一种金融交易异常行为检测方法与流程

1.本发明涉及金融安全技术领域，具体涉及一种金融交易异常行为检测方法。


背景技术：

2.随着我国金融交易市场的日益庞大和电子支付、移动支付等成为支付手段的 主流，例如非法交易、非法集资等违法交易行为也在金融交易网络中滋生，助长 不当得利，给经济体系造成了严重的安全隐患。非法交易是一种将不当得利合法 化的行为。现有的主流技术是设定交易记录的警示标准，例如达到一定交易频率 和金额则进行警示，再由数据分析员进行分析是否存在交易异常。
3.现有技术通常利用固定的警示阈值提示异常的交易行为，但是固定的警示阈值容易利用 蒙特卡洛模拟的方法来摸清楚规律，这样就会产生一定的漏洞，同时还有利用人工的方式分 析资金的流向，账户的异动等一些数据确定异常的交易行为，但是由于金融交易产生的数据 种类多，且数据比较庞大，导致人工效率低下，且判断的精确度不高，同时很难发现一些较 为隐藏的异常交易行为。


技术实现要素：

4.为了解决上述技术问题，本发明的目的在于提供一种金融交易异常行为检测方法，所采 用的技术方案具体如下：
5.本发明一个实施例提供了一种金融交易异常行为检测方法：基于历史交易记录构建交易 结构图，且图中的节点为账户；存在交易的两个节点分别为出度节点和入度节点，且出度节 点和入度节点之间的连线为交易路线；一小时内的一个交易路线的交易金额之和为单位交易 金额，一小时内交易路线的交易结束后入度节点和出度节点的余额为单位余额；获得各交易 路线的交易信息；
6.一个交易路线预设时段内相邻的交易的时间间隔的平均值为交易频率；利用本福特定律 基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度；利用预设时段 内一个交易路线入度节点和出度节点单位余额以及每次交易的金额的上限和下限获得交易路 线的余额波动程度；获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易 路线，作为邻域路线；
7.将交易图结构和各交易路线的交易信息输入tad-gcn神经网络，通过嵌入层输出每个 交易路线的特征向量；利用各交易路线与其对应的邻域路线的特征向量的相似度以及邻域路 线的余额波动程度获得tad-gcn神经网络图卷积层对各交易路线的邻域路线的特征向量进 行卷积时的更新权重；基于各交易路线的交易频率和数据非自然度获得各交易路线的特征向 量对应的卷积次数；基于各交易路线对应的更新权重和卷积次数通过tad-gcn神经网络图 卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过tad-gcn神经网络分 类层输出交易路线的交易异常识别结果。
8.优选地，获得各交易路线的交易信息包括：获得交易路线的外汇指数，其中若交易
路线 的交易为外汇交易，则交易路线的外汇指数为第一预设值，若交易路线的交易不为外汇交易， 则交易路线的外汇指数为第二预设值；交易路线的交易信息包括预设时长内交易路线的单位 交易金额和交易路线中出度节点和入度节点的单位余额、预设时段内交易路线的单位交易金 额的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值、交易路线的外汇指 数。
9.优选地，交易频率为：
[0010][0011]
其中，表示预设时段内一个交易路线的交易频率；tr表示一个交易路线在预设时段 内的第r次交易的时刻；t
r-1
表示一个交易路线在预设时段内的第r-1次交易的时刻；n表示 一个交易路线在预设时段内共有n个相邻的交易的时间间隔。
[0012]
优选地，利用本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的 数据非自然度包括：基于本福特定律获得1到9每个数字作为数据的首位数字的理论占比； 统计一个交易路线在预设时段内1到9每个数字作为各单位交易金额的首位数字在所有单位 交易金额的首位数字的占比，记为实际占比；利用1到9每个数字作为数据的首位数字的理 论占比和作为各单位交易金额的首位数字得到实际占比获得一个交易路线的数据非自然度。
[0013]
优选地，交易路线的余额波动程度为：
[0014][0015]
其中，wavb表示交易路线的余额波动程度；mse1表示预设时段内交易路线中的出度节 点的单位余额按照时间顺序排列形成的序列的样本熵；mse2表示表示预设时段内交易路线中 的入度节点的单位余额按照时间顺序排列形成的序列的样本熵；supt表示每次交易的金额的 上限，inft表示每次交易的金额的下限。
