CN109034583A - 异常交易识别方法、装置及电子设备 - Google Patents

Abstract

本发明公开了一种异常交易识别方法、装置及电子设备，所述方法可以在获取用户提交目标交易数据后，进一步提取所述目标交易数据中的主体变量，其中，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；然后基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易。

Description

异常交易识别方法、装置及电子设备

技术领域

本申请涉及计算机技术领域，尤其涉及一种异常交易识别方法、装置及电子设备。

背景技术

随着互联网技术的蓬勃发展，越来越多的用户通过电商平台进行购物，给用户带来了极大地便利。但是，随之也出现了诸多异常交易的情况，例如不法分子通过恶意交易，盗刷银行卡套取卡内资金，谋取非法利益，给银行卡主人造成了经济损失。

因此，如何识别异常交易是目前急需解决的技术问题。

发明内容

本申请实施例提供了一种异常交易识别方法、装置及电子设备，以识别出异常交易。

为解决上述技术问题，本申请实施例是这样实现的：

第一方面，提出了一种异常交易识别方法，所述方法包括：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

第二方面，提出了一种异常交易识别装置，所述装置包括：

交易数据获取模块，用于获取用户提交的目标交易数据；

主体变量提取模块，用于提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

异常交易识别模块，用于基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

第三方面，提出了一种电子设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

第四方面，提出了一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

由以上本申请实施例提供的技术方案可见，本申请实施例提供的方案至少具备如下一种技术效果：由于是基于能够描述多个用户相同或相似特征的大维度主体变量对应的预设异常指标值，识别异常交易，而不是基于仅能描述单一用户的细维度的主体变量的异常指标值，因此可以有效地识别出不法分子通过多主体中低频操作进行的异常交易。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本说明书实施例提供的异常交易识别方法的流程示意图之一。

图2是本说明书实施例提供的异常交易识别方法的流程示意图之二。

图3是图2所示的实施例中的步骤108的一种详细流程示意图。

图4是本说明书实施例提供的一种电子设备的结构示意图。

图5是本说明书实施例提供的异常交易识别装置的结构示意图之一。

图6是本说明书实施例提供的异常交易识别装置的结构示意图之二。

图7是图6所示的实施例中的模块504的一种详细结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

为了识别出异常交易，本说明书实施例提供一种异常交易识别方法及装置。本说明书实施例提供的异常交易识别方法的执行主体，可以是电商平台的服务器，也可以是移动终端上安装的电商平台的应用软件，比如安装在手机上的购物应用(Application，APP)等。

下面结合附图1至3对本说明书实施例提供的一种异常交易识别方法进行详细的说明。

如图1所示，本说明书实施例提供的一种异常交易识别方法，应用于移动终端，该方法可以包括如下步骤：

在步骤102处，获取用户提交的目标交易数据。

交易数据，可以是用户在电商平台上提交的交易请求中携带的交易数据，例如，用户在电商平台上提交订单时携带的数据。交易数据中的数据内容可包括但不限于：用户账号、金额、商品名称、用户邮箱域名、用户设备的IP地址、用户账号绑定的银行卡***、用户使用的无线局域网地址wifimac、物流地点，等等。

目标交易数据，是需要识别的交易对应的交易数据。

在步骤104处，提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量。

大维度变量也可以称为大颗粒维度变量，该变量能够描述多个用户的相同或相似特征。例如，由于多个用户可以使用同一邮箱域名“@163.com”的邮箱，因此，邮箱域名可以作为一个大维度变量来描述多个用户；再如，多个用户可以持有具有相同银行标识代码(Bank Identification Number，BIN)的银行卡，因此，银行卡BIN也可以作为一个大维度变量来描述多个用户。BIN号通常由6位数字表示，出现在银行卡***的前6位，由国际标准化组织(ISO)分配给各从事跨行转接交换的银行卡组织。

基于大维度变量的定义，可以联想到，除上述例子中述及的用户邮箱域名和银行卡BIN外，步骤104中的主体变量可以包括但不限于下列变量中的一种或多种：用户群组标识、用户设备的IP地址、用户账号绑定的银行卡卡BIN、用户使用的无线局域网地址wifimac、物流地点和预设冲突对，等等。

