CN115345736B - 一种金融交易异常行为检测方法 - Google Patents

Abstract

本发明涉及金融安全技术领域，具体涉及一种金融交易异常行为检测方法。该方法包括：基于历史交易记录构建交易结构图，且图中的节点为账户；存在交易的两个节点分别为出度节点和入度节点，且出度节点和入度节点之间的连线为交易路线；获得各交易路线的交易信息；将交易图结构和各交易路线的交易信息输入TAD‑GCN神经网络，通过嵌入层输出每个交易路线的特征向量；基于各交易路线对应的更新权重和卷积次数通过TAD‑GCN神经网络图卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过TAD‑GCN神经网络分类层输出交易路线的交易异常识别结果。本发明能够准确地识别出是异常交易行为的交易路线。

Description

一种金融交易异常行为检测方法

技术领域

本发明涉及金融安全技术领域，具体涉及一种金融交易异常行为检测方法。

背景技术

随着我国金融交易市场的日益庞大和电子支付、移动支付等成为支付手段的主流，违法交易行为也在金融交易网络中滋生，助长不当得利，给经济体系造成了严重的安全隐患。现有的主流技术是设定交易记录的警示标准，例如达到一定交易频率和金额则进行警示，再由数据分析员进行分析是否存在交易异常。

现有技术通常利用固定的警示阈值提示异常的交易行为，但是固定的警示阈值容易利用蒙特卡洛模拟的方法来摸清楚规律，这样就会产生一定的漏洞，同时还有利用人工的方式分析资金的流向，账户的异动等一些数据确定异常的交易行为，但是由于金融交易产生的数据种类多，且数据比较庞大，导致人工效率低下，且判断的精确度不高，同时很难发现一些较为隐藏的异常交易行为。

发明内容

为了解决上述技术问题，本发明的目的在于提供一种金融交易异常行为检测方法，所采用的技术方案具体如下：

本发明一个实施例提供了一种金融交易异常行为检测方法：基于历史交易记录构建交易结构图，且交易结构图中的节点为账户；存在交易的两个节点分别为出度节点和入度节点，且出度节点和入度节点之间的连线为交易路线；一小时内的一个交易路线的交易金额之和为单位交易金额，一小时内交易路线的交易结束后入度节点和出度节点的余额为单位余额；获得各交易路线的交易信息；

一个交易路线预设时段内相邻的交易的时间间隔的平均值为交易频率；利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度；利用预设时段内一个交易路线入度节点和出度节点单位余额以及每次交易的金额的上限和下限获得交易路线的余额波动程度；获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线，作为邻域路线；

将交易图结构和各交易路线的交易信息输入TAD-GCN神经网络，通过嵌入层输出每个交易路线的特征向量；利用各交易路线与其对应的邻域路线的特征向量的相似度以及邻域路线的余额波动程度获得TAD-GCN神经网络图卷积层对各交易路线的邻域路线的特征向量进行卷积时的更新权重；基于各交易路线的交易频率和数据非自然度获得各交易路线的特征向量对应的卷积次数；基于各交易路线对应的更新权重和卷积次数通过TAD-GCN神经网络图卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过TAD-GCN神经网络分类层输出交易路线的交易异常识别结果。

优选地，获得各交易路线的交易信息包括：获得交易路线的外汇指数，其中若交易路线的交易为外汇交易，则交易路线的外汇指数为第一预设值，若交易路线的交易不为外汇交易，则交易路线的外汇指数为第二预设值；交易路线的交易信息包括预设时长内交易路线的单位交易金额和交易路线中出度节点和入度节点的单位余额、预设时段内交易路线的单位交易金额的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值、交易路线的外汇指数。

优选地，交易频率为：

其中，表示预设时段内一个交易路线的交易频率；/>表示一个交易路线在预设时段内的第r次交易的时刻；/>表示一个交易路线在预设时段内的第r-1次交易的时刻；/>表示一个交易路线在预设时段内共有N个相邻的交易的时间间隔。

