CN1835014A - 一种对在线业务进行风险监控的方法及系统 - Google Patents

Abstract

本发明公开了一种对在线业务进行风险监控的方法，以解决现有在线业务风险监控技术存在处理性能和可扩展性差的问题；所述方法通过捕获用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象；根据风险监控规则分析所述事件对象，并在确定产生所述业务数据的操作事件存在风险时生成风险记录；以及根据所述风险记录和风险处理配置确定处理风险的方式，并按该方式对所述操作事件进行风险处理。本发明还公开了一种风险监控系统。

Description

一种对在线业务进行风险监控的方法及系统

技术领域

本发明涉及通信和计算机领域的监控技术，尤其涉及对在线业务进行风险监控的方法及系统。

背景技术

随着互联网的快速发展，各种形式的在线业务不断涌现，如在线银行、在线支付、在线购物等基于互联网的在线服务业务。人们已经接受并越来越习惯在网上进行各种商务活动。

由于互联网是一个开放的网络，任何人在世界的任何地方都可以很方便的连接到互联网上。互联网在给人类生活提供便利的同时，也带来了风险。尤其是近几年，随着电子商务的迅猛发展，网络金融犯罪以及网上期诈不断出现，这也成为人们关注的焦点。因此，如果不能对在线业务系统进行有效的风险监控，消费者就无法安心使用这些在线业务，尤其是涉及到资金往来的业务。

现有的在线系统为了对自身业务系统进行监控，一般通过在线业务系统的业务处理功能模块中嵌入监控功能(即硬编码方式)来进行风险分析/处理工作。其实现原理是，业务处理模块将产生的业务数据提交给监控功能模块，并等待返回结果后再进行后续处理。虽然采用该方案能够进行风险监控，但存在以下缺点：

1、处理性能差。由于风险分析、处理和业务处理同步进行，业务处理必须等风险分析/处理结束后才能返回结果，使其业务处理速度和性能受到影响。

2、可扩展性差。由于采用硬编码的方式实现风险分析/处理，如果需要改变风险分析规则，就必须修改业务处理代码和监控功能代码。

3、风险管理分散。由于风险分析/处理与各个业务处理放在一起，没有统一的管理系统对所有业务系统的风险监控规则进行有效管理，不利于对整体的业务系统进行风险监控管理。

发明内容

有鉴于此，本发明提供一种对在线业务进行风险监控的方法及系统，以解决现有在线业务风险监控技术存在处理性能和可扩展性差的问题。进一步的，解决现有技术存在风险管理分散的问题。

本发明提供以下技术方案：

一种对在线业务进行风险监控的方法，包括如下步骤：

捕获用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象；

利用风险监控规则分析所述事件对象，并在确定产生所述业务数据的操作事件存在风险时生成风险记录；以及

根据所述风险记录和风险处理配置确定处理风险的方式，并按该方式对所述操作事件进行风险处理。

其中：

采用拦截方式从所述业务系统捕获所述请求参数和业务数据。

进一步根据所述事件对象中的操作事件属性判断该操作事件是否能够向其他操作事件提供风险判断依据，并且在判断结果为是时，进一步保存所述事件对象以形成历史事件。在分析事件对象时进一步查询相关的历史事件，并在查询到相关的历史事件后形成一个事件上下文，以及在该事件上下文中分析事件对象。

在分析事件对象时，将事件对象传递给分析引擎，由分析引擎调用风险监控规则进行风险分析。

从业务系统采集事件对象与分析事件对象采用异步处理机制；或/和，分析事件对象与进行风险处理采用异步处理机制。

所述处理风险的方式包括自动处理和告警提示。在确定采用自动处理方式时，进一步确定处理风险的执行对象，并将风险记录传递给该执行对象。

一种风险监控系统，包括：

用于捕获用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象的采集装置；

用于根据预先设置的风险监控规则分析所述事件对象，并且在确定产生所述业务数据的操作事件存在风险时生成风险记录的风险分析装置；

用于根据所述风险记录和风险处理配置确定处理风险的方式，并按该方式对所述操作事件进行风险处理的风险处理装置。

所述风险分析装置包括：用于监听保存事件对象的消息队列，并发现该消息队列有新的事件对象时从中获取事件对象触发分析操作的事件监听器；用于分析所述事件对象，以及生成风险记录的事件分析器。