其中，用户群组，可以是通过指定媒介关联起来的用户群体。例如，通过银行卡信息、设备信息、IP信息等媒介关联起来的用户群体，具体如，假如几个用户绑定的银行卡的***相同，那么这几个用户就构成一个用户群组。在实际应用中，可以通过构建用户关系图，来确定用户群组。

用户群组标识，可以是能唯一区分不同用户群组的标识，例如用户群组ID。

其中，预设冲突对，可以是高频率的出现在同一交易中的至少两个变量，例如，变量发卡国A与变量物流国B常常在同一交易中出现，因此可以将“发卡国A-物流国B”称为一个预设冲突对。预设冲突对，可以是通过对电商平台的上的大量交易数据进行分析得到的。

其中，物流地点，可以是具体到街道的详细地址，也可以是国家、省份、市和区这种泛指的地址。例如，对于跨国交易，物流地点可以是国家，对于跨省份的交易，物流地点可以是省，等等。在具体实现时，可以根据实际需要进行灵活设置。

应理解，在获取到目标交易数据后，可以通过分析目标交易数据，从中提取出上述主体变量。

在步骤106处，基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

例如，如果某一主体变量对应的预设异常指标值的高于某一预设值，则确定该主体变量的风险等级为高等级，反之则确定主体变量的风险等级为低等级。

预设异常指标值，可以是预先基于电商平台上的历史交易数据确定的。下文中会通过图2所示的实施例单独说明确定预设异常指标值的过程，此处暂不赘述。

在第一个例子中，步骤106具体可以包括：如果所述预设异常指标值大于或等于预设阈值，则确定所述目标交易数据对应的交易为异常交易。

更为详细的，在第一种应用场景下，如果所述预设异常指标值大于或等于第一预设阈值，则确定所述目标交易数据对应的交易为异常交易。在第二种应用场景下，如果所述预设异常指标值大于或等于第二预设阈值且小于或等于所述第一预设阈值，则确定所述目标交易数据对应的交易为疑似异常交易，所述第二预设阈值小于所述第一预设阈值。

其中，第一种应用场景，可以是将本说明书提供的异常交易识别方法直接部署在电商平台的反欺诈***上，对用户提交的目标交易数据对应的交易是否异常进行识别，并在识别为异常交易时直接拒绝交易的应用场景。在该应用场下，第一预设阈值例如可以是0.6，当预设异常指标值大于或等于0.6时，认为交易异常，需要拒绝。在实际应用中，第一应用场景被称为异常交易的在线管控场景。

其中，第二种应用场景，可以是将本说明书提供的异常交易识别方法部署在电商平台的风险监控***上，对用户提交的目标交易数据对应的交易是否异常进行识别，并在识别为疑似异常交易时并不直接拒绝交易，而是结合人工定期核查来确定交易是否为异常交易的应用场景。在该应用场下，第一预设阈值例如可以是0.6，第二预设阈值可以是0.3，当预设异常指标值大于或等于0.3且小于或等于0.6时，认为交易疑似异常，需要人工介入。在实际应用中，第二应用场景可以被称为异常交易的离线管控场景。

对比第一应用场景和第二应用场景的异常识别方案可以发现，第二应用场景的方案是针对预设异常指标值在一个难以断定异常与否的灰度范围内的场景，当预设异常指标值之在该灰度范围内时，如果直接判定为异常交易，则可能存在误判的情况，打扰到正常用户的交易；如果直接判定为正常交易，则有可能会出现纵容非法用户进行非法交易的情况。因此，需要先判断为疑似异常交易，然后采用其他手段做最终的识别，并在识别为异常交易时，调整在线管控方案中的第一预设阈值。具体可以通过人工定期核查做最终的识别，比如一天或一周核查一次，如果发现可疑情况，则对在线管控方案中的第一预设值进行调整。

并且，对上述两个场景的方案进行对比还可以发现，在线管控的阈值限制的较为严格，当预设异常指标值大于或等于阈值时，直接判定为异常交易；离线管控的阈值限制的较为宽松，并定期进行人工核查，根据风险程度及时调整在线管控的阈值。

在第二个例子中，步骤106具体可以包括：如果所述预设异常指标值大于或等于指定平均值的预设倍数，则确定所述目标交易数据对应的交易为异常交易；其中，所述指定平均值为第一指定历史时段内的历史预设异常指标值的平均值。

