CN114693305A - 一种交易欺诈检测方法、装置、设备、介质及产品 - Google Patents

Abstract

本发明公开了一种交易欺诈检测方法、装置、设备、介质及产品。方法包括：采集第一待检测对象的交易流数据，其中，交易流数据为待检测对象在交易系统中发生交易时实时产生的流数据；分发交易流数据；根据分发的交易流数据，生成对应于交易流数据的第一交易特征信息；根据实时更新的检验规则，通过第一交易特征信息确定第一待检测对象是否存在交易欺诈。本发明实施例的技术方案，根据待采集对象发生交易时实时产生的交易流数据生成第一交易特征信息，根据第一交易特征信息，通过实时更新的检测规则确定待检测对象是否存在交易欺诈行为，解决了对流数据的处理无法满足时效性的问题，有效保障用户的在线交易安全。

Description

一种交易欺诈检测方法、装置、设备、介质及产品

技术领域

本发明涉及交易欺诈检测技术领域，尤其涉及一种交易欺诈检测方法、装置、设备、介质及产品。

背景技术

在互联网金融飞速发展的环境下，越来越多的用户选择使用在线交易。因此，对在线交易中存在的交易欺诈问题的防护也就显得至关重要。

目前，通过对用户在线交易中产生的数据进行分析可以检测该用户的在线交易是否存在欺诈行为，并对欺诈行为进行相应的预警或管控操作。

然而，在线交易中会产生大量的交易流数据，由于交易流数据具有格式复杂、数据规模量大等特点，因此在处理交易流数据时需要耗费大量时间，在欺诈检测及反应的时效性要求上难以保证，从而无法有效保障用户的在线交易安全。

发明内容

本发明提供了一种交易欺诈检测方法、装置、设备、介质及产品，以解决目前处理流数据无法满足时效性要求从而无法有效保障用户在线交易安全的问题。

根据本发明的一方面，提供了一种交易欺诈检测方法，所述方法包括：采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据；分发所述交易流数据；根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息；根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

可选的，所述方法还包括：根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据；根据所述第一交易数据，生成第二待检测对象的第二交易特征信息；根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

可选的，所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件；所述第二交易特征信息作为第二交易数据离线保存到所述数据库；相应的，所述检验规则，通过如下方式更新：从所述数据库中获取所述第一交易数据和/或所述第二交易数据；根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标；当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

可选的，根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息，包括：从所述交易流数据提取至少一种交易参数；根据至少一种所述交易参数，生成所述第一交易特征信息。

可选的，每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中；相应的，根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈，包括：确定当前时间点的当前检验规则；从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值；确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件；当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈。

可选的，根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈，包括：从所述第二交易特征信息中提取至少一种所述交易参数；确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件；当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

可选的，所述方法还包括：当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单；当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单；根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

可选的，所述方法还包括：对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：阻断当前欺诈对象的交易；向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；冻结所述当前欺诈对象。

根据本发明的另一方面，提供了一种交易欺诈检测装置，包括：交易流数据采集单元，用于采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据；交易流数据分发单元，用于分发所述交易流数据；第一交易特征信息生成单元，用于根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息；第一检验单元，用于根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

可选的，所述装置还包括：第一交易数据获取单元，用于根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据；第二交易特征信息生成单元，用于根据所述第一交易数据，生成第二待检测对象的第二交易特征信息；

第二检验单元，用于根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

可选的，所述装置还包括：检验规则更新单元；当所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件且所述第二交易特征信息作为第二交易数据离线保存到所述数据库时，所述检验规则更新单元，用于通过如下方式更新检验规则：从所述数据库中获取所述第一交易数据和/或所述第二交易数据；根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标；当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

可选的，第一交易特征信息生成单元，用于从所述交易流数据提取至少一种交易参数；根据至少一种所述交易参数，生成所述第一交易特征信息。

可选的，每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中时，第一检验单元，用于执行：确定当前时间点的当前检验规则；从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值；确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件；当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈；

