显然传统的方法不具备有效检测新颖的欺诈手段和团伙识别的能力，存在一定的被动性，人工识别欺诈团伙需要大量的运营成本和时间，所以亟需一个可以能够从更高维度挖掘各种交易数据潜在联系的网络交易欺诈检测方法来解决这些问题。通过建立网络交易场景下的关系图谱可实现欺诈的全局化全方位分析，于是如何利用关系图谱以区分其于正常的交易行为是需要研究的问题。同时，交易数据之间往往存在错综复杂的潜在关系，高效的捕捉到内在的潜在联系并保持原有的结构关系，才能实现在更准确的检测欺诈交易的发生，这个问题对模型的准确性和鲁棒性都提出了挑战。此外，传统的误用检测机制只是通过已知的欺诈行为试图推导出一套用于表征欺诈交易的规则，其主要缺点是无法检测出新颖的欺诈行为。在实际情况中，欺诈者的伎俩不断进化，这将使规则的适应性变得越来越糟。

发明内容

传统方法无法检测出新颖的欺诈行为。本发明目的在于克服现有技术不足，设计个体行为模型试图基于其历史行为数据对个人的行为模式进行分析，并监控这种模式从而找出任何偏差，因此本发明采用个体建模的方法必然具有更强的鲁棒性。

为此，本发明公开一种面向线上交易欺诈实时检测方法，研究基于关联图谱表征学习的个体建模的网络交易欺诈检测方法。本方案借助关联图谱表征学习得到交易属性的潜在联系，并实现了对个体级别的行为建模，新到来的交易对比个体模型从而检测出欺诈交易，提高拦截欺诈交易的准确性和模型的鲁棒性。

技术方案为：

一种基于个体行为建模的面向线上交易欺诈检测方法，其特征在于，分为两个部分：

第一个部分，利用关系图谱生成异质信息网络和利用异质网络表征学习得到能够挖掘交易属性之间联系的向量表示；

第二个部分，在学习到节点的向量表示情况下，建立个体行为模型和预测交易异常可能性的过程。

所述第一部分，关系图谱生成异质信息网络与异质网络表征学习，其过程如下：

输入：

用户网络支付交易的原始数据字段，

调节权重的超参数α、β，

网络表征学习方法参数。

输出：

原始交易数据对应的节点ε与向量γ的映射关系γ＝F(ε)。

步骤1.5根据用户当笔交易原始数据字段筛选有用字段，进行数据预处理，执行步骤1.2。

步骤1.6将用户的一笔B2C交易的各个交易字段建立为关系图谱，执行步骤 1.3。

步骤1.7基于关系图谱，在一条B2C交易中，不同的字段可形成共现关系。在C2C交易中的共现关系直接体现在关系图谱中。将上述共现关系视为边，交易中的字段视为节点，形成一个由交易记录构成的异质信息网络。在所构建的异质信息网络中，不同类型的边对应特定的权重值，一条多次出现边的权重由该边的出现次数和对应的权重值之积表示。根据公式(1)来进行权重变换，缩小权重之间的巨大差异。执行步骤1.4。x表示一条边所对应的权重值，S(x)表示经变换后的权重值。调节权重的超参数α、β的根据需调节的权重比值设定，α影响权重的缩放程度，β影响权重值小时的权重的缩放程度。

步骤1.8基于步骤1.3中所构建的异质信息网络，采用异质网络表征学习方法得到网络中节点的向量表示。采用现有的异质网络表征学习方法 HIN2Vec来学习网络中节点的向量表示。将步骤1.3中的异质信息网络作为HIN2Vec算法的输入，可以得到网络中节点ε与其对应的向量表示γ，进而得到映射关系γ＝F(ε)。

所述第二部分.基于节点的向量表示，建立个体行为模型和预测交易异常可能性，其过程如下：

输入：

节点ε与对应向量γ的映射关系γ＝F(ε)，

超参数W、N₀，

待检测交易数据的集合T，

待建模主体的属性A。

输出：

交易数据的异常值得分score。

步骤2.5一条含有N个可用原始字段的交易t(t∈T，T为待检测交易数据的集合)在异质信息网络中可对应N个相应的节点。基于上述N个节点和映射关系γ＝F(ε)，得到个两两节点之间向量的欧式距离{d₁，…，d_K}。面对向量X＝(x₁，····，x_dim)、Y＝(y₁，····， y_dim)，其欧式距离的计算如公式(2)所示。

