CN1930901A - 用于移动通信网络的本地使用监测和欺诈检测 - Google Patents

Abstract

在用于无线网络的移动手机上提供欺诈检测，允许检测立即发生。通过建立用户特征在移动手机SIM卡内记录用户行为。欺诈检测技术可被应用到此使用数据上。可以确定使用的位置，例如通过确定蜂窝系统中的小区身份，或用于漫游使用的网络身份。如果该使用被识别为潜在的欺诈，则采取例如锁定手机的行动。因此可将使用限制到特定预定位置。可以防止欺诈，因为许多欺诈涉及在距离用户归属小区较远的位置使用。通过记录并维持诸如呼叫持续时间和目的地的呼叫数据可以捕获用户行为。也可以根据热号码列表、运营商已知是是可疑的号码来检查所拨打号码。

Description

用于移动通信网络的本地使用监测和欺诈检测

相关申请

本申请涉及名称为“Detecting mobile telephone misuse”的美国专利5,966,650以及名称为“Generic processing capability”的美国专利6,038,555，在此结合其全部作为参考。

发明领域

本发明涉及用于诸如蜂窝电话网络的无线通信网络的手机、用于此类手机的例如SIM卡的可移除卡、使用此类手机的方法、检测手机欺诈使用的方法、维持欺诈检测的方法、用于欺诈检测的管理系统、对手机使用收费的方法、维持使用监测系统的方法(该监测系统用于监测用作无线通信网络一部分的手机的使用)、以及用于维持使用监测系统的管理系统。

背景

从最初扩展移动电话使用以来，移动电话的欺诈变得普遍。电话运营商和手机制造商实施了许多安全措施、欺诈防止措施以及欺诈检测措施。这些包括使用诸如IMSI(国际移动用户识别符)和IMEI(国际移动设备识别符)(IMSI和IMEI并不主要为欺诈检测而设计，而更多是为了用户和手机识别的需要)的识别代码，以及基于规则和阈值以及中枢系统网络技术布署欺诈检测系统用以监测用户使用。当前的欺诈检测系统通常使用来自运营商计费系统的中介数据分析用户行为，构造用户特征并应用欺诈检测软件技术来识别潜在的欺诈使用。他们还采用来自网络运营商的其他数据流，诸如例如SS7、客户服务以及计费系统，实质是网络运营商必须将单个或多个数据源馈入集中式系统，即使该系统是分布式的。

使用监测的难度之一是正确识别欺诈使用并停用该电话所需的时间。在此期间，可以发生大量使用，从而导致运营商显著的收入损失。运营商感兴趣的是在尽可能早的阶段识别欺诈，从而最小化发生的实际收入损失。

在美国专利5,734,977中显示了某些不同类型欺诈使用和检测系统的有用概括。已知提供用于从呼叫细节记录中检测异常使用模式的欺诈检测系统。这些都在中心位置处理，并向运营商警报可疑活动，该运营商可以确定采取什么行动。在此种中心位置存在大量处理负载，以处理成千或几百万用户，因此在传送CDR到该位置时存在延迟。因此响应时间通常是数小时。同样，检测事件情形使用不能在没有巨大和不切实际处理负载或处理延迟情况下适于个人用户行为的算法或规则。

从美国专利5,655,004中还知道通过鉴权移动通信装置(例如蜂窝电话)和接收者之间的通信服务请求，尝试立即检测并拒绝欺诈呼叫，同时允许给合法用户继续服务。更具体的，在中心处理设施接收来自移动通信装置的服务请求消息，该服务请求消息包括特定于该移动通信装置的识别代码以及代表移动通信装置先前使用累积总计的发射鉴权代码。比较发射的鉴权代码和所存储的用于移动通信装置的鉴权代码，并如果发射鉴权代码和存储的鉴权代码相匹配，则启动在该移动通信装置和接收者之间的通信。

另一个美国专利6,295,446致力于战胜包括那些使用盗取PIN(个人识别号码)的复制蜂窝电话操作。移动站(MS)具有非易失存储器，用于存储电子识别号码以及第一主叫事件表。该设备还包括具有第二主叫事件表的MSC(移动服务中心)或HLR(归属位置寄存器)，只要未发生欺诈，该第二主叫事件表包含第一主叫事件表的镜像。第一和第二主叫事件表包含用于MS主叫活动的识别信息，诸如呼出呼叫信息，该信息可以包括被叫号码、呼叫时刻，呼叫持续时间和/或呼叫日期。对于每个呼出呼叫都更新第一和第二主叫事件表，进行未来呼叫的鉴权是基于包含在每个主叫事件表内的信息之间的有条件一致性。

然而，这样的配置仍然涉及中心设施的成本，以及向/从中心设施发送信息以作出对欺诈活动的决定然后停用该电话的延迟和成本。在此期间可以发生大量使用，导致运营商显著的收入损失。

提供能够在允许呼叫之前要求输入PIN的移动手机也是已知的。一个例子显示在美国专利6338140中，计划作为防止复制的防护。然而，这种补救对于用户不方便，并且在用户中不受欢迎。美国专利6321339显示了用于鉴权网络用户并颁发数字证书的系统。这要求用户ESN(电子序列号)或提供识别信息。给用户提供询问层级以保证其身份。美国专利6223290显示了用于防止蜂窝电话欺诈使用的方法。这包括将唯一代码编程到辅助存储器中，并将其和至少一个组件代码比较。该想法是通过将硬件锁定到特定提供商来链接电话存储器、电话硬件和微控制器以防止复制。这可以防止ESN(电子序列号)或IMEI的(成功)修改。

美国专利6,198,915和5,625,669显示了具有内部账户的移动电话。这允许通过使用计费程序计算呼叫值。向用户报警账户状态。该电话可以递减借记账户，或根据需求计算账户费用。它还显示了远程激活、更新并编程新电话。