可选的，所述第二检验单元，用于执行：从所述第二交易特征信息中提取至少一种所述交易参数；确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件；当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

可选的，所述装置还包括：实时欺诈名单生成单元；所述欺诈名单生成单元，用于执行：当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单；当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单；根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

可选的，所述装置还包括：欺诈对象处理单元；所述欺诈对象处理单元，用于对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：阻断当前欺诈对象的交易；向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；冻结所述当前欺诈对象。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述实施例中任一项所述的交易欺诈检测方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现上述实施例中任一项所述的交易欺诈检测方法。

根据本发明的另一方面，提供了一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序在被处理器执行时实现根据上述实施例中任一项所述的交易欺诈检测方法。

本发明实施例的技术方案，通过获取待采集对象在交易系统中发生交易时实时产生的交易流数据，根据交易流数据生成第一交易特征信息，根据第一交易特征信息，通过实时更新的检测规则确定待检测对象是否存在交易欺诈行为，解决了对流数据的处理无法满足时效性的问题，有效保障用户的在线交易安全。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例一提供的一种交易欺诈检测方法的流程图；

图2是根据本发明实施例二提供的另一种交易欺诈检测方法的流程图；

图3是根据本发明实施例三提供的一种检验规则更新方法的流程图；

图4是根据本发明实施例四提供的一种实时交易欺诈确定方法的流程图；

图5是根据本发明实施例四提供的一种离线交易欺诈确定方法的流程图；

图6是根据本发明实施例五提供的一种欺诈名单生成方法的流程图；

图7是根据本发明实施例六提供的一种交易欺诈检测装置的结构示意图；

图8是根据本发明实施例六提供的另一种交易欺诈检测装置的结构示意图；

图9是实现本发明实施例的交易欺诈检测方法的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1为本发明实施例一提供了一种交易欺诈检测方法的流程图，本实施例可适用于对在线交易的欺诈检测情况，该方法可以由交易欺诈检测装置来执行，该交易欺诈检测装置可以采用硬件和/或软件的形式实现，该交易欺诈检测装置可配置于银行系统的云服务器中。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。如图1所示，该方法包括：

S110、采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据。

其中，待检测对象可以为银行交易系统中的交易主体，比如交易账户的账号或者用户的银行卡号等。对于在线交易，交易欺诈的判断可以通过流数据来进行，因此首先需要采集第一待检测对象在银行系统中进行在线交易时实时产生的交易流数据。交易流数据的采集工具可以为logstash、Flume和fluented等，并作为生产者推送给Kafka消息队列。

S120、分发所述交易流数据。

其中，对交易流数据的分发可以使用Flink分布式消息队列引擎，采取发布订阅的方式生产和消费交易流数据。前文中对交易流数据的采集可以视为生产交易流数据，实时采集交易流数据并推送到Kafka消息队列中，后续对交易流数据的处理可以视为是对交易流数据的订阅和消费。

S130、根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息。

其中，对分发后的交易流数据进行清洗、加工等数据处理，提取出交易实时流数据的特征值，即用于判断是否存在交易欺诈时所用到的交易特征信息，比如一些交易过程中产生的参数。可以使用Flink流计算引擎实时加工实时数据特征，Flink流计算引擎具有多种开发套件用于加工各种基于流式数据的特征。

S140、根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

其中，第一交易特征信息中包括一些交易过程中产生的参数，判断这些参数是否存在交易欺诈需要根据检验规则来进行检验。检验规则会实时进行更新，对第一交易特征信息中的参数进行匹配，确定是否存在交易欺诈。当检验规则更新出现异常时，也可以使用默认的规则进行交易欺诈的判断，默认的规则中包括固定的参数值，将其与第一交易特征信息中的参数进行对比，即可确定是否存在交易欺诈。

本发明实施例的技术方案，通过获取待采集对象在交易系统中发生交易时实时产生的交易流数据，根据交易流数据生成第一交易特征信息，根据第一交易特征信息，通过实时更新的检测规则确定待检测对象是否存在交易欺诈行为，解决了对流数据的处理无法满足时效性的问题，有效保障用户的在线交易安全。

