CN109903045B - 行为轨迹监控方法、装置、计算机设备和介质 - Google Patents

Abstract

本申请涉及一种行为轨迹监控方法、装置、计算机设备和存储介质。所述方法包括：获取监控对象的行为轨迹数据；行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个监控节点对应的节点标签；基于监控节点和节点标签创建监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。采用本方法能够提高监控效率。

Description

行为轨迹监控方法、装置、计算机设备和介质

技术领域

本申请涉及计算机技术领域，特别是涉及一种行为轨迹监控方法、装置、计算机设备和介质。

背景技术

金融犯罪是当今国际社会面临的重大问题，尤其是其中的老鼠仓、洗钱和诈骗活动日益猖獗，严重影响了正常的金融秩序和社会经济秩序。为了加强金融业务规范化，保监会、证监会等监察部门对银行、保险公司或证券公司等金融机构的金融业务进行监察。当监察发现金融业务不符合相关规定时，监察部门可以对金融机构进行惩罚或者要求整改。为了防患于未然，有些金融机构内部设有监察岗位，用于对机构内部人员是否具有异常交易行为进行监控。但传统的监控方式通常为人工不定期抽查，这种监控方式具有非常大的盲目性，使得监控效率降低。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高交易行为监控效率的行为轨迹监控方法、装置、计算机设备和介质。

一种行为轨迹监控方法，所述方法包括：获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个所述监控节点对应的节点标签；基于所述监控节点和所述节点标签创建所述监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

在其中一个实施例中，所述行为轨迹数据包括所述监控对象在监控时段的动作数据和表情数据；所述确定每个所述监控节点对应的节点标签，包括：根据所述动作数据确定所述监控对象在多个监控节点的动作状态；根据所述表情数据确定所述监控对象在多个监控节点的表情状态；获取所述监控对象的交易经验值；根据所述交易经验值以及多个监控节点的动作状态、表情状态，确定所述监控对象在每个监控节点的心理状态；将所述心理状态作为节点标签关联至相应监控节点。

在其中一个实施例中，所述基于所述监控节点和所述节点标签创建所述监控对象的当前行为轨迹图，包括：将多个节点标签分别关联至相应监控节点；识别所述监控节点之间的行为时间关系；以所述行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到所述监控对象对应的当前行为轨迹图。

在其中一个实施例中，所述行为轨迹数据包括网络访问数据；所述当前行为轨迹图包括关系网图谱；所述方法还包括：在所述网络访问数据中提取关联标识字段；利用所述基础标识字段和所述关联标识字段构建所述监控对象对应的关系网图谱；根据所述关系网图谱获取与所述监控对象关联的交易行为数据；对所述交易行为数据进行预处理，得到多个交易指标；将所述交易指标输入预设的交易监控模型，输出所述监控对象的异常风险值；根据所述异常风险值向监控终端发送对所述监控对象进行监控的提示。

在其中一个实施例中，所述交易监控模型的生成步骤，包括：获取多种交易指标组合及每种组合对应的监控结果；每个所述交易指标具有对应的多个交易属性；计算各个所述交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个所述交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将所述特征分类模型与所述特征融合模型拟合，得到所述交易监控模型。

一种行为轨迹监控装置，所述装置包括：轨迹处理模块，用于获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点；数据对多个行为轨迹点进行聚类，得到多个监控节点；确定每个所述监控节点对应的节点标签；基于所述监控节点和所述节点标签创建所述监控对象的当前行为轨迹图；轨迹匹配模块，用于获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；监控提示模块，用于当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

在其中一个实施例中，所述行为轨迹数据包括所述监控对象在监控时段的动作数据和表情数据；所述轨迹处理模块还用于根据所述动作数据确定所述监控对象在多个监控节点的动作状态；根据所述表情数据确定所述监控对象在多个监控节点的表情状态；获取所述监控对象的交易经验值；根据所述交易经验值以及多个监控节点的动作状态、表情状态，确定所述监控对象在每个监控节点的心理状态；将所述心理状态作为节点标签关联至相应监控节点。

