CN110728583A

CN110728583A - 一种骗赔行为识别方法和系统

Info

Publication number: CN110728583A
Application number: CN201910962984.4A
Authority: CN
Inventors: 王宝坤
Original assignee: Alipay Hangzhou Information Technology Co Ltd
Current assignee: Alipay Hangzhou Information Technology Co Ltd
Priority date: 2019-10-11
Filing date: 2019-10-11
Publication date: 2020-01-24

Abstract

本说明书实施例公开了一种骗赔行为识别方法和系统。所述骗赔行为识别方法包括：获取多个资金盗用理赔案件；获取所述多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，所述行为链路包括根据时间顺序排列的多个用户行为；基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列；基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列。

Description

一种骗赔行为识别方法和系统

技术领域

本说明书一个或多个实施例涉及账户安全技术领域，特别涉及一种骗赔行为识别方法和系统。

背景技术

随着互联网技术的发展，现金支付、现金赔付也逐渐扩展到网络支付和网络赔付，随之也带来很多问题。在很多互联网金融或者传统金融的商业场景中，公司为了保证用户的资金安全，通常会推出“账户安全险”(有自己的账户体系)或者“银行卡安全险”。在正常的场景中，如果用户的资金发生了盗用，公司会对购买过安全险的用户进行全额赔偿。但是有很多别有用心的团伙会假装自己的账户资金或者银行卡资金发生了盗用，然后向公司进行索赔。随着用户体量增大、互联网通讯更加便捷，这些骗赔手法在社会上得以迅速流传，给公司的资金安全带来极大危害。因此，有必要提出一种骗赔行为识别方法。

发明内容

本说明书实施例之一提供一种骗赔行为识别方法。所述骗赔行为识别方法包括：获取多个资金盗用理赔案件；获取所述多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，所述行为链路包括根据时间顺序排列的多个用户行为；基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列；基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列。

本说明书实施例之一提供骗赔案件识别方法。所述骗赔案件识别方法包括：获取第一资金盗用理赔案件；获取所述第一资金盗用理赔案件的第一行为链路，所述第一行为链路包括根据时间顺序排列的多个用户行为；获取利用本说明书任一实施例所述的骗赔行为识别方法识别出的骗赔高危序列；根据所述第一行为链路是否包含所述骗赔高危序列，确定所述第一资金盗用理赔案件是否为骗赔高危案件。

本说明书实施例之一提供一种骗赔行为识别系统，包括获取模块、确定模块和判断模块；所述获取模块用于获取多个资金盗用理赔案件；所述获取模块还用于获取所述多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，所述行为链路包括根据时间顺序排列的多个用户行为；所述确定模块用于基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列；所述判断模块用于基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列。

本说明书实施例之一提供一种骗赔案件识别系统，包括获取模块和确定模块；所述获取模块用于获取第一资金盗用理赔案件；所述获取模块还用于获取所述第一资金盗用理赔案件的第一行为链路，所述第一行为链路包括根据时间顺序排列的多个用户行为；所述获取模块还用于获取利用本说明书任一实施例所述的骗赔行为识别系统识别出的骗赔高危序列；所述确定模块用于根据所述第一行为链路是否包含所述骗赔高危序列，确定所述第一资金盗用理赔案件是否为骗赔高危案件。

本说明书实施例之一提供一种计算设备，所述计算设备包括至少一个处理器和至少一个存储设备，所述存储设备用于存储指令，当至少一个处理器执行指令时，实现如本说明书任一实施例所述的方法。

本说明书实施例之一提供一种存储介质，所述存储介质用于存储计算机指令，当计算机读取所述存储介质中的计算机指令后，执行如本说明书任一实施例所述的方法。

附图说明

本说明书将以示例性实施例的方式进一步说明，这些示例性实施例将通过附图进行详细描述。这些实施例并非限制性的，在这些实施例中，相同的编号表示相同的结构，其中：

图1是根据本说明书一些实施例所示的骗赔行为识别系统的应用场景示意图；

图2是根据本说明书一些实施例所示的示例性处理设备的框图；

图3是根据本说明书一些实施例所示的骗赔行为识别系统的模块图；

图4是根据本说明书一些实施例所示的骗赔行为识别方法的示例性流程图；

图5是根据本说明书一些实施例所示的频繁行为序列确定方法的示例性流程图；

图6是根据本说明书一些实施例所示的骗赔案件识别方法的示例性流程图。

具体实施方式

为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本说明书的一些示例或实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本说明书应用于其它类似情景。除非从语言环境中显而易见或另做说明，图中相同标号代表相同结构或操作。

应当理解，本说明书中所使用的“系统”、“装置”、“单元”和/或“模组”是用于区分不同级别的不同组件、元件、部件、部分或装配的一种方法。然而，如果其他词语可实现相同的目的，则可通过其他表达来替换所述词语。

如本说明书和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。

本说明书中使用了流程图用来说明根据本说明书的实施例的系统所执行的操作。应当理解的是，前面或后面操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各个步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

图1是根据本说明书的一些实施例所示的示例性骗赔行为识别系统的应用场景示意图。在一些实施例中，该骗赔行为识别系统100可以用于识别假装资金被盗用的骗赔行为。例如，该骗赔行为识别系统100可以用于识别骗赔高危序列。在一些实施例中，骗赔行为识别系统100也可以用于识别骗赔案件。具体的，骗赔案件识别系统与骗赔行为识别系统100可以为同一个系统；或者骗赔案件识别系统可以为与骗赔行为识别系统100相类似的系统。该骗赔行为识别系统100可以适用于信用卡、储蓄卡、网上银行、支付平台(如支付宝等)等场景。如图1所示，骗赔行为识别系统100可以包括处理设备110、存储设备120、终端130和网络140。

