CN112801667A - 一种实时的交易异常检测方法及装置 - Google Patents

Abstract

本发明实施例提供一种实时的交易异常检测方法及装置，该方法包括：获取交易信息，所述交易信息中包含多个维度的交易特征值；针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；根据所述各维度的检测结果确定所述交易信息是否异常。上述方法，能够解决现有技术中交易欺诈行为覆盖率低，识别异常交易准确率低的问题。

Description

一种实时的交易异常检测方法及装置

技术领域

本申请涉及数据处理技术领域，尤其涉及一种实时的交易异常检测方法及装置。

背景技术

随着全球经济的快速发展，人们的消费水平不断提高，银行卡作为一种金融产品，具有便于携带、快捷消费等优点，使得银行卡迅速普及，并衍生出信用卡、借记卡、储蓄卡等种类。然而银行卡也存在一些安全隐患，比如信用卡套现、信用卡盗刷、储蓄卡盗刷、借记卡盗刷等。信用卡套现是指持卡人不是通过正常合法手续提取现金，而通过其他手段将卡中信用额度内的资金以现金的方式套取，同时又不支付银行提现费用的行为。信用卡套现会增加金融风险，不利用金融秩序的稳定，给银行资金安全带来极大风险。盗刷就是不法份子利用高科技手段复制他人的储蓄卡、信用卡、借记卡卡号以及密码等信息，提取现金供自己使用；给对方造成财产损失的一种违法行为。以及，盗用支付软件账号，通过该支付软件账号盗用他人资金，造成他人财产损失。为了避免上述问题，需要及时识别套现、盗刷和盗用支付软件账号等行为。

目前，现有技术中已有的解决方案是从交易信息的银行卡维度着手，通过对包含相同银行卡卡号的交易信息进行统计；如，通过获取同一信用卡的多个交易的平均交易额、交易地点等统计结果检测异常交易信息，以识别套现和盗刷等行为。但该方式并不能完全准确检测到异常交易信息；如，若不法分子通过多个信用卡分别进行小额度的套现，该套现行为是不明显的，异常交易信息不易被检测出来。因此，在银行卡维度进行异常交易信息检测，很难全面覆盖套现和盗刷等交易欺诈行为的检测。

综上，目前亟需一种实时的交易异常检测方法及装置，用于解决现有技术中交易欺诈行为覆盖率低，识别异常交易准确率低的问题。

发明内容

本发明实施例提供一种实时的交易异常检测方法及装置，用于解决现有技术中交易欺诈行为覆盖率低，识别异常交易准确率低的问题。

第一方面，本发明实施例提供一种实时的交易异常检测方法，该方法包括：

获取交易信息，所述交易信息中包含多个维度的交易特征值；针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；根据所述各维度的检测结果确定所述交易信息是否异常。

上述方法中，获取交易信息，交易信息中包含多个维度的交易特征值，针对多个维度中的任一维度，根据该维度的第一分发规则，确定处理该交易信息的检测节点。也就是说，针对交易信息的多个维度进行检测。从各检测节点获取该交易信息在各维度的检测结果，根据各维度的检测结果确定该交易信息是否异常。也就是说，根据多个维度的检测结果共同确定该交易信息是否异常。相比于现有技术中通过单一维度进行交易异常检测来说，本申请可以通过多维度进行交易异常检测，提高交易异常场景的覆盖率，提高识别异常交易的准确率。

可选的，从各检测节点获取所述交易信息在各维度的检测结果之前，还包括：针对任一维度，按照所述维度的第二分发规则，确定统计节点中处理所述交易信息的统计单元；所述统计单元按照所述维度的统计规则，根据所述维度的交易特征值与历史交易特征值进行统计，将统计结果发送给处理所述交易信息的检测节点；所述统计节点中包括针对不同维度的统计单元，统计单元中包括针对不同统计对象的统计规则。

上述方法中，针对任一维度，按照该维度的第二分发规则，确定统计节点中处理交易信息的统计单元；也就是说，可以将交易信息根据第二分发规则进一步分发，以使得统计节点中的统计单元对交易信息中的相关数据等进行统计处理；如此，将统计规则从检测规则中分离出来，由统计节点进行统计、检测节点进行检测，可以降低检测节点的处理压力，降低检测时间。其中，对该维度的交易特征值与历史交易特征值进行统计，获取该维度的历史交易特征和当前交易特征；可以确定当前交易特征是否与历史交易特征有较大出入，或者根据当前交易特征值和历史交易特征值获取的统计结果异常等，以使得检测节点可以判断该交易信息是否异常。