例如，如果目标交易数据对应的预设异常指标值，大于或等于过去7天或30天内预设异常指标值的平均值，则确定所述目标交易数据对应的交易为异常交易。

在第三个例子中，步骤106具体可以包括：如果所述预设异常指标值超出预设数值范围，则确定所述目标交易数据对应的交易为异常交易的概率为第一预设概率。

其中，所述预设数值范围为：[a-mb，a+nb]或(a-mb，a+nb)，a表示第二指定历史时段内的历史预设异常指标值的平均值，b表示所述第二指定历史时段内的历史预设异常指标值对应的标准差，n和m表示能够保证第二预设概率的历史预设异常指标值落在所述预设数值范围内的系数，所述第二预设概率大于所述第一预设概率，且所述第一预设概率与所述第二预设概率的和小于或等于1。

也即，如果：a-mb≤预设异常指标值≤a+nb，则确定所述目标交易数据对应的交易为异常交易的概率为第一预设概率。其中，m和n的值是通过迭代计算得到的，例如，如果第一预设概率等于10％，那么第二预设概率等于90％，则m和n的值需要保证90％的历史预设异常指标值落在[a-mb，a+nb]或(a-mb，a+nb)内。以及，如果目标交易数据对应的预设异常指标值也落在[a-mb，a+nb]或(a-mb，a+nb)内，则认为目标交易数据对应的交易是正常的，否则认为目标交易数据对应的交易存在10％的异常可能性。

需要说明的是，本说明书述及的预设历史时段、第一指定历史时段、第二指定历史时段可以相同也可以不同，本说明书对此不做限定。

本实施例提供的一种异常交易识别方法，由于是基于能够描述多个用户相同或相似特征的大维度主体变量对应的预设异常指标值，识别异常交易，而不是基于仅能描述单一用户的细维度的主体变量的异常指标值，因此可以有效地识别出不法分子通过多主体中低频操作进行的异常交易。

例如，早期的不法分子，常通过注册一个账户，并利用这一账户在短时间内频繁进行交易牟取利益，或者在短时间内通过该账户使用多张银行卡进行交易，或者在短时间内通过该账户使用多个设备进行交易。而正常用户在短时间内是不会通过同一账户进行频繁交易、不会使用多张卡进行交易更不会使用多个设备进行交易的。因此，利用这些区别，可以基于某账户(细维度的主体变量)在一天内的交易笔数、使用的银行卡数或使用的设备数是否超过预定阈值，来识别异常交易。

但随着不法分子作案手段的升级，作案手段从针对细维度主体的高频操作，转变为多主体中低频操作，如某团伙注册了50个账号，在某日疯狂下单，且下单时每个账户只用一张卡、一个设备，交易几笔之后就换账号，同时更换设备和银行卡，这在细维度上已经很难与正常用户区分开来。

所幸的是，这些交易在大维度中会留下痕迹，如不法分子会通过不同的账户使用同一个国家的银行卡作案，或者会通过不同的账户使用同一个卡BIN的银行卡作案，或者都寄送到同一个物流城市等。对于这些大维度主体变量，不法分子很难绕开，因此，本说明书提供的异常交易识别方法能够有效识别出这样的异常交易。

还需要说明的是，在本说明书中，大维度变量和细维度变量(或称小维度变量)是相对而言的，其中大维度变量可以用于描述至少两个用户的特征，细小维度变量用于描述单一用户的特征。

如图2所示，在另一实施例中，在上述步骤106之前，本说明书提供的一种异常交易识别方法还可以包括：

步骤108，基于历史交易数据确定多个指定变量，所述指定变量为预设历史时段内所述主体变量对应的高危客体变量的数量。

历史交易数据，可以是通过电商平台提交的全部历史交易数据或部分历史交易数据，且这些历史交易数据包括大部分用户或所有用户的历史交易数据的，而不仅仅是提交目标交易数据的用户的历史交易数据。