所述风险处理装置包括：用于监听保存风险记录的消息队列，并发现该消息队列有新的风险记录时从中获取风险记录的风险监听器；用于根据风险记录的属性及风险处理配置，确定风险处理方式的风险分析器；用于根据风险处理方式执行风险处理的风险处理器。

所述风险处理器为多个，各风险处理器完成不同的风险处理功能；所述风险分析器根据风险记录选择其中一个风险处理器执行风险处理。

本发明的有益效果如下：

1、风险监控功能与业务处理功能分离，并采用异步处理机制，使得系统性能大幅度提高。

2、由风险监控系统集中对各业务处理系统进行统一监控，因此，使得管理和控制更为方便。

3、由于采用拦截技术捕获事件对象，所以无需改动原有的业务处理代码就可以为原有系统添加风险监控的功能，不影响原有业务逻辑。

4、由于事件分析与业务处理之间采用的是异步机制，业务系统处理完毕后不用等待事件分析结束才返回处理结果给用户，所以风险监控系统不会影响业务系统的处理速度。

5、由于采用规则引擎而不是硬编码方式实现对事件的分析工作，所以，添加新的规则或修改已有规则时只要编辑规则配置即可，而不用修改代码、编译、重新发布，因此风险监控规则的易扩展性强。

附图说明

图1为本发明实施例中实现风险监控的主要流程图；

图2为本发明实施例中风险监控系统的结构示意图；

图3为本发明实施例中采集事件对象的流程图；

图4为本发明实施例中分析事件对象的流程图；

图5为本发明实施例中进行风险处理的流程图。

具体实施方式

为了在对在线业务的风险监控中提高系统性能和可扩展性，本发明将在线业务处理功能与风险监控功能分离，由风险监控系统捕获各业务处理系统中用户的请求参数和业务系统处理该请求的业务数据，在通过分析这些数据确定业务操作存在风险时进行相应的风险处理。

由于在在线业务系统中，用户进行交易、支付等操作后一般都需要间隔一定时间该操作事件才能生效，如系统规定操作后一日(即操作之后的第二天)生效，因此，风险监控系统能够有充分的时间进行风险处理。较佳的方式是，业务处理系统与风险监控系统采用异步处理机制，即业务系统处理完毕后无须等待风险监控系统的结果，从而提高业务处理系统的稳定性和高效性。

参阅图1所示，对一次业务操作进行风险监控的主要处理过程如下：

步骤100、风险监控系统捕获用户的请求参数和业务系统处理该请求的业务数据，并按照预定的事件模型将这些数据组装成一个事件对象。

事件模型可以包括用户标识、事件发生时间、客户端IP地址、客户端MAC地址、服务器地址、操作类型、操作对象标识以及操作内容等信息。

步骤110、风险监控系统根据风险监控规则分析事件对象。

步骤120、根据分析结果判断操作事件是否存在风险，若存在风险，则进行步骤130，否则，结束对该次业务操作的监控。

步骤130、根据事件对象中的相关信息生成风险记录。

步骤140、风险监控系统根据风险记录和风险处理配置，对发生的操作事件进行风险处理。

图2给出了一种较佳的风险监控系统结构，主要包括：事件采集装置21，风险分析装置22和风险处理装置23。图2中的业务处理机20为运行业务处理系统的服务器，业务系统可以是交易系统200、账务系统201等。

事件采集装置21用于捕获各业务处理系统中用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象。进一步的，事件采集装置21采集到一个事件对象后，根据事件属性(如：提现事件，充值事件)，判断是否需要将该事件对象存档，即该事件是否会对日后其他事件的风险判断提供依据，如果是，则保存该事件对象，否则，不保存该事件对象。如，交易操作将对日后的提现操作提供风险判断依据，因此，该事件对象就需要保存。

风险分析装置22用于调用风险监控规则对事件采集装置21采集到的事件对象进行分析，当判断业务处理系统响应用户的请求而发生的操作事件存在风险时生成风险记录。该风险记录中可包含风险发生的时间、地点、主体及业务数据等。所有的风险监控规则形成一个规则库供事件分析装置22调用，这样，需要修改风险监控规则时，不需要修改其他部分和不会影响到其他功能部分。