[0016]
优选地，获得与一个交易路线的出度节点和入度节点相连的其他节点构成的交易路线， 作为邻域路线包括：与一个交易路线的出度节点相连接的节点之间的交易路线为该交易路线 的邻域路线，与一个交易路线的入度节点相连接的节点之间的交易路线为该交易路线的邻域 路线；其中，若一个交易路线的出度节点或入度节点中有一个节点表示的账户为外国账户， 则与表示的账户为外国账户的出度节点或入度节点相连接的节点之间的交易路线不为该交易 路线的邻域路线；其中交易路线的邻域路线包括交易路线本身。
[0017]
优选地，tad-gcn神经网络包括：tad-gcn神经网络包括嵌入层、图卷积层、感知层 和分类层；其中嵌入成用来输出各交易路线的特征向量；图卷积层用来对各交易路线的特征 向量进行更新输出各交易路线的描述向量；感知层用来提取各交易路线的描述向量的深层特 征；分类层用于处理各交易路线的描述向量的深层特征输出各交易路线的交易异常识别结果。
[0018]
优选地，更新权重为：
[0019]
[0020]
其中，w
ab,ij
表示交易路线ab的邻域路线ij的特征向量对应的更新权重；cos《z
ab
,z
ij
》 表示交易路线ab的特征向量与邻域路线ij的特征向量的余弦相似度；u表示交易路线ab的邻 域路线组成的集合；wavb
ij
表示邻域路线ij的余额波动程度；k表示调节系数，取值为2。
[0021]
优选地，卷积次数为：
[0022][0023]
其中，c表示交易路线ab对应的卷积次数；int[]表示取整函数；un
ab
表示交易路线ab 的数据非自然度；表示交易路线ab的交易频率；σ表示权重调节系数，取值为0.5。
[0024]
本发明实施例至少具有如下有益效果：本发明通过将历史交易记录中的每个账户当做一 个节点构建交易结构图，将存在交易的节点连接起来形成交易路线，对个交易路线之间的交 易信息进行分析，通过构建的tad-gcn神经网络的嵌入层输出每个交易路线的特征向量， 针对于每个交易路线的特征向量，在利用tad-gcn神经网络的图卷积层进行图卷积操作时 都有其对应的权重和卷积次数，提高了数据的准确性的同时控制了计算量，综合多方位的异 常交易特征为神经网络引入先验条件，使得构建的tad-gcn神经网络最终能够准确地识别 出是异常行为的交易路线。
附图说明
[0025]
为了更清楚地说明本发明实施例或现有技术中的技术方案和优点，下面将对实施例或现 有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发 明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根 据这些附图获得其它附图。
[0026]
图1为本发明实施例提供的一种金融交易异常行为检测方法的方法流程图。
具体实施方式
[0027]
为了更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图 及较佳实施例，对依据本发明提出的一种金融交易异常行为检测方法，其具体实施方式、结 构、特征及其功效，详细说明如下。在下述说明中，不同的“一个实施例”或“另一个实施 例”指的不一定是同一实施例。此外，一或多个实施例中的特定特征、结构、或特点可由任 何合适形式组合。
[0028]
除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人 员通常理解的含义相同。
[0029]
下面结合附图具体的说明本发明所提供的一种金融交易异常行为检测方法的具体方案。
[0030]
实施例：
[0031]
本发明的主要应用场景为：通过对在金融交易过程中产生的数据分析，判断交易是否异 常，对异常的交易发出提醒，维护金融交易的正常进行。
[0032]
请参阅图1，其示出了本发明实施例提供的一种金融交易异常行为检测方法的方
法流程 图，该方法包括以下步骤：
[0033]
步骤s1，基于历史交易记录构建交易结构图，且图中的节点为账户；存在交易的两个节 点分别为出度节点和入度节点，且出度节点和入度节点之间的连线为交易路线；一小时内的 一个交易路线的交易金额之和为单位交易金额，一小时内交易路线的交易结束后入度节点和 出度节点的余额为单位余额；获得各交易路线的交易信息。
[0034]