优选地，利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度包括：基于本福特定律获得1到9每个数字作为数据的首位数字的理论占比；统计一个交易路线在预设时段内1到9每个数字作为各单位交易金额的首位数字在所有单位交易金额的首位数字的占比，记为实际占比；利用1到9每个数字作为数据的首位数字的理论占比和作为各单位交易金额的首位数字得到实际占比获得一个交易路线的数据非自然度。

优选地，交易路线的余额波动程度为：

其中，表示交易路线的余额波动程度；/>表示预设时段内交易路线中的出度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示预设时段内交易路线中的入度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示每次交易的金额的上限，/>表示每次交易的金额的下限。

优选地，获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线，作为邻域路线包括：与一个交易路线的出度节点相连接的节点之间的交易路线为该交易路线的邻域路线，与一个交易路线的入度节点相连接的节点之间的交易路线为该交易路线的邻域路线；其中，若一个交易路线的出度节点或入度节点中有一个节点表示的账户为外国账户，则与表示的账户为外国账户的出度节点或入度节点相连接的节点之间的交易路线不为该交易路线的邻域路线；其中交易路线的邻域路线包括交易路线本身。

优选地，TAD-GCN神经网络包括：TAD-GCN神经网络包括嵌入层、图卷积层、感知层和分类层；其中嵌入层用来输出各交易路线的特征向量；图卷积层用来对各交易路线的特征向量进行更新输出各交易路线的描述向量；感知层用来提取各交易路线的描述向量的深层特征；分类层用于处理各交易路线的描述向量的深层特征输出各交易路线的交易异常识别结果。

优选地，更新权重为：

其中，表示交易路线ab的邻域路线ij的特征向量对应的更新权重；表示交易路线ab的特征向量与邻域路线ij的特征向量的余弦相似度；表示交易路线ab的邻域路线组成的集合；/>表示邻域路线ij的余额波动程度；k表示调节系数，取值为2。

优选地，卷积次数为：

其中，C表示交易路线ab对应的卷积次数；表示取整函数；/>表示交易路线ab的数据非自然度；/>表示交易路线ab的交易频率；/>表示权重调节系数，取值为0.5。

本发明实施例至少具有如下有益效果：本发明通过将历史交易记录中的每个账户当做一个节点构建交易结构图，将存在交易的节点连接起来形成交易路线，对个交易路线之间的交易信息进行分析，通过构建的TAD-GCN神经网络的嵌入层输出每个交易路线的特征向量，针对于每个交易路线的特征向量，在利用TAD-GCN神经网络的图卷积层进行图卷积操作时都有其对应的权重和卷积次数，提高了数据的准确性的同时控制了计算量，综合多方位的异常交易特征为神经网络引入先验条件，使得构建的TAD-GCN神经网络最终能够准确地识别出是异常行为的交易路线。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案和优点，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它附图。

图1为本发明实施例提供的一种金融交易异常行为检测方法的方法流程图。

具体实施方式

为了更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明提出的一种金融交易异常行为检测方法，其具体实施方式、结构、特征及其功效，详细说明如下。在下述说明中，不同的“一个实施例”或“另一个实施例”指的不一定是同一实施例。此外，一或多个实施例中的特定特征、结构、或特点可由任何合适形式组合。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。

下面结合附图具体的说明本发明所提供的一种金融交易异常行为检测方法的具体方案。

实施例：

本发明的主要应用场景为：通过对在金融交易过程中产生的数据分析，判断交易是否异常，对异常的交易发出提醒，维护金融交易的正常进行。

请参阅图1，其示出了本发明实施例提供的一种金融交易异常行为检测方法的方法流程图，该方法包括以下步骤：

步骤S1，基于历史交易记录构建交易结构图，且图中的节点为账户；存在交易的两个节点分别为出度节点和入度节点，且出度节点和入度节点之间的连线为交易路线；一小时内的一个交易路线的交易金额之和为单位交易金额，一小时内交易路线的交易结束后入度节点和出度节点的余额为单位余额；获得各交易路线的交易信息。