在其中一个实施例中，所述轨迹处理模块还用于将多个节点标签分别关联至相应监控节点；识别所述监控节点之间的行为时间关系；以所述行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到所述监控对象对应的当前行为轨迹图。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个所述监控节点对应的节点标签；基于所述监控节点和所述节点标签创建所述监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个所述监控节点对应的节点标签；基于所述监控节点和所述节点标签创建所述监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

上述行为轨迹监控方法、装置、计算机设备和存储介质，获取并处理监控对象的行为轨迹数据，可以得到多个监控节点以及每个所述监控节点对应的节点标签；基于所述监控节点和所述节点标签，可以创建所述监控对象的当前行为轨迹图；将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，可以识别当前行为轨迹图中是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。由于实时采集并分析监控对象的行为轨迹数据，判断监控对象是否存在异常交易行为可疑性，根据判断结果及时向监控终端发出监控提示，使得监控行为更优针对性，进而提高监控效率。

附图说明

图1为一个实施例中行为轨迹监控方法的应用场景图；

图2为一个实施例中行为轨迹监控方法的流程示意图；

图3为一个实施例中网络访问行为监控步骤的流程示意图；

图4为一个实施例中关系网图谱的示意图；

图5为一个实施例中行为轨迹监控装置的结构框图；

图6为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的行为轨迹监控方法，可以应用于如图1所示的应用环境中。其中，用户终端102与监控服务器104通过网络进行通信。监控终端106与监控服务器104通过网络进行通信。监控服务器104与互联网服务器108通过网络进行通信。其中，用户终端102与监控终端106分别可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备。用户终端102与监控终端106可以是同一终端，也可以是不同终端。监控服务器104与互联网服务器108分别可以用独立的服务器或者是多个服务器组成的服务器集群来实现。监控服务器104与互联网服务器108可以是同一服务器也可以是不同服务器。

监控服务器104获取监控对象的行为轨迹数据。行为轨迹数据包括多个行为轨迹点，对多个行为轨迹点进行聚类，得到多个监控节点。监控服务器104确定每个监控节点对应的节点标签，并基于监控节点和节点标签创建监控对象的当前行为轨迹图。监控服务器104预存储了每个监控对象对应的常规行为轨迹图。监控服务器104将当前行为轨迹图与监控对象对应的常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点。监控服务器104不同互联网服务器108上运行了不同互联网平台。监控对象可以在用户终端102进行互联网访问操作。行为轨迹数据包括监控对象对不同互联网平台的网络访问数据。监控服务器104获取监控对象对应的基础标识字段，将基础标识字段发送至互联网服务器108。互联网服务器108根据基础标识字段，获取对应的网络访问数据。监控服务器104在网络访问数据中提取关联标识字段，利用基础标识字段和关联标识字段构建监控对象对应的关系网图谱，并基于关系网图谱获取与监控对象关联的交易行为数据。监控服务器104计算交易行为数据对应的异常风险值。当存在不匹配的监控节点和/或异常风险值超过阈值时，监控服务器104向监控终端106发送对监控对象的监控提示。上述行为轨迹监控过程，实时采集并分析监控对象的行为轨迹数据，判断监控对象是否存在异常交易行为可疑性，根据判断结果及时向监控终端发出监控提示，使得监控行为更优针对性，进而提高监控效率。

在一个实施例中，如图2所示，提供了一种行为轨迹监控方法，以该方法应用于图1中的监控服务器为例进行说明，包括以下步骤：

步骤202，获取监控对象的行为轨迹数据；行为轨迹数据包括多个行为轨迹点。

监控对象可以是金融机构内部能够接触到内部交易信息的人员。职场内设有门禁和多个摄像装置。行为轨迹数据可以是监控对象在监控时段基于门禁的刷卡记录，以及基于摄像装置的行动录像。监控服务器基于行为轨迹数据对监控对象的行为特征进行分析。