可选的，所述多个维度设置有不同的维度优先级；按照所述维度的分发规则，确定处理所述交易信息的检测节点之前，还包括：所述维度的维度优先级为第一优先级；确定已获得第二优先级的各维度的检测结果，所述第二优先级高于所述第一优先级。

上述方法中，通过使得获取第二优先级的各维度的检测结果后，对第一优先级的维度的交易特征值等信息进行检测等处理，获取第一优先级的维度的检测结果。如此，可以通过设置各维度的优先级，以达到对各维度的交易特征值等信息进行串行检测等处理。

可选的，确定处理所述交易信息的检测节点之后，还包括：在所述检测节点中开启针对所述交易信息的同步锁；将统计结果发送给处理所述交易信息的检测节点之后，还包括：在所述检测节点中关闭针对所述交易信息的同步锁。

上述方法中，通过在检测节点中开启针对该交易信息的同步锁，并在获取该交易信息的统计结果后将该同步锁关闭，以使得检测节点确定交易信息对应的统计规则有得到统计结果，保证每笔交易都得到统计，增加交易异常检测的准确性。可以保证每个检测规则和统计规则中的交易信息的检测和统计为串行执行，防止交易信息的检测和统计混乱导致检测结果和统计结果不准确。

可选的，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点，包括：按照所述维度的第一分发规则，通过所述维度的交易特征值确定处理所述交易信息的检测节点及确定所述检测节点中处理所述交易信息的检测分组；通过所述交易信息中的各交易项，从所述检测分组中确定检测规则组；所述检测规则分组由所述检测组中的至少一个检测规则组成。

上述方法中，检测节点中包含多个检测分组。也就是说，检测节点中的多个检测分组可以并行进行检测，增加检测节点的检测速度；以及，每个检测分组中包含多个不同的检测规则组，根据交易信息中包含的交易项确定该交易的检测规则组。也就是说，检测分组中可以包含多个不同的检测规则，每个检测规则对应每个交易项的检测；根据交易信息中所包含的交易项可以确定针对每个交易信息对应的多个检测规则，也就是针对每个交易信息形成的检测规则组。如此，可以针对每个交易信息进行灵活检测，增加检测结果的精确度。

可选的，同一检测规则组中的各检测规则串行执行；不同检测规则组中的各检测规则并行执行。

上述方法中，同一检测规则组中的各检测规则串行执行。如此，当一个检测规则的检测结果依赖于上一个检测规则时，通过串行可以实现获取所需要的所有检测结果。

可选的，确定统计节点中处理所述交易信息的统计单元之前，还包括：通过所述检测节点将所述交易信息发送至消息中间件；通过所述消息中间件将所述交易信息发送至所述统计节点。

上述方法中，通过消息中间件传输交易信息，保证交易信息可以准确发送至对应的统计节点。

可选的，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点之前，还包括：确定所述维度为异常检测中设置的维度。

上述方法中，在按照维度的第一分发规则进行分发之间，可以对交易信息进行过滤，若该交易信息无需进行某维度的检测，则无需将对应该维度的该交易信息分发并检测，增加维度检测的针对性。

可选的，两个检测节点为一个探测组，所述探测组内的所述两个检测节点互相探测检测结果的更新时间，还包括：在所述探测组内的一个检测节点确定所述探测组内的另一个检测节点的所述更新时间高于设定时间阈值，则调整所述第一分发规则，使得所述探测组内的一个检测节点接收所述探测组内的另一个检测节点的待检测的交易信息，所述两个检测节点中的所述检测规则相同。

上述方法中，可以使得检测节点之间互相探测检测结果的更新时间，若更新时间异常，超出该检测节点更新的预设时间阈值，则可以认为该检测节点发生故障。由该探测组中正常检测的检测节点接管该故障检测节点的检测任务。保证交易异常检测的稳定性。

第二方面，本发明实施例提供一种实时的交易异常检测装置，该装置包括：

获取模块，用于获取交易信息，所述交易信息中包含多个维度的交易特征值；

分发模块，用于针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；

所述获取模块还用于，从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；

处理模块，用于根据所述各维度的检测结果确定所述交易信息是否异常。

第三方面，本申请实施例还提供一种计算设备，包括：存储器，用于存储程序；处理器，用于调用所述存储器中存储的程序，按照获得的程序执行如第一方面的各种可能的设计中所述的方法。