首先，对于每个银行个人账户，从银行的大数据系统中获取其预设时段内的历史交易记录，优选地，本实施例中预设时段为3个月的时间，其中历史交易记录中包括账户每次交易的对象，交易金额，交易后的余额Bln，交易的时间，交易是否为外汇，其中，交易的时间精确到一天中的任意一秒，交易金额/>取值范围按照银行的交易设定的上限SupT和下限InfT。

进一步的，将每个账户作为一个节点，构建图结构，其中发生交易的两个节点之间需要连接起来，形成交易结构图，其中规定存在交易的两个节点一个为出度节点，一个为入度节点，例如出度节点和入度节点/>，它们之间的连线为交易路线ab，出度节点/>和入度节点/>之间可能存在很多次交易，但都以一条交易路线表示，任意两个节点之间存在交易都会有一条交易路线，在任意一个交易路线中，入度节点和出度节点都是唯一确定的；另外需要说明的是，外国的一些账户无法获得完整的交易数据，将这些商户放在一个集合内，在图结构中以一个节点表示，所有与这个集合内有交易往来的账户都与此节点相连接。

本发明不以节点为重点关注对象，而是以节点之间的交易路线为重点关注对象。

最后，需要获得每个交易路线的交易信息，在预设时段内，将每一天的24个小时均匀的划分为24个区间，也即是一个小时为一个交易区间，则预设时段内共有2160个交易区间，对于交易结构图中的每条交易路线来说，将一个交易区间内的交易金额进行求和获得一个交易区间对应的单位交易金额，在求单位交易金额时，如果是出度节点转入入度节点的金额，则金额为正值，若是入度节点转入出度节点，则金额为负值，由此获得单位交易金额，表示一个交易路线第i个交易区间对应的单位交易金额，其中，没有任何交易的交易区间其单位交易金额为0；另外对于每个交易路线的任意一个交易区间来说，每次交易后出度节点和入度节点的余额都会发生改变，本实施例中以交易区间内最后一次交易后出度节点和入度节点的账户余额为交易路线的出度节点和入度节点的单位余额。

另外，若交易路线对应的交易为外汇交易，此时交易路线对应的出度节点和入度节点中必定有一个为境外的账户，由此获得交易路线的外汇指数，若为外汇交易，则交易路线的外汇指数/>为第一预设值，若不为外汇交易则交易路线的外汇指数/>为第二预设值，优选地，本实施例中第一预设值的取值为1，第二预设值的取值为0。

至此获得交易结构图中每条交易路线的交易信息，包括：预设时长内交易路线的单位交易金额和交易路线中出度节点和入度节点的单位余额、预设时段内交易路线的单位交易金额的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值、交易路线的外汇指数，其中，预设时长指的是距离当前时刻14天内。其中，预设时段内交易路线的单位交易金额的均值为：

其中，表示预设时段内交易路线的单位交易金额的均值；/>表示交易路线预设时段内第i个交易区间对应的单位交易金额。

预设时段内交易路线的单位交易金额的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值分别表示为和/>。

步骤S2，一个交易路线预设时段内相邻的交易的时间间隔的平均值为交易频率；利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度；利用预设时段内一个交易路线入度节点和出度节点单位余额以及每次交易的金额的上限和下限获得交易路线的余额波动程度；获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线，作为邻域路线。

首先，根据我国《人民币大额和可疑交易报告管理办法》和《金融机构大额和可疑外汇资金交易报告管理办法》,总结得到金融交易异常行为的特征：可从交易频率，交易金额，交易关系，余额变化，外汇交易等因素多方面考量：

1)交易频率突然由低转为高；

2)故意化整为零，逃避监测；

3)短期内账户资金分散转入集中转出、或者集中转入分散转出、或者分散转入分散转出；

4)某一对相连账户的资金留存时间短，发生额大，余额却很少；

5)频繁存取大量外币现金。

以这些特征作为后续分析的理论依据。

进一步的，针对一个交易路线对应的出度节点和入度节点，将其在预设时段内产生的交易时刻按照顺序排列，由此获得交易路线的交易频率：

其中，表示预设时段内一个交易路线的交易频率；/>表示一个交易路线在预设时段内的第r次交易的时刻；/>表示一个交易路线在预设时段内的第r-1次交易的时刻；/>表示一个交易路线在预设时段内共有N个相邻的交易的时间间隔。