发明概述

本发明的目的是提供解决这些问题的改进的设备或方法。

根据本发明的第一方面，提供了一种用作移动通信网络一部分的移动手机，该手机具有配置用于监测手机使用的监测器，以及配置用于确定此种使用是否是欺诈的检测器。

和现有集中式系统相比它有若干优点。如果在始发使用信息(即手机)的源处执行，则欺诈检测可以更快。检测器可以察看使用，例如呼叫正在进行中或在呼叫完成之后立即从事分析。如果无需传送使用信息到集中式欺诈检测配置，则会有较少延迟和较低的通信开销。任何检测之后的补救动作都可用较少延迟实现。这样的补救动作可以包括锁定手机，或发送指示(例如通过SMS)向运营商(经过应用管理组件)通知可能属于欺诈的感兴趣的行为。特别的，如果在手机处本地执行检测，则该检测可十分容易的适于每个用户或用户组，从而导致更精确的检测。实施和运行欺诈检测的成本可以减少，因为检测处理无需具有昂贵通信链路和到复杂计费系统的接口的大型中心处理设施。这还意味着随着基于收入的服务(诸如WAP、使用GPRS和类似EMS和MMS的未来3G网络服务的永远在线服务)使用的增加，用户数目增加并且活动类型也增加，该解决方案固有的更具有可伸缩性。期望欺诈使用包括因为任何原因没有对其收取对应费用的任何使用。这可以包括没有正确计费的呼叫，以及已计费但没有付费的呼叫。

作为从属权利要求特征，将手机配置为分布式处理网络欺诈管理系统的一部分。和完全集中式或完全独立式配置相比，这允许改进的检测。可以组合两者的优点。可以建立网络上许多用户使用的平均模式，例如基于一天时间和一周某天，但对于每个用户仍然是个人化的。

另一个从属权利要求特征是在检测器检测欺诈(包括不适当的)使用的情况下用于防止进一步使用的锁定。这也可用作触发机制，其在当识别到感兴趣的事件时可以锁定电话。这能够允许对欺诈检测作出快于基于网络的锁定的反应。同样，它使得能够避免防止在其他运营商网络上使用的逻辑困难和延迟。

另一个从属权利要求特征是在检测器检测到诸如欺诈或不适当使用的非正常使用时，发送指示给网络运营商。这允许运营商采取适当行动，例如更密切监测或提示用户鉴权，或警告用户将激活锁。可用消息服务承载该指示，包括SMS、EMS、MMS、电子邮件或其他。网络信令类型解决方案之上的消息服务的优点是更加易于实现，无需进入复杂网络管理或计费系统的接口。同样它也更快和更有效，特别是在许多网络中。这解决了漫游欺诈的公共问题，其中由于呼叫记录到达归属运营商(归属公共陆地移动网络)(HPLMN)中间系统的数天或数星期普遍时间延迟，在一段时间内不能识别其他运营商网络上的移动电话使用。

另一个从属权利要求特征是能够通过从网络运营商发送的消息进行修改的监测器或检测器。通过这些优点，这允许手机被远程升级。如果没有精确检测到欺诈，也可以调整阈值或其他参数，以减少用户的不方便性或减少运营商的不方便性。

另一个从属权利要求的特征是监测器具有集合器，用于将当前使用信息集合到当前特征中。如果使用信息被概括或标准化，这可以允许更容易的处理该使用信息。因此更有效的利用手机的有限的处理和存储资源。

另一个从属权利要求特征是，配置检测器用于通过比较当前特征和代表较长时期使用的典型特征来检测异常使用。这可以允许快速和准确的检测多种类型的欺诈。

另一个从属权利要求特征是，配置监测器用于用当前使用信息修改典型行为特征。这允许随时间提高检测精确性，以及每个SIM卡都具有对网络服务使用的个人行为特性的精确观察。

另一个从属权利要求的特征是，配置检测器用于比较当前使用和活动级别的阈值。这是欺诈的特别有用的指示器。它可以是若干检测方法之一。一种特别有用的方法包括组合一段时间上的行为检测和术语称为基于事件的检测的当前活动检测。该使用有用的包括呼入呼叫和消息以及呼出活动。即使此种呼入活动自身不是欺诈的，它也可以是欺诈呼出活动的指示或预测器。

另一个从属权利要求特征是，配置检测器用于比较当前使用和被分类为欺诈的预定活动。这些活动可以包括例如呼叫预定号码或国家或附加付费电话。除了其他检测方法之外可以使用此种方法。

另一个从属权利要求特征是配置检测器从而可由网络运营商远程调整。这可以允许例如调整检测灵敏度，或更新阈值或热号码列表或分类。

该监测器和检测器可以是软件形式。监测器和检测器可被实现在可移除卡上。这可以是例如SIM卡，或用于2.5G或3G环境的JAVA卡，其中该使用包括数据服务使用以及交易。

本发明的另一个方面提供用于用作无线通信网络一部分的手机的可移除卡，该可移除卡具有配置用于监测手机使用的监测器以及配置用于确定此种使用是否是欺诈的检测器。

这反映出诸如SIM卡的卡是手机最有价值的部分，可以是独立贸易商品，适于和来自多个制造商的手机一起使用。期望术语监测器包括配置作为混合解决方案一部分的监测器，具有一些基于手机的处理能力以及一些基于网络的处理能力。

本发明的另一方面提供一种使用适于用在无线通信网络中的移动手机的方法，该手机具有欺诈检测器，该方法包括以下步骤：使用手机在无线通信网络上通信，随后是激活欺诈检测器，由欺诈检测器监测此种使用。

如果用户例如是专利权限之内仅有的一方，注意力集中于用户动作的本方面会尤其有用。

本发明的另一方面提供检测用作无线通信网络一部分的手机的欺诈使用的方法，该手机具有欺诈检测器，该方法包括以下步骤：在手机中监测手机使用，以及在手机中确定此种使用是否是欺诈。

