[发明专利]基于自动化特征工程的在线网络支付欺诈检测系统

权利要求书

1.一种基于自动化特征工程的在线网络支付欺诈检测系统，其特征在于，包括个人客户端、商户端、银行数据中心，还包括自动化特征工程模块、欺诈检测模块；

用户与商户之间通过各自的PC或者移动端在网络上发生的实时交易数据记录由银行数据中心负责接收汇总；银行数据中心通过二次处理筛选出所需特征字段，将这些原始特征提供给自动化特征工程模块；

自动化特征工程模块在在线网络支付原始特征的基础上，进行特征构造获得所有新特征的构造过程集合，提供给欺诈检测模块进行异常鉴定；

欺诈检测模块，对于自动化特征工程模块输出的训练数据集，根据新特征向量的构造过程集合，构造出新特征，将所有特征和标签输入到机器学习模型进行训练，得到欺诈检测模型；对于同样由自动化特征工程模块输出的实时测试数据集，也根据新特征的构造过程集合，构造出新特征，将所有特征输入进欺诈检测模型进行欺诈预测；欺诈检测模块结合判别结果，对正常交易进行放行，对异常交易的用户提出二次身份认证；后续二次认证成功则重新允许用户再次进行交易，否则锁定用户账号，拒绝其进行任何交易；

第一部分：

银行数据中心搜集互联网金融网络支付交易记录，从中通过二次处理即筛选出原始字段，见表1网络支付交易记录可利用的原始字段；

表1可利用原始字段

第二个部分：包括数据集、定制化特征构造树的自动化特征工程模块；

1.1构建整个数据集D

利用银行数据中心筛选出的原始字段制作原始数据样本集合D，D＝{X,Y}，其中

X＝{x₁,x₂,…x_n}，其中x_i对应的是第i条交易记录的各个字段，即一条特征向量，X代表所有交易记录的特征向量集合；Y＝{y₁,y₂,…y_n}，其中y_i对应的是第i条交易记录是否是欺诈，其取值y_i＝{0,1}，0为正常，1为异常，

Y代表所有交易记录标签的集合；

X、Y两者共同组成了整个数据集D，数据集中交易记录样本的总数为n；进入1.2进行特征构造；

1.2定制化特征构造树的自动化特征工程模块，包括局部特征构造模块；

定制化的特征构造树在每个节点处不仅仅在交易记录的原始特征集合D的基础上构造新特征，还存在转换函数的组合，即在构造出来的新特征的基础上继续构造特征；这里特征构造树保留了父节点上构造出的用来划分数据集的特征，与原始特征组成新的、扩充的特征空间，在此扩充的特征空间上再进行特征构造并选择划分数据集的特征；局部特征构造模块，设计的局部特征构造流程增加了转换函数的组合功能，扩充了特征空间的搜寻范围；定制化特征构造树中对转换函数权重向量的时效性进行更新；

所述转换函数：转换函数及其具体设置操作方法如表2所示，按照其工作域划分为纵向方式的转换函数、横向方式的转换函数和时间窗口方式的转换函数：

表2转换函数设置操作表

所述纵向方式的转换函数，是作用在单个特征或特征属性之间的转换函数，作用于单个列特征进行计算频率、求平方、开方、sigmod和tanh操作而生成新一列特征，作用在两个列特征之间作加法、减法、乘法操作而生成新一列特征；

所述横向方式的转换函数，是作用在同一个特征的多个不同样本间的转换函数，对某个特征作个体累积和群体累积的加法，对时间和交易金额特征作不同交易记录样本的差；

所述时间窗口方式的转换函数，是利用了滑动时间窗口的概念，这对于分析在一段时间内的交易行为特征具有重要的作用，具体地有下列转换函数：时间窗口内的累积求和、求极值、均值、方差、计数、非重计数和最频繁；

令O表示转换函数的集合，W＝{w₁,w₂,…,w_k}表示转换函数的权重向量，其中w_i代表第i个转换函数的权重，1≤i≤k，即各个转换函数被选中的概率，转换函数的总个数为k；

每个节点处的局部特征构造：

F_o表示数据集中的原始字段的特征集合；

F_a表示当前节点上包含新特征的特征总集合，其既包括原始的特征又包括能够通过转换函数新构造出来的并用来划分数据集的特征；

F_s表示树中节点处被选择用来划分数据集的新特征及其构造过程的集合；

所述局部特征构造模块，其节点处的局部特征构造流程：

步骤1.2.1，初始化转换函数集合O中的转换函数的权值向量W，其中每个w_i＝1/|W|；初始化每个转换函数o的最近平均信息增益效用列表l_o，列表的长度设为m，其中的每个值的初始值为0，初始化F_a＝F_o,表示空集；提供给步骤1.2.2；