第四方面，本申请实施例还提供一种计算机可读非易失性存储介质，包括计算机可读程序，当计算机读取并执行所述计算机可读程序时，使得计算机执行如第一方面的各种可能的设计中所述的方法。

本申请的这些实现方式或其他实现方式在以下实施例的描述中会更加简明易懂。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种实时的交易异常检测的架构示意图；

图2为本发明实施例提供的一种实时的交易异常检测的流程示意图；

图3为本发明实施例提供的一种实时的交易异常检测的架构示意图；

图4为本发明实施例提供的一种实时的交易异常检测的流程示意图；

图5为本发明实施例提供的一种实时的交易异常检测的流程示意图；

图6为本发明实施例提供的一种实时的交易异常检测装置示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

图1为本发明实施例提供的一种实时的交易异常检测的系统架构，分发服务器101在获取到交易信息后，根据交易信息的多个维度的交易特征值，针对任一维度，按照该维度的第一分发规则，将该交易信息发送至检测节点集群102中的对应检测节点，使得该检测节点根据该维度的检测规则对该交易信息进行检测，获取检测结果。这里该交易信息的各维度的检测结果获取方法可以为，通过分别在检测节点集群102中的不同检测节点中进行对应维度的交易特征值等信息的统计，以根据获取的统计结果获取检测结果；之后，检测节点集群102中的一个或多个检测节点，从该不同检测节点中获取该交易信息在各维度的检测结果，根据该各维度的检测结果确定该交易信息是否异常。此处，还可以另外设置判定服务器103，使得判定服务器103从该不同检测节点中获取该交易信息在各维度的检测结果，根据该各维度的检测结果确定该交易信息是否异常。如此，通过判定服务器103进行该交易信息是否异常的判定，可以分担检测节点的处理压力，保证交易异常检测的系统的良性运行。其中，若由多个检测节点，同时从该不同检测节点中获取该交易信息在各维度的检测结果，并根据该各维度的检测结果确定该交易信息是否异常时，其中一个检测节点确定该交易信息为异常交易或正常交易，则其余该多个检测节点可以停止判断处理。如此，可以加快交易检测速度。另外，分发服务器101可以为一个分发服务器集群中的分发服务器，判定服务器103可以分别为一个判定服务器集群中的判定服务器。

基于此，本申请实施例提供了一种实时的交易异常检测方法的流程，如图2所示，包括：

步骤201、获取交易信息，所述交易信息中包含多个维度的交易特征值；

此处，多个维度可以包括：银行卡、商户、IP等维度；多个维度的交易特征值：例如，银行卡维度的交易特征值为该交易信息中的银行卡卡号、商户维度的交易特征值为该交易信息中的商户编号、IP维度的交易特征值为该交易信息中的IP地址等等。

步骤202、针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；

此处，在一种示例中，第一分发规则可以为根据交易特征值进行分发；如，根据交易信息的银行卡卡号的倒数第一位的余数确定将该交易信息的检测节点；根据交易信息的商户编号的倒数第一位的余数确定该交易信息的检测节点等。如，银行卡卡号：123456789，确定倒数第一位的余数：9/10的余数为9，则将该交易信息分发至银行卡卡号的倒数第一位的余数9所对应的检测节点中。检测节点中包含的检测规则；例如，可以为获取该交易信息的交易平均额，根据该交易平均额和交易平均额的阈值确定该交易信息在该维度的检测结果。例如，若该交易平均额大于交易平均额的阈值，则确定该交易信息在该维度为异常交易。

步骤203、从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；

此处，在一种示例中，基于银行卡维度的交易特征值(可以为信用卡卡号)的统计结果为：当前交易与最近的9笔历史交易的交易平均额为100000元，该信用卡卡号的交易平均额的阈值为100元(例如，可以为根据前一个月、前两个月等该信用卡卡号的所有交易信息确定的交易平均额的阈值)；按照该维度的检测规则确定该交易信息在该维度是否异常为：交易平均额100000元大于交易平均额的阈值100元，该交易信息在银行卡维度为异常交易。

步骤204、根据所述各维度的检测结果确定所述交易信息是否异常。

此处，例如，该交易信息在银行卡维度、商户维度、IP维度的检测结果均异常，则确定该交易信息异常。

上述方法中，获取交易信息，交易信息中包含多个维度的交易特征值，针对多个维度中的任一维度，根据该维度的第一分发规则，确定处理该交易信息的检测节点。也就是说，针对交易信息的多个维度进行检测。从各检测节点获取该交易信息在各维度的检测结果，根据各维度的检测结果确定该交易信息是否异常。也就是说，根据多个维度的检测结果共同确定该交易信息是否异常。相比于现有技术中通过单一维度进行交易异常检测来说，本申请可以通过多维度进行交易异常检测，提高交易异常场景的覆盖率，提高识别异常交易的准确率。