这对应于设备方面，并且如果服务中设备使用的价格比该设备的出售价格更高，这是特别有用的。

本发明的另一方面提供一种提供欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法包括以下步骤：从用户接收用于服务激活请求，以及发送消息到该手机从而使检测器检测欺诈使用。

如果和单个手机价格比较对运营商的益处更大，则注意力集中于运营商动作的本方面更有价值。基于手机的欺诈检测的优点是，通过激活制造时安装在手机卡上的软件，或当手机卡早已在现场或处于服务中时，可以通过下载合适软件到手机卡，使得对于每个用户易于激活或停用它。

本发明的另一方面提供一种维持欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法包括以下步骤：维持手机具有其欺诈检测器的记录，以及远程更新在这些手机中的一个或多个中的欺诈检测器。

如果和单个手机价格比较对运营商的益处更大，则注意力集中于运营商动作的本方面更有价值。很明显，该更新可十分容易的适于单个使用模式，而不要求不实际的处理或存储容量，因为检测器是基于手机的，而不是集中式的。

本发明的另一方面提供一种维持欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法具有以下步骤：接收欺诈检测器已经锁定该手机的指示，以及如果该使用不是欺诈的，则远程解锁该手机。

如果和单个手机价格比较对运营商的益处更大，则注意力集中于运营商动作的本方面更有价值。很明显，这有助于克服错误的欺诈检测对于用户不方便的可能风险。期望远程解锁包括为用户发送解锁代码从而输入到手机将其解锁。

本发明的另一方面提供一种管理系统，用于提供用于检测作为无线通信网络一部分的手机的欺诈使用的欺诈检测服务，该手机具有欺诈检测器，该系统具有：配置用于从用户接收服务激活请求的接口，以及配置用于发送指示到手机以使检测器检测欺诈使用的处理器。

该方面是对应以上方法之一的系统。

本发明的另一方面提供一种管理系统，用于维持检测用作无线通信网络一部分的手机的欺诈使用的欺诈检测服务，该手机具有欺诈检测器，该系统具有：手机具有其欺诈检测器的记录，以及配置用于远程更新这些手机中一个或多个中的欺诈检测器的处理器。

本方面是对应以上方法之一的系统。

本发明的另一方面提供一种管理系统，用于维持欺诈检测服务，该服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该系统具有：用于接收该手机已被欺诈检测器锁定的指示的接口，以及处理器，其配置用于在如果该使用不是欺诈的时发送命令以远程解锁该手机。

这包括发送解锁代码到用户。本方面也是对应以上方法之一的系统。

本发明的另一个方面提供一种具有用于防止使用的锁的移动手机，以及锁控制器，用于根据监测的使用来激活该锁。

锁在手机中而非网络中的优点是，它可以防止该手机卡用在其他网络。同样，它还允许比常规基于集中式网络的使用防止更快的防止使用。此例子中的监测和检测可以是本地或集中式或两者的混合。

一个从属权利要求特征是，根据手机位置来激活。基于位置的优点之一是它可以帮助防止盗窃，或限制收入损失。这对于在可能是不同国家的其他网络中欺诈性地重复使用的移动手机或SIM的情形特别有用。基于手机的该解决方案比基于维持网络的锁定更为成本有效，因为全世界有多个网络。

另一个从属权利要求特征是，在蜂窝网络中使用的手机被配置为通过识别该移动站在哪个小区中来确定位置。这使得可以通过锁定或限制从特定小区发出的呼叫或仅允许用户可能处在的特定小区中的呼叫来更有效的防止欺诈。

另一个从属权利要求特征是可由网络运营商从远程调整手机。这允许更新以改变例如位置或任何监测或欺诈检测的灵敏度。这可以使配置对用户更友好。

本发明的另一个方面提供一种用作无线通信网络一部分的移动手机，该手机具有配置用于监测和记录手机使用的监测器。

在手机中监测而非在网络中监测的常规配置有许多优点。如果手机中的监测允许执行监测而无需对复杂、昂贵的网络信令、管理或计费系统进行大的修改，则可以大大降低成本。该使用信息可被用于多种目的，包括欺诈检测，其他收入保证活动，例如用于市场目的和其他客户关系管理(CRM)活动。

另一个从属权利要求特征是，使用消息服务发送和监测的使用相关的信息到网络运营商。这可以允许网络运营商更直接地具有关于该使用的几乎实时的信息，而不依赖于常规的信令网络或计费系统。特别是对于漫游，该漫游意味着非用户归属网络的其他网络的使用，在归属网络知道此种使用之前可能有数小时或数天的相当大的延迟。对于例如欺诈防止或基于位置的服务的应用，具有更多的最新使用信息更有价值。可以更密切地监测正在网络之间漫游的高风险性或识别出的组或个人。使用集中式和分布式技术的混合，当漫游者在进行可疑行为时，他们的手机可以实时监测并通知集中式网络欺诈监测管理器。

另一个从属权利要求特征是集合器，用于在手机中集合并存储该使用的集合概括。在手机而非网络中的其他地方进行此动作有许多优点。可以压缩该信息以减少通信成本。较少需要具有到复杂计费系统的昂贵通信链路和接口的大型中心处理设施。这还意味着当用户数目增加时，本解决方案固有的是更加可伸缩的。

本发明的另一方面是提供一种对手机使用收费的方法，该收费基于该手机是否具有活动的欺诈检测。

该方法的一个优点在于，如果欺诈检测是在本地的，在手机中进行的，则与集中式系统相比，它使用户更易看见并且更容易选择性激活。因此运营商更容易让用户信服它带来了附加价值因此值得额外的收费。因此可以增加收入。可选的，如果因为欺诈减少或其他收入损失减少而收入增加，运营商可以选择为用户提供折扣以激活欺诈监测器，以鼓励更多人这样做。基于本地手机的检测的可伸缩性使得这样更加可行。