首先，对于每个银行个人账户，从银行的大数据系统中获取其预设时段内的历史交易记 录，优选地，本实施例中预设时段为3个月的时间，其中历史交易记录中包括账户每次交易 的对象，交易金额tran，交易后的余额bln，交易的时间，交易是否为外汇，其中，交易的 时间精确到一天中的任意一秒，交易金额tran取值范围按照银行的交易设定的上限supt和 下限inft。
[0035]
进一步的，将每个账户作为一个节点，构建图结构，其中发生交易的两个节点之间需要 连接起来，形成交易结构图，其中规定存在交易的两个节点一个为出度节点，一个为入度节 点，例如出度节点pa和入度节点pb，它们之间的连线为交易路线ab，出度节点pa和入度节点pb之间可能存在很多次交易，但都以一条交易路线表示，任意两个节点之间存在交易都会有一 条交易路线，在任意一个交易路线中，入度节点和出度节点都是唯一确定的；另外需要说明 的是，外国的一些账户无法获得完整的交易数据，将这些商户放在一个集合内，在图结构中 以一个节点表示，所有与这个集合内有交易往来的账户都与此节点相连接。
[0036]
一个账户如果涉及非法交易行为，很有可能它总是向特定的几个账户进行非 法交易的交易，但这并不代表它与所有账户的交易都是非法交易行为，如果把它 与所有账户的交易都考虑进行，那么会有很多冗余的数据。因此本发明不以节点 为重点关注对象，而是以节点之间的交易路线为重点关注对象。
[0037]
最后，需要获得每个交易路线的交易信息，在预设时段内，将每一天的24个小时均匀的 划分为24个区间，也即是一个小时为一个交易区间，则预设时段内共有2160个交易区间， 对于交易结构图中的每条交易路线来说，将一个交易区间内的交易金额进行求和获得一个交 易区间对应的单位交易金额，在求单位交易金额时，如果是出度节点转入入度节点的金额， 则金额为正值，若是入度节点转入出度节点，则金额为负值，由此获得单位交易金额trani， 表示一个交易路线第i个交易区间对应的单位交易金额，其中，没有任何交易的交易区间其 单位交易金额为0；另外对于每个交易路线的任意一个交易区间来说，每次交易后出度节点 和入度节点的余额都会发生改变，本实施例中以交易区间内最后一次交易后出度节点和入度 节点的账户余额为交易路线的出度节点和入度节点的单位余额。
[0038]
另外，若交易路线对应的交易为外汇交易，此时交易路线对应的出度节点和入度节点中 必定有一个为境外的账户，由此获得交易路线的外汇指数frn，若为外汇交易，则交易路线 的外汇指数frn为第一预设值，若不为外汇交易则交易路线的外汇指数frn为第二预设值，优 选地，本实施例中第一预设值的取值为1，第二预设值的取值为0。
[0039]
至此获得交易结构图中每条交易路线的交易信息，包括：预设时长内交易路线的单位交 易金额和交易路线中出度节点和入度节点的单位余额、预设时段内交易路线的单位交易金额 的均值、预设时段内交易路线中出度节点和入度节点单位余额的均值、交易路线的外汇指数， 其中，预设时长指的是距离当前时刻14天内。其中，预设时段内交易路线的
单位交易金额的 均值为：
[0040][0041]
其中，表示预设时段内交易路线的单位交易金额的均值；trani表示交易路线预设 时段内第i个交易区间对应的单位交易金额。
[0042]
预设时段内交易路线的单位交易金额的均值、预设时段内交易路线中出度节点和入度节 点单位余额的均值分别表示为和
[0043]
步骤s2，一个交易路线预设时段内相邻的交易的时间间隔的平均值为交易频率；利用 本福特定律基于预设时段内一个交易路线的单位交易金额获得交易路线的数据非自然度；利 用预设时段内一个交易路线入度节点和出度节点单位余额以及每次交易的金额的上限和下限 获得交易路线的余额波动程度；获得与一个交易路线的出度节点和入度节点相连的其他节点 构成的交易路线，作为邻域路线。
[0044]
首先，根据我国《人民币大额和可疑交易报告管理办法》和《金融机构大额和可疑外汇 资金交易报告管理办法》,总结得到金融交易异常行为的特征：可从交易频率，交易金额，交 易关系，余额变化，外汇交易等因素多方面考量：
[0045]
1)交易频率突然由低转为高；
[0046]
2)故意化整为零，逃避监测；
[0047]
3)短期内账户资金分散转入集中转出、或者集中转入分散转出、或者分散转入分散转出；
[0048]
4)某一对相连账户的资金留存时间短，发生额大，余额却很少；
[0049]
5)频繁存取大量外币现金。
[0050]
以这些特征作为后续分析的理论依据。
[0051]