一条原始的交易记录用欧氏距离集合{d₁，…，d_K}表示，定义一条交易记录的凝聚度cohesion为公式(3)。超参数W＝{w₀，…，w_K}通过对训练数据进行回归分析得到。执行步骤2.2。

步骤2.6基于待建模主体的属性A，建立属性A中所有取值的个体行为模型。

采用交易卡号作为建模主体，以交易卡号为主体描述建模过程。针对一个特定的交易卡号，其个体行为模型是一个能够描述该卡号所有可能出现的交易记录及其对应概率的离散分布，该分布的大小为除交易卡号外所有其他交易属性可取值数目的积。对商户编号和发卡地编号所对应的节点表示采用密度峰值聚类算法(Density peaksclustering)，同一个簇中的节点均用簇心节点表示，即在向量空间中相似的同一类型节点被视为一个节点。针对某一交易卡号c，其所有可能出现的交易记录集合为T_c，t为T_c中的一种情况，cohesion_t是t所对应的凝聚度，得到情况t在分布中对应的概率p_t如公式(4)，是归一化函数。对T_c中每一种情况计算其概率，得到交易卡号c为主体的个体行为模型P_c。执行步骤2.3。

步骤2.7针对交易卡号c为主体的个体行为模型P_c，计算其对应的信息熵H_c。

信息熵H_c的计算如公式(5)所示。H_c表示模型P_c的可信程度，H_c值越大，交易卡号c对应的个体模型行为越不稳定，P_c越不准确。执行步骤2.4。

步骤2.8对待检测的交易数据集T中的每一条t，计算其异常值得分score_t，如公式(6)。超参数N₀为偏置项，负责调整个体行为模型中当前交易记录t之外的其他记录对得分的影响程度，N₀越大，其他记录对得分的影响程度越低。异常记录的得分情况处于相近的值，给定阈值空间，将得分位于阈值空间内的记录视为异常记录，可实现对交易记录的欺诈检测功能。

本发明在于克服传统欺诈检测方法的不足，增加其对数据潜在联系的挖掘能力，对检测欺诈交易、拦截欺诈交易和保护用户和企业的资金安全有更好的保障。

附图说明

图1：网络交易场景的关系图谱示例图。

图2：本发明的面向线上交易欺诈实时检测的个体行为建模方法系统结构图。

图3：基于B2C与C2C交易数据构建用于网络表征学习的网络结构示意图。

具体实施方式

得益于当前互联网金融产生的丰富交易信息数据，我们可以分析并以此作为基础，设计反欺诈检测系统，保护用户和企业的安全。

在互联网金融中，业务数据是由一系列属性刻画的，不同的属性间往往存在共现关系(如：交易时间‘12点’和交易金额‘100元’共同出现在一笔交易单号为‘A111’的数据中，我们认为属性‘12点’和属性‘100元’分别与交易单号‘A111’存在共现关系)。欺诈交易通常以产业化和团伙化的方式出现，通过关联图谱(如图1所示)可以全方面的刻画不同交易记录中属性之间的共现关系。基于上述共现关系可以得到交易记录的异质信息网络表现形式(如图1所示)。网络的节点表示交易记录中的属性，边则表示不同属性之间的关联程度。

同时利用异质网络表征方法针对异质信息网络学习到其每一个节点向量表示，这些向量可以有效地挖掘到不同节点间的潜在关联并保留原网络的结构特性。基于交易属性中节点的向量表示，我们计算每种可能出现的交易异常的可能性，进而针对单一个体得到其行为分布模型，通过对个体行为与模型的差异性对比，进而实现欺诈检测功能。该发明解决传统欺诈检测系统对团伙化产业化的乏力，为互联网金融信息化时代网络交易安全问题的解决提供了新的思路和解决方法。