本发明的另一方面提供一种对手机使用收费的方法，该收费是基于该手机是否具有活动使用监测。

和此种使用监测相关的优点和欺诈检测的类似。潜在的，如果此种使用信息对于市场目的是有价值的，则可以在用户允许下出售，可为用户提供折扣收费方案。这有益于用户和运营商。

本发明的另一个方面提供一种维持使用监测系统的方法，该系统用于监测用作无线通信网络一部分的手机的使用，该方法包括以下步骤：维持手机具有其使用监测器的记录，以及从这些手机接收使用信息。

这样的一个优点是，和集中式解决方案相比，此种信息的本地集合能减少处理和通信开销。同样，它可以减少对到复杂安装系统的昂贵接口(例如计费系统)的需求，而仍然产生关于用户行为的极有价值的信息。如上所述，和常规的集中式系统相比，它更具有可伸缩性。

本发明的另一方面提供一种管理系统，用于维持使用监测系统，该使用监测系统用于监测用作无线通信网络一部分的手机的使用，该手机具有使用监测器，该系统具有：手机具有其使用监测器的记录，以及配置用于从这些手机接收使用信息的处理器。这对应于上述方法。

本发明的另一方面提供如上所述的可移除卡，并具有用于集合当前使用信息到一个特征的集合器。

本发明的另一方面提供一种用于用作无线通信网络一部分的手机的可移除卡，该可移除卡具有软件，其配置用于监测手机使用并且用于将概括该使用的特征存储在手机中。

另一个从属权利要求特征是，该软件被配置用于通过比较短期使用和代表较长时期使用的特征来检测异常使用。另一个从属权利要求特征是，该软件被配置用于用当前使用信息更新该特征。另一个从属权利要求特征是该软件被配置用于为保证收入目而使用该特征。另一个从属权利要求特征是该软件被配置用于使用存储的特征来从手机发送使用信息到网络运营商，从而允许根据该使用信息订制到用户的服务。另一个从属权利要求特征是，该可移除卡被配置用于当安装在手机中时，接收由网络运营商在网络上发送的软件更新。另一个方面是，该软件用于存储在可移除卡上以实现上述特征。另一个方面是移动手机具有包含以上特征的任何一个的可移除卡。

本发明多种方面的优点以及上述的可选特征包括下面的考虑：

a).可伸缩性：和涉及CPU功率(每2年翻倍)的摩尔定理不同，在线存储不是以相同比例增加，因此集中式欺诈管理方案最终除了少数顶级运营商之外，对于所有人都变为太多成本限制，因为随着提供越来越多的收入传送服务，每个用户在线存储需求也增加。

b)在源处监测：因为欺诈呼叫是由移动手机进行的，因此检测并防止这些呼叫的最佳位置是在手机上实时进行，而不是在这些呼叫记录(CDR)被收集、转换并分发回运营商运行的上行流支持办公系统之后。

c)采用现有未使用处理资源：移动电话当前一代拥有足够的计算能力来提供服务和特征(日历，地址簿，电子邮件，SMS，EMS/MMS)的整体主机。占用该计算能力的一小部分能允许监测合法所有人的使用模式并预测未来呼叫习惯，而对其他应用很少或没有影响。

d)订制的服务：不是集中式的试图监测和预测每个单个用户的使用模式和未来呼叫习惯，而是授权手机把自身全部资源用于一个单个用户。通过运营商用单个订购分类(预付费，后付费消费者，后付费商务等)对用户进行标记的帮助，该解决方案被订制和确定目标用于以其自身独特的阈值和特定规则(例如预付费消费者不经常漫游，但可能比使用后付费商务具有更高的SMS使用率)致力于一个市场舞台。这可以减少集中式方案可能产生的任何潜在假象，并增加欺诈防止的成功率。

e)全球解决方案：-通过使用基于GSM的SIM卡以及用于开发软件的工业标准SIM Toolkit，本发明的实施例可以工作在当今所有手机上，而无需每个移动手机制造商所要求的独特分发。

f)易于布署-本发明的实施例可在运营商销售点(制造)处理期间包含到每个SIM卡中。通过随后使用空中激活，可以如用户期望的或运营商需要来远程允许该服务。

g)新服务支持-当运营商投放新服务时，可以更新特征和订购分类并将其远程通过空中发送到所允许的手机，从而许可受保护的新服务或受保护的新热点。

h)消费者忠诚保护-不是激怒高收入用户，而是在当新服务增加了它的相关市场渗透时，可在新服务上标记有警告状态而不是锁定该状态，以允许运营商集中确定该用户是否实际正实行欺诈或仅仅做出了预料以外的呼叫模式并超出阈值。

i)品牌认知：用户更倾向于从夸耀该移动欺诈监测/防止解决方案的运营商处选择手机，因为他们充分了解如果他们的手机丢失或被盗，在第一次欺诈尝试时该手机就会被锁定，他们不会对运营商所期望施加到欺诈使用上的任何呼叫费用负责。

j)可携带性：对于使用位于SIM卡上的软件的实施例，当用户更新手机时他们将自动获得该软件。因为没有能够无需SIM卡就使用的手机，因此如果原始SIM卡被移除，则任何受到欺诈保护的手机都要求替换SIM卡(以及替换的运营商/计费合同)。

k)CRM(消费者关系管理)-可以以选项方式从手机发送呼叫模式到运营商，以允许监测当前使用趋势以及待预报的未来服务趋势，它导致较好的订制服务以适应用户和增加收入。

l)基于位置的服务-在特定地理位置的手机使用可能被阻塞或记录，并同时反转此概念，并防止用户呼叫特定位置。

m)未来证明-移动服务3G和即将出现的4G的基础都是建立在高度成功的GSM 2G标准基础上的。通过支持GSM 2G标准以及后来的2.5G/3G标准的核心特征，可以维持和未来标准的兼容性。