步骤204，对多个行为轨迹点进行聚类，得到多个监控节点。

监控服务器基于行为轨迹数据分析监控对象存在可疑交易行为的异常风险值。具体的，监控服务器根据行为录像，确定监控对象在监控时段的多个停留时长超过阈值的位置节点(以下称“行为轨迹点”)。监控服务器对多个行为轨迹点进行聚类，得到多个监控节点。

步骤206，确定每个监控节点对应的节点标签。

每个监控节点具有对应的节点标签。节点标签可以是对监控节点相关属性的描述信息，如行为时段、行为状态、心理状态等等。监控服务器将节点标签关联相应监控节点。

步骤208，基于监控节点和节点标签创建监控对象的当前行为轨迹图。

根据多个监控节点之间的行为时段关系，监控服务器采用有向边将多个监控节点两两连接，得到监控对象对应的当前行为轨迹图。有向边的方向根据相邻两个监控节点的行为时间先后确定。监控服务器预先存储了每个监控对象对应的常规行为轨迹图。常规行为轨迹图包括多个常规行为轨迹点以及每个常规行为轨迹点对应的节点标签。

在一个实施例中，基于监控节点和节点标签创建监控对象的当前行为轨迹图，包括：将多个节点标签分别关联至相应监控节点；识别监控节点之间的行为时间关系；以行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到监控对象对应的当前行为轨迹图。

步骤210，获取监控对象对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点。

行为轨迹数据包括监控对象的对象标识。监控服务器根据对象标识获取对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点，将识别结果作为交易指标输入交易监控模型。不匹配是指与相应常规行为轨迹节点之间距离超过阈值，或与相应常规行为轨迹节点对应节点标签内容不符。

步骤212，当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。

若识别结果为存在不匹配的监控节点，则表示监控对象存在异常交易可疑，监控服务器触发机构内部监控人员的调查预警信号，即向监控终端发送对监控对象进行监察的提示。

本实施例中，获取并处理监控对象的行为轨迹数据，可以得到多个监控节点以及每个监控节点对应的节点标签；基于监控节点和节点标签，可以创建监控对象的当前行为轨迹图；将当前行为轨迹图与常规行为轨迹图进行匹配，可以识别当前行为轨迹图中是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。由于实时采集并分析监控对象的行为轨迹数据，判断监控对象是否存在异常交易行为可疑性，根据判断结果及时向监控终端发出监控提示，使得监控行为更优针对性，进而提高监控效率。

在一个实施例中，行为轨迹数据包括监控对象在监控时段的动作数据和表情数据；确定每个监控节点对应的节点标签，包括：根据动作数据确定监控对象在多个监控节点的动作状态；根据表情数据确定监控对象在多个监控节点的表情状态；获取监控对象的交易经验值；根据交易经验值以及多个监控节点的动作状态、表情状态，确定监控对象在每个监控节点的心理状态；将心理状态作为节点标签关联至相应监控节点。

监控服务器以监控时段为时间轴，根据行为录像采集监控对象在时间轴上多个时间节点的动作数据和表情数据。监控服务器通过对动作数据中前后帧图像对比进行动作判定，确定监控对象在不同时间节点的动作状态。监控服务器通过人脸识别对表情数据进行表情判定，确定监控对象在不同时间节点的表情状态。监控服务器预存储了多种动作状态和表情状态的组合，以及每种组合对应的心理状态。监控服务器根据这种对应关系分析监控对象在多个时间节点的心理状态，如焦虑、紧张、失望或愉悦等。

有些监控对象在正常交易时可能也会处于焦虑或紧张的心理状态。为了利用微表情辅助预测异常交易，预先对不同监控对象(具有不同的专业经验)在监控时段的常规心理状态进行统计。监控服务器获取相应时间节点的交易经验值，根据交易经验值获取对应的常规心理状态，将采集到的心理状态与常规心理状态进行对比，判断是否存在异常紧张或异常焦虑的情况。监控服务器将微表情分析结果作为节点标签记录在当前行为轨迹图，用于辅助监控交易行为。

本实施例中，不仅采集监控对象在监控时段的行为轨迹路线，还采集监控对象的动作数据和表情数据，并对动作数据和表情数据分析，分析结果可以辅助监控交易行为，提高监控结果准确性。