风险处理装置23用于根据风险处理配置和风险记录确定风险处理方式，并进行相应的风险处理。风险处理方式可以是自动处理，也可以是告警提示，由管理人员进行风险处理(即手动处理风险)。

进一步的，在风险监控系统的存储装置24中除了存储风险监控规则外，还包含有事件数据库240、事件消息队列241、风险数据库242和风险消息队列243。事件数据库240可以是任何通用的关系型数据库，用于保存能够向其他事件提供风险判断依据的事件对象；事件消息队列241可以是任何通用的消息中间件，用于存储事件对象以完成风险监控系统内事件对象的异步传递；风险数据库242可以是任何通用的关系型数据库，用于存储风险记录以备查询；风险消息队列243用于存储风险记录，负责风险监控系统内风险记录的异步传递。

风险分析装置22进一步包括事件监听器220和事件分析器221。事件监听器220用于监听事件消息队列241，当发现有新的事件对象进入队列时获取该事件对象并将其传递给事件分析器221，同时消息队列241自动删除该事件对象。事件分析器221将事件对象作为一个“事实”放入规则引擎中，规则引擎调用所有相关的风险监控规则对事件进行分析并获得分析结果；如果该事件违反了一条或一条以上的风险监控规则，则说明该事件存在风险，规则引擎将获得事件触犯的所有风险监控规则；事件分析器221根据事件对象中的信息以及触犯的所有风险监控规则生成一条风险记录(即风险模型，它记录了风险发生的时间、地点、主体、业务数据等信息)，然后将这条风险记录保存在风险数据库242中，同时将这条风险记录发送到风险消息队列243。由于任何事件的发生都可能与其他事件存在关联关系，所以在分析过程中，事件分析器221需要到事件数据库240中查询该事件的相关历史事件；当查到相关的历史事件后形成一个事件上下文，并在这个上下文中分析事件对象。

风险处理装置23进一步包括风险监听器230，风险分析器231和风险处理器232。风险监听器230用于监听风险消息队列243，当发现有新的风险记录进入队列时，获取该风险记录并传递给风险分析器231，同时风险消息队列243自动删除该风险记录。风险分析器231根据风险处理配置以及风险记录的属性，判断是自动对操作事件进行风险处理，还是由管理人员手工对操作事件进行风险处理。风险处理器232可为多个，各风险处理器完成不同风险处理功能；当风险分析器231确定自动处理风险时，根据风险记录的属性选择其中一个风险处理器232，并将风险记录传递给该风险处理器232，由风险处理器232完成相应的风险处理，如冻结账户。

为了避免影响原有业务系统，事件采集装置21采用方法拦截器技术从业务系统捕获请求参数和业务数据，即在用户请求进入业务系统的必经之路(方法调用)上把请求信息截获下来(即拷贝一份数据)，并在处理结果返回的必经之路(方法返回)上把业务处理结果截获下来(即拷贝一份数据)。使用拦截器技术可以对系统间数据交换做到透明截获，相对传统主动通知技术，采用拦截技术无须业务系统发送业务数据，而且拦截器独立于业务系统之外，不会影响业务系统。

事件采集装置21将采集到的事件对象送入消息队列241，由事件监听器220对事件消息队列241进行监听以获取新的事件对象，实现了业务系统与风险监控系统之间的异步处理机制，同时也实现了风险监控系统中事件采集和事件分析的异步处理；同样的，事件分析器221将生成的风险记录送入风险消息队列243，由风险监听器230对风险消息队列243进行监听以获取新的风险记录，实现了风险分析装置22与风险处理装置23的异步处理。通过消息队列机制实现装置之间的异步处理，不仅能提高了事件分析的效率，而且也降低了装置相互之间的耦合度，使其具有更佳的扩展性。

