CN111461784B - 一种基于多模型融合的欺诈行为检测方法 - Google Patents

Abstract

本发明公开了一种基于多模型融合的欺诈行为检测方法。包括步骤：1)采集欺诈行为相关数据并对数据进行预处理；2)设计并构建不同的模型方案；3)使用不同模型对数据预测得到不同欺诈分值，并计算各分值的评价损失；4)提取各模型的关键特征，与各模型预测的欺诈分值共同组成特征集合；5)使用特征集合训练数据分组模型；6)针对每个数据分组，训练该分组内各模型的融合权重；7)对待检测数据进行欺诈分值计算。本发明利用不同模型擅长预测不同种类欺诈行为的特点，通过分组融合最大程度发挥各个模型的优势，实现更准确的欺诈行为检测。

Description

一种基于多模型融合的欺诈行为检测方法

技术领域

本发明涉及人工智能及互联网防欺诈技术领域，尤其涉及一种基于多模型融合的欺诈行为检测方法。

背景技术

随着互联网产业的高速发展，个人与企业受惠于互联网便捷性的同时，由于网络的匿名性，也滋生了越来越多的网络欺诈行为，甚至形成了庞大的黑色产业链，给用户和企业的资金安全造成了严重威胁。网络防欺诈技术是维护互联网产业安全的重要手段。以前的网络防欺诈技术大多采用人工规则和专家系统，准确率高但死板且耗费人力，随着欺诈手法越来越高明，这种需要人工不断更新迭代的检测方案难以快速适应日新月异的欺诈手法。因此亟需研究能够自主挖掘欺诈行为规律并能快速适应新型欺诈手段的防欺诈方案。

人工智能技术作为近几年的研究热点，已在商品推荐、图像识别、NLP等领域被大量应用，关于机器学习在欺诈检测领域的落地应用也是目前风控领域的热门研究方向。然而现有的机器学习模型和传统规则模型各有各自的优缺点，即便同样是机器学习模型，不同类型的模型算法擅长检测的欺诈行为也各不相同，简单的加权融合或规则融合并不能充分发挥模型各自的优势。如何平衡不同模型之间的优劣势，充分发挥模型各自的擅长点，实现对不同欺诈行为更准确的预测，是目前亟待解决的问题。

发明内容

本发明的目的在于克服现有技术的缺点与不足，提出了一种基于多模型融合的欺诈行为检测方法，提高移动应用广告欺诈检测的准确性。

为实现上述目的，本发明提供的技术方案为：一种基于多模型融合的欺诈行为检测方法，包括以下步骤：

1)采集欺诈行为相关数据作为样本数据，并对样本数据进行预处理，所述预处理包括人工标注样本数据的真实标签；

2)设计不同的模型方案，针对不同方案分别进行欺诈行为特征提取和模型构建，得到特征集合T和模型集合M＝{M1,M2,…,Mn}；

3)使用模型预测样本数据，每条样本数据得到n个欺诈分值s＝{s1,s2,…,sn}，将n个欺诈分值分别与样本数据的真实标签代入评价损失函数计算出对应模型在该样本上的评价损失li’，得到该样本数据的评价损失集合l’＝{l1’,l2’,…ln’}，将每个损失li’减去l’的均值后得到中心化后的评价损失集合l＝{l1,l2,…ln}；

4)从特征集合T中提取各模型的关键特征，与n个欺诈分值共同构成新的特征集合Tg；

5)使用特征集合Tg训练数据分组模型Mg，使得同个分组内样本数据的评价损失l之间的距离尽可能小，假设训练得到m个分组，则数据分组G＝{G1,G2,…Gm}；

6)针对G中每一个数据分组G_j，寻找一组模型加权融合权重A_j＝{a_j1,a_j2,…,a_jn}，使得样本数据加权求和后的欺诈分值的评价损失尽量小。即:

7)对待检测数据进行欺诈分值计算。

进一步地，步骤1)中采集的欺诈行为相关数据包括，欺诈双方的身份标识信息、身份属性信息、设备信息、IP信息、时间信息、地理信息等欺诈行为发生时的上下文信息。

进一步地，数据预处理还包括，脏数据剔除、和空缺值填充。

进一步地，步骤2)中设计的不同模型方案包括，规则模型、不同特征训练得到的多个GBDT模型、神经网络模型。

进一步地，步骤3)所采用的评价损失函数为logloss，对于只产生0、1分类结果的模型，人为设定模型预测为0或1时对应的概率值，再使用logloss计算损失。

进一步地，步骤4)中提取模型关键特征的具体操作为，选取每个模型对模型分数贡献度最高的前k个特征作为关键特征，当不同模型之间有相同或者语义相似的关键特征时，只采用其中一个。

进一步地，步骤5)中所训练的分组模型为树模型，将每个样本的评价损失l作为训练标签，以最小化每个叶子节点中样本标签之间的距离作为节点分裂目标，并限制最大树深和节点分裂的最小样本量，最终模型训练完成后的叶子节点即为所求分组。

进一步地，同组内样本标签之间的距离采用样本标签到样本中心点的平均欧式距离来衡量，具体计算方法为：

1)计算组内数据的样本中心点

设组内第i个样本的评价损失为l_i＝{l_i1,l_i2,…,l_in}，其中l_ij表示该样本在第j个模型上的评价损失。则

表示组内所有样本在第j个模型上的评价损失的平均值。

即为该组数据的平均评价损失。

2)计算组内每条数据到平均损失

的欧式距离的平均值，即组内距离：

进一步地，步骤6)中针对目标函数采用梯度下降法训练得到各分组的模型融合权重。

本发明与现有技术相比，具有如下有益效果：

(1)本发明通过数据分组独立设定模型融合权重的方式，充分挖掘了不同模型在不同欺诈行为检测上的优势，大大提升了模型融合后的效果，实现更准确的欺诈行为检测。

(2)本发明利用模型评价损失的差异训练分组模型，既能使分组结果最大程度聚焦在模型预测的差异性上，又避免了传统规则融合方案需要依赖人工分析制定适用条件和融合权重的局限性。

附图说明

图1为本发明实施例的总体流程图。

图2为本发明实施例中多模型构建流程图。

图3为本发明实施例中分组模型融合权重示意图。

图4为本发明实施例中欺诈检测流程图。

具体实施方式

下面结合实施例及附图对本发明作进一步详细的描述，但本发明的实施方式不限于此。

如图1所示，本实施例所提供的基于多模型融合的欺诈行为检测方法，具体步骤包括：

1)采集欺诈行为相关数据作为样本数据，并对样本数据进行预处理，所述预处理包括脏数据剔除、空缺值填充和人工标注样本数据的真实标签；

在本实施例中，待检测的欺诈行为是移动广告欺诈，采集的相关数据包含以下信息：a)媒体信息：包括媒体标识、安装包标识、版本号标识、广告位标识、app所属分类；b)时间信息：即广告被用户点击时的具体时间，精确到秒；c)IP信息：发起请求的客户端IP地址、请求的http协议头部携带的下游服务器ip；d)地理位置信息：包括省份、城市；e)设备信息：移动设备的imei码、安卓id码、mac地址、设备类型、机型、厂商、网络类型、运营商、操作系统、横竖屏状态、语言、设备宽高、屏幕密度等。

进行的预处理流程包括：剔除明显不合规的数据，如媒体关键标识信息缺失、IP地址为本机地址或IP空缺等；清除空缺值过多或语义重复的字段信息，如安卓id码、mac地址；根据需要对空缺值进行填充，如根据城市填补空缺的省份信息；通过IP黑名单、设备黑名单、网络信息异常、用户行为异常等传统异常检测规则和专家审查为所有样本数据进行人工标注，欺诈行为标注为1，非欺诈行为标注为0。

