基于时序行为序列的异常行为检测方法、装置、存储介质以及计算机设备与流程

本技术涉及人工智能，可应用于金融领域，特别是涉及一种基于时序行为序列的异常行为检测方法、装置、存储介质以及计算机设备。

背景技术：

1、随着大数据的快速发展，金融领域为了迎合快速变化的市场需求，将如机器学习等大数据处理技术引入金融营销活动中，以识别作弊等异常行为。其中，作弊行为指黑产团伙通过批量操纵账号、伪造行为数据、利用机器脚本等方式，恶意侵占营销补贴，如签到奖励、抽奖奖品、拼团返利、积分竞猜奖品等，并通过刷空单、转卖奖品等方式实现套利的行为，严重侵害正常用户的权益。因此，对作弊等异常行为进行识别是各金融企业技术研发关注的重点。

2、目前，现有异常行为的识别通常基于单点规则进行检测，如能力有限，如采用同一ip限制、设备指纹黑名单、同一收货地址限制等单点规则进行判断。但是，难以检测跨时间、跨用户的协同作弊行为。但是，单点规则对设备指纹伪造、点击行为模拟等新型作弊手段的漏检率较高，无法覆盖广告点击、签到、抽奖、拼团、返佣、积分竞猜等多活动场景下的作弊行的关联检测，大大降低作弊行为的检测准确性。

技术实现思路

1、有鉴于此，本技术提供一种基于时序行为序列的异常行为检测方法、装置、存储介质以及计算机设备，主要目的在于解决现有作弊行为的检测准确性差的问题。

2、依据本技术一个方面，提供了一种基于时序行为序列的异常行为检测方法，包括：

3、获取用户的多维行为数据，所述多维行为数据用于表征用户参与不同金融业务活动所产生的行为数据；

4、基于所述多维行为数据确定行为边序列以及行为节点，并基于所述行为边序列以及所述行为节点构建时序行为图谱；

5、基于图自编码解码器对所述时序行为图谱进行异常检测，得到行为异常检测结果，并基于所述异常检测结果进行行为评分，得到行为评分结果，所述异常检测结果包括边邻接矩阵以及节点属性，所述图自编码解码器为基于异构图注意力网络进行构建，并基于正常行为训练样本进行训练。