基于图1中的系统架构，图3为本发明实施例提供的一种实时的交易异常检测的系统架构；图3中的该实时的交易异常检测的系统架构为，将图1中系统架构的检测节点中的统计规则等相关程序，分离至统计节点集群305中；以降低检测节点集群302的处理压力。即，如图所示，分发服务器301在获取到交易信息后，根据交易信息的多个维度的交易特征值，针对任一维度，按照该维度的第一分发规则，将该交易信息发送至检测节点集群302中的对应检测节点，使得该检测节点将该交易信息通过消息中间件304将该交易信息发送至统计节点集群305中的对应统计节点中，并根据该维度的第二分发规则，确定该统计节点中处理该交易信息的统计单元。例如，该统计单元的该维度的统计规则为：根据该交易信息的交易特征值获取对应历史交易特征值的各历史交易信息，根据该交易信息和历史交易信息确定交易平均额。之后，将获取的统计结果交易平均额通过消息中间件304发送回检测节点集群302中的该检测节点。进一步，通过判定服务器103或任一个或多个检测节点根据各维度的检测结果确定该交易信息是否异常。这里，统计节点可以与检测节点一一对应，也可以为统计节点与检测节点非一一对应，各统计节点中可以包含相同的统计单元，该统计节点集群305中各统计节点的交易信息的统计任务平均分配。

本申请实施例提供了一种实时的交易异常检测方法，从各检测节点获取所述交易信息在各维度的检测结果之前，还包括：针对任一维度，按照所述维度的第二分发规则，确定统计节点中处理所述交易信息的统计单元；所述统计单元按照所述维度的统计规则，根据所述维度的交易特征值与历史交易特征值进行统计，将统计结果发送给处理所述交易信息的检测节点；所述统计节点中包括针对不同维度的统计单元，统计单元中包括针对不同统计对象的统计规则。例如，针对商户维度，按照商户维度的第二分发规则，第二分发规则可以为根据商户编号1234的倒数第三位的余数，可以为3/10的余数为3，确定处理该交易信息的统计单元。该统计单元按照商户维度的统计规则，获取历史交易信息中商户编号为1234的历史交易信息，根据当前交易信息的交易额和各历史交易信息的交易额，确定统计结果-交易平均额。将交易平均额发送回处理该交易信息的检测节点。其中，统计对象可以是交易平均额、刷卡频率等。

本申请实施例提供了一种实时的交易异常检测方法，所述多个维度设置有不同的维度优先级；按照所述维度的分发规则，确定处理所述交易信息的检测节点之前，还包括：所述维度的维度优先级为第一优先级；确定已获得第二优先级的各维度的检测结果，所述第二优先级高于所述第一优先级。此处，通过设置各维度的优先级可以使得各维度的检测串行执行。如此，当某一维度的检测结果需要依赖另一维度的检测结果时，可以通过该方法使得对应维度的检测串行执行，增加结果检测的准确性。

本申请实施例提供了一种实时的交易异常检测方法，确定处理所述交易信息的检测节点之后，还包括：在所述检测节点中开启针对所述交易信息的同步锁；将统计结果发送给处理所述交易信息的检测节点之后，还包括：在所述检测节点中关闭针对所述交易信息的同步锁。例如，基于图3中的系统架构，当检测节点接收到该交易信息时，在该检测节点中开启针对该交易信息的同步锁；当统计节点将该交易信息的统计结果返回至该检测节点时，该检测节点关闭针对该交易信息的同步锁。也可以说为，在该检测节点的该交易信息对应的检测分组中开启针对该交易信息的同步锁，当统计节点将该交易信息的统计结果返回至该检测分组时，该检测分组关闭该同步锁。其中，在一种可能的设计中，该同步锁可以用于：当各维度的检测串行执行的流程时，在进行第二个维度的检测时，即，在第一个维度的检测结果获取后，该检测分组开启同步锁，等待获取第二个维度的统计结果后，关闭同步锁；如此，保证针对一笔交易信息的统计结果获取完整，以根据统计结果进行检测，获取检测结果。如此，防止检测节点中针对该交易信息的检测维度未获取到该交易信息的统计结果，导致检测节点中的对应维度的交易信息的统计信息不完整，进而使得检测结果不准确。