接着，还需要对预设时段内每个交易路线对应的2160个单位交易金额进行分析，基于本福特定律进行分析，本福特定律也称首位数字定律，主要指的是足够多的，自然产生的，杂乱无章的数据的首位数字1-9出现的概率符合一定的规律，本福特定律主要应用于大数据中的异常数据检测。获得首位数字为的数据的数量占比的理论值，将其称为理论占比：

其中，的定义域为1-9的整数。

统计一个交易路线在预设时段内1到9每个数字作为各单位交易金额的首位数字在所有单位交易金额的首位数字的占比，记为实际占比；利用1到9每个数字作为数据的首位数字的理论占比和作为各单位交易金额的首位数字得到实际占比获得一个交易路线的数据非自然度：

与/>最不相符的情况是数据中只有以9开头的数字，即为/>的最大可能取值，起到了归一化的作用。

数据非自然度越大，则越有可能存在故意化整为零，逃避监测的现象，但可能由于2160个交易数据不够充足而产生过大的数据非自然度，因此引入此先验条件供神经网络参考。

最后，需要获得交易路线的余额波动程度：

其中，表示交易路线的余额波动程度；/>表示预设时段内交易路线中的出度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示预设时段内交易路线中的入度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示每次交易的金额的上限，/>表示每次交易的金额的下限。/>是的最大可能取值，起到了归一化的作用。波动程度/>越大，说明越有可能存在资金留存时间短，发生交易额大，余额却很少的现象。

本发明需要结合一个交易路线周围的其他交易路线对该交易路线进行分析，因此获得交易路线的邻域路线供后续分析使用，与一个交易路线的出度节点相连接的节点之间的交易路线为该交易路线的邻域路线，与一个交易路线的入度节点相连接的节点之间的交易路线为该交易路线的邻域路线；其中，若一个交易路线的出度节点或入度节点中有一个节点表示的账户为外国账户，则与表示的账户为外国账户的出度节点或入度节点相连接的节点之间的交易路线不为该交易路线的邻域路线；其中交易路线的邻域路线包括交易路线本身。

步骤S3，将交易图结构和各交易路线的交易信息输入TAD-GCN神经网络，通过嵌入层输出每个交易路线的特征向量；利用各交易路线与其对应的邻域路线的特征向量的相似度以及邻域路线的余额波动程度获得TAD-GCN神经网络图卷积层对各交易路线的邻域路线的特征向量进行卷积时的更新权重；基于各交易路线的交易频率和数据非自然度获得各交易路线的特征向量对应的卷积次数；基于各交易路线对应的更新权重和卷积次数通过TAD-GCN神经网络图卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过TAD-GCN神经网络分类层输出交易路线的交易异常识别结果。

构建TAD-GCN神经网络，网络的结构包括，嵌入层，图卷积层，多层感知器和分类层，上一层的输出即为下一层的输入。

其中嵌入层的作用是通过对输入TAD-GCN神经网络交易图结构和每个交易路线的交易信息进行处理获得每个交易路线的交易向量；例如对交易路线ab，经过嵌入层获得预设时长内交易向量，/>表示交易路线ab在预设时长内第c个交易区间对应的单位交易向量，/>表示交易路线ab的出度节点/>在第c个交易区间对应的出度节点/>的单位余额，/>表示交易路线ab的入度节点/>在第c个交易区间对应的入度节点/>的单位余额。因此在预设时长内每个交易路线在每个交易区间内都会对应一个交易向量。

经过嵌入层对于每个交易路线在预设时长内的交易向量进行处理获得每个交易路线的特征相连，以交易路线ab为例，通过交易路线ab在预设时长内每个交易区间的交易向量和其交易信息，获得的特征向量为：。至此嵌入层为每个交易路线构建了一个特征向量。

