CN109767225A - 一种基于自学习滑动时间窗口的网络支付欺诈检测方法 - Google Patents

Abstract

本发明公开一种基于自学习滑动时间窗口的网络支付欺诈检测方法，目的为了寻找更为有效的网络支付欺诈检测的实现方案，其包括如下步骤：获取实时检测的某个用户新来的一笔交易记录，并基于交易记录和预置的滑动时间窗口提取不依赖于滑动时间窗口的特征和依赖于滑动时间窗口的特征；将不依赖于滑动时间窗口的特征和依赖于滑动时间窗口的特征输入到训练完毕的随机森林分类器模型中，得到并返回交易记录存在欺诈可能性的概率。本发明利用强化学习中的学习自动机对滑动时间窗口大小进行动态学习和调整，解决传统欺诈检测系统存在滞后性的弊病。

Description

一种基于自学习滑动时间窗口的网络支付欺诈检测方法

技术领域

本发明涉及互联网金融领域，具体而言，本发明涉及一种基于自学习滑动时间窗口的网络支付欺诈检测方法。

背景技术

随着移动互联网的兴起，各种传统的业务逐渐转至线上，互联网金融，电子商务迅速发展，网络在线支付的产生将带来大量的电子交易数据，同时伴随着在线支付欺诈交易数量的大量增加。攻击者通过窃取用户账户，盗取个人隐私信息，甚至恶意攻击服务器等方式来完成欺诈。为保障用户和公司业务安全，需要建立切实有效的网络支付欺诈检测系统。

目前传统的网络支付欺诈检测系统通常具有时效性，使用这些单一的欺诈检测系统不符合千变万化的互联网在线支付场景下的要求，互联网欺诈行为方式充满了多样性与进化性，用户的交易行为模式也存在概念漂移的现象，显然传统的方法不具备自适应于环境的自我更新机制，存在一定的滞后性，人工调整模型需要大量的运营和维护成本，所以亟需一个可以自动学习的、自适应于环境变化的网络支付欺诈检测方法来解决这些问题。

发明内容

为了寻找更为有效的网络支付欺诈检测的实现方案，通过分析欺诈交易的分布特征，发现其通常以成簇的方式出现在一段时间里，同时，这种成簇出现的方式随时间的变化也会发生形式的转变，捕捉到内在的变化原因并动态地调整原有的模型，就能够实现在不同时间段实时准确的检测欺诈交易的发生，为此，本发明提供了一种基于自学习滑动时间窗口的网络支付欺诈检测方法。

为实现上述目的，本发明一种基于自学习滑动时间窗口的网络支付欺诈检测方法，其包括如下步骤：

获取实时检测的某个用户新来的一笔交易记录，并基于所述交易记录和预置的滑动时间窗口提取不依赖于所述滑动时间窗口的特征和依赖于所述滑动时间窗口的特征，其中，

所述不依赖于滑动时间窗口的特征包括交易的验签方式、当前交易是否使用该用户的常用IP地址、交易金额是否超过金额限额、交易金额是否超过交易前账户余额、两笔相邻交易的时间间隔、两笔相邻交易的交易金额差；

所述依赖于滑动时间窗口的特征包括滑动时间窗口内用户的交易次数、滑动时间窗口内所有交易金额的平均值、滑动时间窗口内所有交易金额的方差值、滑动时间窗口内所有交易金额的累积值、滑动时间窗口内相邻交易金额差的均值、滑动时间窗口内相邻交易金额差的方差值、滑动时间窗口内相邻交易时间间隔的均值、滑动时间窗口内相邻交易时间间隔的方差值；