任何从属权利要求特征都可以相互组合，并可以和本发明的任意方面组合，正如本领域技术人员所公知的。可将这些方面组合到一起。除了上述之外的优点对于本领域技术人员也是十分清楚的。

附图简要说明

现在参考附图将说明本发明的实施例，以示范方式显示如何实现本发明，其中：

图1显示本发明第一实施例的示意图，其中该手机具有监测器和欺诈检测器，

图2显示另一个实施例的示意图，具有网络欺诈管理系统，

图3显示另一个实施例的示意图，具有配置用于监测使用的手机，

图4显示另一个实施例的示意图，具有带有锁的手机，

图5显示另一个实施例的示意图，具有配置用于使用消息服务发送使用信息的手机，

图6显示另一个实施例的示意图，显示了用于手机的可移除卡，

图7显示另一个实施例的示意图，显示了激活监测的步骤，

图8显示另一个实施例的示意图，显示了检测欺诈使用的步骤，以及

图9显示另一个实施例的示意图，显示重新激活锁定手机的步骤。

具体实施方式

图1显示本发明第一实施例的示意图，在标准无线通信网络环境中具有包含监测器和欺诈检测器的手机。该网络，显示为项10，可以是GSM或其他蜂窝网络，或运行在无线链路、蜂窝电话链路、诸如GPRS(常规分组无线服务)的无线数据链路或3G网络之上的IP网络。显示第一手机20用于用户在网络上通信。其他手机50可以是常规手机或类似第一手机的手机。该手机可以是具有无线通信能力的PDA(个人数字助理)或便携式或手持计算机。显示网络联接到其他网络70，该其他网络可以是无线或陆地或任何类型的网络。网络管理和计费系统60也显示出来。通常，为了常规网络管理目的，存在信令信道来允许网络管理系统和网络周围的基站通信。这样的网络管理系统具有一定级别的业务监测，至少是在网络不同部分的业务级别，以识别任何拥塞问题。

第一手机具有使用监测器30和使用该使用监测器输出的欺诈检测功能40。欺诈检测功能的输出可用于任何目的，因此为了清楚起见在该图中没有显示。使用监测器可以完全独立存在，或联接到网络。这可以通过使用常规信令信道或诸如SMS(短消息服务)消息的其他方法来实现。可在网络中核对来自多个这样的手机的使用信息，它的输出可以是任何形式，但可以有用的包括一段时间上的使用概要。这样的一个例子是下面将要详细说明的行为特征。该输出可用于其他目的以及欺诈检测。

欺诈检测要素可被实现为使用多种常规方法中的任何一种。根据手机处理和存储性能以及期望检测级别，它适于使用比那些通常用于基于网络的欺诈检测更简单的算法或要求较少处理或存储资源的算法。下面将详细说明一个例子。

图2显示另一个实施例的示意图，具有网络欺诈管理系统以及具有欺诈本地检测的手机210(也被称为“Terminator^TM”)。该手机和图1的第一手机类似，或具有某些其他配置。用户还可以使用它在网络220(可以和图1的网络类似)上通信。控制中心230联接到该网络上并提供到网络欺诈管理中心的接口。网络欺诈管理中心具有网络欺诈检测系统250，欺诈分析工作站260，以及手机检测管理中心240，用于Terminator应用的帮助桌面终端270。

这是一个混合系统，具有按照常规原理实现的网络欺诈管理系统，但该系统适于和Terminator应用协同使用，以提供在本地和网络级的欺诈检测的优点。该网络欺诈管理系统可以识别用户组中的欺诈行为，并在大量用户上产生代表“正常”行为的统计，该大量用户被分类为不同类型(也称作分类)的用户。可以以概要形式将该信息下载到用户手机上的Terminator应用，以改进本地检测的精确性。另一方面，使用信息或潜在的欺诈检测可从Terminator应用实时馈入到网络欺诈系统，以改进其精确性。

图3显示另一个实施例的示意图，具有配置用于监测使用的手机。对应的参考标记和图1使用的相同。在此例子中，取代第一手机中的本地欺诈检测应用的是提供了使用存储器300。这允许将使用概要存储在手机中。该使用可以包括呼叫、消息、电子邮件使用、数据通信以及非通信使用，例如游戏、日历、和其他应用。不进行一些类型的压缩或概要而存储在手机中或从手机传送是不切实际的。一个例子是下面说明的行为特征，它可以连续更新。

使用信息可被用于市场目的，或者通过出售给其他人而用于外部，或由运营商使用而用于内部。还可用于网络管理目的，或收入保证目的。例如，存储在手机中的使用可和为该用户准备的帐单比较，以识别任何异常。

图4显示另一个实施例的示意图，具有配置用于锁定手机以防止使用的手机。对应的参考标记使用图1中的那些。具有本地锁410而非仅仅阻挡网络中的使用允许防止欺诈呼叫的更快动作，并更容易且有效的防止在其他网络上的使用。该锁可被实现为用于该手机的SIM卡上的软件。软件和手机上的处理器相互作用，从而阻挡使用。本实施的细节因为手机的不同类型而变化，但可以遵循已建立的惯例。

显示了锁控制器400，例如同样可实现在SIM卡上的软件中，用于确保对于正确标准激活该锁，并可由网络运营商远程解锁。该控制器可选的可配置用于当激活锁时向网络运营商报警。可根据使用来激活该锁，在此例子中可以本地监测或在网络中监测，例如在基站，MLC(移动位置控制器)或MSC(移动服务交换中心)或等效物，或者网络管理或计费中心。锁控制器被配置用于通过诸如SMS的消息服务和此种网络组件或外部组件通信。