图卷积层的作用为利用每一个交易路线周围的交易路线的特征向量对每一个交易路线特征向量进行更新。以交易路线ab的特征向量为例，交易路线ab的邻域路线组成一个集合U，基于此获得TAD-GCN神经网络图卷积层对交易路线ab的特征向量进行卷积更新时的权重，将这些权重记为更新权重：

其中，表示利用交易路线ab的邻域路线ij获得的交易路线的更新权重；表示交易路线ab的特征向量与邻域路线ij的特征向量的余弦相似度；表示交易路线ab的邻域路线组成的集合；/>表示邻域路线ij的余额波动程度；k表示调节系数，取值为2。/>越大，则说明交易路线/>的邻域路线ij的交易越可能是异常交易行为，因此赋予较高的权重。

得到每个交易路线基于其邻域路线获得的多个更新权重后，进行卷积操作获得每个交易路线更新后的向量，其中卷积的次数需要根据交易路线的交易频率和数据非自然度确定，以交易路线ab为例，卷积操作具体为：

其中，表示图卷积层对交易路线ab的邻域路线组成的集合U中的邻域路线的特征向量进行第一次卷积更新获得的向量，需要说明的是集合U中的邻域路线包括交易路ab，/>表示交易路线ab的邻域路线ij对应的更新权重，/>表示邻域路线的更新权重。

对于一个交易路线的特征向量需要通过多次的卷积更新最终得到其描述向量，因此基于各交易路线的交易频率和数据非自然度获得各交易路线的特征向量对应的卷积次数：

其中，C表示交易路线ab对应的卷积次数；表示取整函数；/>表示交易路线ab的数据非自然度；/>表示交易路线ab的交易频率；/>表示权重调节系数，取值为0.5。/>越小，说明此交易路线的交易往来越频繁，则两节点越有可能和其他的节点也有频繁的交易行为，因此需要增加卷积次数以扩大感知域；/>越大，说明此交易路线的交易金额有规避监测的风险，但可能是样本数量过小带来的偏差，因此需要增加卷积次数以扩大感知域，以此增大样本数量。卷积次数越多，感知的范围越远，感知的全局信息越多，根据交易路线的特征确定每个交易路线的特征向量卷积更新的次数利于降低计算量，同时也会提升后续的识别精确度。基于更新权重和卷积次数可以通过神经网络的图卷积层获得每个交易路线的描述向量。通过图卷积层输出每个交易路线的描述向量。

将描述向量输入感知层，通过感知层提取卷积更新后得到的描述向量的深层特征，然后输出，将感知层输出结果送入分类层，分类层为一个Softmax分类器，分类层输出交易路线的交易异常识别结果，分别为正常交易关系、异常交易关系、其他。

对于TAD-GCN神经网络训练过程如下：从银行的交易记录系统获取交易数据，构建交易结构图，在其中对所有节点打上标签，标注多个异常行为账户的节点，以供神经网络作误差反向传播。选取多个不重叠的90天的数据，进行如上操作，构成银行交易数据集。

在这些银行交易数据集中随机选取80%作为训练集，20%作为测试集，输入到预训练完成的网络中，训练TAD-GCN神经网络使用交叉熵损失函数，优化器使用Adam，最终得到一个能够准确识别金融交易异常行为的神经网络。

在运用过程中，每过一天更新一次数据集，将识别为异常的交易路线输出，提醒相关人员存在的风险。

需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上述对本说明书特定实施例进行了描述。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种金融交易异常行为检测方法，其特征在于，该方法包括：基于历史交易记录构建交易结构图，且交易结构图中的节点为账户；存在交易的两个节点分别为出度节点和入度节点，且出度节点和入度节点之间的连线为交易路线；一小时内的一个交易路线的交易金额之和为单位交易金额，一小时内交易路线的交易结束后入度节点和出度节点的余额为单位余额；获得各交易路线的交易信息；

一个交易路线预设时段内相邻的交易的时间间隔的平均值为交易频率；利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度；利用预设时段内一个交易路线入度节点和出度节点单位余额以及每次交易的金额的上限和下限获得交易路线的余额波动程度；获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线，作为邻域路线；