处理设备110可用于处理与骗赔行为相关联的信息和/或数据来执行在本说明书中揭示的一个或者多个功能。例如，处理设备110可以用于获取多个资金盗用理赔案件。又例如，处理设备110可以获取多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，行为链路可以包括根据时间顺序排列的多个用户行为。再例如，处理设备110可以用于基于多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列。还例如，处理设备110可以用于基于频繁行为序列在历史骗赔案件中的出现情况，判断频繁行为序列是否是骗赔高危序列。在一些实施例中，处理设备110可以包括一个或多个处理引擎(例如，单核心处理引擎或多核心处理器)。仅作为示例，处理设备110可以包括中央处理器(中央处理器)、特定应用集成电路(ASIC)、专用指令集处理器(ASIP)、图像处理器(GPU)、物理运算处理单元(PPU)、数字信号处理器(DSP)、现场可程序门阵列(FPGA)、可程序逻辑装置(PLD)、控制器、微控制器单元、精简指令集计算机(RISC)、微处理器等中的一种或多种组合。

存储设备120可以存储数据和/或指令。在一些实施例中，存储设备120可以存储从终端130采集到的数据。该数据可以是与资金盗用理赔案件相关联的数据，包括但不限于提出理赔的时间、提出理赔的地点、理赔金额、用户提出理赔前一段时间内该用户的操作行为、交易行为等一种或多种的任意组合。在一些实施例中，存储设备120可以存储骗赔行为识别过程中产生的数据。例如，存储设备120可以用于存储频繁行为序列、骗赔高危序列等。在一些实施例中，存储设备120可以存储供处理设备110执行或使用的数据和/或指令，处理设备110可以通过执行或使用所述数据和/或指令以实现本说明书中的示例性方法。在一些实施例中，存储设备120可以与网络140连接实现与骗赔行为识别系统100中的一个或多个部件(例如，处理设备110、终端130等)之间的通信。骗赔行为识别系统100的一个或多个部件可以通过网络140访问存储在存储设备120中的数据或指令。在一些实施例中，存储设备120可以直接与骗赔行为识别系统100的一个或多个部件(例如，处理设备110、终端130等)连接或通信。在一些实施例中，存储设备120可以是处理设备110的一部分。在一些实施例中，存储设备120可以包括大容量存储器、可移动存储器、易失性读写存储器、只读存储器(ROM)等或其任意组合。在一些实施例中，存储设备120可以在云平台上实现。仅作为示例，所述云平台可以包括私有云、公共云、混合云、社区云、分布云、内部云、多层云等或其任意组合。例如，本说明书实施例中一些算法或者数据可以存储在某个云平台上，处理设备110通过网络访问这些算法或者数据，以实现整个平台的算法或者数据的统一与交互。特别的，一些历史数据可以统一存储在平台的一个云平台上，以便多个处理设备110或者终端130访问或者更新，以便保证数据的实时性和跨平台使用。例如，终端130可以将用户提出理赔需求的案件数据发布到某个云平台上，处理设备110可以访问该云平台，根据多个终端130所上传的数据执行骗赔行为的识别。

终端130可以是带有数据获取、存储和/或发送功能的设备，例如，智能手机。终端130上可以集成有支付和存储资金的功能，在进行支付交易时可以实现上述目的。在一些实施例中，终端130的使用者可以是提出理赔需求事件中的参与者。例如，在提出资金盗用理赔案件中，终端130的使用者可以是用于支付的顾客，也可以是用于收款的商家。在一些实施例中，终端130可以包括但不限于移动设备130-1、平板电脑130-2、笔记本电脑130-3、台式电脑130-4等或其任意组合。示例性的移动设备130-1可以包括但不限于智能手机、个人数码助理(Personal Digital Assistance，PDA)、收银机、掌上游戏机、智能眼镜、智能手表、可穿戴设备、虚拟显示设备、显示增强设备等或其任意组合。在一些实施例中，终端130可以将获取到的数据发送至骗赔行为识别系统100中的一个或多个设备。例如，终端130可以将数据传输至处理设备110或存储设备120。在一些实施例中，数据可以是与资金盗用理赔案件的相关数据，例如，提出理赔的时间、理赔地点、理赔金额、用户提出理赔前一段时间内用户的操作行为等。

在一些实施例中，网络140可以促进信息和/或数据的交换。在一些实施例中，骗赔行为识别系统100的一个或者多个组件(例如处理设备110、存储设备120和终端130)可以通过网络140传送信息至骗赔行为识别系统100的其他组件。例如，处理设备110可以通过网络140从数据库中获取与理赔案件相关联的信息和/或数据。在一些实施例中，网络140可以是任意形式的有线或者无线网络，或其任意组合。仅作为范例，网络140可以是有线网络、光纤网络、远程通信网络、内部网络、互联网、局域网(LAN)、广域网(WAN)、无线局域网(WLAN)、城域网(MAN)、广域网(WAN)、公共交换电话网络(PSTN)、蓝牙网络、紫蜂网络、近场通讯(NFC)网络、全球移动通讯系统(GSM)网络、码分多址(CDMA)网络、时分多址(TDMA)网络、通用分组无线服务(GPRS)网络、增强数据速率GSM演进(EDGE)网络、宽带码分多址接入(WCDMA)网络、高速下行分组接入(HSDPA)网络、长期演进(LTE)网络、用户数据报协议(UDP)网络、传输控制协议/互联网协议(TCP/IP)网络、短讯息服务(SMS)网络、无线应用协议(WAP)网络、超宽带(UWB)网络、移动通信(1G、2G、3G、4G、5G)网络、Wi-Fi、Li-Fi、窄带物联网(NB-IoT)、红外通信等中的一种或多种组合。在一些实施例中，网络140可包括一个或者多个网络接入点。例如，网络140可包括有线或无线网络进接点比如基站和/或互联网交换点。通过该网络接入点，骗赔行为识别系统100的一个或多个组件可以连接至网络140以交换信息和/或数据。