将所述不依赖于滑动时间窗口的特征和所述依赖于滑动时间窗口的特征输入到训练完毕的随机森林分类器模型中，得到并返回所述交易记录存在欺诈可能性的概率。

优选地，所述获取实时检测的某个用户新来的一笔交易记录之前，包括如下步骤：

基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型。

优选地，其特征在于，所述基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型包括如下步骤：

步骤S1：从历史交易记录中选取特定时间段内的交易记录，并判断所述特定时间段之前的时间段是否生成滑动时间窗口值，若无，则根据以下公式(1)，

初始化滑动时间窗口大小的概率密度函数，其中N为滑动时间窗口大小候选集个数；

若有，则根据前一个时间段的滑动时间窗口值x_l和公式(2)，

初始化滑动时间窗口大小的概率密度函数，其中σ₂为滑动时间窗口大小的概率密度函数初始化的超参数，x_l为前一个时间段的滑动时间窗口值；

步骤S2：在t时刻按照概率从滑动时间窗口大小的概率密度函数f_t(x)中选择出一个滑动时间窗口值x_t；在滑动时间窗口值x_t下，为所述特定时间段内的交易记录分别提取出依赖于所述滑动时间窗口值x_t的特征，并结合不依赖于滑动时间窗口值x_t的特征和标签组成训练样本集合，所述标签指的是历史交易记录是否是欺诈交易的标记；

步骤S3：将所述训练样本集合输入随机森林分类器进行模型训练，得到随机森林分类器模型；提取所述特定时间段内预设时间段内的交易记录并根据公式(3)，

tpr_t＝0.4*(tpr_t|fpr_t＝0.05％)

+0.3*(tpr_t|fpr_t＝0.1％)

+0.2*(tpr_t|fpr_t＝0.5％)

+0.1*(tpr_t|fpr_t＝1.0％) (3)

得到t时刻的随机森林分类器模型性能评价指标，也即加权tpr值tpr_t，再将t时刻的加权tpr值tpr_t加入集合TPR中，去除集合TPR中对应t-m时刻的加权tpr值tpr_t-m值，使得集合TPR的大小保持为m，其中，公式(3)中的fpr_t代表t时刻的随机森林分类器模型的打扰率性能指标，m为集合TPR的大小；

步骤S4：根据t时刻的加权tpr值tpr_t、集合TPR、集合TPR的中值TPR_med和最大值TPR_max，利用公式(4)

判断所述滑动时间窗口值x_t下的随机森林分类器模型的加权tpr值是否高于随机森林分类器模型性能集合TPR中的中值TPR_med，以此计算出t时刻选择的滑动时间窗口值x_t下的奖励值β_t，并反馈给学习自动机；

步骤S5：学习自动机接收到奖励值β_t后，根据在t时刻滑动时间窗口大小的概率密度函数，按照公式(5)

更新得到t+1时刻的滑动时间窗口大小的概率密度函数f_t+1(x)；在t+1时刻的滑动时间窗口大小的概率密度函数中，当某个滑动时间窗口值所对应的概率值低于预置阈值th时，则将所述概率值设为0，并对整个滑动时间窗口大小的概率密度函数作归一化处理，使得所有滑动时间窗口大小值对应的概率之和为1；其中，λ和σ₁为高斯邻居函数的超参数，α为归一化参数，其值为所有滑动时间窗口值的概率密度之和的倒数；

步骤S6：重复步骤S2-S5，经过iter次迭代后停止迭代，输出对应概率值最高的滑动时间窗口值作为预置的滑动时间窗口，同时得到训练完毕的随机森林分类器模型，其中，iter为学习自动机迭代次数。