在一个实施例中，行为轨迹数据包括网络访问数据；当前行为轨迹图包括关系网图谱。如图3所示，该方法还包括网络访问行为监控的步骤，具体包括：

步骤302，在网络访问数据中提取关联标识字段。

监控服务器从监控对象在金融机构留存的身份信息中提取基础标识字段。基础标识字段可以是监控对象，以及监控对象的亲属或朋友(以下称“关联对象”)的身份识别字段。身份识别字段包括姓名、身份证号、手机号、邮箱账号、交易账号、常用设备信息等。常用设备信息可以是IMEI(International Mobile Equipment Identity，国际移动设备识别码)、IP地址、设备指纹、操作系统版本号、序列号等。

不同互联网服务器上运行了不同互联网平台。监控对象在使用各类设备访问机构内外的互联网平台时，将在相应互联网服务器中留下访问数据。访问数据可以以日志或文件等的形式存储。互联网服务器可以是通讯运营商、互联网理财服务商(如银行)、证券经纪商、资本市场行情提供商(如Wind，金融数据和分析工具服务商)、地图服务商(如baidu)、餐饮订餐(如饿了么)、电子商务(如天猫超市)、出行商(如滴滴打车)等用于业务处理的服务器。监控服务器根据监控对象的基础标识字段，生成数据提取请求，将数据提取请求发送至互联网服务器。

互联网服务器查找包含基础标识字段的访问文件，将查找到的访问文件返回至监控服务器。访问文件记录了监控对象的网络访问数据。监控服务器对访问文件进行解析，得到网络访问数据。网络访问数据是指监控对象基于移动终端、汽车、智能机器人、智能穿戴设备等发生的互联网访问行为(如注册行为、登录行为等)的行为数据。网络访问数据包括静态访问数据和动态访问数据。其中，静态访问数据是指发生互联网访问行为时录入或用到的数据，如手机号、Mac地址、IP地址、设备指纹、身份信息、交易账号、登录信息、检索信息等。动态访问数据是指发生互联网访问行为时产生的数据，如资产管理理财记录、证券投资记录、资本市场行情交易记录、地图记录、餐饮订餐记录、购物记录或交通出行记录等。

监控服务器在网络访问数据中提取关联标识字段。关联身份识别字段可以是监控对象发生的任何互联网访问行为中出现的不同于“基础标识字段”的身份识别字段，即监控对象在金融机构未留存的自身或关联对象的身份识别字段，如姓名、身份证号、手机号、邮箱账号、常用设备信息、交易账号等。容易理解，单纯从一个互联网平台采集到的单一网络访问数据也许只能得到上述多个维度身份识别字段中的一部分，但从多个互联网平台采集多种网络访问数据，即可得到每个关联对象的多个维度身份识别字段，从而也就获取到每个关联对象的交易账号。

步骤304，利用基础标识字段和关联标识字段构建监控对象对应的关系网图谱。

基础标识字段包括监控对象的身份识别字段以及申报的关联对象的身份识别字段。关联标识字段包括未申报的关联对象的身份识别字段。如图4所示，监控服务器将监控对象对应的身份识别字段作为中心节点，将每个关联对象的身份识别字段分别作为一个分支节点，将每种分支节点分别与中心节点连接，得到监控对象对应的关系网图谱。在另一个实施例中，可以在关系网图谱中连接两个节点的线段展示相应关联对象与监控对象的关系；还可以记录监控对象最后一次涉及关联对象的交易账号的时间等。容易理解，关系网图谱记录这些信息，有利于提高监控结果准确度。

步骤306，根据关系网图谱获取与监控对象关联的交易行为数据。

监控服务器根据关系网图谱中所有交易账号，采集对应的交易行为数据，对交易行为数据进行预处理，得到多个交易指标。为了描述方便，将监控对象的交易账号记作基础账号，将关联对象的交易账号记作关联账号。交易行为数据包括基础账号交易明细、关联账号交易明细、标的舆情指数等。