实施例二

图2为本发明实施例二提供的另一种交易欺诈检测方法的流程图，本实施例在上述实施例的基础上进行增加。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。如图2所示，该方法包括：

S210、根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据。

其中，数据库为用于对离线数据进行保存的介质，可使用关系数据库，如Oracle、MPP、GP数据库等。每当采集到第二待检测对象在银行系统中进行在线交易时实时产生的交易流数据后，在将交易流数据进行分发的同时，还会写入到数据库中进行离线保存。

S220、根据所述第一交易数据，生成第二待检测对象的第二交易特征信息。

其中，从数据库中读取保存在本地的交易数据，由于第一交易数据为保存在本地的数据，因此可以直接从交易数据中提取第二待检测对象的第二交易特征信息。

S230、根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

其中，在从数据库中读取到本地的交易数据后，提取出第二交易特征信息后，定期通过检验规则跑批加工对应交易，进行交易欺诈的识别。比如，每24小时进行单日交易上限额的判断，确定第二交易特征数据中的交易额是否超出检验规则中包括的单日交易额上限。此外，由于离线数据进行交易欺诈的时效性要求不高，通常是定时进行检测，因此检测规则可以使用定时跑批时的历史时刻已经存在的检测规则。

实施例三

图3为本发明实施例三提供的一种检验规则更新方法的流程图，本实施例在上述实施例的基础上进行优化。所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件；所述第二交易特征信息作为第二交易数据离线保存到所述数据库。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。如图3所示，该方法包括：

S310、从所述数据库中获取所述第一交易数据和/或所述第二交易数据。

其中，采集到一待检测对象在银行系统中进行在线交易时实时产生的交易流数据后，在将交易流数据进行分发的同时，还会写入到数据库中进行离线保存。此外，根据数据库中本地保存的第一交易数据提取的第二交易特征信息在进行欺诈检测后也会写入到数据库中进行保存。在获取到第一交易数据和/或第二交易数据后，可以根据一定指标，对检验规则进行更新。

S320、根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标。

其中，检验规则的更新可以根据指标来进行更新，比如，将第一交易数据和/或第二交易数据写入数据库的参数表中，通过参数表读取该参数，并将参数代入到变量参数中，确定是否满足业务指标。

例如，交易欺诈条件包括：近N个小时交易总额超过X元，其中，N和X为变量参数且均为正整数，将参数代入变量参数，确定交易欺诈条件是否能够满足，以上述交易欺诈条件为例，需要从第一交易数据和/或第二交易数据中获取近N小时的交易，并从这些交易中确定交易总额，判断交易总额是否超过X。但随着小时数N的增加，交易总额也会相应增加，比如，假设一小时的交易总额上限为1万元，因此，当N增加1时，X也增加1万元。

S330、当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

其中，当第一交易数据和/或第二交易数据中获得的参数无法满足业务指标时，通过一定优化方法对变量参数进行更新，使其满足业务指标。举例来说，交易欺诈条件包括：近N个小时交易总额超过X元；业务指标为F1-score分数最高，且识别的欺诈交易账号占整体交易账号的比例小于1％；优化方法为利用穷举遍历的方法获取满足业务指标的最优的N、X值，通过该N、X值，对交易欺诈条件进行更新。上述检验规则的更新、分析处理可以采取python Notebook网页版，该技术可以实现在浏览器网页上进行数据分析，并在页面实时给出分析结果和图表。

在实施例三中，根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息，包括：从所述交易流数据提取至少一种交易参数；根据至少一种所述交易参数，生成所述第一交易特征信息。

其中，交易参数的提取可以根据交易欺诈条件作为参照从交易流数据中进行提取，比如，交易欺诈条件为近N个小时交易总额超过X元，则所需的数据为交易时间和交易额，在交易流数据中进行清洗和加工，提取出交易时间和交易额，并根据交易时间和交易额生成第一交易特征信息。