优选地，其特征在于，所述预置阈值th范围为0—1。

优选地，其特征在于，所述从历史交易记录中选取特定时间段内的交易记录为从历史交易记录中选取两个月的交易记录。

优选地，其特征在于，所述提取所述特定时间段内预设时间段内的交易记录位提取所述特定时间段内后十日的交易记录。

优选地，其特征在于，所述基于所述交易记录和预置的滑动时间窗口提取不依赖于所述滑动时间窗口的特征包括如下步骤：

基于所述交易记录的原始数据字段提取不依赖于滑动时间窗口的特征。

优选地，其特征在于，所述基于所述交易记录和预置的滑动时间窗口提取依赖于所述滑动时间窗口的特征包括如下步骤：

将所述交易记录的原始交易时间字段和交易金额字段加入到REDIS数据库中对应的交易列表的表头；

根据预置的滑动时间窗口，判断所述交易列表中是否有超出所述预置的滑动时间窗口的历史交易记录，若存在，则从所述交易列表的表尾删除冗余的历史交易记录；

对预置的滑动时间窗口内的所有交易记录进行统计计算，提取出依赖于滑动时间窗口的特征。

与现有技术相比，本发明一种基于自学习滑动时间窗口的网络支付欺诈检测方法具有如下有益效果：

本发明一种基于自学习滑动时间窗口的网络支付欺诈检测方法利用强化学习中的学习自动机对滑动时间窗口大小进行动态学习和调整，进而设计出一种基于自学习的滑动时间窗口的网络支付欺诈检测方法，解决传统欺诈检测系统存在滞后性的弊病，为互联网金融信息化时代网络支付安全问题的解决提供了新的思路和解决方法，在一定程度上提高了为检测欺诈交易、拦截欺诈交易和保护用户和企业的资金安全领域的技术保障。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例一种基于自学习滑动时间窗口的网络支付欺诈检测方法的流程示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

请参阅图1，本发明一种基于自学习滑动时间窗口的网络支付欺诈检测方法，其包括如下步骤：

步骤S101：获取实时检测的某个用户新来的一笔交易记录，并基于所述交易记录和预置的滑动时间窗口提取不依赖于所述滑动时间窗口的特征和依赖于所述滑动时间窗口的特征，其中，

所述不依赖于滑动时间窗口的特征包括交易的验签方式、当前交易是否使用该用户的常用IP地址、交易金额是否超过金额限额、交易金额是否超过交易前账户余额、两笔相邻交易的时间间隔、两笔相邻交易的交易金额差；

所述依赖于滑动时间窗口的特征包括滑动时间窗口内用户的交易次数、滑动时间窗口内所有交易金额的平均值、滑动时间窗口内所有交易金额的方差值、滑动时间窗口内所有交易金额的累积值、滑动时间窗口内相邻交易金额差的均值、滑动时间窗口内相邻交易金额差的方差值、滑动时间窗口内相邻交易时间间隔的均值、滑动时间窗口内相邻交易时间间隔的方差值；

步骤S103：将所述不依赖于滑动时间窗口的特征和所述依赖于滑动时间窗口的特征输入到训练完毕的随机森林分类器模型中，得到并返回所述交易记录存在欺诈可能性的概率。

在一些实施方式中，在获取实时检测的某个用户新来的一笔交易记录之前，包括如下步骤：

基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型。

其中，基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型包括如下步骤：

步骤S1：从历史交易记录中选取特定时间段内的交易记录，并判断所述特定时间段之前的时间段是否生成滑动时间窗口值，若无，则根据以下公式(1)，

初始化滑动时间窗口大小的概率密度函数，其中N为滑动时间窗口大小候选集个数；

若有，则根据前一个时间段的滑动时间窗口值x_l和公式(2)，

初始化滑动时间窗口大小的概率密度函数，其中σ₂为滑动时间窗口大小的概率密度函数初始化的超参数，x_l为前一个时间段的滑动时间窗口值；

步骤S2：在t时刻按照概率从滑动时间窗口大小的概率密度函数f_t(x)中选择出一个滑动时间窗口值x_t；在滑动时间窗口值x_t下，为所述特定时间段内的交易记录分别提取出依赖于所述滑动时间窗口值x_t的特征，并结合不依赖于滑动时间窗口值x_t的特征和标签组成训练样本集合，所述标签指的是历史交易记录是否是欺诈交易的标记；

步骤S3：将所述训练样本集合输入随机森林分类器进行模型训练，得到随机森林分类器模型；提取所述特定时间段内预设时间段内的交易记录并根据公式(3)，

tpr_t＝0.4*(tpr_t|fpr_t＝0.05％)