其中，高危客体变量包括用于表征交易数据中风险等级高于预设级别的变量。在实际应用中，可以基于一定的规则确定历史交易数据中的变量的风险等级，然后将风险等级高于预设级别的变量确定为高危客体变量。当然，高危客体变量也可以是电商平台的风控人员基于经验总结出来的。举例来说，高危客体变量，可以是下列变量中的一种或多种：新用户、高危商品、使用服务器交易、使用代理交易、使用模拟器交易、使用虚拟机交易和大额交易，等等。

其中，新用户可以是从注册至提交所述目标交易数据的时间在预设时长内的用户，例如，一天之内的新用户，3天之内的新用户，7天之内的新用户等，为了便于描述可表示为1d/3d/7d新用户。

高危商品，可以是高危商品类目，例如3C商品、假发等。可以理解，正常的用户(常为个人)是不会频繁的购买3C商品和假发等类目的商品，但是不法分子为了套现会通过虚假交易购买此类商品。

使用服务器交易，可以是使用专用服务器的交易，例如使用数据中心(InternetData Center，IDC)服务器的交易。可以理解，正常的用户(常为个人)是不会通过服务器交易的，但是不法分子会建立专门的服务器进行交易，因此使用服务器交易属于高危客体之一。

使用代理交易，例如使用proxy交易等。类似的，正常的用户(常为个人)是不会代理进行交易的，但是不法分子会。此外，使用模拟器交易、使用虚拟机交易也是不法分子常用的交易手段，而正常用户则不会使用这些交易手段。

在一个例子中，指定变量例如可以是Velocity变量。Velocity变量是用来识别用户行为的一种变量，它用来量化过去一段时间的交易行为。Velocity变量的一种表征方式为：主体a_客体b_时间范围t，即在过去t时间内，主体a下累计的客体b的数量，例如，账户B_交易_1d＝7，意味着账户B在一天内，累计交易了7笔。

需要说明的是，不同所述指定变量对应的预设历史时段、主体变量和高危客体变量中的至少一个不同。

如图3所示，作为一个例子，上述步骤108具体可以包括：

子步骤301、获取历史交易数据。

子步骤303、提取所述历史交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量。

例如，提取历史交易数据中的用户群组标识、用户邮箱域名、用户设备的IP地址、用户账号绑定的银行卡卡BIN、用户使用的无线局域网地址wifimac、物流地点和预设冲突对，等等。

其中，用户群组标识，可以在对历史交易数据中的用户进行构图(例如构建用户关系图)，区分出不同的用户群体之后确定。

子步骤305、基于历史交易数据累计预设历史时段内所述主体变量对应的高危客体变量的数量，得到多个指定变量。

假设指定变量为Velocity变量，则指定变量可以表示为：主体变量_高危客体变量_预设历史时段，并基于历史交易数据，累计预设历史时段内主体变量对应的高危客体变量的数量，得到多个Velocity变量。

例如，如果主体变量为某一卡BIN，高危客体变量为1d新用户，预设历史时段为过去的一个月，则指定变量为过去一个月内该卡BIN下的1d新用户的数量，得到一个Velocity变量。再如，如果主体变量仍为某一卡BIN，高危客体变量为3d新用户，预设历史时段为过去的一个月，则指定变量为过去一个月内该卡BIN下的3d新用户的数量，得到一个Velocity变量。以此类推，此处不再一一列举。

步骤110，基于所述多个指定变量确定所述预设异常指标值。

在一个例子中，所述预设异常指标值可为时间异动指标值，相应的，上述基于所述多个指定变量确定该预设异常指标值，可以包括：将所述多个指定变量中的第一指定变量和第二指定变量的比值确定为所述预设异常指标值。

其中，所述第一指定变量和所述第二指定变量对应的高危客体变量相同或相似，且所述第一指定变量对应的预设历史时段小于所述第二指定变量对应的预设历史时段。

例如，对主体变量和高危客体变量均相同但预设历史时段不同的两个Velocity变量做比值，得到预设异常指标值。

具体如，确定“卡BIN_3d新用户_1d”与“卡BIN_3d新用户_7d”的比值，得到预设异常指标值，且如果得到的比值超过预设阈值，说明该卡BIN下的3d新用户在某一天异常突增，进而说明该卡BIN下的银行卡可能被不法分子用于进行异常交易。