图5显示另一个实施例的示意图，具有配置用于使用消息服务发送使用信息的手机。使用的参考标记和图1中那些的相同。该手机不必具有Terminator欺诈检测器。由使用监测器30来监测使用。由要素500在网络上通过诸如SMS的消息服务向前发送该使用信息。这些要素可用诸如SIM卡的可移除卡上的软件形式实现。对于其他实施例，可以再次使用消息服务远程下载或更新软件。该使用监测可以包括监测每个呼叫或消息，或监测一段时间上使用模式或使用趋势，或它们的组合。它可以包括监测非正常使用，以及在非正常使用情况下发送消息，和/或发送所有使用的概要。更具体的，可从一段时间的行为和当前事件的混合体中推导出非正常活动。它可以包括监测呼入和呼出活动。

图6显示另一个实施例的示意图，显示了可移除卡600，例如用于移动手机的SIM卡或JAVA卡。存储器映象图690显示在不同存储器地址中5段的存储区域。在地址0到16K，是可用于软件应用的自由存储器。在此例子中，使用监测和欺诈检测应用680位于此处。这些包括名称为“Call Learn”^TM630、“Call Predict”^TM640、“Call Guard”^TM650、“Call Control”^TM660。

Call Learn是用于监测使用的监测器的例子。它通过更新来创建并维持一个或多个行为特征(也被称为概括)，该行为特征代表一段时间上多种使用参数的集合。这些可以用多种方式实现。美国专利5,966,650中名称为“Detecting mobile telephone misuse”显示了一个例子，在此结合作为参考。这显示出用户概括技术的核心，并描述了从事件流数据创建用户特征。所需的主要改动是指定用于容纳有限可用存储器的字段的数目的减少。长期特征形成20到30字段的集合，每个都具有代表不同使用参数的值，根据特征应用和/或用户分类选择它。例如，该字段可以具有在询问期间(例如几个月)中代表国际呼叫、或电子邮件、或附加费率呼叫、或本地呼叫的数目或比例。也可以建立代表几小时或几天中的当前使用的短期特征。可使用当前特征来更新长期特征，并产生字段值的加权平均类型，根据所代表的时期进行加权，或在字段是时间序列值的例子中，丢失最旧的值在该序列的另一端添加新的当前值。为满足例如SIM卡的受约束的存储资源，可以减少字段的数目和/或值的精度。

使用Call Predict通过比较当前特征和典型或长期特征来检测异常。从典型的改变量可用行为改变索引表示。触发动作的该索引的级别可在个人基础上根据用户分类调整，从而防止不希望的误检测。可遵循在美国专利6,038,555中显示的名称为“Generic processingcapability”已有原理再次地实现，将该文件在此结合作为参考。这显示了用于事件流的异常检测，并提供了一种用于测量事件流改变的方法。该方法取决于行为概括的构成并提供了用于有效比较当前活动和某些基准活动的专利方法。再次地，需正视的主要改动会是该方法的简化以容纳有限的处理能力。

Call Guard和Call Predict并行使用，用作在使用中检测异常的另一种方法，并因此用于检测欺诈。在此例子中，将实际呼叫或消息属性和规则、阈值和热列表相比较。例如，可以存在在一段分钟或小时周期内可以进行的国际呼叫的数目阈值。可以存在在类似周期中进行的短呼叫的数目阈值，或可以对至附加费率号码进行的呼叫的数目和持续时间设定阈值。可为例如超过较低阈值组合设定规则，或为一天中处于非正常次数的呼叫设定规则。再次的，更多细节参考上述美国专利。与热列表进行的比较涉及到将用于使用的目的地地址(例如电话号码、电子邮件地址、网页地址等)与已知和欺诈活动相关的地址相比较。该热列表还包括小区或网络识别，将其和手机的当前小区或网络比较，以检测该手机是否在真正的使用预定限制区域之外。

Call control被配置为用于空中活动(OTA)的接收器，包括处理热列表的Terminator SIM-Updates。Call control还维持并承担网络运营商所要求的对以下各项调整：

热列表入口

包括呼叫类型的规则和阈值

特征的CRM分析

载入新的有效和失效特征

另一个任务是Alarm(检测)队列管理，它包括确定采取何种行动。选项可以包括用(潜在标记的)用户接口覆盖消费者手机控制，该用户接口指示：

Terminator徽标/第三方标记

至指示检测到欺诈的消费者的消息

欺诈代码

另一个选项是自动拨号，或发送SMS消息到网络运营商帮助桌面，以允许用户验证他们的身份，或在预定时间之后面临锁定手机。另一个选项是向运营报警商而不向用户报警。另一个选项是立即锁定手机。一旦锁定，呼叫控制配置用于允许通过远程提供的输入代码解锁或通过远程解锁。呼叫控制在解锁手机之前使得从运营商接受的解锁代码生效。可以配置部分解锁，例如限制至通信类型子集、或地址子集或使用位置(例如小区)的使用。

同样在图6中显示的是SIM的存储器映象图的其他区域。地址16K到32K用作用于应用的数据670的持久性存储的工作空间。例如，如图所示，可存储在这里的有：规则和阈值、还有热列表、当前或有效特征、长期或失效特征、以及接收的OTA的消息或程序的暂时存储。

根据应用，该软件可用任何合适的语言实现，例如已知的C或JAVA语言。特别是对于不是移动电话的手机，可以在存储器板而非可移除卡上存储。该软件可用手机中的常规硬件执行，例如标准通用微处理器或数字信号处理器，或ASIC(专用集成电路)上的处理器模块。

图7显示另一个实施例的示意图，显示激活监测的步骤。在步骤710，用户(订户)经网络运营商请求终端订购。可选的，运营商可以无需用户始发就激活。在步骤720，根据用户输入或参考其他来源，网络运营商开始激活处理并设定或调整用于该用户的用户分类。在步骤730，经SIM-UpdateSMS消息激活Terminator移动应用。在步骤740，用默认值初始化Call-Predict和Call-Guard模块。此后，可选的如在步骤750所示，Call-Predict和Call-Guard经Call-Control远程调整以经SIM-Update反映出修改的用户分类(例如随时付费，商务，国际等)。