+0.3*(tpr_t|fpr_t＝0.1％)

+0.2*(tpr_t|fpr_t＝0.5％)

+0.1*(tpr_t|fpr_t＝1.0％) (3)

得到t时刻的随机森林分类器模型性能评价指标，也即加权tpr值tpr_t，再将t时刻的加权tpr值tpr_t加入集合TPR中，去除集合TPR中对应t-m时刻的加权tpr值tpr_t-m值，使得集合TPR的大小保持为m，其中，公式(3)中的fpr_t代表t时刻的随机森林分类器模型的打扰率性能指标，m为集合TPR的大小；

步骤S4：根据t时刻的加权tpr值tpr_t、集合TPR、集合TPR的中值TPR_med和最大值TPR_max，利用公式(4)

判断所述滑动时间窗口值x_t下的随机森林分类器模型的加权tpr值是否高于随机森林分类器模型性能集合TPR中的中值TPR_med，以此计算出t时刻选择的滑动时间窗口值x_t下的奖励值β_t，并反馈给学习自动机；

步骤S5：学习自动机接收到奖励值β_t后，根据在t时刻滑动时间窗口大小的概率密度函数，按照公式(5)

更新得到t+1时刻的滑动时间窗口大小的概率密度函数f_t+1(x)；在t+1时刻的滑动时间窗口大小的概率密度函数中，当某个滑动时间窗口值所对应的概率值低于预置阈值th时，则将所述概率值设为0，并对整个滑动时间窗口大小的概率密度函数作归一化处理，使得所有滑动时间窗口大小值对应的概率之和为1；其中，λ和σ₁为高斯邻居函数的超参数，α为归一化参数，其值为所有滑动时间窗口值的概率密度之和的倒数；

步骤S6：重复步骤S2-S5，经过iter次迭代后停止迭代，输出对应概率值最高的滑动时间窗口值作为预置的滑动时间窗口，同时得到训练完毕的随机森林分类器模型，其中，iter为学习自动机迭代次数。

值得注意的是，TPR或者tpr为召回率(True Positive Rate，简称TPR或者tpr),表示返回的真正例占所有正例的比例。

优选地，预置阈值th范围为0—1。

在一些实施方式中，从历史交易记录中选取特定时间段内的交易记录为从历史交易记录中选取两个月的交易记录；提取特定时间段内预设时间段内的交易记录位提取特定时间段内后十日的交易记录。