步骤308，对交易行为数据进行预处理，得到多个交易指标。

监控服务器对交易行为数据进行数据清洗、数据分解等预处理，得到多个交易因子，如“标的买入价为30元”、“标的波动”、“标的趋势”等。监控服务器按照预设规则将交易因子转化为对应的交易指标。例如，交易因子“标的买入价为30元”对应的交易指标可以是“买入价分位过高”。

步骤310，将交易指标输入预设的交易监控模型，输出监控对象的异常风险值。

步骤312，根据异常风险值向监控终端发送对监控对象进行监控的提示。

监控服务器将提取到的多个交易指标输入预设的交易监控模型，输出监控对象的异常风险值，并在异常风险值超过阈值时向监控终端发送对监控对象进行监控的提示信息。交易监控模型可以是基于机器学习模型训练得到的。需要说明的是，对于关联账号，金融机构能够采集到的对应的交易行为数据可能是有限的，由此将交易监控模型中关联账号交易明细的相关交易指标输入设置为弹性可选的。容易理解，采集到的交易行为数据越丰富，监控结果精度越高。此外，监控服务器也可以将预处理后的交易因子转化为向量，多个向量构成特征向量矩阵，还可以对特征向量矩阵降维，以提高机器学习输出结果的业务解释性，对此不作限制。

本实施例中，从纷杂的互联网访问数据中提炼与监控对象相关的关联标识字段，并构建关系网图谱，由于关系网图谱涵盖了监控对象所有能够涉及的交易账号，根据关系网图谱对监控对象所有可能使用的交易账号的交易行为进行监控，可以扩大监控范围，即增大监控力度，从而可以提高监控准确度。

在一个实施例中，交易监控模型的生成步骤，包括：获取多种交易指标组合及每种组合对应的监控结果；计算各个交易指标分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将特征分类模型与特征融合模型拟合，得到交易监控模型。

交易监控模型可以是监控服务器基于样本训练集对基础模型训练得到的。其中，样本训练集包括多种交易指标组合及每种组合对应的监控结果。每个交易指标具有对应的多个交易属性。基础模型可以是特征分类模型和特征融合模型拟合得到。

监控服务器基于样本训练集训练得到特征分类模型。具体的，监控服务器计算各个交易指标对应的熵值增益。计算熵值增益的公式可以是：

其中，GA表示计算的交易指标A的熵值增益；M表示样本训练集中监控通过率；Ai表示对应交易指标A的交易属性i的数量占样本训练集中交易属性的总数量的比例，ai表示交易属性i以交易指标A的数量为基数的监控通过率，n表示对应交易指标A的交易属性的个数。监控服务器将多个交易指标的熵值增益加权求和得到相应交易指标组合对应的熵值增益。监控服务器根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型。特征分类算法可以是GBDT(GradientBoost Decision Tree，梯度提升树算法)与(Logistic Regression，逻辑回归算法)的结合。

监控服务器基于样本训练集训练得到特征融合模型。具体的，不同互联网平台对同一交易指标的命名方式可能不同，为了减少命名差异对模型训练的影响，监控服务器对各个交易指标进行同义扩展处理，得到各个交易指标组合分别对应的扩展指标组合。监控服务器分别获取交易指标中各个分词对应的同义词，将分词与对应的同义词形成扩展词语集合。每个分词都存在对应的扩展词语集合，如交易指标组合A为{a,b,c}，则交易指标组合中的每个交易指标都存在对应的扩展词语集合，如交易指标a对应的扩展词语集合为{a,a1,a2}，交易指标b对应的扩展词语集合为{b,b1,b2,b3}，交易指标c对应的扩展词语集合为{c,c1,c2}。监控服务器按照与交易指标组合中各个交易指标出现的顺序，从各个交易指标对应的扩展词语集合中任意选择一个词语，按顺序形成一个扩展指标集合。当从扩展词语集合中选择不同的词语时，则形成不同的扩展指标集合，不同的扩展指标集合组成扩展指标组合。监控服务器根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型。特征融合算法可以是随机森林算法等。