将交易图结构和各交易路线的交易信息输入TAD-GCN神经网络，通过嵌入层输出每个交易路线的特征向量；利用各交易路线与其对应的邻域路线的特征向量的相似度以及邻域路线的余额波动程度获得TAD-GCN神经网络图卷积层对各交易路线的邻域路线的特征向量进行卷积时的更新权重；基于各交易路线的交易频率和数据非自然度获得各交易路线的特征向量对应的卷积次数；基于各交易路线对应的更新权重和卷积次数通过TAD-GCN神经网络图卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过TAD-GCN神经网络分类层输出交易路线的交易异常识别结果；

所述获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线，作为邻域路线包括：与一个交易路线的出度节点相连接的节点之间的交易路线为该交易路线的邻域路线，与一个交易路线的入度节点相连接的节点之间的交易路线为该交易路线的邻域路线；其中，若一个交易路线的出度节点或入度节点中有一个节点表示的账户为外国账户，则与表示的账户为外国账户的出度节点或入度节点相连接的节点之间的交易路线不为该交易路线的邻域路线；其中交易路线的邻域路线包括交易路线本身；

所述TAD-GCN神经网络包括：TAD-GCN神经网络包括嵌入层、图卷积层、感知层和分类层；其中嵌入层用来输出各交易路线的特征向量；图卷积层用来对各交易路线的特征向量进行更新输出各交易路线的描述向量；感知层用来提取各交易路线的描述向量的深层特征；分类层用于处理各交易路线的描述向量的深层特征输出各交易路线的交易异常识别结果；

所述更新权重为：

其中，表示交易路线ab的邻域路线ij的特征向量对应的更新权重；表示交易路线ab的特征向量与邻域路线ij的特征向量的余弦相似度；表示交易路线ab的邻域路线组成的集合；/>表示邻域路线ij的余额波动程度；k表示调节系数，取值为2；

所述卷积次数为：

其中，C表示交易路线ab对应的卷积次数；表示取整函数；/>表示交易路线ab的数据非自然度；/>表示交易路线ab的交易频率；/>表示权重调节系数，取值为0.5。

2.根据权利要求1所述的一种金融交易异常行为检测方法，其特征在于，所述获得各交易路线的交易信息包括：获得交易路线的外汇指数，其中若交易路线的交易为外汇交易，则交易路线的外汇指数为第一预设值，若交易路线的交易不为外汇交易，则交易路线的外汇指数为第二预设值；交易路线的交易信息包括预设时长内交易路线的单位交易金额和交易路线中出度节点和入度节点的单位余额、预设时段内交易路线的单位交易金额的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值、交易路线的外汇指数。

3.根据权利要求1所述的一种金融交易异常行为检测方法，其特征在于，所述交易频率为：

其中，表示预设时段内一个交易路线的交易频率；/>表示一个交易路线在预设时段内的第r次交易的时刻；/>表示一个交易路线在预设时段内的第r-1次交易的时刻；/>表示一个交易路线在预设时段内共有N个相邻的交易的时间间隔。

4.根据权利要求1所述的一种金融交易异常行为检测方法，其特征在于，所述利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度包括：基于本福特定律获得1到9每个数字作为数据的首位数字的理论占比；统计一个交易路线在预设时段内1到9每个数字作为各单位交易金额的首位数字在所有单位交易金额的首位数字的占比，记为实际占比；利用1到9每个数字作为数据的首位数字的理论占比和作为各单位交易金额的首位数字得到实际占比获得一个交易路线的数据非自然度。

5.根据权利要求1所述的一种金融交易异常行为检测方法，其特征在于，所述交易路线的余额波动程度为：

其中，表示交易路线的余额波动程度；/>表示预设时段内交易路线中的出度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示预设时段内交易路线中的入度节点的单位余额按照时间顺序排列形成的序列的样本熵；/>表示每次交易的金额的上限，/>表示每次交易的金额的下限。