图8显示另一个实施例的示意图，显示检测欺诈使用的步骤。在步骤800，用户始发呼出呼叫或消息，或接收呼入呼叫或消息。在步骤810，在呼出呼叫期间，Call-Learn和Call-Predict监测呼叫细节(持续时间、所拨打号码、目的地)。类似的，对于呼入呼叫，记录相同细节。在步骤820，如果Call Predict产生报警，则Call Control锁定手机和/或发送消息到运营商。在步骤830，如果Call Guard产生报警，则Call-control将锁定手机和/或发送消息到运营商。在步骤840，如果检测到非允许位置(例如另一个网络或归属网络的特定小区)的使用，则Call Control锁定手机和/或发送消息到运营商。这些监测类型的混合组合对于推断非正常活动特别有用。例如，如果行为模式非正常，则可以使用较低事件阈值来触发动作。类似的，位置信息可与行为和或事件组合使用以提供更精确的检测。在850，手机的显示器855显示手机被锁定的指示，并提供用检测到的欺诈类型代码呼叫运营商的机会，以请求远程解锁，如现在将要更详细说明的。

图9显示另一个实施例的示意图，显示重新激活锁定手机的步骤。在步骤900，Call-Guard已锁定了手机，消费者必须联系网络运营商获得解锁代码。仅可以拨叫网络运营商帮助桌面号码。在步骤910，网络运营商进行验证过程并确定来自用户手机的欺诈代码性质。在步骤920，手机维持锁定并从网络退出，或在步骤930，网络运营商提供解锁代码到用户并对消费者订购分类或阈值进行任何必须调整，以防止更多的不期望的误检测。在步骤940，经Call-Control远程调整Call-Predict和Call-Learn以经SIM-Update反映消费者订购分类。

结论评论

如上所述，在手机上安装欺诈检测允许在最早时机发生检测。在移动手机SIM卡内捕获用户行为的装置是通过建立用户特征来提供。另一个选项是应用欺诈检测技术到该用户数据。另一个是检测使用位置，例如通过确定蜂窝系统中的小区身份或用于漫游使用的网络身份。如果该使用被识别为潜在的欺诈，则采取行动。一个选项是锁定手机并仅允许由网络运营商对其解锁。因此可将使用限制在特定预定位置。因为多种欺诈涉及在远离用户归属小区的位置处的使用，因此可以阻止欺诈。在2.5G/3G网络中，数据网络使用监测可通过维持热URL列表或其他指示器来进行。

通过记录并维持用于该用户的呼叫数据来捕获用户行为。该信息可以包括所拨打号码以及诸如呼叫持续时间和呼叫目的地的行为数据。该行为数据可被维持并集合在用户使用概括中。然后通过欺诈检测软件分析这些两个要素以寻找潜在欺诈。可根据热号码列表检查所拨打号码、运营商已知为可疑的号码。如果存在匹配，则立即锁定该电话。热号码列表可从中心欺诈管理系统通过移动控制单元下载，并每当热号码列表改变时随时更新。

集合到用户概括中的行为数据和用户的典型概括相比较。如果有较大差异，其显示出行为上的动态变化，则锁定该电话。所使用的比较方法包括标准统计分析技术，诸如动态偏差的专利技术，中枢网络或其他先进技术。比较结果会提供欺诈可能性的指示。还将行为数据和用户类别的活动阈值比较，并且任何超过的阈值都能提供欺诈证据。

最初为每个用户提供默认概括，其组成此种类型用户的典型使用。默认概括是基于由处理所有用户活动的中心欺诈管理系统提供的信息。集合的行为概括被失效到用户概括以维持用户行为的自适应记录，如以上美国专利5,966,650提及的。

实施例包括能运行在移动电话SIM卡上的软件应用以及欺诈管理系统，其能和移动手机通信并下载诸如热列表更新的信息到运行欺诈检测应用的手机。

益处包括：可在源处进行欺诈检测和防止，在用于特定网络运营商的领域中采用潜在的上千欺诈管理系统(FMS)，每个FMS唯一调谐到一个消费者。同样，由于对SIM卡的工业支持以及允许网络运营商在制造时将应用作为标准组件添加到每一个新SIM卡的SIMToolkit，该解决方案在多种移动手机之间具有可携带性。用户可以允许Terminator代理，就如同允许会议呼叫、数据服务以及第二线服务一样容易。网络运营商可对Terminator代理激活收费，通过向零售消费者的每月订购或作为对商务消费者提供的标准服务。将标记结合到对用户的报警中可以增加选定网络运营商以及欺诈检测服务运营商或提供商的市场认知。

其他变化方案

Callguard可被用于监测其他情形，例如通过添加到热列表对不允许呼叫某些号码的儿童进行监测。可以使用用户可调的热列表。可以提供监测或收入保证的不同级别。可以发送欺诈报警或“鉴权位置之外”报警到其他人或代理，例如儿童不适当使用的报警可被发送到父母处。关于公司手机的报警可发送到公司及用户处。可以向信用卡公司报警以增加对用户信用卡的监测。如果用户接受监测激活，则可为其提供保证超出的折扣。可通过紧急服务使用远程锁定功能来防止在紧急情况附近的使用，从而防止拥塞并确保诸如紧急服务的较高优先级用户的可用性。

本领域技术人员可以想到其他变化方案和附加方案，它们被包括在权利要求范围内。

Claims (43)