实施例四

图4为本发明实施例四提供的一种实时交易欺诈确定方法的流程图，本实施例在上述实施例的基础上进行优化。每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。

如图4所示，所述方法包括：

S410、确定当前时间点的当前检验规则。

其中，由于检验规则会根据第一交易数据和/或第二交易数据实时进行更新，所以在进行交易欺诈的确定时，需要选择当前时间点的当前检验规则。

S420、从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值。

其中，对于根据交易流数据获得交易特征信息后，将其添加到待检测对象的累计特征信息中，由于交易特征信息表示当前单次操作的交易参数，比如在某个时间点产生了某金额的交易，在某时间点进行密码输入等。将交易特征信息进行累计后，即可得到过去一定时间内交易特信息的累计值，比如在过去若干小时内的交易额累计值，可以通过该累计值进行交易总额上限的的对比。从累计特征信息中提取的累计交易参数可以根据当前检验规则所需的参数进行提取。

S430、确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件。

其中，在获取到累计交易参数后，以交易欺诈条件为近N个小时交易总额超过X元为例，累计交易参数中包括一个累计时间值，即可以代入为参数N，累计交易值可以代入为参数X，将二者代入后，即可得到“在累加时间值内的交易总额为交易累计值”，确定交易累计值是否超过了限定条件中的交易总额。

S440、当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈。

其中，在将不同的累计交易参数带入到相应的交易欺诈条件中进行限定条件是否满足的判断后，若有一种累计交易参数不能满足限定条件，则说明第一待检测对象在在线交易中存在交易欺诈现象。

图5为本发明实施例四提供的一种离线交易欺诈确定方法的流程图。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。如图5所示，所述方法包括：

S510、从所述第二交易特征信息中提取至少一种所述交易参数。

S520、确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件。

S530、当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

其中，由于第二交易特征信息为离线本地保存在数据库中的数据，因此可以直接从中提取交易参数，离线的交易欺诈确定与前文中的实时交易欺诈方法类似，但实时交易欺诈和离线交易欺诈并不会一起进行处理，而是彼此独立的并行处理，同时对不同的待检测对象进行交易欺诈的判断。

实施例五

图6为本发明实施例五提供的一种欺诈名单生成方法的流程图，该实施例在上述实施例的基础上进行技术特征的增加。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。如图6所示，所述方法包括：

S610、当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单。

S620、当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单。

其中，分别对第一待检测对象和第二待检测对象进行实时和离线的参数匹配，分别产生不同的欺诈名单，一个为实时欺诈名单，一个为离线欺诈名单。由于生成实时欺诈名单和离线欺诈名单所使用的的数据不同，因此二者是彼此独立的，最终生成的欺诈名单也是独立的两份欺诈名单。

S630、根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

其中，由于实时欺诈名单是通过交易流数据对应的第一交易特征信息得到的，因此实时欺诈名单为主要欺诈名单，可以以实时欺诈名单为基准进行去重操作。每当获得实时欺诈名单时，可以记录当前的时间点。当后续获得同一时间点的离线欺诈名单后，将实时欺诈名单和离线欺诈名单进行核对，若离线欺诈名单中有实时欺诈名单中未包括的欺诈对象，则将其进行补充，得到完整欺诈名单。

本发明提出的实时交易侦测方法使用离线计算和实时计算并行的方式，以实时计算结果为基础，用离线计算结果作为补充和核对方式，提升预警的准确性。

可选的，在本发明实施例五中，对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：阻断当前欺诈对象的交易；向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；冻结所述当前欺诈对象。

其中，在得到完整欺诈名单后，需要根据完整欺诈名单进行预警和风险管控操作。由于欺诈对象通常为用户的账户或卡号等唯一身份标识，因此可以根据该身份标识来阻断欺诈对象的交易，甚至根据身份标识来冻结存在欺诈风险的账户或银行卡，防止盗刷等现象给用户带来的损失。此外，还可以通过向用户的手机等移动设备推送告警信息来提示用户。