图2是根据本说明书的一些实施例所示的示例性处理设备的框图。处理设备110可以包括用来实现本说明书实施例中所描述的系统的任意部件。例如，处理设备110可以通过硬件、软件程序、固件或其组合实现。为了方便起见，图中仅绘制了一个处理设备，但是本说明书实施例所描述的与骗赔行为识别系统100相关的计算功能可以以分布的方式、由一组相似的平台所实施，以分散系统的处理负荷。

在一些实施例中，处理设备110可以包括处理器210、存储器220、输入/输出部件230和通信端口240。在一些实施例中，所述处理器(例如，CPU)210，可以以一个或多个处理器的形式执行程序指令。在一些实施例中，所述存储器220可以包括不同形式的程序存储器和数据存储器，例如，硬盘、只读存储器(ROM)、随机存储器(RAM)等，用于存储由计算机处理和/或传输的各种各样的数据文件。在一些实施例中，所述输入/输出部件230可以用于支持处理设备110与其他部件之间的输入/输出。在一些实施例中，所述通信端口240可以与网络连接，用于实现数据通信。示例性的处理设备可以包括存储在只读存储器(ROM)、随机存储器(RAM)和/或其他类型的非暂时性存储介质中的由处理器210执行的程序指令。本说明书实施例的方法和/或流程可以以程序指令的方式实现。处理设备110也可以通过网络通讯接收本说明书中披露的程序和数据。

为理解方便，图2中仅示例性绘制了一个处理器。然而，需要注意的是，本说明书实施例中的处理设备110可以包括多个处理器，因此本说明书实施例中描述的由一个处理器实现的操作和/或方法也可以共同地或独立地由多个处理器实现。例如，如果在本说明书中，处理设备110的处理器执行步骤1和步骤2，应当理解的是，步骤1和步骤2也可以由处理设备110的两个不同的处理器共同地或独立地执行(例如，第一处理器执行步骤1，第二处理器执行步骤2，或者第一和第二处理器共同地执行步骤1和步骤2)。

图3是根据本说明书一些实施例所示的示例性骗赔行为识别系统的模块图。在一些实施例中，骗赔行为识别系统300可以由处理设备110实现。在一些实施例中，骗赔行为识别系统300可以用于识别骗赔行为(如骗赔高危序列)和/或骗赔案件。如图3所示，骗赔行为识别系统300可以包括获取模块310、确定模块320和判断模块330。

获取模块310可以用于获取骗赔行为识别和/或骗赔案件识别过程中的数据/信息。在一些实施例中，获取模块310可以用于获取多个资金盗用理赔案件。在一些实施例中，获取模块310可以用于获取资金盗用理赔案件的行为链路。在一些实施例中，获取模块310可以用于获取第一资金盗用理赔案件。在一些实施例中，获取模块310可以用于获取第一资金盗用案件的第一行为链路。在一些实施例中，获取模块310可以用于获取利用骗赔行为识别方法识别出的骗赔高危序列。

确定模块320可以用于确定骗赔行为识别和/或骗赔案件识别过程中频繁行为序列、骗赔案件等。在一些实施例中，确定模块320可以基于多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列。在一些实施例中，确定模块320可以执行频繁行为序列确定方法500。在一些实施例中，确定模块320还可以根据第一行为链路是否包含骗赔高危序列，确定第一资金盗用案件是否为骗赔案件。

在一些实施例中，如图3所示，确定模块320可以进一步包括编码单元322、聚类单元324和频繁行为序列确定单元326。

在一些实施例中，编码单元322可以用于对用户行为和/或行为链路进行编码。例如，编码单元322可以利用编码算法对多条行为链路进行编码，获得编码后的多个行为链路向量。在一些实施例中，聚类单元324可以用于对行为链路进行聚类。例如，聚类单元324可以利用向量聚类算法对多个行为链路向量进行聚类，以获得多种行为链路类别。在一些实施例中，频繁行为序列确定单元326可以用于确定频繁行为序列。例如，频繁行为序列确定单元326可以针对至少一种行为链路类别，确定至少一条频繁行为序列。

判断模块330可以用于判断频繁行为序列是否为骗赔高危序列。在一些实施例中，判断模块330可以基于频繁行为序列在历史骗赔案件中的出现情况，判断频繁行为序列是否为骗赔高危序列。

应当理解，图3所示的系统及其模块可以利用各种方式来实现。例如，在一些实施例中，系统及其模块可以通过硬件、软件或者软件和硬件的结合来实现。其中，硬件部分可以利用专用逻辑来实现；软件部分则可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域技术人员可以理解上述的方法和系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本说明书的系统及其模块不仅可以有诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用例如由各种类型的处理器所执行的软件实现，还可以由上述硬件电路和软件的结合(例如，固件)来实现。