实施例

一种面向线上交易欺诈实时检测的个体行为建模方法系统结构图，如图2所示。整个方案分为两个部分：

输入：

用户网络支付交易的原始数据字段，

调节权重的超参数α、β，

网络表征学习方法参数。

输出：

原始交易数据对应的节点ε与向量γ的映射关系γ＝F(ε)。

步骤1.9根据用户当笔交易原始数据字段筛选有用字段(如表1所示)，进行数据预处理：将连续的值离散化，如交易时间、交易金额等字段进行离散化表示。执行步骤1.2。

步骤1.10将用户的一笔B2C交易(指定交易单号)的各个交易字段建立为如图1所示的关系图谱。若两笔交易记录中存在相同字段，如两笔交易在同一时间发生且拥有相同交易类型，则在关系图谱中表示为 ‘交易单号—交易时间—交易单号’、‘交易单号—交易类型—交易单号’的关系。用户之间的C2C交易可表示为‘交易卡号—交易卡号’ 的关系。基于表1所示字段，形成的关系图谱如图1所示。执行步骤 1.3。

步骤1.11基于图1中的关系图谱，我们可以发现在一条B2C交易中，不同的字段可形成‘交易字段1—交易单号交易字段2’的共现关系，如在一条带有8个字段的B2C交易记录中可找到28种共现关系。在 C2C交易中，‘交易卡号—交易卡号’的共现关系直接体现在关系图谱中。将上述共现关系视为边，交易中的字段视为节点，形成一个由交易记录构成的异质信息网络。在所构建的异质信息网络中，不同类型的边对应特定的权重值(正常交易中出现的共现关系记为1倍，异常交易中的共现关系记为-1倍)，一条多次出现边的权重由该边的出现次数和对应的权重值之积表示(若一条边的权重为负值或零值，则删除该边)。由于不同的类型的边出现的频次存在较大差异，如两条不同的边权重之比为几万，这种巨大差异不利于挖掘节点之间潜在的关系。我们根据公式(1)来进行权重变换，缩小权重之间的巨大差异。执行步骤1.4。x表示一条边所对应的权重值，S(x)表示经变换后的权重值。调节权重的超参数α、β的根据需调节的权重比值设定，α 影响权重的缩放程度，β影响权重值小时的权重的缩放程度，如α可设为1，β可设为5。

步骤1.12基于步骤1.3中所构建的异质信息网络，我们采用异质网络表征学习方法得到网络中节点的向量表示。本步骤采用现有的异质网络表征学习方法HIN2Vec来学习网络中节点的向量表示。方法HIN2Vec 学习向量表示的主要参数如表2所示，参数的设定与网络的结构有关，可参考文献[1]。Walk-length和Walk-num影响随机游走产生的训练数据集大小，Window影响游走序列中节点同前后节点的关系，Negative 和Alpha影响HIN2Vec算法中神经网络部分的训练效果。将步骤1.3 中的异质信息网络作为HIN2Vec算法的输入，可以得到网络中节点ε 与其对应的向量表示γ，进而我们得到映射关系γ＝F(ε)。

表1可利用原始字段

表2HIN2Vec主要参数

参数名	参数描述
		Walk-length	每一次随机游走的长度
Walk-num	从每个节点出发随机游走的次数
		Negative	负采样的个数
Dim	节点向量表示的维度
		Alpha	初始学习率
Window	最大窗口值

输入：

节点ε与对应向量γ的映射关系γ＝F(ε)，

超参数W、N₀，

待检测交易数据的集合T，

待建模主体的属性A。

输出：

交易数据的异常值得分score。

步骤2.9一条含有N个可用原始字段的交易t(t∈T，T为待检测交易数据的集合)在异质信息网络中可对应N个相应的节点。基于上述N个节点和映射关系γ＝F(ε)，我们可以得到个两两节点之间向量的欧式距离{d₁，…，d_K}。面对向量X＝(x₁，····，x_dim)、 Y＝(y₁，····，y_dim)，其欧式距离的计算如公式(2)所示。

一条原始的交易记录因此可用欧氏距离集合{d₁，…，d_K}表示，我们定义一条交易记录的凝聚度cohesion为公式(3)。超参数W＝{w₀，· ··，w_K}可以通过对训练数据进行回归分析得到。执行步骤2.2。