2)设计不同的模型方案，针对不同方案分别进行欺诈行为特征提取和模型构建，得到特征集合T和模型集合M＝{M1,M2,…,Mn}，n代表模型的数量。

最终构建的模型方案如图2所示。本实施例中共构建了4组特征和3个模型，即n为3。其中规则模型方案主要由领域专家制定的欺诈检测规则构成，包括决定性规则(如IP黑名单、设备黑名单等)和指示性规则(如高危网络环境、高嫌疑设备类型等)。决定性规则和指示性规则是一种规则分类，业界将满足其中一条规则即判定为欺诈的规则称为决定性规则；而指示性规则则是在满足规则条件时设定一个嫌疑分值，将所有指示性规则的分值相加，超过一定阈值则判定为欺诈。一般这两种规则类型会一起使用，以避免误判或漏判。lightgbm是擅长预测连续型特征的GBDT模型，DNN模型善于处理类别型特征及高维关系特征。图嵌入特征是采用随机游走算法生成5维IP编码特征，并被同时应用到lightgbm跟DNN当中。

3)使用模型预测样本数据，每条样本数据得到n个欺诈分值s＝{s1,s2,…,sn}，将n个欺诈分值分别与样本数据的真实标签代入评价损失函数计算出对应模型在该样本上的评价损失li’，得到该样本数据的评价损失集合l’＝{l1’,l2’,…ln’}，将每个损失li’减去l’的均值后得到中心化后的评价损失集合l＝{l1,l2,…ln}；

lightgbm和DNN产生的预测结果均是大于0小于1的概率值。而在规则模型中，满足决定性规则的样本数据为必然欺诈，输出预测结果为1，其余样本数据根据指示性规则得到一个0～1的概率分值。本实例中采用的评价损失是logloss损失，由于logloss对于预测结果为0或1且预测错误的样本损失为无穷大，因此对规则模型用于计算评价损失的预测值做如下修正：

4)从特征集合T中提取各模型的关键特征，去重后与n组欺诈分值s共同构成新的特征集合Tg。

本实例从特征集合T中选取了规则模型中的全部特征、lightgbm模型贡献度最大的前30个特征、图嵌入算法得到的5维特征、DNN模型的所有统计值特征作为关键特征。去重后与3组模型的原始预测分值(未修正的)组合成新的特征集合Tg。

5)使用特征集合Tg训练数据分组模型Mg，使得同个分组内样本数据的评价损失l之间的距离尽可能小。假设训练得到m个分组，则数据分组G＝{G1,G2,…Gm}。

如图3所示，本实施例中使用单棵决策树训练分组模型，将每个样本的评价损失l作为训练标签，以最小化每个叶子节点中样本标签之间的距离作为节点分裂目标，并限制最大树深为7、节点分裂的最小样本量为100。

其中同组内样本标签之间的距离采用样本标签到样本中心点的平均欧式距离来衡量，具体计算方法为：

1.计算组内数据的样本中心点

设组内第i个样本的评价损失为l_i＝{_li1,l_i2,…,l_in}，其中l_ij表示该样本在第j个模型上的评价损失。则

表示组内所有样本在第j个模型上的评价损失的平均值。

即为该组数据的平均评价损失。

2.计算组内每条数据到平均评价损失

的欧式距离的平均值，即组内距离：

其中x_i为隶属于某一个分组G的第i条样本，l_ij为该样本在第j个模型上的评价损失。|X|表示分组G中的总样本数。

最终模型训练完成后得到122个叶子节点，即122个分组。

6)针对G中每一个数据分组Gj，寻找一组模型加权融合权重A_j＝{a_j1,a_j2,…,a_jn}，使得样本数据加权求和后的欺诈分值的评价损失尽量小。即待优化的目标函数为:

s.t.x_i∈G_j,G_j∈G

其中，a_j1～a_jn是样本x_i所在分组G_j的加权融合权重，s_i1～s_in为样本x_i在n个模型上预测出的欺诈分值，根据权重计算求得的欺诈分值的加权总和即为样本x_i最终的欺诈分

y_i为样本的真实标签，loss(y`,y)为评价损失函数。

本实例共有122*3＝366个待训练权重。为方便求解，上式中带约束项的

亦可改写成下面等价形式：

其中，g_i为1×122的分组指示向量，假设样本x_i属于第k分组，则g_i向量除第k维为1外，其余维度均为0。A为122×3的融合权重矩阵。s_i为样本x_i使用3个模型预测得到的3×1的欺诈分值向量。

本实例采用的评价损失函数为logloss，其表达式为：

logloss(y′,y)＝ylog(y′)+(1-y)log(1-y′)