需要注意的是，以上对于骗赔行为识别系统及其模块的描述，仅为描述方便，并不能把本说明书限制在所举实施例范围之内。可以理解，对于本领域的技术人员来说，在了解该系统的原理后，可能在不背离这一原理的情况下，对各个模块进行任意组合，或者构成子系统与其他模块连接。例如，在一些实施例中，例如，图3中披露的获取模块310、确定模块320和判断模块330可以是一个系统中的不同模块，也可以是一个模块实现上述的两个或两个以上模块的功能。例如，各个模块可以共用一个存储模块，各个模块也可以分别具有各自的存储模块。诸如此类的变形，均在本申请的保护范围之内。

图4是根据本说明书一些实施例所示的骗赔行为识别方法的示例性流程图。在一些实施例中，骗赔行为识别方法400可以由骗赔行为识别系统300执行。在一些实施例中，骗赔行为识别方法400中的一个或以上步骤可以在图1所示的系统100中实现。例如，骗赔行为识别方法400中的一个或以上步骤可以作为指令的形式存储在存储设备120中，并被处理设备110调用和/或执行。

步骤410，获取多个资金盗用理赔案件。在一些实施例中，该步骤410可以由获取模块310执行。

在一些实施例中，资金盗用理赔案件可以包括银行账户、第三方支付账户等具有存储或支付资金的账户盗用理赔案件。在一些实施例中，资金盗用理赔案件可以是一段时间内的历史理赔案件或当前正在执行理赔流程的案件。一段时间可以包括但不限于一个星期、一个月、一个季度、半年、一年或几年。在一些实施例中，资金盗用理赔案件可以包括理赔请求者成功完成理赔的案件、或是理赔请求者提出理赔需求但被拒绝理赔的案件、或是理赔请求者提出理赔需求但尚未完结的案件、或是理赔请求者提出理赔需求后又取消理赔的案件等一种或多种的任意组合。在一些实施例中，获取模块310在获取多个资金盗用理赔案件时可以获取相应的资金盗用理赔案件信息。资金盗用理赔案件信息可以包括理赔请求者的个人信息、理赔请求者的信用信息、理赔请求者提出理赔的时间、地点、金额、理赔请求者提出理赔需求之前或之后一段时间的操作行为等一种或多种的任意组合。在一些实施例中，获取模块310可以从处理设备110、存储设备120、终端130、网络140等设备中获取历史资金盗用理赔案件或当前待识别案件。

步骤420，获取多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，行为链路包括根据时间顺序排列的多个用户行为。在一些实施例中，步骤420可以由获取模块310执行。

在一些实施例中，每个资金盗用理赔案件的行为链路可以是多个用户行为根据时间顺序排列而成的序列。在一些实施例中，用户行为可以包括用户操作行为和/或用户交易行为。用户交易行为可以理解为用户账户中涉及交易的动作。用户操作行为可以理解为用户账户中与交易不直接相关的动作。在一些实施例中，用户操作行为可以包括修改设置、修改核身校验方式、手机换绑、修改登录密码和修改操作密码等一种或多种的任意组合。修改设置可以包括修改用户账户相关的信息；例如，修改设置可以包括但不限于修改家庭住址、所在地、账户头像、生日、转账额度等。修改核身验证方式可以包括取消、增加和/或改变账户的核身验证方式；核身验证方式可以包括但不限于邮箱验证、手机短信验证、问题验证、人脸验证、指纹验证、虹膜验证、朋友验证等方式。手机换绑可以包括将账户原绑定的手机更换为新绑定的手机号。在一些实施例中，用户交易行为可以包括支付行为和/或密码校验行为等。支付行为可以包括用户点击支付、输入支付金额、确认支付信息等。密码校验行为可以包括在交易过程中用户输入密码、输入校验码等行为。

在一些实施例中，资金盗用理赔案件的行为链路可以包括涉案账户的所有用户行为。在一些实施例中，资金盗用理赔案件的行为链路可以包括用户报案前一段时间(如3天、1周、1个月等)内该涉案账户的所有用户行为。在一些实施例中，资金盗用理赔案件的行为链路可以包括涉案交易(即被用户认为是盗用的交易)及其之前一段时间(如1天、3天等)内该涉案账户的用户行为。

在一些实施例中，行为链路的多个用户行为可以采用字母进行表示。例如，行为链路可以为A->B->D->B->C->E->B->D->E，其中每个字母表示一个用户行为，如A可以表示用户修改账户头像，B可以表示用户进行了手机号换绑，C可以表示用户支付了一笔金额；A->B可以表示用户行为A的发生时间在用户行为B之前。

步骤430，基于多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列。在一些实施例中，步骤430可以由确定模块320执行。

在一些实施例中，行为序列可以为整条行为链路，或者为行为链路的一部分。例如，当行为链路为A->B->D->B->C->E->B->D->E时，行为序列可以为该行为链路中的A->B->D->B、B->C->E、D->B->E->B等。在一些实施例中，频繁行为序列可以理解为出现频率比较高的行为序列。频繁行为序列可以包括由两个或多个用户行为组成的序列。在一些实施例中，频繁行为序列中的用户行为可以是连续的(即中间再无其他用户行为)。在一些实施例中，频繁行为序列中的至少部分用户行为可以是不连续的，例如，至少两个用户行为之间可以包括其他用户行为。在一些实施例中，频繁行为序列中至少包括用户交易行为。在一些实施例中，频繁行为序列中的至少两个用户行为的操作时间间隔小于设定的阈值(如1小时、3小时等)。例如，当确定模块320在确定频繁行为序列时，确定模块320可以要求频繁行为序列中至少包含手机换绑行为和用户交易行为，且两个行为之间的时间间隔小于2小时。