本发明提出的基于Kafka+Flink的流计算处理框架对欺诈交易行为进行实时侦测，提升了反欺诈的时效性，同时引入Flink流计算开发引擎，具有高吞吐量特性，支持复杂逻辑特征加工。

本发明提出的实时交易侦测框架将规则优化和规则部署融合在一起，实现检测规则的快速迭代优化，适配反欺诈欺诈行为多变特性，有效提升欺诈识别效率和效果。

实施例六

图7为本发明实施例六提供的一种交易欺诈检测装置的结构示意图。

如图7所示，该装置包括：

交易流数据采集单元710，用于采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据；

交易流数据分发单元720，用于分发所述交易流数据；

第一交易特征信息生成单元730，用于根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息；

第一检验单元740，用于根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

可选的，如图8所示的另一种交易欺诈检测装置的结构示意图，所述装置还包括：

第一交易数据获取单元810，用于根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据；

第二交易特征信息生成单元820，用于根据所述第一交易数据，生成第二待检测对象的第二交易特征信息；

第二检验单元830，用于根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

如图8所示，所述装置还包括：检验规则更新单元840；

当所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，当所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件且所述第二交易特征信息作为第二交易数据离线保存到所述数据库时，所述检验规则更新单元840，用于通过如下方式更新检验规则：

从所述数据库中获取所述第一交易数据和/或所述第二交易数据；

根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标；

当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

可选的，第一交易特征信息生成单元730，用于从所述交易流数据提取至少一种交易参数；根据至少一种所述交易参数，生成所述第一交易特征信息。

可选的，每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中时，所述第一检验单元740，用于执行：

确定当前时间点的当前检验规则；

从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值；

确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈；

可选的，所述第二检验单元830，用于执行：

从所述第二交易特征信息中提取至少一种所述交易参数；

确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

可选的，如图8所示，所述装置还包括：实时欺诈名单生成单元850；

所述欺诈名单生成单元850，用于执行：

当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单；

当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单；

根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

可选的，如图8所示，所述装置还包括：欺诈对象处理单元860；

所述欺诈对象处理单元860，用于对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：

阻断当前欺诈对象的交易；

向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；

冻结所述当前欺诈对象。

本发明实施例所提供的交易欺诈检测装置可执行本发明任意实施例所提供的交易欺诈检测方法，具备执行方法相应的功能模块和有益效果。

实施例七

图9示出了可以用来实施本发明的实施例的电子设备10的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图9所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。

电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如交易欺诈检测方法。

在一些实施例中，交易欺诈检测方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到电子设备10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的交易欺诈检测方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行交易欺诈检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

实施例八

本发明实施例还提供了一种计算机程序产品，包括计算机程序，该计算机程序在被处理器执行时实现如本申请任一实施例所提供的交易欺诈检测方法。

计算机程序产品在实现的过程中，可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言，诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (17)

1.一种交易欺诈检测方法，其特征在于，所述方法包括：

采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据；

分发所述交易流数据；

根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息；

根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据；

根据所述第一交易数据，生成第二待检测对象的第二交易特征信息；

根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

3.根据权利要求2所述的方法，其特征在于，所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件；所述第二交易特征信息作为第二交易数据离线保存到所述数据库；