先形成每个交易指标对应的扩展词语集合，再通过扩展词语集合形成各个交易指标组合对应的扩展指标组合，大大提高了交易指标的扩展度，扩展后的各个交易指标表达了与原始的交易指标相同或相近的含义，提高了交易指标的有效覆盖范围，可提高监控结果精准性。

监控服务器将特征分类模型与特征融合模型拟合，得到交易监控模型。在一个具体的实施例中，监控服务器对逻辑回归模型、GBDT(Gradient Boost Decision Tree，非线性模型)、(Logistic Regression，逻辑回归模型)、随机森林模型进行线性拟合，得到交易监控模型。例如，交易监控模型＝逻辑回归模型*W1+GBDT*W2+LR*W3+随机森林模型*W4。其中，Wi为权重因子。

本实施例中，不同类型模型存在ROC(receiver operating characteristiccurve，受试者工作特征)差异性，这里把不同类型模型拟合，能够提高模型精准性。

应该理解的是，虽然图2和图3的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2和图3中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或阶段的执行顺序也不必然依次进行，可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图5所示，提供了一种行为轨迹监控装置，包括：轨迹处理模块502、轨迹匹配模块504和监控提示模块506，其中：

轨迹处理模块502，用于获取监控对象的行为轨迹数据；行为轨迹数据包括多个行为轨迹点；数据对多个行为轨迹点进行聚类，得到多个监控节点；确定每个监控节点对应的节点标签；基于监控节点和节点标签创建监控对象的当前行为轨迹图。

轨迹匹配模块504，用于获取监控对象对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点。

监控提示模块506，用于当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。

在一个实施例中，行为轨迹数据包括监控对象在监控时段的动作数据和表情数据；轨迹处理模块502还用于根据动作数据确定监控对象在多个监控节点的动作状态；根据表情数据确定监控对象在多个监控节点的表情状态；获取监控对象的交易经验值；根据交易经验值以及多个监控节点的动作状态、表情状态，确定监控对象在每个监控节点的心理状态；将心理状态作为节点标签关联至相应监控节点。

在一个实施例中，轨迹处理模块502还用于将多个节点标签分别关联至相应监控节点；识别监控节点之间的行为时间关系；以行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到监控对象对应的当前行为轨迹图。

在一个实施例中，行为轨迹数据包括网络访问数据；当前行为轨迹图包括关系网图谱；该装置还包括网络访问监控模块508，用于在网络访问数据中提取关联标识字段；利用基础标识字段和关联标识字段构建监控对象对应的关系网图谱；根据关系网图谱获取与监控对象关联的交易行为数据；对交易行为数据进行预处理，得到多个交易指标；将交易指标输入预设的交易监控模型，输出监控对象的异常风险值；根据异常风险值向监控终端发送对监控对象进行监控的提示。

在一个实施例中，网络访问监控模块508还用于获取多种交易指标组合及每种组合对应的监控结果；每个交易指标具有对应的多个交易属性；计算各个交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将特征分类模型与特征融合模型拟合，得到交易监控模型。

关于行为轨迹监控装置的具体限定可以参见上文中对于行为轨迹监控方法的限定，在此不再赘述。上述行为轨迹监控装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图6所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储监控对象的行为轨迹数据和常规行为轨迹图。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种行为轨迹监控方法。

本领域技术人员可以理解，图6中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，该存储器存储有计算机程序，该处理器执行计算机程序时实现以下步骤：获取监控对象的行为轨迹数据；行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个监控节点对应的节点标签；基于监控节点和节点标签创建监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。

在一个实施例中，行为轨迹数据包括监控对象在监控时段的动作数据和表情数据；处理器执行计算机程序时还实现以下步骤：根据动作数据确定监控对象在多个监控节点的动作状态；根据表情数据确定监控对象在多个监控节点的表情状态；获取监控对象的交易经验值；根据交易经验值以及多个监控节点的动作状态、表情状态，确定监控对象在每个监控节点的心理状态；将心理状态作为节点标签关联至相应监控节点。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：将多个节点标签分别关联至相应监控节点；识别监控节点之间的行为时间关系；以行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到监控对象对应的当前行为轨迹图。