在一些实施例中，确定模块320可以直接基于多个资金盗用理赔案件的多条行为链路，确定一条或多条频繁行为序列。例如，确定模块320可以确定该多条行为链路中出现频率大于一定阈值(如20％、30％等)的行为序列为频繁行为序列。在一些实施例中，确定模块320可以先对多个资金盗用理赔案件的多条行为链路进行聚类，以获得多种行为链路类别；再针对至少一种行为链路类别，确定至少一条频繁行为序列。具体的，确定模块320可以利用编码算法对多条行为链路进行编码，获得编码后的多个行为链路向量；确定模块320可以利用向量聚类算法对多个行为链路向量进行聚类，以获得多种行为链路类别；确定模块320可以针对至少一种行为链路类别，利用关联规则挖掘算法确定至少一条频繁行为序列。关于频繁行为序列确定的更多细节可以参见图5及其相关描述。

步骤440，基于频繁行为序列在历史骗赔案件中的出现情况，判断频繁行为序列是否为骗赔高危序列。在一些实施例中，步骤440可以由判断模块330执行。

在一些实施例中，历史骗赔案件可以理解为已经被定性(例如被人工定性)为骗赔的案件。在一些实施例中，历史骗赔案件可以包括步骤410中所涉及的资金盗用理赔案件中被定性为骗赔的案件和/或其他骗赔案件。

在一些实施例中，频繁行为序列在历史骗赔案件中出现可以理解为历史骗赔案件中包含该频繁行为序列。在一些实施例中，历史骗赔案件中包含该频繁行为序列可以理解为历史骗赔案件的行为链路中的至少一条行为序列与该频繁行为序列相同。在一些替代性实施例中，当历史骗赔案件的行为链路中多个非连续的用户行为(即至少两个用户行为之间可以包括其他用户行为)组成的序列与该频繁行为序列相同时，该频繁行为序列也可以被认为在历史骗赔案件中出现。

在一些实施例中，当频繁行为序列在历史骗赔案件中的出现频率大于或等于设定阈值(如10％、20％、30％等)时，判断模块330可以判断该频繁行为序列为骗赔高危序列；当频繁行为序列在历史骗赔案件中的出现频率小于设定阈值时，判断模块330可以判断该频繁行为序列不是骗赔高危序列。通过根据频繁行为序列在历史骗赔案件中的出现情况来确定该频繁行为序列是否为骗赔高危序列，能够减小骗赔高危序列的误判情况。

骗赔行为识别方法400通过从多个资金盗用理赔案件中识别频繁行为序列，可以有效发现这些理赔案件中相似的手法。此外，通过根据频繁行为序列在历史骗赔案件中的出现情况判断其是否为骗赔高危序列，可以保证骗赔行为(即骗赔高危序列)的准确性，减少误判。应当注意的是，上述有关骗赔行为识别方法400的描述仅仅是为了示例和说明，而不限定本申请的适用范围。对于本领域技术人员来说，在本说明书的指导下可以对骗赔行为识别方法400进行各种修正和改变。然而，这些修正和改变仍在本申请的范围之内。例如，骗赔行为识别方法400可以在离线或在线状态下执行。又例如，骗赔行为识别系统300可以定期(如每天、每周等)执行骗赔行为识别方法400以获取更新的骗赔高危序列。

图5是根据本说明书一些实施例所示的频繁行为序列确定方法的示例性流程图。该频繁行为序列确定方法500可以由确定模块320执行。如图5所示，频繁行为序列确定方法500可以包括：

步骤510，利用编码算法对多条行为链路进行编码，获得编码后的多个行为链路向量。具体的，步骤510可以由编码单元322执行。

在一些实施例中，编码算法可以包括但不限于Sentence Embedding、word2vec、tf-idf、encoder-decoder等方法中的一种或多种的组合。在本说明书的一个具体实施例中，编码单元322可以采用word2vec的方法对行为链路中的每个用户行为进行向量化，其训练过程可以使用连续词袋模型。在得到单个用户行为的向量编码之后，编码单元322可以采用Sentence Embedding的方法对行为链路进行编码。例如，具体过程可以包括：按照下式(1)对行为链路中的单个用户行为向量进行加权平均以获得行为链路的编码向量：

其中，a表示一个常数，p(w)表示每个用户行为在所有的语料库中出现的频次，v_w表示单个用户行为的编码，|s|表示行为链路长度，即将行为链路中的单个行为进行加权平均，单个用户行为的权重由其词频决定。

在一些实施例中，当行为链路完成加权平均之后，编码单元322还可以移除行为链路编码向量中用户行为向量的公共主成分。具体的，编码单元322可以基于主成分分析法(PCA)或其他可行的方法进行主成分移除。例如，编码单元322可以基于下式(2)移除行为链路编码向量中的公共主成分：

v_s←v_s-uu^Tv_s (2)

其中，v_s表示对行为链路加权平均之后的结果，u表示所有句子向量进行特征分解之后，最大特征值对应的特征向量，相当于所有句子向量的最大主成分；这样就把所有行为链路中彼此相关的一部分去除，只保留反应行为链路特性的成分。