相应的，所述检验规则，通过如下方式更新：

从所述数据库中获取所述第一交易数据和/或所述第二交易数据；

根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标；

当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

4.根据权利要求3所述的方法，其特征在于，根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息，包括：

从所述交易流数据提取至少一种交易参数；

根据至少一种所述交易参数，生成所述第一交易特征信息。

5.根据权利要求4所述的方法，其特征在于，每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中；

相应的，根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈，包括：

确定当前时间点的当前检验规则；

从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值；

确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈；

和/或，

根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈，包括：

从所述第二交易特征信息中提取至少一种所述交易参数；

确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

6.根据权利要求2所述的方法，其特征在于，所述方法还包括：

当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单；

当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单；

根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：

阻断当前欺诈对象的交易；

向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；

冻结所述当前欺诈对象。

8.一种交易欺诈检测装置，其特征在于，包括：

交易流数据采集单元，用于采集第一待检测对象的交易流数据，其中，所述交易流数据为所述待检测对象在交易系统中发生交易时实时产生的流数据；

交易流数据分发单元，用于分发所述交易流数据；

第一交易特征信息生成单元，用于根据分发的所述交易流数据，生成对应于所述交易流数据的第一交易特征信息；

第一检验单元，用于根据实时更新的检验规则，通过所述第一交易特征信息确定所述第一待检测对象是否存在交易欺诈。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第一交易数据获取单元，用于根据预设的检测周期，从数据库中获取第一交易数据，所述第一交易数据为离线保存在所述数据库中的所述交易流数据；

第二交易特征信息生成单元，用于根据所述第一交易数据，生成第二待检测对象的第二交易特征信息；

第二检验单元，用于根据所述检验规则，通过所述第二交易特征信息确定所述第二待检测对象是否存在交易欺诈。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：检验规则更新单元；

当所述检验规则，包括交易欺诈条件、业务指标及更新方法，其中，当所述交易欺诈条件中包括至少一个变量参数及变量参数的限定条件且所述第二交易特征信息作为第二交易数据离线保存到所述数据库时，所述检验规则更新单元，用于通过如下方式更新检验规则：

从所述数据库中获取所述第一交易数据和/或所述第二交易数据；

根据所述第一交易数据和/或所述第二交易数据，确定所述交易欺诈条件中的至少一个所述变量参数是否满足所述业务指标；

当所述交易欺诈规则是否满足所述业务指标时，根据所述第一交易数据和/或所述第二交易数据，对所述交易欺诈规则中包含的至少一个变量参数进行更新。

11.根据权利要求10所述的装置，其特征在于，所述第一交易特征信息生成单元，用于从所述交易流数据提取至少一种交易参数；根据至少一种所述交易参数，生成所述第一交易特征信息。

12.根据权利要求11所述的装置，其特征在于，每当生成所述第一交易特征信息后，将所述第一交易特征信息添加到累计特征信息中时，所述第一检验单元，用于执行：

确定当前时间点的当前检验规则；

从所述累计特征信息中提取至少一种所述累计交易参数，所述累加交易参数为至少两种所述交易参数的累计值；

确定至少一种所述累计交易参数能否在替换所述当前检验规则的交易欺诈条件中的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述累计交易参数不能满足所述当前检验规则的变量参数的限定条件时，确定所述第一待检测对象存在交易欺诈；

和/或，

所述第二检验单元，用于执行：

从所述第二交易特征信息中提取至少一种所述交易参数；

确定至少一种所述交易参数能否在替换所述检验规则的交易欺诈条件的变量参数的情况下满足所述变量参数的限定条件；

当所述至少一种所述交易参数不能满足所述变量参数的限定条件时，确定所述第二待检测对象存在交易欺诈。

13.根据权利要求9所述的装置，其特征在于，所述装置还包括：实时欺诈名单生成单元；

所述欺诈名单生成单元，用于执行：

当确定所述第一待检测对象存在交易欺诈时，将所述第一待检测对象作为欺诈对象记录到实时欺诈名单；

当确定所述第二待检测对象存在交易欺诈时，将所述第二待检测对象作为所述欺诈对象记录到离线欺诈名单；

根据所述实时欺诈名单和所述离线欺诈名单，生成完整欺诈名单。

14.根据权利要求13所述的装置，其特征在于，所述装置还包括：欺诈对象处理单元；

所述欺诈对象处理单元，用于对所述完整欺诈名单内记录的每个欺诈对象，执行如下方式的一种或多种：

阻断当前欺诈对象的交易；

向外部控制终端推送告警信息，所述告警信息中包括所述当前欺诈对象的身份信息；

冻结所述当前欺诈对象。

15.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的交易欺诈检测方法。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的交易欺诈检测方法。

17.一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机程序，所述计算机程序在被处理器执行时实现根据权利要求1-7中任一项所述的交易欺诈检测方法。

Images