再如，确定“物流州_3d新用户_1d”与“物流州_3d新用户_7d”的比值，得到预设异常指标值，且如果得到的比值超过预设阈值，说明该物流州下的3d新用户异常突增，从而说明该物流州很可能有一批团伙在实施异常交易。

在另一个例子中，所述预设异常指标值可以为高危客体异动指标值，则基于所述多个指定变量确定该预设异常指标值，可以包括：将第三指定变量和第四指定变量的比值确定为所述预设异常指标值。

其中，所述第三指定变量是所述多个指定变量中的变量；所述第四指定变量为与所述第三指定变量对应的预设历史时段相同的时段内，所述主体变量对应的普通客体变量的数量，所述普通客体变量与所述第三指定变量对应的高危客体变量的类型相同，且所述普通客体变量用于表征交易数据中风险等级低于预设级别的细维度变量。

例如，对主体变量和预设历史时段均相同，但客体变量不同的两个Velocity变量做比值，得到预设异常指标值，具体来说，这两个Velocity变量中的一个Velocity变量对应的客体变量为高危客体变量，另一个Velocity变量对应的客体变量为普通客体变量，且这两个Velocity变量对应的客体变量的类型相同。

具体如，确定“BIN_3d新用户_7d”与“卡BIN_所有用户_7d”的比值，得到预设异常指标值，且如果得到的比值超过预设阈值，说明过去7d内新用户交易占比过大，在排除卖家搞活动的情况下，说明该卡BIN下的银行卡风险敞口很大(因为3d新用户是一个高危特征)。需要说明的，在该具体例子中，由于3d新用户在所有用户中的占比很小，而普通用户在所有用户中的占比很大，因此可以用所有用户来代替普通用户。

再如，确定“卡BIN_使用proxy代理的交易_7d”与“卡BIN_所有的交易_7d”的比值，得到预设异常指标值，且如果得到的比值超过预设阈值，说明该卡BIN下的交易中，使用proxy代理的占比过大，由于正常用户不会使用代理交易，因此这是一个很异常的情况，同样说明该卡BIN下的银行卡风险敞口很大。需要说明的，在该具体例子中，由于使用proxy代理的交易在所有交易中的占比很小，而普通交易在所有交易中的占比很大，因此可以用所有交易来代替普通交易。

图2所示的实施例，可以确定出不同主体变量对应的预设异常指标值，因此为异常交易的识别做好了准备，提高了识别异常交易的效率。

以上是对本说明书提供一种异常交易识别方法的说明，下面对本说明书提供的电子设备进行介绍。

图4是本说明书的一个实施例提供的电子设备的结构示意图。请参考图4，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。

处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成异常交易识别装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

上述如本说明书图1所示实施例揭示的异常交易识别方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本说明书一个或多个实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本说明书一个或多个实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

该电子设备还可执行图1的异常交易识别方法，本说明书在此不再赘述。

当然，除了软件实现方式之外，本说明书的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图1所示实施例的方法，并具体用于执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

下面对本说明书提供的一种异常交易识别装置进行说明。

图5是本说明书提供的异常交易识别装置500的结构示意图。请参考图5，在一种软件实施方式中，异常交易识别装置500可包括：交易数据获取模块501、主体变量提取模块502和异常交易识别模块503。

交易数据获取模块501，用于获取用户提交的目标交易数据。

交易数据，可以是用户在电商平台上提交的交易请求中携带的交易数据。

目标交易数据，是需要识别的交易对应的交易数据。

主体变量提取模块502，用于提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量。

大维度变量也可以称为大颗粒维度变量，该变量能够描述多个用户的相同或相似特征。因此，所述主体变量可以包括下列变量中的一种或多种：用户群组标识、用户邮箱域名、用户设备的IP地址、用户账号绑定的银行卡的银行标识代码BIN、用户使用的无线局域网地址wifimac、物流地点和预设冲突对，等等。

异常交易识别模块503，用于基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

预设异常指标值，可以是预先基于电商平台上的历史交易数据确定的。

在一个例子中，异常交易识别模块503，可用于如果所述预设异常指标值大于或等于预设阈值，则确定所述目标交易数据对应的交易为异常交易。

更为具体的，如果所述预设异常指标值大于或等于第一预设阈值，则确定所述目标交易数据对应的交易为异常交易；如果所述预设异常指标值大于或等于第二预设阈值且小于或等于所述第一预设阈值，则确定所述目标交易数据对应的交易为疑似异常交易，所述第二预设阈值小于所述第一预设阈值。