在一些实施方式中，在步骤S6之后，为了适应环境的变化还包括如下步骤：

按照预设周期根据随机森林分类器模型的反馈判断是否需要重新选择滑动时间窗口，若是，则重新选择滑动时间窗口。

优选地，基于交易记录和预置的滑动时间窗口提取不依赖于滑动时间窗口的特征包括如下步骤：

基于交易记录的原始数据字段提取不依赖于滑动时间窗口的特征。

具体地，从用户当笔交易原始数据字段中筛选出可利用的原始字段，进行字段类型转换和空值去除填充数据预处理以及变换计算后提取出不依赖于滑动时间窗口的特征。

示例地，不依赖于滑动时间窗口的特征如下表1所示：

表1不依赖于滑动时间窗口的特征

在一些实施方式中，基于交易记录和预置的滑动时间窗口提取依赖于滑动时间窗口的特征包括如下步骤：

将交易记录的原始交易时间字段和交易金额字段加入到REDIS数据库中对应的交易列表的表头；

根据预置的滑动时间窗口，判断交易列表中是否有超出预置的滑动时间窗口的历史交易记录，若存在，则从交易列表的表尾删除冗余的历史交易记录；

对预置的滑动时间窗口内的所有交易记录进行统计计算，提取出依赖于滑动时间窗口的特征。

示例地，依赖于滑动时间窗口的特征如下表2所示：

表2依赖于滑动时间窗口的特征

特征	特征描述
		Times_Window	滑动时间窗口内用户的交易次数
Avg_amt_window	滑动时间窗口内所有交易金额的平均值
		Var_amt_windowt	滑动时间窗口内所有交易金额的方差值
Acc_amt_window	滑动时间窗口内所有交易金额的累积值
		Avg_amt_gap_window	滑动时间窗口内相邻交易金额差的均值
Avg_time_gap_window	滑动时间窗口内相邻交易时间间隔的均值
		Var_amt_gap_window	滑动时间窗口内相邻交易金额差的方差值
Var_time_gap_window	滑动时间窗口内相邻交易时间间隔的方差值

应当理解的是，在步骤S2为特定时间段内的交易记录分别提取出依赖于滑动时间窗口值x_t的特征和不依赖于滑动时间窗口值x_t的特征也是采用这种方式，本发明实施例在此不再赘述。

值得注意的是，本发明实施例中的REDIS数据库用于为每一个用户维护一个交易列表，保存在滑动时间窗口内的用户交易，并统计出与其相关的一些特征，结合其他的特征，利用随机森林分类器训练模型。

与现有技术相比，本发明实施例一种基于自学习滑动时间窗口的网络支付欺诈检测方法具有如下有益效果：

本发明实施例一种基于自学习滑动时间窗口的网络支付欺诈检测方法利用强化学习中的学习自动机对滑动时间窗口大小进行动态学习和调整，进而设计出一种基于自学习的滑动时间窗口的网络支付欺诈检测方法，解决传统欺诈检测系统存在滞后性的弊病，为互联网金融信息化时代网络支付安全问题的解决提供了新的思路和解决方法，在一定程度上提高了为检测欺诈交易、拦截欺诈交易和保护用户和企业的资金安全领域的技术保障。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1.一种基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述基于自学习滑动时间窗口的网络支付欺诈检测方法包括如下步骤：

获取实时检测的某个用户新来的一笔交易记录，并基于所述交易记录和预置的滑动时间窗口提取不依赖于所述滑动时间窗口的特征和依赖于所述滑动时间窗口的特征，其中，

所述不依赖于滑动时间窗口的特征包括交易的验签方式、当前交易是否使用该用户的常用IP地址、交易金额是否超过金额限额、交易金额是否超过交易前账户余额、两笔相邻交易的时间间隔、两笔相邻交易的交易金额差；

所述依赖于滑动时间窗口的特征包括滑动时间窗口内用户的交易次数、滑动时间窗口内所有交易金额的平均值、滑动时间窗口内所有交易金额的方差值、滑动时间窗口内所有交易金额的累积值、滑动时间窗口内相邻交易金额差的均值、滑动时间窗口内相邻交易金额差的方差值、滑动时间窗口内相邻交易时间间隔的均值、滑动时间窗口内相邻交易时间间隔的方差值；

将所述不依赖于滑动时间窗口的特征和所述依赖于滑动时间窗口的特征输入到训练完毕的随机森林分类器模型中，得到并返回所述交易记录存在欺诈可能性的概率。

2.如权利要求1所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述获取实时检测的某个用户新来的一笔交易记录之前，包括如下步骤：

基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型。

3.如权利要求2所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述基于历史交易记录得到预置的滑动时间窗口和训练完毕的随机森林分类器模型包括如下步骤：

步骤S1：从历史交易记录中选取特定时间段内的交易记录，并判断所述特定时间段之前的时间段是否生成滑动时间窗口值，若无，则根据以下公式(1)，

初始化滑动时间窗口大小的概率密度函数，其中N为滑动时间窗口大小候选集个数；

若有，则根据前一个时间段的滑动时间窗口值x_l和公式(2)，

初始化滑动时间窗口大小的概率密度函数，其中σ₂为滑动时间窗口大小的概率密度函数初始化的超参数，x_l为前一个时间段的滑动时间窗口值；

步骤S2：在t时刻按照概率从滑动时间窗口大小的概率密度函数f_t(x)中选择出一个滑动时间窗口值x_t；在滑动时间窗口值x_t下，为所述特定时间段内的交易记录分别提取出依赖于所述滑动时间窗口值x_t的特征，并结合不依赖于滑动时间窗口值x_t的特征和标签组成训练样本集合，所述标签指的是历史交易记录是否是欺诈交易的标记；