进一步的，针对一个交易路线对应的出度节点和入度节点，将其在预设时段内产生的交 易时刻按照顺序排列，由此获得交易路线的交易频率：
[0052][0053]
其中，表示预设时段内一个交易路线的交易频率；tr表示一个交易路线在预设时段 内的第r次交易的时刻；t
r-1
表示一个交易路线在预设时段内的第r-1次交易的时刻；n表示 一个交易路线在预设时段内共有n个相邻的交易的时间间隔。
[0054]
接着，还需要对预设时段内每个交易路线对应的2160个单位交易金额进行分析，基于本 福特定律进行分析，本福特定律也称首位数字定律，主要指的是足够多的，自然产生的，杂 乱无章的数据的首位数字1-9出现的概率符合一定的规律，本福特定律主要应用于大数据中 的异常数据检测。获得首位数字为θ的数据的数量占比的理论值，将其称为理论占比：
[0055][0056]
其中，θ的定义域为1-9的整数。
[0057]
统计一个交易路线在预设时段内1到9每个数字作为各单位交易金额的首位数字
在所有 单位交易金额的首位数字的占比，记为实际占比a(θ)；利用1到9每个数字作为数据的首位 数字的理论占比和作为各单位交易金额的首位数字得到实际占比获得一个交易路线的数据非 自然度：
[0058][0059]
a(θ)与p(θ)最不相符的情况是数据中只有以9开头的数字，即为 ∑
θ
|a(θ)-p(θ)|的最大可能取值，起到了归一化的作用。
[0060]
数据非自然度越大，则越有可能存在故意化整为零，逃避监测的现象，但可能由于2160 个交易数据不够充足而产生过大的数据非自然度，因此引入此先验条件供神经网络参考。
[0061]
最后，需要获得交易路线的余额波动程度：
[0062][0063]
其中，wavb表示交易路线的余额波动程度；mse1表示预设时段内交易路线中的出度节 点的单位余额按照时间顺序排列形成的序列的样本熵；mse2表示表示预设时段内交易路线中 的入度节点的单位余额按照时间顺序排列形成的序列的样本熵；supt表示每次交易的金额的 上限，inft表示每次交易的金额的下限。supt-inft是max(mse1,mse2)的最大可能取值， 起到了归一化的作用。波动程度wavb越大，说明越有可能存在资金留存时间短，发生交易 额大，余额却很少的现象。
[0064]
本发明需要结合一个交易路线周围的其他交易路线对该交易路线进行分析，因此获得交 易路线的邻域路线供后续分析使用，与一个交易路线的出度节点相连接的节点之间的交易路 线为该交易路线的邻域路线，与一个交易路线的入度节点相连接的节点之间的交易路线为该 交易路线的邻域路线；其中，若一个交易路线的出度节点或入度节点中有一个节点表示的账 户为外国账户，则与表示的账户为外国账户的出度节点或入度节点相连接的节点之间的交易 路线不为该交易路线的邻域路线；其中交易路线的邻域路线包括交易路线本身。
[0065]
步骤s3，将交易图结构和各交易路线的交易信息输入tad-gcn神经网络，通过嵌入层 输出每个交易路线的特征向量；利用各交易路线与其对应的邻域路线的特征向量的相似度以 及邻域路线的余额波动程度获得tad-gcn神经网络图卷积层对各交易路线的邻域路线的特 征向量进行卷积时的更新权重；基于各交易路线的交易频率和数据非自然度获得各交易路线 的特征向量对应的卷积次数；基于各交易路线对应的更新权重和卷积次数通过tad-gcn神 经网络图卷积层输出各交易路线的描述向量；通过各交易路线的描述向量经过tad-gcn神 经网络分类层输出交易路线的交易异常识别结果。
[0066]
构建tad-gcn神经网络，网络的结构包括，嵌入层，图卷积层，多层感知器和分类层， 上一层的输出即为下一层的输入。
[0067]
其中嵌入层的作用是通过对输入tad-gcn神经网络交易图结构和每个交易路线的交易 信息进行处理获得每个交易路线的交易向量；例如对交易路线ab，经过嵌入层获得预设时长 内交易向量h
ab
＝(tranc,blnexc,blninc)，tranc表示交易路线ab在预设时长内第c
个交易 区间对应的单位交易向量，blnexc表示交易路线ab的出度节点pa在第c个交易区间对应的出 度节点pa的单位余额，blninc表示交易路线ab的入度节点pb在第c个交易区间对应的入度节 点pb的单位余额。因此在预设时长内每个交易路线在每个交易区间内都会对应一个交易向量。
[0068]
经过嵌入层对于每个交易路线在预设时长内的交易向量进行处理获得每个交易路线的特 征相连，以交易路线ab为例，通过交易路线ab在预设时长内每个交易区间的交易向量和其 交易信息，获得的特征向量为：至此嵌入层为每个交易路线构建了一个特征向量。