本申请实施例提供了一种实时的交易异常检测方法，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点，包括：按照所述维度的第一分发规则，通过所述维度的交易特征值确定处理所述交易信息的检测节点及确定所述检测节点中处理所述交易信息的检测分组；通过所述交易信息中的各交易项，从所述检测分组中确定检测规则组；所述检测规则组由所述检测分组中的至少一个检测规则组成。

此处，检测节点中可以包含多个检测分组，多个检测分组可以检测逻辑相同。检测分组中可以包含多个检测规则，该多个检测规则中可以包含相同的检测规则。每个检测规则组中包括多个不同的检测规则，不同的检测规则组中可以包含相同的检测规则。例如，针对商户维度的交易特征值-商户编号1234的倒数第一位的余数确定检测节点；根据商户编号1234的倒数第二位的余数确定检测分组；根据交易信息中的各交易项，如，交易额、交易渠道等信息确定检测规则组；如，根据交易信息中的交易额确定针对交易平均额的检测规则、根据交易信息中的交易渠道确定针对交易渠道的检测规则等，由交易平均额的检测规则、交易渠道的检测规则等组成针对该交易信息的检测规则组。若当商户编号为2234的交易信息发送至该检测节点的该检测分组时，根据交易信息中的各交易项，如，交易额、交易时间等信息确定检测规则组，如，根据交易信息中的交易额确定针对交易平均额的检测规则、根据交易信息中的交易时间确定针对交易时间的检测规则等，由交易平均额的检测规则、交易时间的检测规则等组成针对该商户编号为2234的交易信息的检测规则组。如此，商户编号为1234和商户编号为2234的两笔交易信息的检测规则组中的检测规则可以包含相同的针对交易平均额的检测规则。这里需要说明的是，每个维度的检测规则组中包含多个的检测规则可以相同也可以不同，可以根据需要设置，具体不做限定。

本申请实施例提供了一种实时的交易异常检测方法，同一检测规则组中的各检测规则串行执行；不同检测规则组中的各检测规则并行执行。在一种示例中，检测规则组包含多个不同的检测规则，针对交易信息的多个不同的检测结果，可以通过该检测节点中的该检测规则组中包含的多个不同的检测规则串行获取检测结果。

本申请实施例提供了一种实时的交易异常检测方法，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点之前，还包括：确定所述维度为异常检测中设置的维度。也就是说，在对交易信息进行检测前，可以先确定该交易信息的那些维度需要进行检测，那些维度无需进行检测；或者，那些交易信息用检测，那些交易信息不用检测；将无需进行该维度检测的交易信息删除或将无需检测的交易信息删除。如此，通过检测过滤，实现对交易信息有针对性的检测，即可以降低检测和/或统计的工作量，又可以提高检测结果的精确度。

本申请实施例提供了一种实时的交易异常检测方法，两个检测节点为一个探测组，所述探测组内的所述两个检测节点互相探测检测结果的更新时间，还包括：在所述探测组内的一个检测节点确定所述探测组内的另一个检测节点的所述更新时间高于设定时间阈值，则调整所述第一分发规则，使得所述探测组内的一个检测节点接收所述探测组内的另一个检测节点的待检测的交易信息，所述两个检测节点中的所述检测规则相同。也就是说，检测节点集群中的两两节点可以以一定的频率互相探测，若发现对方检测节点中的检测结果在设定时间阈值内未更新，则该对方检测节点出现故障，通过调整第一分发规则(可以根据需要对应调整第二分发规则)，使得接管该对方检测节点中的检测任务。这里探测组中的检测节点可以为两个以上的检测节点互相探测，具体不做限定。

基于上述方法流程，本申请实施例提供了一种交易信息维度串行的实时的交易异常检测方法的流程，如图4所示，包括：

步骤401、获取交易信息，该交易信息中包含多个维度的交易特征值。这里的多个交易特征值可以是银行卡卡号、商户编号、IP地址等。

步骤402、根据第一分发规则确定为第二优先级的维度。该第二优先级的维度为优先进行检测的维度。在一种示例中，该第二优先级进行检测的维度为银行卡维度。

步骤403、根据第一分发规则确定该交易信息中该维度的交易特征值。如，交易特征值为银行卡卡号。

步骤404、根据第一分发规则确定该交易特征值对应的检测节点。在上一示例中，根据银行卡卡号的倒数第一位的余数确定该交易信息对应检测节点1。

步骤405、将该交易信息发送至该对应的检测节点。在上一示例中，该对应的检测节点为检测节点1。

步骤406、根据第一分发规则确定该交易特征值对应的检测分组。在上一示例中，根据银行卡卡号的倒数第二位的余数确定该交易信息对应检测节点1中的检测分组1。

步骤407、根据该交易信息的交易项确定处理该交易信息的检测规则组。在上一示例中，根据交易信息中的交易额、交易渠道、交易时间等信息确定对应的检测规则，根据该对应的检测规则组成检测规则组。