步骤520，利用向量聚类算法对多个行为链路向量进行聚类，以获得多种行为链路类别。具体的，步骤520可以由聚类单元324执行。

在一些实施例中，向量聚类算法可以包括K-means算法、HDBSCAN算法等一种或多种的组合。在一些实施例中，利用向量聚类算法对多个行为链路向量进行聚类时，聚类的类别数可以不是提前设定的，而是可以通过寻优过程获得。例如，聚类单元324在利用向量聚类算法进行聚类时可以遍历多个类别数，找到各类别下对应的平均轮廓系数最大的类别，并将其作为最终的类别数。

在本说明书一个具体实施例中，假设将待分类的多个行为链路向量分成k个簇，对簇中的每个向量，分别计算他们的轮廓系数。对其中的一个点i来说，计算：a(i)＝average(i向量到该簇中其他点的距离)；b(i)＝min(i向量到其他簇所有点的平均距离)，那么i的轮廓系数为：

将所有点的轮廓系数求平均，就是平均轮廓系数。轮廓系数越大，表示聚类效果越好。在此情况下，聚类单元324可以将轮廓系数最大的聚类方式作为最终的聚类方式。

步骤530，针对至少一种行为链路类别，确定至少一条频繁行为序列。具体的，步骤530可以由频繁行为序列确定单元326执行。

在一些实施例中，频繁行为序列确定单元326可以针对每一种行为链路类别，分别确定至少一条频繁行为序列。在一些实施例中，频繁行为序列确定单元326可以选择其中的一种或多种行为链路类别(如所包含的行为链路数量大于设定阈值的链路类别，或者所包含的行为链路数量位于前几名的链路类别等)，并对该一种或多种行为链路类别分别确定至少一条频繁行为序列。

在一些实施例中，针对至少一种行为链路类别，频繁行为序列确定单元326可以利用关联规则挖掘算法确定至少一条频繁行为序列。关联规则挖掘算法可以包括但不限于GSP算法、SPADE算法、prefixspan算法等一种或多种的组合。例如，在本说明书的一个具体实施例中，频繁行为序列确定单元326可以利用prefixspan算法确定至少一条频繁行为序列。prefixspan算法的主要原理是前缀匹配和深度优先搜索(构造投影数据库，即包含多个行为链路的数据库)，找出满足最小支持度的频繁序列。在一些实施例中，prefixspan算法可以从长度为1开始挖掘序列模式，搜索对应的行为链路数据库得到长度为1的前缀对应的频繁行为序列，然后递归的挖掘长度为2的前缀对应的频繁序列，以此类推，一直递归到不能挖掘到更长的前缀挖掘为止。该算法的输入为行为链路数据D和支持度阈值α；最终输出所有满足支持度阈值的频繁序列集。具体算法过程如下：

(1)找出所有长度为1的前缀和对应的投影数据库(即行为链路数据库)；

(2)对长度为1的前缀进行计数，将支持度低于阈值α的前缀对应的项从数据集D删除，同时得到所有的频繁1项序列，i＝1；

(3)对于每个长度为i满足支持度要求的前缀进行递归挖掘，挖掘过程如下：

(a)找出前缀所对应的投影数据库。如果投影数据库为空，则递归返回。

(b)统计对应投影数据库中各项的支持度计数。如果所有项的支持度计数都低于阈值α，则递归返回。

(c)将满足支持度计数的各个单项和当前的前缀进行合并，得到若干新的前缀。

(d)令i＝i+1，前缀为合并单项后的各个前缀，分别递归执行第(3)步。

频繁行为序列确定方法500通过先对行为链路进行编码和聚类，然后再针对至少一种行为链路类别，确定至少一条频繁行为序列，能够有效提升频繁行为序列的识别效率和准确性。

图6是根据本说明书一些实施例所示的骗赔案件识别方法的示例性流程图。在一些实施例中，骗赔案件识别方法600可以由骗赔行为识别系统300执行。在一些实施例中，骗赔案件识别方法600中的一个或以上步骤可以在图1所示的系统100中实现。例如，骗赔案件识别方法600中的一个或以上步骤可以作为指令的形式存储在存储设备120中，并被处理设备110调用和/或执行。

步骤610，获取第一资金盗用理赔案件。在一些实施例中，该步骤610可以由获取模块310执行。

在一些实施例中，第一资金盗用理赔案件可以包括银行账户、第三方支付账户等具有存储或支付资金的账户盗用理赔案件。在一些实施例中，第一资金盗用理赔案件可以包括刚刚接到报案的案件、正在执行理赔流程但尚未最终赔付的案件等。在一些实施例中，获取模块310在获取第一资金盗用理赔案件时可以获取该第一资金盗用理赔案件信息。资金盗用理赔案件信息可以包括理赔请求者的个人信息、理赔请求者的信用信息、理赔请求者提出理赔的时间、地点、金额、理赔请求者提出理赔需求之前或之后一段时间的操作行为等一种或多种的任意组合。在一些实施例中，获取模块310可以从处理设备110、存储设备120、终端130、网络140等设备中获取第一资金盗用理赔案件。

步骤620，获取第一资金盗用案件的第一行为链路，第一行为链路包括根据时间顺序排列的多个用户行为。在一些实施例中，该步骤620可以由获取模块310执行。

在一些实施例中，第一资金盗用理赔案件的第一行为链路可以是多个用户行为根据时间顺序排列而成的序列。在一些实施例中，用户行为可以包括用户操作行为和/或用户交易行为。在一些实施例中，第一资金盗用理赔案件的行为链路可以包括涉案账户的所有用户行为。在一些实施例中，第一资金盗用理赔案件的第一行为链路可以包括用户报案前一段时间(如3天、1周、1个月等)内该涉案账户的所有用户行为。在一些实施例中，第一资金盗用理赔案件的第一行为链路可以包括涉案交易(即被用户认为是盗用的交易)及其之前一段时间(如1天、3天等)内该涉案账户的用户行为。