步骤2.10基于待建模主体的属性A，建立属性A中所有取值的个体行为模型。本方法中采用交易卡号作为建模主体，以交易卡号为主体描述建模过程。针对一个特定的交易卡号，其个体行为模型是一个能够描述该卡号所有可能出现的交易记录及其对应概率的离散分布，该分布的大小为除交易卡号外所有其他交易属性可取值数目的积。受限于计算能力，当分布过于庞大时，计算的开销将会无法承受，对此我们针对部分可取值数目巨大的交易属性进行聚类处理，本方法中对商户编号和发卡地编号所对应的节点表示采用密度峰值聚类算法(Density peaks clustering)，同一个簇中的节点均用簇心节点表示，即在向量空间中相似的同一类型节点被视为一个节点。针对某一交易卡号c，其所有可能出现的交易记录集合为T_c，t为T_c中的一种情况，cohesion_t是 t所对应的凝聚度，可以得到情况t在分布中对应的概率p_t如公式(4)，是归一化函数。对T_c中每一种情况计算其概率，可以得到交易卡号c为主体的个体行为模型P_c。执行步骤2.3。

步骤2.11针对交易卡号c为主体的个体行为模型P_c，计算其对应的信息熵 H_c。信息熵H_c的计算如公式(5)所示。H_c表示模型P_c的可信程度， H_c值越大，交易卡号c对应的个体模型行为越不稳定，P_c越不准确。执行步骤2.4。

步骤2.12对待检测的交易数据集T中的每一条t，计算其异常值得分score_t，如公式(6)。超参数N₀为偏置项，负责调整个体行为模型中当前交易记录t之外的其他记录对得分的影响程度，N₀越大，其他记录对得分的影响程度越低。异常记录的得分情况处于相近的值，给定阈值空间，将得分位于阈值空间内的记录视为异常记录，可实现对交易记录的欺诈检测功能。

本发明通过在真实互联网金融银行交易数据集上进行检测证明，得出在打扰率(误拦截率)小于1％，0.5％，0.1％和0.05％时的召回率(拦截率)，并由此来评价系统的性能，该方法在此指标上和计算时间上都优于先前的研究，并且有着较好的鲁棒性。

本项目的创新点

1.通过建立线上交易的关系图谱，刻画交易属性之间的共现关系，同时基于上述共现关系构建异质信息网络并进行表征学习，以挖掘更深层的潜在联系，优化了模型的准确性和鲁棒性；

2.利用网络表征学习得到的向量，针对个体水平进行行为建模，有效的刻画了一个个体的行为模式，对比一条交易与正常行为模式的偏离程度，以区分正常交易和异常交易。

批注：本发明中的有关术语以及对于先前的主要技术可参见如下资料。

[1]Fu T,Lee W C,Lei Z.Hin2vec:Explore meta-paths in heterogeneousinformation networks for representation learning[C]//Proceedings of the2017ACM on Conference on Information and Knowledge Management.ACM,2017:1797-1806.

[2]Dong Y,Chawla N V,Swami A.metapath2vec:Scalable representationlearning for heterogeneous networks[C]//Proceedings of the 23rd ACM SIGKDDInternational Conference on Knowledge Discovery and Data Mining.ACM,2017:135-144.

[3]Huang Z,Mamoulis N.Heterogeneous information network embedding formeta path based proximity[J].arXiv preprint arXiv:1701.05291,2017.

[4]Shang J,Qu M,Liu J,et al.Meta-path guided embedding for similaritysearch in large-scale heterogeneous information networks[J].arXiv preprintarXiv:1610.09769,2016.

[5]Choi K,Kim G,Suh Y.Classification model for detecting and managingcredit loan fraud based on individual-level utility concept[J].ACM SIGMISDatabase: the DATABASE for Advances in Information Systems,2013,44(3):49-67.

[6]Rodriguez A,Laio A.Clustering by fast search and find of densitypeaks[J]. Science,2014,344(6191):1492-1496.

[7]Perozzi B,Al-Rfou R,Skiena S.Deepwalk:Online learning of socialrepresentations[C]//Proceedings of the 20th ACM SIGKDD internationalconference on Knowledge discovery and data mining.ACM,2014:701-710.