步骤1.2.2，在决策树的某个节点上，根据转换函数的权值向量W，其中的某转换函数的权重值越大，其被选中的概率越大，先依概率选中一个转换函数；若其为一元转换函数，则在此节点对应的数据集上，从数据集中所有的s个特征中选择出r个不同的特征，其中r≤s，并且s＝|F_a|，即特征集合F_a的大小；在这r个特征上应用此转换函数，构造出r个新特征；若其为二元转换函数，则在此节点对应的数据集上，从数据集中所有的s个特征中选择出r组不同的特征对，在这r组特征对上应用此转换函数，构造出r个新特征；提供给步骤1.2.3；

步骤1.2.3，对新构造出来的r个特征和节点中原来的特征F_a，分别计算用每个特征作为划分属性的信息增益g_f，选择信息增益最大的特征作为划分属性，根据特征的具体划分值将数据集划分成左右两部分，并分裂成左右两部分子树，将样本中特征的取值小于具体划分值的样本归并到左子树中，相对地，另外一部分归并到右子树中，它们分别对应左儿子和右儿子节点；若特征为新构造出来的特征，则将特征添加到新构造出来的特征集合F_a当中去，即且将特征及其构造过程并入集合F_s中去；

步骤1.2.4，按照转换函数权重向量的时效性更新机制更新转换函数的权重值；

步骤1.2.5，分别进入左儿子和右儿子节点，判断节点中子数据集样本数是否低于设定的最小阈值T，或子数据集样本的纯度是否高于设定的阈值G；若是，则到达叶子节点，结束流程，若不是，则重复步骤1.2.2～1.2.4，直至到达叶子节点；当树构造完毕，则进入步骤1.2.6；

步骤1.2.6，整棵树构造完毕后，最终得到特征集合F_s中的特征即为由特征构造树构造出来的新特征及其构造过程，提供给第二部分；

所述步骤1.2.4转换函数权重向量的时效性更新机制，其具体步骤如下：

步骤1.2.4.1，若当前节点选择出的转换函数为o，则根据其构造出所有r个新特征，分别将其作为数据集的划分属性，按照以下公式计算得到的平均信息增益g_o，

其中，代表使用由转换函数o构造出的第i个新特征f_i作为划分属性得到的信息增益；

步骤1.2.4.2，根据步骤1.2.4.1得到的平均信息增益g_o，更新当前转换函数的最近平均信息增益效用列表；代表转换函数o的最近m次被选中的平均信息增益效用的列表，m是列表l_o的长度，代表使用t时刻选择的转换函数o生成的所有新特征，作为划分属性得到的平均信息增益效用值；利用g_o来更新当前转换函数o的最近平均信息增益效用列表l_o，将此平均信息增益g_o添加到列表l_o的末尾，删除列表l_o头的第一个值，即：

t时刻：

t+1时刻：

其中

步骤1.2.4.3，根据当前转换函数o的最近平均信息增益效用列表l_o和平均信息增益g_o，计算出当前转换函数o的奖励值β，其中，表示列表l_o中的中值，表示列表l_o中的最大值，公式(2)限定了β∈[0,1]：

步骤1.2.4.4，根据当前转换函数o的奖励值β，按照公式(3)更新转换函数的权值向量，再按照公式(4)进行转换函数权值向量的归一化：

其中，w_o表示转换函数o的权值，公式(3)中w_o随着奖励值β的增加单调增加，也就是说奖励值越高，转换函数的权重增加的幅度便会越大，α控制着权重更新的速率；公式(4)中w_i表示第i个转换函数的权值，表示所有转换函数的权值总和；

第三部分

欺诈检测模块包括训练网络支付欺诈检测分类器模型和实时检测算法模块，所述实时检测算法模块，向分类器模型输入定制化特征构造树的自动化特征工程模块生成网络支付交易记录的特征向量，输出当笔网络支付交易存在欺诈的可能性概率，通过概率得到判别结果，即交易是否正常；将所有特征输入进欺诈检测模型进行欺诈预测；

欺诈检测模块结合判别结果，对正常交易进行放行，对异常交易的用户提出二次身份认证；后续二次认证成功则重新允许用户再次进行交易，否则锁定用户账号，拒绝其进行任何交易；

所述实时检测算法模块，过程为：

步骤2-1，在网络支付交易记录的训练数据集上应用步骤1所示的自动化特征工程方法，由步骤1.2.6中返回获得所有新特征的构造过程集合；

步骤2-2，利用获得的新特征的构造过程集合，对训练数据集中的所有网络支付交易记录进行特征构造，为每一条交易记录都生成新特征向量；

步骤2-3，将训练集的所有交易记录数据的新特征、原始特征和标签输入进分类器模型进行训练，得到欺诈检测模型；

步骤2-4，对新来一条的网络支付交易记录数据，利用步骤2-1中获得的新特征的构造过程集合，先进行特征构造，生成新特征，将原始特征和新特征输入进欺诈检测模型，输出该条交易记录是欺诈交易的概率；

步骤2-5，重复步骤2-4，实现实时的在线网络支付交易欺诈检测。

2.如权利要求1所述的一种基于自动化特征工程的在线网络支付欺诈检测系统，其特征在于，所述分类器为RandomForest或XGBoost。