步骤630，获取利用骗赔行为识别方法识别出的骗赔高危序列。在一些实施例中，该步骤630可以由获取模块310执行。

在一些实施例中，获取模块310可以获取利用图4中所描述的骗赔行为识别方法400识别出的骗赔高危序列。在一些实施例中，获取模块310所获取的骗赔高危序列可以包括利用骗赔行为识别方法400识别出的所有骗赔高危序列。在一些实施例中，获取模块310所获取的骗赔高危序列可以包括利用骗赔行为识别方法400基于近期(如一周内、一个月内、三个月内等)的资金盗用理赔案件识别出的骗赔高危序列。

步骤640，根据第一行为链路是否包含骗赔高危序列，确定第一资金盗用案件是否为骗赔案件。在一些实施例中，该步骤640可以由确定模块320执行。

在一些实施例中，第一行为链路中包含骗赔高危序列可以理解为第一行为链路中的至少一条行为序列与该骗赔高危序列相同。在一些替代性实施例中，当第一行为链路中多个非连续的用户行为(即至少两个用户行为之间可以包括其他用户行为)组成的序列与该骗赔高危序列相同时，也可以认为该第一行为链路中包含该骗赔高危序列。例如，当第一行为链路为A->B->D->B->C->E->B->D->E，骗赔高危序列为A->B->-E->B->D->E时，可以认为该第一行为链路包含了该骗赔高危序列。当第一行为链路包含骗赔高危序列时，确定模块320可以确定第一资金盗用案件为骗赔案件。当第一行为链路不包含骗赔高危序列时，确定模块320可以确定第一资金盗用案件不是骗赔案件。

在一些实施例中，对于被确定模块320确定为骗赔案件的第一资金盗用案件，系统100可以选择对该案件进行高危提示，或者自动拒赔该案件等。

本说明书实施例可能带来的有益效果包括但不限于：(1)能够准确识别出骗赔行为(如骗赔高危序列)，从而有效防止骗赔行为的发生；(2)能够提升骗赔行为识别的效率；(3)能够有效发现骗赔案件，减小骗赔给平台造成的损失。需要说明的是，不同实施例可能产生的有益效果不同，在不同的实施例里，可能产生的有益效果可以是以上任意一种或几种的组合，也可以是其他任何可能获得的有益效果。

上文已对基本概念做了描述，显然，对于本领域技术人员来说，上述详细披露仅仅作为示例，而并不构成对本申请的限定。虽然此处并没有明确说明，本领域技术人员可能会对本说明书进行各种修改、改进和修正。该类修改、改进和修正在本说明书中被建议，所以该类修改、改进、修正仍属于本说明书示范实施例的精神和范围。

同时，本说明书使用了特定词语来描述本说明书的实施例。如“一个实施例”、“一实施例”、和/或“一些实施例”意指与本说明书至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一个替代性实施例”并不一定是指同一实施例。此外，本说明书的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

此外，本领域技术人员可以理解，本说明书的各方面可以通过若干具有可专利性的种类或情况进行说明和描述，包括任何新的和有用的工序、机器、产品或物质的组合，或对他们的任何新的和有用的改进。相应地，本说明书的各个方面可以完全由硬件执行、可以完全由软件(包括固件、常驻软件、微码等)执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。此外，本说明书的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。

计算机存储介质可能包含一个内含有计算机程序编码的传播数据信号，例如在基带上或作为载波的一部分。该传播信号可能有多种表现形式，包括电磁形式、光形式等，或合适的组合形式。计算机存储介质可以是除计算机可读存储介质之外的任何计算机可读介质，该介质可以通过连接至一个指令执行系统、装置或设备以实现通讯、传播或传输供使用的程序。位于计算机存储介质上的程序编码可以通过任何合适的介质进行传播，包括无线电、电缆、光纤电缆、RF、或类似介质，或任何上述介质的组合。

本说明书各部分操作所需的计算机程序编码可以用任意一种或多种程序语言编写，包括面向对象编程语言如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB.NET、Python等，常规程序化编程语言如C语言、VisualBasic、Fortran2003、Perl、COBOL2002、PHP、ABAP，动态编程语言如Python、Ruby和Groovy，或其他编程语言等。该程序编码可以完全在用户计算机上运行、或作为独立的软件包在用户计算机上运行、或部分在用户计算机上运行部分在远程计算机运行、或完全在远程计算机或处理设备上运行。在后种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网(LAN)或广域网(WAN)，或连接至外部计算机(例如通过因特网)，或在云计算环境中，或作为服务使用如软件即服务(SaaS)。

此外，除非权利要求中明确说明，本说明书所述处理元素和序列的顺序、数字字母的使用、或其他名称的使用，并非用于限定本说明书流程和方法的顺序。尽管上述披露中通过各种示例讨论了一些目前认为有用的发明实施例，但应当理解的是，该类细节仅起到说明的目的，附加的权利要求并不仅限于披露的实施例，相反，权利要求旨在覆盖所有符合本说明书实施例实质和范围的修正和等价组合。例如，虽然以上所描述的系统组件可以通过硬件设备实现，但是也可以只通过软件的解决方案得以实现，如在现有的处理设备或移动设备上安装所描述的系统。