步骤408、检测节点针对该交易信息设置同步锁。这里需要说明的是，若本方案最先执行的是银行卡维度的检测，由于针对一个银行卡的历史交易信息、检测结果以及统计结果都存储在本地，可以无需设置同步锁。

步骤409、将该交易信息发送至对应统计节点的统计单元中，通过统计单元中针对该维度的交易信息的不同的统计对象的统计规则分别进行统计，获取统计结果。在上一示例中，通过统计对象-交易平均额的统计规则(如，获取与该交易信息的银行卡卡号相同的最近的9笔历史交易的历史交易信息，根据该交易信息和该9笔历史交易信息确定平均交易额)确定统计结果-平均交易额为1000元。

步骤410、将该统计结果返回至该对应的检测节点。在上述示例中，将该统计结果返回至检测节点1。

步骤411、该检测节点获取该统计结果后，关闭针对该交易信息的同步锁。这里需要说明的是，在一种实施例中银行卡维度的检测若没有设置同步锁，则无需执行本步骤。

步骤412、该检测节点根据该维度交易信息的检测规则组和该统计结果确定检测结果。在上述示例中，平均交易额为1000元大于预设平均交易额100元，该维度的交易信息的检测结果为异常。这里在一种可能的流程中，将该交易信息和该检测结果保存，并将该交易信息和该检测结果发送至消息中间件。

步骤413、确定该交易信息为第二优先级(该第二优先级高于第一优先级，也就是说，在剩余的未检测的维度中，确定最高优先级的维度)的维度。在一种示例中，若上述银行卡维度为第二优先级维度，则商户维度为第一优先级维度。银行卡维度检测完成后，再次确定该交易信息的第二优先级的维度后(可以是商户维度)，在步骤412中所述的可能的流程中，也可以是该维度的交易特征值对应的检测节点从消息中间件中获取该交易信息，并进行步骤406至步骤413的流程。

循环执行步骤403至步骤413：

步骤403、根据第一分发规则确定该交易信息中该维度的交易特征值。如，交易特征值为商户编号。

步骤404、根据第一分发规则确定该交易特征值对应的检测节点。在上一示例中，根据商户编号的倒数第一位的余数确定该交易信息对应检测节点2，这里也可以是上一维度该交易信息对应的检测节点1，这里对同一交易信息的不同维度的检测处理的检测节点具体不做限定。

步骤405、将该交易信息发送至该对应的检测节点。在上一示例中，该对应的检测节点为检测节点2。

步骤406、根据第一分发规则确定该交易特征值对应的检测分组。在上一示例中，根据商户编号的倒数第二位的余数确定该交易信息对应检测节点2中的检测分组2。

步骤407、根据该交易信息的交易项确定处理该交易信息的检测规则组。在上一示例中，根据交易信息中的交易额、交易渠道、交易时间、交易地点等信息确定对应的检测规则，根据该对应的检测规则组成检测规则组。

步骤408、检测节点针对该交易信息设置同步锁。

步骤409、将该交易信息发送至对应统计节点的统计单元中，通过统计单元中针对该维度的交易信息的不同的统计对象的统计规则分别进行统计，获取统计结果。在上一示例中，通过统计对象-交易总额的统计规则(如，获取与该交易信息的商户编号相同的历史交易的历史交易信息，根据该交易信息和该历史交易信息确定交易总额)确定统计结果-交易总额为100万元。

步骤410、将该统计结果返回至该对应的检测节点，在上述示例中，将该统计结果返回至检测节点2。

步骤411、该检测节点获取该统计结果后，关闭针对该交易信息的同步锁。

步骤412、该检测节点根据该维度的检测规则组和该统计结果确定检测结果。在上述示例中，交易总额为100万元大于预设交易总额90万元，该维度的交易信息的检测结果为异常。

步骤413、若该检测节点确定该交易信息还需要进行下一优先级(剩余维度中的第二优先级)的维度的检测，则继续轮行执行步骤403至步骤412，获取该维度的统计结果。

步骤414、获取该交易信息的各维度的检测结果，根据该交易信息的各维度的检测结果确定该交易信息是否异常。在上述示例中，该交易信息中的银行卡维度的检测结果为交易异常以及该交易信息中的商户维度的检测结果为交易异常，该交易信息异常，如，该交易很可能为该银行卡用户和该商户进行合作非法套现。