其中y’为预测值，y为真实标签。

将改写后的

和logloss代入原目标函数，得到最终的目标函数J为：

使用梯度下降法最小化目标函数J，最终得到权重矩阵A的最优解。

7)对于新的待检测数据，先使用M1～Mn对预测出n个欺诈分值，再使用分组模型Mg预测出数据的分组，最后使用该分组的加权融合权重A计算出最终的欺诈分数，并根据阈值判断是否是欺诈行为。

预测流程如图4所示，将计算好的待预测数据特征依次输入3个单模型中，得到单模型欺诈分值向量，再将关键特征与分数向量输入分组模型Mg中，得到数据的分组向量，最后根据分组融合权重计算得到数据最终的欺诈分值。由于采用logloss评价损失训练得到的分值均为0～1之间的概率，这里取0.5作为阈值。大于等于0.5的判断为欺诈行为，小于0.5的判断为正常行为。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (9)

1.一种基于多模型融合的欺诈行为检测方法，其特征在于：包括以下步骤：

1)采集欺诈行为的相关数据作为样本数据，并对样本数据进行预处理，所述预处理包括人工标注样本数据的真实标签；

2)设计不同的模型方案，针对不同方案分别进行欺诈行为特征提取和模型构建，得到特征集合T和模型集合M＝{M1,M2,…,Mn}，n代表模型的数量；

3)使用模型预测样本数据，每条样本数据得到n个欺诈分值s＝{s1,s2,…,sn}，将n个欺诈分值分别与样本数据的真实标签代入评价损失函数计算出对应模型在该样本上的评价损失li’，得到该样本数据的评价损失集合l’＝{l1’,l2’,…ln’}，将每个损失li’减去l’的均值后得到中心化后的评价损失集合l＝{l1,l2,…ln}；

4)从特征集合T中提取各模型的关键特征，与n个欺诈分值共同构成新的特征集合Tg；

5)使用特征集合Tg训练数据分组模型Mg，使得同个分组内样本数据的评价损失l之间的距离尽可能小，假设训练得到m个分组，则数据分组G＝{G1,G2,…Gm}；

6)针对G中每一个数据分组G_j，寻找一组模型加权融合权重A_j＝{a_j1,a_j2,…,a_jn}，使得样本数据加权求和后的欺诈分值的评价损失尽量小，即:

7)对待检测数据进行欺诈分值计算。

2.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤1)中采集的欺诈行为的相关数据包括，欺诈双方的身份标识信息、身份属性信息、设备信息、IP信息、时间信息、地理信息。

3.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤1)中的数据预处理还包括脏数据剔除和空缺值填充。

4.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤2)中设计的不同模型方案包括，规则模型、不同特征训练得到的多个GBDT模型、神经网络模型。

5.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤3)中所采用的评价损失函数为logloss，对于只产生0、1分类结果的模型，人为设定模型预测为0或1时对应的概率值，再使用logloss计算损失。

6.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤4)提取模型关键特征的具体操作为，选取每个模型对模型分数贡献度最高的前k个特征作为关键特征，当不同模型之间有相同或者语义相似的关键特征时，只采用其中一个。

7.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤5)中所训练的分组模型为树模型，将每个样本的评价损失l作为训练标签，以最小化每个叶子节点中样本标签之间的距离作为节点分裂目标，并限制最大树深和节点分裂的最小样本量，最终模型训练完成后的叶子节点即为所求分组。

8.根据权利要求7所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：采用样本标签到样本中心点的平均欧式距离来衡量同组内样本评价损失之间的距离，具体计算方法为：

1)计算组内数据的样本中心点

设组内第i个样本的评价损失为l_i＝{l_i1,l_i2,…,l_in}，其中l_ij表示该样本在第j个模型上的评价损失，则

表示组内所有样本在第j个模型上的评价损失的平均值，

即为该组数据的平均评价损失；

2)计算组内每条数据到平均评价损失

的欧式距离的平均值，即组内距离：

9.根据权利要求1所述的一种基于多模型融合的欺诈行为检测方法，其特征在于：步骤6)中针对目标函数采用梯度下降法训练得到各分组的模型融合权重。

Images