参阅图3所示，采集事件对象的处理过程如下：

步骤300、事件采集装置21对业务处理系统的业务进行拦截。

步骤310、事件采集装置21拦截到用户的请求参数和业务处理系统发生的操作事件(即处理业务)所产生的业务数据，并将这些数据封装成事件对象。

步骤320、根据事件属性判断是否保存该事件对象，若是则进行步骤330，否则，进行步骤340。

步骤330、事件采集装置21将事件对象保存到事件数据库240。

步骤340、事件采集装置21将事件对象发送到事件消息队列241中；然后，继续步骤300。

参阅图4所示，分析事件对象的处理过程如下：

步骤400、事件监听器220对事件消息队列241进行监听。

步骤410、事件监听器220发现有新的事件对象进入消息队列后，提取该事件对象并将其传递给事件分析器221；然后，事件消息队列241删除该事件对象。

步骤420、事件分析器221将事件对象传递给规则引擎，由规则引擎调用风险监控规则分析事件对象，并获得分析结果。

步骤430、事件分析器221根据是否违反风险监控规则判断事件操作是否存在风险，若是，则进行步骤440，否则，放弃对该操作事件的后续处理。

步骤440、事件分析器221根据事件对象中的信息生成风险记录。

步骤450、事件分析器221将风险记录送入风险消息队列243，并将风险记录保存到风险数据库242中。

参阅图5所示，进行风险处理的过程如下：

步骤500、风险监听器230对风险消息队列243进行监听。

步骤510、风险监听器230发现有新的风险记录进入消息队列后，提取该风险记录并将其传递给风险分析器221；然后，风险消息队列243删除该风险记录。

步骤520、风险分析器231根据风险处理配置和风险记录，分析是否进行自动处理，如是，则继续步骤530，否则，继续步骤540。

步骤530、风险分析器231根据风险记录的属性选择一个风险处理器232，并将风险记录传递给该风险处理器232进行相应的风险处理。

步骤540、风险分析器231给出相应的风险警示，由管理人员处理该风险。

下面以监控用户在业务系统中的一次提现操作为例对上述进一步说明：

对于在线业务系统，用户“提现”操作是指用户从用于电子商务交易的账户上将资金转移到可由用户自己控制的个人账户上。风险监控系统进行风险监控过程如下：

1、用户提供身份信息向账务系统申请提现，账务系统处理用户的提现申请。事件采集器21拦截到所述提现申请，并拦截到用户的请求参数(如用户ID等)和账务系统进行业务处理后产生的业务数据，然后生成一个事件对象。该事件对象中包含：

用户ID：用户A；

操作发生时间：2006-01-10，AM 10:30；

客户端IP地址：XXXX.XXXX.XXXX.XXXX

客户端MAC地址：aaaa

服务器IP地址：YYYY.YYYY.YYYY.YYYY

操作类型：提现；

操作对象标识：账务流水号；

操作内容：100元。

2、事件采集器21将上述事件对象送入事件消息队列241中。由于有些规则需要察看账户30天内的所有账务活动，因此该事件对象需要保存。

3、事件监听器220发现有新的事件对象，提取所述事件对象并传递给事件分析器221，事件消息队列241自动删除该事件对象。

4、由于是提现操作，账务系统中用户的资金应该与充值事件或交易事件等历史事件有关，因此，在分析该事件对象的一条风险监控规则中要求该提现操作必须与之前的一件交易或充值事件关联。事件分析器221在分析时根据用户ID查询事件数据库240，以获取与该用户相关的历史事件。在本例中未查询到与该用户相关的历史事件。