在一个实施例中，行为轨迹数据包括网络访问数据；当前行为轨迹图包括关系网图谱；处理器执行计算机程序时还实现以下步骤：在网络访问数据中提取关联标识字段；利用基础标识字段和关联标识字段构建监控对象对应的关系网图谱；根据关系网图谱获取与监控对象关联的交易行为数据；对交易行为数据进行预处理，得到多个交易指标；将交易指标输入预设的交易监控模型，输出监控对象的异常风险值；根据异常风险值向监控终端发送对监控对象进行监控的提示。

在一个实施例中，处理器执行计算机程序时还实现以下步骤：获取多种交易指标组合及每种组合对应的监控结果；每个交易指标具有对应的多个交易属性；计算各个交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将特征分类模型与特征融合模型拟合，得到交易监控模型。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：获取监控对象的行为轨迹数据；行为轨迹数据包括多个行为轨迹点；对多个行为轨迹点进行聚类，得到多个监控节点；确定每个监控节点对应的节点标签；基于监控节点和节点标签创建监控对象的当前行为轨迹图；获取监控对象对应的常规行为轨迹图，将当前行为轨迹图与常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；当存在不匹配的监控节点时，向监控终端发送对监控对象的监控提示。

在一个实施例中，行为轨迹数据包括监控对象在监控时段的动作数据和表情数据；计算机程序被处理器执行时还实现以下步骤：根据动作数据确定监控对象在多个监控节点的动作状态；根据表情数据确定监控对象在多个监控节点的表情状态；获取监控对象的交易经验值；根据交易经验值以及多个监控节点的动作状态、表情状态，确定监控对象在每个监控节点的心理状态；将心理状态作为节点标签关联至相应监控节点。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：将多个节点标签分别关联至相应监控节点；识别监控节点之间的行为时间关系；以行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到监控对象对应的当前行为轨迹图。

在一个实施例中，行为轨迹数据包括网络访问数据；当前行为轨迹图包括关系网图谱；计算机程序被处理器执行时还实现以下步骤：在网络访问数据中提取关联标识字段；利用基础标识字段和关联标识字段构建监控对象对应的关系网图谱；根据关系网图谱获取与监控对象关联的交易行为数据；对交易行为数据进行预处理，得到多个交易指标；将交易指标输入预设的交易监控模型，输出监控对象的异常风险值；根据异常风险值向监控终端发送对监控对象进行监控的提示。

在一个实施例中，计算机程序被处理器执行时还实现以下步骤：获取多种交易指标组合及每种组合对应的监控结果；每个交易指标具有对应的多个交易属性；计算各个交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将特征分类模型与特征融合模型拟合，得到交易监控模型。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种行为轨迹监控方法，所述方法包括：

获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点、以及所述监控对象在监控时段的动作数据和表情数据，所述行为轨迹点是指所述监控对象在所述监控时段的多个停留时长超过阈值的位置节点；

对多个行为轨迹点进行聚类，得到多个监控节点；

根据所述动作数据确定所述监控对象在多个监控节点的动作状态，根据所述表情数据确定所述监控对象在多个监控节点的表情状态；

获取所述监控对象的交易经验值，根据所述交易经验值以及多个监控节点的动作状态、表情状态，确定所述监控对象在每个监控节点的心理状态；

将所述心理状态作为节点标签关联至相应监控节点；

将多个节点标签分别关联至相应监控节点；

识别所述监控节点之间的行为时间关系；

以所述行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到所述监控对象对应的当前行为轨迹图；

获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；所述不匹配的监控节点是指与相应常规行为轨迹节点之间的距离超过阈值，或与相应常规行为轨迹节点对应的节点标签内容不符的监控节点；

当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述监控对象在相应时间节点的交易经验值，根据所述交易经验值获取对应的常规心理状态；