在另一个例子中，异常交易识别模块503，可用于如果所述预设异常指标值大于或等于指定平均值的预设倍数，则确定所述目标交易数据对应的交易为异常交易；其中，所述指定平均值为第一指定历史时段内的历史预设异常指标值的平均值。

在又一个例子中，异常交易识别模块503，可用于如果所述预设异常指标值超出预设数值范围，则确定所述目标交易数据对应的交易为异常交易的概率为第一预设概率。

其中，所述预设数值范围为：[a-mb，a+nb]或(a-mb，a+nb)，a表示第二指定历史时段内的历史预设异常指标值的平均值，b表示所述第二指定历史时段内的历史预设异常指标值对应的标准差，n和m表示能够保证第二预设概率的历史预设异常指标值落在所述预设数值范围内的系数，所述第二预设概率大于所述第一预设概率，且所述第一预设概率与所述第二预设概率的和小于或等于1。

本说明书提供的异常交易识别装置500，由于是基于能够描述多个用户相同或相似特征的大维度主体变量对应的预设异常指标值，识别异常交易，而不是基于仅能描述单一用户的细维度的主体变量的异常指标值，因此可以有效地识别出不法分子通过多主体中低频操作进行的异常交易。

可选地，如图6所示，在另一个例子中，异常交易识别装置500还可以包括：指定变量确定模块504和预设异常指标确定模块505。

指定变量确定模块504，用于在所述基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易之前，基于历史交易数据确定多个指定变量，所述指定变量为预设历史时段内所述主体变量对应的高危客体变量的数量。

可选地，不同所述指定变量对应的预设历史时段、主体变量和高危客体变量中的至少一个不同。

可选地，所述高危客体变量包括用于表征交易数据中风险等级高于预设级别的变量。例如，所述高危客体变量可包括下列变量中的一种或多种：新用户、高危商品、使用服务器交易、使用代理交易、使用模拟器交易、使用虚拟机交易和大额交易，等等。

作为一个例子，如图7所示，指定变量确定模块504可包括：

交易数据获取子模块701，获取历史交易数据。

主体变量提取子模块702，提取所述历史交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量。

指定变量确定子模块703，基于历史交易数据累计预设历史时段内所述主体变量对应的高危客体变量的数量，得到多个指定变量。

假设指定变量为Velocity变量，则指定变量可以表示为：主体变量_高危客体变量_预设历史时段，并基于历史交易数据，累计预设历史时段内主体变量对应的高危客体变量的数量，得到多个Velocity变量。

预设异常指标确定模块505，用于基于所述多个指定变量确定所述预设异常指标值。

在一个例子中，预设异常指标确定模块505，可用于将所述多个指定变量中的第一指定变量和第二指定变量的比值确定为所述预设异常指标值。

其中，所述第一指定变量和所述第二指定变量对应的高危客体变量相同或相似，且所述第一指定变量对应的预设历史时段小于所述第二指定变量对应的预设历史时段。

在另一个例子中，预设异常指标确定模块505，可用于将第三指定变量和第四指定变量的比值确定为所述预设异常指标值。

其中，所述第三指定变量是所述多个指定变量中的变量；所述第四指定变量为与所述第三指定变量对应的预设历史时段相同的时段内，所述主体变量对应的普通客体变量的数量，所述普通客体变量与所述第三指定变量对应的高危客体变量的类型相同，且所述普通客体变量用于表征交易数据中风险等级低于预设级别的细维度变量。

图6所示的异常交易识别装置500，可以确定出不同主体变量对应的预设异常指标值，为异常交易的识别做好了准备，因此可以提高识别异常交易的效率。

需要说明的是，异常交易识别装置500能够实现图1的方法实施例的方法，具体可参考图1所示实施例的异常交易识别方法，不再赘述。

总之，以上所述仅为本说明书的较佳实施例而已，并非用于限定本说明书的保护范围。凡在本说明书一个或多个实施例的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本说明书一个或多个实施例的保护范围之内。