步骤S3：将所述训练样本集合输入随机森林分类器进行模型训练，得到随机森林分类器模型；提取所述特定时间段内预设时间段内的交易记录并根据公式(3)，

tpr_t＝0.4*(tpr_t|fpr_t＝0.05％)+0.3*(tpr_t|fpr_t＝0.1％)+0.2*(tpr_t|fpr_t＝0.5％)+0.1*(tpr_t|fpr_t＝1.0％)(3)

得到t时刻的随机森林分类器模型性能评价指标，也即加权tpr值tpr_t，再将t时刻的加权tpr值tpr_t加入集合TPR中，去除集合TPR中对应t-m时刻的加权tpr值tpr_t-m值，使得集合TPR的大小保持为m，其中，公式(3)中的fpr_t代表t时刻的随机森林分类器模型的打扰率性能指标，m为集合TPR的大小；

步骤S4：根据t时刻的加权tpr值tpr_t、集合TPR、集合TPR的中值TPR_med和最大值TPR_max，利用公式(4)

判断所述滑动时间窗口值x_t下的随机森林分类器模型的加权tpr值是否高于随机森林分类器模型性能集合TPR中的中值TPR_med，以此计算出t时刻选择的滑动时间窗口值x_t下的奖励值β_t，并反馈给学习自动机；

步骤S5：学习自动机接收到奖励值β_t后，根据在t时刻滑动时间窗口大小的概率密度函数，按照公式(5)

更新得到t+1时刻的滑动时间窗口大小的概率密度函数f_t+1(x)；在t+1时刻的滑动时间窗口大小的概率密度函数中，当某个滑动时间窗口值所对应的概率值低于预置阈值th时，则将所述概率值设为0，并对整个滑动时间窗口大小的概率密度函数作归一化处理，使得所有滑动时间窗口大小值对应的概率之和为1；其中，λ和σ₁为高斯邻居函数的超参数，α为归一化参数，其值为所有滑动时间窗口值的概率密度之和的倒数；

步骤S6：重复步骤S2-S5，经过iter次迭代后停止迭代，输出对应概率值最高的滑动时间窗口值作为预置的滑动时间窗口，同时得到训练完毕的随机森林分类器模型，其中，iter为学习自动机迭代次数。

4.如权利要求3所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述预置阈值th范围为0—1。

5.如权利要求3所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述从历史交易记录中选取特定时间段内的交易记录为从历史交易记录中选取两个月的交易记录。

6.如权利要求3所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述提取所述特定时间段内预设时间段内的交易记录位提取所述特定时间段内后十日的交易记录。

7.如权利要求1所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述基于所述交易记录和预置的滑动时间窗口提取不依赖于所述滑动时间窗口的特征包括如下步骤：

基于所述交易记录的原始数据字段提取不依赖于滑动时间窗口的特征。

8.如权利要求1所述的基于自学习滑动时间窗口的网络支付欺诈检测方法，其特征在于，所述基于所述交易记录和预置的滑动时间窗口提取依赖于所述滑动时间窗口的特征包括如下步骤：

将所述交易记录的原始交易时间字段和交易金额字段加入到REDIS数据库中对应的交易列表的表头；

根据预置的滑动时间窗口，判断所述交易列表中是否有超出所述预置的滑动时间窗口的历史交易记录，若存在，则从所述交易列表的表尾删除冗余的历史交易记录；

对预置的滑动时间窗口内的所有交易记录进行统计计算，提取出依赖于滑动时间窗口的特征。