同理，应当注意的是，为了简化本说明书披露的表述，从而帮助对一个或多个发明实施例的理解，前文对本说明书实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本说明书对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。

Claims

1.一种骗赔行为识别方法，包括：

获取多个资金盗用理赔案件；

获取所述多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，所述行为链路包括根据时间顺序排列的多个用户行为；

基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列；

基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列。

2.如权利要求1所述的骗赔行为识别方法，所述基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列包括：

对所述多个资金盗用理赔案件的多条行为链路进行聚类，以获得多种行为链路类别；

针对至少一种行为链路类别，确定所述至少一条频繁行为序列。

3.如权利要求2所述的骗赔行为识别方法，所述对所述多个资金盗用理赔案件的多条行为链路进行聚类，以获得多种行为链路类别包括：

利用编码算法对所述多条行为链路进行编码，获得编码后的多个行为链路向量；

利用向量聚类算法对所述多个行为链路向量进行聚类，以获得所述多种行为链路类别。

4.如权利要求2所述的骗赔行为识别方法，所述针对至少一种行为链路类别，确定所述至少一条频繁行为序列包括：

针对所述至少一种行为链路类别，利用关联规则挖掘算法确定所述至少一条频繁行为序列。

5.如权利要求1所述的骗赔行为识别方法，所述基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列包括：

当所述频繁行为序列在历史骗赔案件中的出现频率大于或等于设定阈值时，判断所述频繁行为序列为骗赔高危序列；

当所述频繁行为序列在历史骗赔案件中的出现频率小于设定阈值时，判断所述频繁行为序列不是骗赔高危序列。

6.如权利要求1所述的骗赔行为识别方法，所述用户行为包括用户操作行为和用户交易行为。

7.如权利要求6所述的骗赔行为识别方法，所述用户操作行为包括以下行为中的至少一种：修改设置、修改核身校验方式、手机换绑、修改登录密码和修改操作密码。

8.如权利要求6所述的骗赔行为识别方法，所述用户交易行为包括支付行为和/或密码校验行为。

9.如权利要求1所述的骗赔行为识别方法，所述频繁行为序列中至少包括用户交易行为。

10.一种骗赔案件识别方法，包括：

获取第一资金盗用理赔案件；

获取所述第一资金盗用理赔案件的第一行为链路，所述第一行为链路包括根据时间顺序排列的多个用户行为；

获取利用权利要求1～9任一项所述的骗赔行为识别方法识别出的骗赔高危序列；

根据所述第一行为链路是否包含所述骗赔高危序列，确定所述第一资金盗用理赔案件是否为骗赔高危案件。

11.一种骗赔行为识别系统，包括获取模块、确定模块和判断模块；

所述获取模块用于获取多个资金盗用理赔案件；

所述获取模块还用于获取所述多个资金盗用理赔案件中每个资金盗用理赔案件的行为链路，所述行为链路包括根据时间顺序排列的多个用户行为；

所述确定模块用于基于所述多个资金盗用理赔案件的多条行为链路，确定至少一条频繁行为序列；

所述判断模块用于基于所述频繁行为序列在历史骗赔案件中的出现情况，判断所述频繁行为序列是否为骗赔高危序列。

12.如权利要求11所述的骗赔行为识别系统，所述确定模块进一步包括聚类单元和频繁行为序列确定单元；

所述聚类单元用于对所述多个资金盗用理赔案件的多条行为链路进行聚类，以获得多种行为链路类别；

所述频繁行为序列确定单元用于针对至少一种行为链路类别，确定所述至少一条频繁行为序列。

13.如权利要求12所述的骗赔行为识别系统，所述确定模块进一步包括编码单元，所述编码单元用于：利用编码算法对所述多条行为链路进行编码，获得编码后的多个行为链路向量；

所述聚类单元进一步用于：利用向量聚类算法对所述多个行为链路向量进行聚类，以获得所述多种行为链路类别。

14.如权利要求12所述的骗赔行为识别系统，所述频繁行为序列确定单元进一步用于：

15.如权利要求11所述的骗赔行为识别系统，所述判断模块进一步用于：

16.如权利要求11所述的骗赔行为识别系统，所述用户行为包括用户操作行为和用户交易行为。

17.如权利要求16所述的骗赔行为识别系统，所述用户操作行为包括以下行为中的至少一种：修改设置、修改核身校验方式、手机换绑、修改登录密码和修改操作密码。

18.如权利要求16所述的骗赔行为识别系统，所述用户交易行为包括支付行为和/或密码校验行为。

19.如权利要求11所述的骗赔行为识别方法，所述频繁行为序列中至少包括用户交易行为。

20.一种骗赔案件识别系统，包括获取模块和确定模块；

所述获取模块用于获取第一资金盗用理赔案件；

所述获取模块还用于获取所述第一资金盗用理赔案件的第一行为链路，所述第一行为链路包括根据时间顺序排列的多个用户行为；

所述获取模块还用于获取利用权利要求11～19任一项所述的骗赔行为识别系统识别出的骗赔高危序列；

所述确定模块用于根据所述第一行为链路是否包含所述骗赔高危序列，确定所述第一资金盗用理赔案件是否为骗赔高危案件。

21.一种计算设备，所述计算设备包括至少一个处理器和至少一个存储设备，所述存储设备用于存储指令，当至少一个处理器执行指令时，实现如权利要求1～10中任一项所述的方法。

22.一种存储介质，所述存储介质用于存储计算机指令，当计算机读取所述存储介质中的计算机指令后，执行如权利要求1～10中任一项所述的方法。