上述实施例阐明的***、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制时，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于***实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

Claims (12)

1.一种异常交易识别方法，所述方法包括：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

2.根据权利要求1所述的方法，在所述基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易之前，所述方法还包括：

基于历史交易数据确定多个指定变量，所述指定变量为预设历史时段内所述主体变量对应的高危客体变量的数量，且不同所述指定变量对应的预设历史时段、主体变量和高危客体变量中的至少一个不同，所述高危客体变量包括用于表征交易数据中风险等级高于预设级别的变量；

基于所述多个指定变量确定所述预设异常指标值。

3.根据权利要求2所述的方法，其中，所述基于所述多个指定变量确定所述预设异常指标值，包括：

将所述多个指定变量中的第一指定变量和第二指定变量的比值确定为所述预设异常指标值；

其中，所述第一指定变量和所述第二指定变量对应的高危客体变量相同或相似，且所述第一指定变量对应的预设历史时段小于所述第二指定变量对应的预设历史时段。

4.根据权利要求2所述的方法，其中，所述基于所述多个指定变量确定所述预设异常指标值，包括：

将第三指定变量和第四指定变量的比值确定为所述预设异常指标值；

其中，所述第三指定变量是所述多个指定变量中的变量；所述第四指定变量为与所述第三指定变量对应的预设历史时段相同的时段内，所述主体变量对应的普通客体变量的数量，所述普通客体变量与所述第三指定变量对应的高危客体变量的类型相同，且所述普通客体变量用于表征交易数据中风险等级低于预设级别的细维度变量。

5.根据权利要求2所述的方法，其中，

所述主体变量包括下列变量中的一种或多种：用户群组标识、用户邮箱域名、用户设备的IP地址、用户账号绑定的银行卡的银行标识代码BIN、用户使用的无线局域网地址wifimac、物流地点和预设冲突对；

所述高危客体变量包括下列变量中的一种或多种：新用户、高危商品、使用服务器交易、使用代理交易、使用模拟器交易、使用虚拟机交易和大额交易。

6.根据权利要求1-5任一项所述的方法，其中，所述基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，包括：

如果所述预设异常指标值大于或等于预设阈值，则确定所述目标交易数据对应的交易为异常交易。

7.根据权利要求6所述的方法，所述如果所述预设异常指标值大于或等于预设阈值，则确定所述目标交易数据对应的交易为异常交易，包括：

如果所述预设异常指标值大于或等于第一预设阈值，则确定所述目标交易数据对应的交易为异常交易；

如果所述预设异常指标值大于或等于第二预设阈值，且小于或等于所述第一预设阈值，则确定所述目标交易数据对应的交易为疑似异常交易，所述第二预设阈值小于所述第一预设阈值。

8.根据权利要求1-5任一项所述的方法，所述基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，包括：

如果所述预设异常指标值大于或等于指定平均值的预设倍数，则确定所述目标交易数据对应的交易为异常交易；其中，所述指定平均值为第一指定历史时段内的历史预设异常指标值的平均值。

9.根据权利要求1-5任一项所述的方法，所述基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，包括：

如果所述预设异常指标值超出预设数值范围，则确定所述目标交易数据对应的交易为异常交易的概率为第一预设概率；

其中，所述预设数值范围为：[a-mb，a+nb]或(a-mb，a+nb)，a表示第二指定历史时段内的历史预设异常指标值的平均值，b表示所述第二指定历史时段内的历史预设异常指标值对应的标准差，n和m表示能够保证第二预设概率的历史预设异常指标值落在所述预设数值范围内的系数，所述第二预设概率大于所述第一预设概率，且所述第一预设概率与所述第二预设概率的和小于或等于1。

10.一种异常交易识别装置，所述装置包括：

交易数据获取模块，用于获取用户提交的目标交易数据；

主体变量提取模块，用于提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

异常交易识别模块，用于基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

11.一种电子设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。

12.一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行以下操作：

获取用户提交的目标交易数据；

提取所述目标交易数据中的主体变量，所述主体变量包括用于描述多个用户相同或相似特征的大维度变量；

基于所述主体变量对应的预设异常指标值，确定所述目标交易数据对应的交易是否为异常交易，所述预设异常指标值用于评估所述主体变量的风险等级。