[0069]
图卷积层的作用为利用每一个交易路线周围的交易路线的特征向量对每一个交易路线特 征向量进行更新。以交易路线ab的特征向量为例，交易路线ab的邻域路线组成一个集合u， 基于此获得tad-gcn神经网络图卷积层对交易路线ab的特征向量进行卷积更新时的权重， 将这些权重记为更新权重：
[0070][0071]
其中，w
ab,ij
表示利用交易路线ab的邻域路线ij获得的交易路线的更新权重； cos《z
ab
,z
ij
》表示交易路线ab的特征向量与邻域路线ij的特征向量的余弦相似度；u表示 交易路线ab的邻域路线组成的集合；wavb
ij
表示邻域路线ij的余额波动程度；k表示调节系 数，取值为2。wavb
ij
越大，则说明交易路线ab的邻域路线ij的交易越可能是异常交易行为， 因此赋予较高的权重。
[0072]
得到每个交易路线基于其邻域路线获得的多个更新权重后，进行卷积操作获得每个交易 路线更新后的向量，其中卷积的次数需要根据交易路线的交易频率和数据非自然度确定，以 交易路线ab为例，卷积操作具体为：
[0073][0074]
其中，表示图卷积层对交易路线ab的邻域路线组成的集合u中的邻域路线的特征向 量进行第一次卷积更新获得的向量，需要说明的是集合u中的邻域路线包括交易路ab，w
ab,ij
表示交易路线ab的邻域路线ij对应的更新权重，z
ij
表示邻域路线的更新权重。
[0075]
对于一个交易路线的特征向量需要通过多次的卷积更新最终得到其描述向量，因此基于 各交易路线的交易频率和数据非自然度获得各交易路线的特征向量对应的卷积次数：
[0076][0077]
其中，c表示交易路线ab对应的卷积次数；int[]表示取整函数；un
ab
表示交易路线ab 的数据非自然度；表示交易路线ab的交易频率；σ表示权重调节系数，取值为0.5。越小，说明此交易路线的交易往来越频繁，则两节点越有可能和其他的节点也有频繁的交易 行为，因此需要增加卷积次数以扩大感知域；un
ab
越大，说明此交易路线的交易金额有规避 监测的风险，但可能是样本数量过小带来的偏差，因此需要增加卷积次数以扩大
感知域，以 此增大样本数量。卷积次数越多，感知的范围越远，感知的全局信息越多，根据交易路线的 特征确定每个交易路线的特征向量卷积更新的次数利于降低计算量，同时也会提升后续的识 别精确度。基于更新权重和卷积次数可以通过神经网络的图卷积层获得每个交易路线的描述 向量。通过图卷积层输出每个交易路线的描述向量。
[0078]
将描述向量输入感知层，通过感知层提取卷积更新后得到的描述向量的深层特征，然后 输出，将感知层输出结果送入分类层，分类层为一个softmax分类器，分类层输出交易路线 的交易异常识别结果，分别为正常交易关系、异常交易关系、其他。
[0079]
对于tad-gcn神经网络训练过程如下：从银行的交易记录系统获取交易数 据，构建交易结构图，在其中对所有节点打上标签，标注多个非法交易账户的节 点，以供神经网络作误差反向传播。选取多个不重叠的90天的数据，进行如上 操作，构成银行交易数据集。
[0080]
在这些银行交易数据集中随机选取80％作为训练集，20％作为测试集，输入到预训练完 成的网络中，训练tad-gcn神经网络使用交叉熵损失函数，优化器使用adam，最终得到一 个能够准确识别金融交易异常行为的神经网络。
[0081]
在运用过程中，每过一天更新一次数据集，将识别为异常的交易路线输出，提醒相关人 员存在的风险。
[0082]
需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上 述对本说明书特定实施例进行了描述。另外，在附图中描绘的过程不一定要求示出的特定顺 序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以 的或者可能是有利的。
[0083]
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相 参见即可，每个实施例重点说明的都是与其他实施例的不同之处。
[0084]
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之 内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。