将采集到的心理状态与常规心理状态进行比对，判断是否存在异常紧张或异常焦虑的情况。

3.根据权利要求1所述的方法，其特征在于，所述行为轨迹数据包括网络访问数据；所述当前行为轨迹图包括关系网图谱；所述方法还包括：

在所述网络访问数据中提取关联标识字段；

利用基础标识字段和所述关联标识字段构建所述监控对象对应的关系网图谱；

根据所述关系网图谱获取与所述监控对象关联的交易行为数据；

对所述交易行为数据进行预处理，得到多个交易指标；

将所述交易指标输入预设的交易监控模型，输出所述监控对象的异常风险值；

根据所述异常风险值向监控终端发送对所述监控对象进行监控的提示。

4.根据权利要求3所述的方法，其特征在于，所述网络访问数据是指所述监控对象基于移动终端、汽车、智能机器人、智能穿戴设备发生的互联网访问行为的行为数据。

5.根据权利要求3所述的方法，其特征在于，所述交易监控模型的生成步骤，包括：

获取多种交易指标组合及每种组合对应的监控结果；每个所述交易指标具有对应的多个交易属性；

计算各个所述交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；

对各个所述交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；

将所述特征分类模型与所述特征融合模型拟合，得到所述交易监控模型。

6.一种行为轨迹监控装置，其特征在于，所述装置包括：

轨迹处理模块，用于获取监控对象的行为轨迹数据；所述行为轨迹数据包括多个行为轨迹点、以及所述监控对象在监控时段的动作数据和表情数据，所述行为轨迹点是指所述监控对象在所述监控时段的多个停留时长超过阈值的位置节点；对多个行为轨迹点进行聚类，得到多个监控节点；根据所述动作数据确定所述监控对象在多个监控节点的动作状态，根据所述表情数据确定所述监控对象在多个监控节点的表情状态；获取所述监控对象的交易经验值，根据所述交易经验值以及多个监控节点的动作状态、表情状态，确定所述监控对象在每个监控节点的心理状态；将所述心理状态作为节点标签关联至相应监控节点；将多个节点标签分别关联至相应监控节点；识别所述监控节点之间的行为时间关系；以所述行为时间关系为有向边将关联有节点标签的多个监控节点连接，得到所述监控对象对应的当前行为轨迹图；

轨迹匹配模块，用于获取监控对象对应的常规行为轨迹图，将所述当前行为轨迹图与所述常规行为轨迹图进行匹配，识别是否存在不匹配的监控节点；所述不匹配的监控节点是指与相应常规行为轨迹节点之间的距离超过阈值，或与相应常规行为轨迹节点对应的节点标签内容不符的监控节点；

监控提示模块，用于当存在不匹配的监控节点时，向监控终端发送对所述监控对象的监控提示。

7.根据权利要求6所述的装置，其特征在于，所述行为轨迹数据包括网络访问数据；所述当前行为轨迹图包括关系网图谱；所述装置还包括网络访问监控模块，所述网络访问监控模块用于在所述网络访问数据中提取关联标识字段；利用基础标识字段和所述关联标识字段构建所述监控对象对应的关系网图谱；根据所述关系网图谱获取与所述监控对象关联的交易行为数据；对所述交易行为数据进行预处理，得到多个交易指标；将所述交易指标输入预设的交易监控模型，输出所述监控对象的异常风险值；根据所述异常风险值向监控终端发送对所述监控对象进行监控的提示。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括网络访问监控模块，所述网络访问监控模块用于获取多种交易指标组合及每种组合对应的监控结果；每个所述交易指标具有对应的多个交易属性；计算各个所述交易属性分别对应的熵值增益，得到各个交易指标组合分别对应的熵值增益；根据各个交易指标组合分别对应的熵值增益和监控结果，通过特征分类算法对预设的第一模型进行训练，得到特征分类模型；对各个所述交易指标进行同义扩展，得到各个交易指标组合分别对应的扩展指标组合；根据各个扩展指标组合及分别对应的监控结果，通过特征融合算法对预设的第二模型进行训练，得到特征融合模型；将所述特征分类模型与所述特征融合模型拟合，得到所述交易监控模型。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至5中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至5中任一项所述的方法的步骤。