6、进一步地，所述基于所述多维行为数据确定行为边序列以及行为节点包括：

7、按照所述多维行为数据中的用户基础数据确定行为节点；

8、从所述多维行为数据中提取时间属性、活动属性、结果属性以及环境属性，并利用所述时间属性、所述活动属性、所述结果属性以及所述环境属性创建所述行为边序列。

9、进一步地，所述基于图自编码解码器对所述时序行为图谱进行异常检测，得到行为异常检测结果之前，所述方法还包括：

10、获取正常行为训练样本，并基于所述正常行为训练样本构建训练样本图，所述训练样本图中包括标记正常行为的边邻接矩阵以及节点属性；

11、基于异构图注意力网络构建图自编码解码器中的编码器，所述图自编码解码器的解码器用于重建边邻接矩阵以及节点属性；

12、基于所述训练样本图对所述图自编码解码器进行模型训练。

13、进一步地，所述基于图自编码解码器对所述时序行为图谱进行异常检测，得到行为异常检测结果包括：

14、按照所述行为节点提取节点特征向量，并通过所述编码器对不同类型的行为边序列进行编码，得到时间戳编码；

15、将所述节点特征向量与所述时间戳编码进行信息融合，得到编码隐向量，并基于所述解码器对所述编码隐向量进行重建，得到所述边邻接矩阵以及所述节点属性。

16、进一步地，所述基于所述异常检测结果进行行为评分，得到行为评分结果包括：

17、计算所述节点属性与所述时间属性、所述活动属性、所述结果属性以及所述环境属性之间的差异程度；

18、基于马氏距离计算所述行为节点与历史行为之间的第一偏离程度；

19、基于基准子图结构与所述时序行为图谱中的子图结构进行对比，得到第二偏离程度；

20、基于所述差异程度、所述第一偏离程度以及所述第二偏离程度进行加权融合，得到所述行为评分结果。

21、进一步地，所述基于所述行为边序列以及所述行为节点构建时序行为图谱之后，所述方法还包括：

22、基于时序图挖掘算法从所述时序行为图中提取多个子图结构，所述子图结构用于表征具有特定时序关系与活动类型组合的用户行为序列；

23、基于所述多维行为数据与协同作弊特征库进行匹配，识别潜在协同作弊行为，并标记于所述子图结构中，以在所述子图结构中展示所述潜在协同作弊行为。

24、进一步地，所述基于所述异常检测结果进行行为评分，得到行为评分结果之后，所述方法还包括：

25、基于所述行为评分结果确定行为风险等级，并基于所述行为风险等级确定分级干预策略，所述分级干预策略包括阻断策略、降权策略以及二次验证策略；

26、基于所述分级干预策略对用户行为进行干预处理。

27、依据本技术另一个方面，提供了一种基于时序行为序列的异常行为检测装置，包括：

28、获取模块，用于获取用户的多维行为数据，所述多维行为数据用于表征用户参与不同金融业务活动所产生的行为数据；

29、创建模块，用于基于所述多维行为数据确定行为边序列以及行为节点，并基于所述行为边序列以及所述行为节点构建时序行为图谱；

30、检测模块，用于基于图自编码解码器对所述时序行为图谱进行异常检测，得到行为异常检测结果，并基于所述异常检测结果进行行为评分，得到行为评分结果，所述异常检测结果包括边邻接矩阵以及节点属性，所述图自编码解码器为基于异构图注意力网络进行构建，并基于正常行为训练样本进行训练。

31、进一步地，所述创建模块，具体用于按照所述多维行为数据中的用户基础数据确定行为节点；从所述多维行为数据中提取时间属性、活动属性、结果属性以及环境属性，并利用所述时间属性、所述活动属性、所述结果属性以及所述环境属性创建所述行为边序列。

32、进一步地，所述装置还包括：

33、训练模块，用于获取正常行为训练样本，并基于所述正常行为训练样本构建训练样本图，所述训练样本图中包括标记正常行为的边邻接矩阵以及节点属性；基于异构图注意力网络构建图自编码解码器中的编码器，所述图自编码解码器的解码器用于重建边邻接矩阵以及节点属性；基于所述训练样本图对所述图自编码解码器进行模型训练。

34、进一步地，所述检测模块，具体用于按照所述行为节点提取节点特征向量，并通过所述编码器对不同类型的行为边序列进行编码，得到时间戳编码；将所述节点特征向量与所述时间戳编码进行信息融合，得到编码隐向量，并基于所述解码器对所述编码隐向量进行重建，得到所述边邻接矩阵以及所述节点属性。

35、进一步地，所述检测模块，具体还用于计算所述节点属性与所述时间属性、所述活动属性、所述结果属性以及所述环境属性之间的差异程度；基于马氏距离计算所述行为节点与历史行为之间的第一偏离程度；基于基准子图结构与所述时序行为图谱中的子图结构进行对比，得到第二偏离程度；基于所述差异程度、所述第一偏离程度以及所述第二偏离程度进行加权融合，得到所述行为评分结果。

36、进一步地，所述装置还包括：

37、提取模块，用于基于时序图挖掘算法从所述时序行为图中提取多个子图结构，所述子图结构用于表征具有特定时序关系与活动类型组合的用户行为序列；

38、匹配模块，用于基于所述多维行为数据与协同作弊特征库进行匹配，识别潜在协同作弊行为，并标记于所述子图结构中，以在所述子图结构中展示所述潜在协同作弊行为。

39、进一步地，所述装置还包括：

40、处理模块，用于基于所述行为评分结果确定行为风险等级，并基于所述行为风险等级确定分级干预策略，所述分级干预策略包括阻断策略、降权策略以及二次验证策略；基于所述分级干预策略对用户行为进行干预处理。

41、根据本技术的又一方面，提供了一种存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述基于时序行为序列的异常行为检测方法对应的操作。

42、根据本技术的再一方面，提供了一种计算机设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

43、所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述基于时序行为序列的异常行为检测方法对应的操作。

44、借由上述技术方案，本技术实施例提供的技术方案至少具有下列优点：

45、本技术提供了一种基于时序行为序列的异常行为检测方法、装置、存储介质以及计算机设备，与现有技术相比，本技术实施例通过获取用户的多维行为数据，所述多维行为数据用于表征用户参与不同金融业务活动所产生的行为数据；基于所述多维行为数据确定行为边序列以及行为节点，并基于所述行为边序列以及所述行为节点构建时序行为图谱；基于图自编码解码器对所述时序行为图谱进行异常检测，得到行为异常检测结果，并基于所述异常检测结果进行行为评分，得到行为评分结果，所述异常检测结果包括边邻接矩阵以及节点属性，所述图自编码解码器为基于异构图注意力网络进行构建，并基于正常行为训练样本进行训练，利用多维行为数据构建时序行为图谱，刻画行为时序与实体关联，实现跨时间、跨用户、多业务场景下作弊行为的关联挖掘，避免单点规则难以识别协同作弊的情况，同时，借助基于异构图注意力网络构建的图自编码解码器进行图异常检测，能够有效识别设备指纹伪造、行为模拟等新型作弊手段，降低漏检率，大大提升作弊等异常行为的检测准确性。

46、上述说明仅是本技术技术方案的概述，为了能够更清楚了解本技术的技术手段，而可依照说明书的内容予以实施，并且为了让本技术的上述和其它目的、特征和优点能够更明显易懂，以下特举本技术的具体实施方式。