[发明专利]具有周期属性的多因素交互行为异常检测方法

权利要求书

1.一种具有周期属性的多因素交互行为异常检测方法，其特征在于，具体包括如下步骤：

1)建立正常用户交互行为画像：从用户历史交易数据库中提取该用户的正常交易数据，建立登陆时间属性、工作时间登录属性、登陆间隔、关键页面停留时间属性、用户交互持续时间属性、关键路径触发属性，构建用户包括多维度属性的交互行为画像IBC^u；

2)在步骤1)基础上，根据用户行为记录生成用户的行为间隔序列，计算用户的周期稳定性阈值；其次根据行为周期划分方法，依次比较行为间隔序列中的相邻元素是否满足周期稳定性阈值，输出用户的交互行为周期序列，最后计算具有周期属性的正常交互行为画像UCP_u；

3)计算交互行为最大偏离基准：根据该用户所有交易数据，重复步骤1)、2)获取该用户具有周期属性的交互行为画像UCP_u'作为用户历史交互行为，对于UCP_u'中每一条交互行为记录，与具有周期属性的正常用户交互行为画像UCP_u进行匹配，依次计算用户每一条历史交互行为与正常用户交互行为画像之间的相似度计算，根据最大相似度Max_sim和最小相似度Min_sim的范围，从中依次取值，将用户历史交互行为进行划分为正常行为和异常行为，并且计算划分效果DB，将划分效果最佳的值作为用户的交互行为最大偏离基准，记为Benchmark_u；

4)建立多因素交互行为识别方法：根据步骤1)计算用户当前交互行为画像UCP_now，计算当前交互行为与步骤3)所得用户正常交互行为画像的偏离程度，如此偏离程度在Benchmark_u的可接受范围之内，则判断为正常交互，如偏离程度不在Benchmark_u的可接受范围之内，则判断为异常交互。

2.根据权利要求1所述具有周期属性的多因素交互行为异常检测方法，其特征在于，所述步骤1)具体实现方法如下：

1.1)提取用户历史正常交互行为记录：

将用户的历史交互行为数据集中，依据其正常交互和异常交互给样本标记正负字段，提取出用户正常交互数据作为正样本数据；

1.2)计算登录时间属性：

对正样本数据正提取用户的登录时间集合，依据每日的小时划分方法将一天划分为多个时间区间time₁,time₂,...,time_n，计算用户在各个区间内登录发生的概率，利用如下公式计算出用户登录时间属性，

其中，time_n为n个时间区间属性，|lta_n|为第n个时间区间内的登录次数，为用户u一天登录的总次数。进而求得该用户u的登录时间属性LTA^u＝(time₁,time₂,...,time_n)；

1.3)计算工作时间登录属性：

提取交易时间的集合，分别求出交易发生在工作时间和非工作时间的交易概率，得到用户u交易是否为工作时间登录属性WTA^u＝(isworktime,noworktime)；

1.4)计算登录间隔属性：

其中为登录间隔集合中的元素；为用户u的第i次登录系统的时间；为用户u的第i-1次登陆系统的时间；

利用上述公式，得到用户相邻两次登录的时间间隔变化幅度集合，提取用户的登陆时间间隔集合，利用分位数分析法求得集合的第一、第二、第三四分位数，并求得集合的上下限，第一、第二、第三四分位数是将集合总体的全部数据按大小顺序排列后，处于第25％、50％、75％位置的变量值，依此将集合划分为5个子集period₁,period₂,...,period_n，此5个构成用户登录间隔属性，利用如下公式计算出用户登录间隔属性：

其中，period_n为登录间隔属性中的项，|lia_n|为用户登录间隔时间在第n个子集内的次数，为用户u登录次数；进而求得该用户u的登录间隔属性LIA^u＝(period₁,period₂,period₃,period₄,period₅)；

1.5)计算用户关键页面停留时间属性：

在用户u的正常交互行为日志中依次计算该用户在关键页面a_{page_no}＝key的停留时间总和得到集合其中利用分位数分析法按照1.4)中的相同计算方法，计算得到用户u的关键页面停留时间属性KSA^u＝(distance₁,distance₂,distance₃,distance₄,distance₅)；

1.6)计算用户交互持续时间属性：

在用户u的正常交互行为日志中，计算该用户u的一次交互操作中各页面浏览时间之和，得到集合利用分位数分析法按照1.4)中的相同计算方法，计算得到用户u交互持续时间属性IDA^u＝(duration₁,duration₂,...,duration_n)；

1.7)计算用户关键路径触发属性：

在用户u的正常交互行为日志中，依次计算该用户的一次交互操作中系统关键页面停留时间与非关键页面停留时间集合；利用分位数分析法按照1.4)中的相同计算方法，计算得到用户关键路径触发属性CTA^u＝(ratio₁,ratio₂)；

1.8)构建用户交互行为画像：

得到用户u各个维度的属性，构建用户的交互行为画像IBC^u，IBC^u＝(LTA^u,WTA^u,LIA^u,KSA^u,IDA^u,CTA^u)。

3.根据权利要求2所述具有周期属性的多因素交互行为异常检测方法，其特征在于，所述步骤2)具体实现步骤如下：

2.1)提取登录间隔序列：根据步骤1.4)中计算得到的登录间隔序列为lis_u＝{t₁,t₂,...,t_n}，t_n为第n个登录间隔时间，n+1为用户全部的交互行为记录数；登录间隔lis_u的子序列表示为lis'_u＝{t₁',t'₂,...,t'_n}，子序列lis'_u即在原有序列lis_u中的任一部分组成的序列；

2.2)依次遍历登录间隔序列：

初始化一个空数组C，从lis_u＝{t₁,t₂,...,t_n}首尾开始，依次遍历所有的子序列，针对每一个子序列，依次计算子序列对应的周期稳定性阈值μ和用户u的子序列的稳定性状态TPF^u，用户u的周期稳定性阈值μ和子序列稳定性状态TPF^u计算如下：

μ＝1/length(list)，

其中list表示登录时间间隔序列的某个子序列，length(list)表示该子序列的长度；TPF^u中t_i表示lis'_u中的每个元素，为lis'_u中所有元素的均值，μ代表划分阈值，μ越大则lis'_u中元素越少，用户行为周期更为离散和稀疏；反之μ越小，则lis'_u中的元素就越多，用户行为周期更为连续；

2.3)划分序列：

根据用户u的周期稳定性阈值和子序列稳定性状态TPF^u按照如下公式对登录间隔序列进行划分，

将满足上述公式的子序列存入数组C，在遍历过程中满足：优先遍历较长的子序列，如果较长的子序列中计算得到的数值符合周期稳定性阈值μ，则该子序列中所有的子序列都将不再判断；同理，如果当前子序列是周期行为序列集合C中任一序列的子序列，也不再判断；

2.4)输出交互行为周期序列：

输出数组C，即为用户的周期行为序列集合：

2.5)构建具有周期属性的交互行为画像：

按照2.4)中输出的周期序列也按照上述1.2)-1.8)中交互行为的刻画方法得到不同周期内的交互行为画像pbc^u，用表示用户u的j个行为周期内所对应的交互行为画像集合；最后将合并后的具有周期属性的正常交互行为画像定义为其中为正常的用户周期交互行为画像集合中的最新的k个周期对应的交互行为画像。