1.一种用作无线通信网络一部分的移动手机，该手机具有配置用于监测该手机使用的监测器，以及配置用于确定此种使用是否是欺诈的检测器。

2.权利要求1的手机，配置用作分布式处理网络欺诈管理系统的一部分。

3.权利要求1的手机，具有锁，用于在检测器确定欺诈使用的情况中防止进一步的欺诈使用。

4.权利要求1的手机，配置用于在检测器检测到欺诈使用的情况中发送指示到网络运营商。

5.权利要求4的手机，该指示用消息服务承载。

6.权利要求1的手机，该监测器或检测器可通过网络运营商使用消息服务发送的消息来修改。

7.权利要求1的手机，该监测器具有集合器，用于将当前使用信息集合到当前特征中。

8.权利要求7的手机，该检测器被配置用于通过比较当前特征和代表长时间段中使用的典型特征来检测异常使用。

9.权利要求8的手机，该监测器配置用于用当前使用信息来修改典型行为特征。

10.权利要求7的手机，该检测器配置用于比较当前使用和活动级别阈值。

11.权利要求1的手机，该检测器配置用于比较当前使用和分类为欺诈的预定活动。

12.权利要求1的手机，该检测器配置用于可由网络运营商远程调整。

13.权利要求1的手机，该监测器和检测器是以软件形式。

14.权利要求1的手机，该监测器和检测器实现在可移除卡上。

15.一种用于用作无线通信网络一部分的手机的可移除卡，该可移除卡具有配置用于监测手机使用的监测器，以及配置用于确定此种使用是否是欺诈的检测器。

16.一种使用适于和无线通信网络一起使用的移动手机的方法，该手机具有欺诈检测器，该方法具有以下步骤：

使用手机在无线通信网络上通信，随后是激活欺诈检测器，由该欺诈检测器监测此种使用。

17.一种检测用作无线通信网络一部分的手机的欺诈使用的方法，该手机具有欺诈检测器，该方法具有以下步骤：

在手机中监测手机的使用，以及

在手机中确定该使用是否是欺诈。

18.一种提供欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法具有以下步骤：

从用户接收服务激活请求，以及

发送消息到手机以使该检测器检测欺诈使用。

19.一种维持欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法具有以下步骤：

维持记录，手机具有关于该记录的欺诈检测器，以及

远程更新这些手机的一个或多个中的欺诈检测器。

20.一种维持欺诈检测服务的方法，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该方法具有以下步骤：

接收手机被欺诈检测器锁定的指示，以及

如果该使用不是欺诈，则远程解锁该手机。

21.一种用于提供欺诈检测服务的管理系统，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该系统具有：

接口，其配置用于从用户接收服务激活请求，以及

处理器，其配置用于发送指示到手机以使该检测器检测欺诈使用。

22.一种用于维持欺诈检测服务的管理系统，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该系统具有：

记录，手机具有关于该记录的欺诈检测器，以及

处理器，其配置用于远程更新这些手机的一个或多个中的欺诈检测器。

23.一种用于维持欺诈检测服务的管理系统，该欺诈检测服务用于检测用作无线通信网络一部分的手机的欺诈使用，该手机具有欺诈检测器，该系统具有：

接口，用于接收手机已被欺诈检测器锁定的指示，以及

处理器，其配置用于在如果该使用不是欺诈时发送命令以远程解锁该手机。

24.一种移动手机，具有用于防止使用的锁和用于根据所监测的使用来激活该锁的锁控制器。

25.权利要求24的移动手机，该激活是基于手机位置的。

26.权利要求25的移动手机，其和蜂窝网络一起使用，配置用于通过识别该移动手机处在哪个小区中来确定位置。

27.权利要求24的移动站，该锁控制器可由网络运营商远程调整。

28.一种用作无线通信网络一部分的移动手机，该手机具有配置用于监测和记录手机使用的监测器。

29.权利要求28的移动手机，配置用于使用消息服务发送和所监测的使用相关的信息到网络运营商。

30.权利要求28的移动手机，具有用于在手机中集合并存储该使用的集合概括的集合器。

31.一种对手机使用收费的方法，该收费是根据手机是否具有活动的欺诈监测。

32.一种对手机使用收费的方法，该收费是根据手机是否具有活动的使用监测。

33.一种维持使用监测系统的方法，该使用监测系统用于监测用作无线通信网络一部分的手机的使用，该手机具有使用监测器，该方法具有以下步骤：

维持记录，手机具有关于该记录的使用监测器，以及

从这些手机接收使用信息。

34.一种用于维持使用监测系统的管理系统，该使用监测系统用于监测用作无线通信网络一部分的手机的使用，该手机具有使用监测器，该系统具有：

记录，手机具有关于该记录的使用监测器，以及

处理器，其配置用于从这些手机接收使用信息。

35.权利要求15的可移除卡，具有用于将当前使用信息集合到特征中的集合器。

36.一种用于用作无线通信网络一部分的手机的可移除卡，该可移除卡具有软件，其配置用于监测手机使用并且用于将概括该使用的特征存储在手机中。

37.权利要求35或36的可移除卡，具有软件，其配置用于通过比较短期使用和代表较长时间段使用的特征来检测异常使用的软件。

38.权利要求35到37中任何之一的可移除卡，具有软件，其配置用于用当前使用信息来更新该特征。

39.权利要求35到38中任何之一的可移除卡，具有软件，其配置用于使用该特征用于收入保证目的。

40.权利要求35到39中任何之一的可移除卡，具有软件，其配置用于使用存储的特征来从手机发送该使用信息到网络运营商，从而允许根据该使用信息订制到该用户的服务。

41.权利要求35到40中任何之一的可移除卡，配置用于在当安装在手机中时，接收由网络运营商在网络上发送的软件更新。

42.一种软件，用于存储在用于实现权利要求15或35到41中任何之一的可移除卡上。

43.权利要求28到30中任何之一的移动手机，具有权利要求15或35到41中任何之一的可移除卡。

Images