Claims

1.一种基于个体行为建模的面向线上交易欺诈检测方法，其特征在于，分为两个部分：

2.如权利要求1所述方法，其特征在于，所述第一部分，关系图谱生成异质信息网络与异质网络表征学习，其过程如下：

输入：

用户网络支付交易的原始数据字段，

调节权重的超参数α、β，

网络表征学习方法参数；

输出：

原始交易数据对应的节点ε与向量γ的映射关系γ＝F(ε)；

步骤1.1根据用户当笔交易原始数据字段筛选有用字段，进行数据预处理，执行步骤1.2；

步骤1.2将用户的一笔B2C交易的各个交易字段建立为关系图谱，执行步骤1.3；

步骤1.3基于关系图谱，在一条B2C交易中，不同的字段可形成共现关系；在C2C交易中的共现关系直接体现在关系图谱中；将上述共现关系视为边，交易中的字段视为节点，形成一个由交易记录构成的异质信息网络；在所构建的异质信息网络中，不同类型的边对应特定的权重值，一条多次出现边的权重由该边的出现次数和对应的权重值之积表示；根据公式(1)来进行权重变换，缩小权重之间的巨大差异；执行步骤1.4；x表示一条边所对应的权重值，S(x)表示经变换后的权重值；调节权重的超参数α、β的根据需调节的权重比值设定，α影响权重的缩放程度，β影响权重值小时的权重的缩放程度；

步骤1.4基于步骤1.3中所构建的异质信息网络，采用异质网络表征学习方法得到网络中节点的向量表示；采用现有的异质网络表征学习方法HIN2Vec来学习网络中节点的向量表示；将步骤1.3中的异质信息网络作为HIN2Vec算法的输入，可以得到网络中节点ε与其对应的向量表示γ，进而得到映射关系γ＝F(ε)。

3.如权利要求1所述方法，其特征在于，所述第二部分.基于节点的向量表示，建立个体行为模型和预测交易异常可能性，其过程如下：

输入：

节点ε与对应向量γ的映射关系γ＝F(ε)，

超参数W、N₀，

待检测交易数据的集合T，

待建模主体的属性A；

输出：

交易数据的异常值得分score；

步骤2.1一条含有N个可用原始字段的交易t(t∈T，T为待检测交易数据的集合)在异质信息网络中可对应N个相应的节点；基于上述N个节点和映射关系γ＝F(ε)，得到个两两节点之间向量的欧式距离{d₁，···，d_K}；面对向量X＝(x₁，····，x_dim)、Y＝(y₁，····，y_dim)，其欧式距离的计算如公式(2)所示；

一条原始的交易记录用欧氏距离集合{d₁，···，d_K}表示，定义一条交易记录的凝聚度cohesion为公式(3)；超参数W＝{w₀，···，w_K}通过对训练数据进行回归分析得到；执行步骤2.2；

步骤2.2基于待建模主体的属性A，建立属性A中所有取值的个体行为模型；采用交易卡号作为建模主体，以交易卡号为主体描述建模过程；针对一个特定的交易卡号，其个体行为模型是一个能够描述该卡号所有可能出现的交易记录及其对应概率的离散分布，该分布的大小为除交易卡号外所有其他交易属性可取值数目的积；对商户编号和发卡地编号所对应的节点表示采用密度峰值聚类算法(Density peaks clustering)，同一个簇中的节点均用簇心节点表示，即在向量空间中相似的同一类型节点被视为一个节点；针对某一交易卡号c，其所有可能出现的交易记录集合为T_c，t为T_c中的一种情况，cohesion_t是t所对应的凝聚度，得到情况t在分布中对应的概率p_t如公式(4)，是归一化函数；对T_c中每一种情况计算其概率，得到交易卡号c为主体的个体行为模型P_c；执行步骤2.3；

步骤2.3针对交易卡号c为主体的个体行为模型P_c，计算其对应的信息熵H_c；信息熵H_c的计算如公式(5)所示；H_c表示模型P_c的可信程度，H_c值越大，交易卡号c对应的个体模型行为越不稳定，P_c越不准确；执行步骤2.4；

步骤2.4对待检测的交易数据集T中的每一条t，计算其异常值得分score_t，如公式(6)；超参数N₀为偏置项，负责调整个体行为模型中当前交易记录t之外的其他记录对得分的影响程度，N₀越大，其他记录对得分的影响程度越低；异常记录的得分情况处于相近的值，给定阈值空间，将得分位于阈值空间内的记录视为异常记录，可实现对交易记录的欺诈检测功能；