由于没有与提现操作相关的历史事件，则规则引擎会返回违反一条风险监控规则的结果。

5、事件分析器221根据违反风险监控规则的分析结果生成一条风险记录，将该风险记录送入风险消息队列243并将其保存到风险数据库242。风险记录包含：

用户ID：用户A；

操作发生时间：2006-01-10，AM 10:30；

客户端IP地址：XXXX.XXXX.XXXX.XXXX

客户端MAC地址：aaaa

服务器IP地址：YYYY.YYYY.YYYY.YYYY

操作类型：提现；

操作对象标识：账务流水号；

操作内容：100元

风险级别：20(数字越大说明越危险)(根据违反的风险监控规则确定)；

推荐处理动作：提现失败

可选处理动作：冻结账户、冻结余额

风险描述：用户在最近二十天内没有任何交易和充值，有盗卡嫌疑。

6、风险监听器230发现有新的风险记录，提取该风险记录并传递给风险分析器231，风险消息队列241自动将该风险记录删除。

7、在风险处理配置中对具有风险的提现操作，指定由系统自动处理；配置中规定风险记录的风险等级＞10，并且处理动作的影响等级＜20，使用XX风险处理器处理。

风险分析器231根据风险处理配置和风险记录中的操作类型—提现操作，确定由系统自动处理，选择XX风险处理器并将风险记录传递给风险处理器。

8、XX风险处理器根据风险记录中的相关信息，冻结用户的账户并使提现操作失效。进一步的，给出进行该风险处理的相关提示信息。

在上述监控提现操作的实例仅用于说明本发明，事件对象和风险记录中给出的信息仅为示意性说明，在实际应用中可能没有其部的部分信息，也可以包含更多的信息。对其他业务操作的风险监控与此同理，不再赘述。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若对本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (13)

1、一种对在线业务进行风险监控的方法，其特征在于，包括如下步骤：

捕获用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象；

根据风险监控规则分析所述事件对象，并在确定产生所述业务数据的操作事件存在风险时生成风险记录；以及

根据所述风险记录和风险处理配置确定处理风险的方式，并按该方式对所述操作事件进行风险处理。

2、如权利要求1所述的方法，其特征在于，采用拦截方式捕获所述请求参数和业务数据。

3、如权利要求1所述的方法，其特征在于，进一步根据所述事件对象中的操作事件属性判断该操作事件是否能够向其他操作事件提供风险判断依据，并且在判断结果为是时，进一步保存所述事件对象以形成历史事件。

4、如权利要求3所述的方法，其特征在于，在分析事件对象时进一步查询相关的历史事件，并在查询到相关的历史事件后形成一个事件上下文，以及在该事件上下文中分析所述事件对象。

5、如权利要求4所述的方法，其特征在于，将事件对象传递给分析引擎，由分析引擎调用风险监控规则进行风险分析。

6、如权利要求1所述的方法，其特征在于，从业务系统采集事件对象与分析事件对象采用异步处理机制；或/和，分析事件对象与进行风险处理采用异步处理机制。

7、如权利要求6所述的方法，其特征在于，将事件对象送入被监听的消息队列，并在监听到该消息队列有新的事件对象时提取该事件对象并进行分析；或/和，将分析事件对象后生成的风险记录送入被监听的消息队列，并在监听到该消息队列有新风险记录时从中提取风险记录并进行风险处理。

8、如权利要求1至7任一项所述的方法，其特征在于，所述处理风险的方式包括自动处理和告警提示。

9、如权利要求8所述的方法，其特征在于，在确定采用自动处理方式时，进一步确定处理风险的执行对象，并将风险记录传递给该执行对象。

10、一种风险监控系统，其特征在于，包括：

用于捕获用户的请求参数和业务系统处理该请求的业务数据，并将其封装为事件对象的采集装置；

用于根据预先设置的风险监控规则分析所述事件对象，并且在确定产生所述业务数据的操作事件存在风险时生成风险记录的风险分析装置；

用于根据所述风险记录和风险处理配置确定处理风险的方式，并按该方式对所述操作事件进行风险处理的风险处理装置。

11、如权利要求10所述的风险监控系统，其特征在于，所述风险分析装置包括：

用于监听保存事件对象的消息队列，并发现该消息队列有新的事件对象时从中获取事件对象触发分析操作的事件监听器；

用于分析所述事件对象，以及生成风险记录的事件分析器。

12、如权利要求10或11所述的风险监控系统，其特征在于，所述风险处理装置包括：

用于监听保存风险记录的消息队列，并发现该消息队列有新的风险记录时从中获取风险记录的风险监听器；

用于根据风险记录的属性及风险处理配置，确定风险处理方式的风险分析器；

用于根据风险分析器的指示执行风险处理的风险处理器。

13、如权利要求12所述的风险监控系统，其特征在于，所述风险处理器为多个，各风险处理器完成不同的风险处理功能；所述风险分析器根据风险记录选择其中一个风险处理器执行风险处理。

Images