这里需要说明的是，上述流程步骤并不唯一，例如，步骤408可以在步骤406-407的任意步骤前后执行。步骤406和步骤407可以在步骤405前执行。

基于上述方法流程，本申请实施例提供了一种交易信息维度并行的实时的交易异常检测方法的流程，如图5所示，包括：

步骤501、获取交易信息，该交易信息中包含多个维度的交易特征值。这里的多个交易特征值可以是银行卡卡号、商户编号、IP地址等。

步骤502、根据第一分发规则确定该交易信息各维度的交易特征值。在一种示例中，各维度的交易特征值包括：银行卡维度和商户维度。

步骤503、根据第一分发规则分别确定该交易信息中各维度的交易特征值对应的检测节点。在上一示例中，根据银行卡卡号的倒数第一位的余数确定该交易信息对应检测节点1，根据商户编号的倒数第一位的余数确定该交易信息对应检测节点2，这里该交易信息的多个维度对应的检测节点也可以为不同的检测节点。

步骤504、将该交易信息发送至该对应的检测节点。在上一示例中，将该交易信息分别发送至检测节点1和检测节点2。

步骤505、根据第一分发规则确定各维度的交易特征值对应的检测分组。在上一示例中，根据银行卡卡号的倒数第二位的余数确定该交易信息对应检测节点1中的检测分组1，根据商户编号的倒数第二位的余数确定该交易信息对应检测节点2中的检测分组2。

步骤506、根据该交易信息的各交易项确定处理该交易信息的检测规则组。

步骤507、检测节点针对该交易信息设置同步锁。

步骤508、将该交易信息发送至对应统计节点的统计单元中，通过统计单元中针对该维度的交易信息的不同的统计对象的统计规则分别进行统计，获取统计结果。在上述示例中，分别获取银行卡维度和商户维度的该交易信息的统计结果。

步骤509、将该统计结果返回至该对应的检测节点。在上述示例中，将银行卡维度的统计结果返回至检测节点1，商户维度的统计结果返回至检测节点2。

步骤510、检测节点获取该统计结果后，关闭针对该交易信息的同步锁。

步骤511、检测节点根据该维度交易信息的检测规则组和该统计结果确定检测结果。

步骤512、获取该交易信息的各维度的检测结果，根据该交易信息的各维度的检测结果确定该交易信息是否异常。

这里需要说明的是，上述流程中各维度的检测可以是并发进行的，不同维度的检测流程中的相同阶段的检测步骤，并不一定同时进行，例如，银行卡维度的统计结果返回速度可以比商户维度的统计结果的返回速度快。且上述流程步骤并不唯一，例如，步骤507可以在步骤505、步骤506中任一步骤前或任一步骤后执行。

基于同样的构思，本发明实施例提供一种实时的交易异常检测装置，图6为本申请实施例提供的一种实时的交易异常检测装置示意图，如图6示，包括：

获取模块601，用于获取交易信息，所述交易信息中包含多个维度的交易特征值；

分发模块602，用于针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；

所述获取模块601还用于，从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；

处理模块603，用于根据所述各维度的检测结果确定所述交易信息是否异常。

可选的，所述分发模块602还用于，针对任一维度，按照所述维度的第二分发规则，确定统计节点中处理所述交易信息的统计单元；所述统计单元按照所述维度的统计规则，根据所述维度的交易特征值与历史交易特征值进行统计，将统计结果发送给处理所述交易信息的检测节点；所述统计节点中包括针对不同维度的统计单元，统计单元中包括针对不同统计对象的统计规则。

可选的，所述分发模块602还用于，所述多个维度设置有不同的维度优先级；按照所述维度的分发规则，确定处理所述交易信息的检测节点之前，还包括：所述维度的维度优先级为第一优先级；确定已获得第二优先级的各维度的检测结果，所述第二优先级高于所述第一优先级。

可选的，所述处理模块603还用于，在所述检测节点中开启针对所述交易信息的同步锁；所述处理模块603还用于，在所述检测节点中关闭针对所述交易信息的同步锁。

可选的，所述分发模块602具体用于，按照所述维度的第一分发规则，通过所述维度的交易特征值确定处理所述交易信息的检测节点及确定所述检测节点中处理所述交易信息的检测分组；通过所述交易信息中的各交易项，从所述检测分组中确定检测规则组；所述检测规则组由所述检测分组中的至少一个检测规则组成。

可选的，同一检测规则组中的各检测规则串行执行；不同检测规则组中的各检测规则并行执行。

可选的，所述分发模块602还用于，通过所述检测节点将所述交易信息发送至消息中间件；通过所述消息中间件将所述交易信息发送至所述统计节点。

可选的，所述处理模块603还用于，确定所述维度为异常检测中设置的维度。

可选的，所述处理模块603还用于，在所述探测组内的一个检测节点确定所述探测组内的另一个检测节点的所述更新时间高于设定时间阈值，则调整所述第一分发规则，使得所述探测组内的一个检测节点接收所述探测组内的另一个检测节点的待检测的交易信息，所述两个检测节点中的所述检测规则相同。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (12)

1.一种实时的交易异常检测方法，其特征在于，所述方法包括：

获取交易信息，所述交易信息中包含多个维度的交易特征值；

针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；

从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；

根据所述各维度的检测结果确定所述交易信息是否异常。

2.如权利要求1中所述的方法，其特征在于，从各检测节点获取所述交易信息在各维度的检测结果之前，还包括：

针对任一维度，按照所述维度的第二分发规则，确定统计节点中处理所述交易信息的统计单元；所述统计单元按照所述维度的统计规则，根据所述维度的交易特征值与历史交易特征值进行统计，将统计结果发送给处理所述交易信息的检测节点；所述统计节点中包括针对不同维度的统计单元，统计单元中包括针对不同统计对象的统计规则。

3.如权利要求1或2中所述的方法，其特征在于，所述多个维度设置有不同的维度优先级；

按照所述维度的分发规则，确定处理所述交易信息的检测节点之前，还包括：

所述维度的维度优先级为第一优先级；

确定已获得第二优先级的各维度的检测结果，所述第二优先级高于所述第一优先级。

4.如权利要求1中所述的方法，其特征在于，确定处理所述交易信息的检测节点之后，还包括：

在所述检测节点中开启针对所述交易信息的同步锁；

将统计结果发送给处理所述交易信息的检测节点之后，还包括：

在所述检测节点中关闭针对所述交易信息的同步锁。

5.如权利要求1中所述的方法，其特征在于，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点，包括：

按照所述维度的第一分发规则，通过所述维度的交易特征值确定处理所述交易信息的检测节点及确定所述检测节点中处理所述交易信息的检测分组；

通过所述交易信息中的各交易项，从所述检测分组中确定检测规则组；所述检测规则组由所述检测分组中的至少一个检测规则组成。

6.如权利要求5中所述的方法，其特征在于，同一检测规则组中的各检测规则串行执行；不同检测规则组中的各检测规则并行执行。

7.如权利要求2中所述的方法，其特征在于，确定统计节点中处理所述交易信息的统计单元之前，还包括：

通过所述检测节点将所述交易信息发送至消息中间件；

通过所述消息中间件将所述交易信息发送至所述统计节点。

8.如权利要求5至7任一项中所述的方法，其特征在于，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点之前，还包括：

确定所述维度为异常检测中设置的维度。

9.如权利要求1中所述的方法，其特征在于，两个检测节点为一个探测组，所述探测组内的所述两个检测节点互相探测检测结果的更新时间，还包括：

在所述探测组内的一个检测节点确定所述探测组内的另一个检测节点的所述更新时间高于设定时间阈值，则调整所述第一分发规则，使得所述探测组内的一个检测节点接收所述探测组内的另一个检测节点的待检测的交易信息，所述两个检测节点中的所述检测规则相同。

10.一种实时的交易异常检测装置，其特征在于，所述装置包括：

获取模块，用于获取交易信息，所述交易信息中包含多个维度的交易特征值；

分发模块，用于针对任一维度，按照所述维度的第一分发规则，确定处理所述交易信息的检测节点；所述检测节点中包含针对所述维度的检测规则；

所述获取模块还用于，从各检测节点获取所述交易信息在各维度的检测结果；其中，任一维度的检测结果是检测节点基于所述维度的交易特征值的统计结果，按照所述维度的检测规则确定所述交易信息在所述维度是否异常；

处理模块，用于根据所述各维度的检测结果确定所述交易信息是否异常。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有程序，当所述程序在计算机上运行时，使得计算机实现执行权利要求1至9中任一项所述的方法。

12.一种计算机设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于调用所述存储器中存储的计算机程序，按照获得的程序执行如权利要求1至9任一权利要求所述的方法。

Images