CN110009365A - 非正常转移电子资产的用户群体检测方法、装置和设备 - Google Patents

Abstract

本发明公开了一种非正常转移电子资产的用户群体检测方法、装置和设备属于计算机技术领域，用于提升非正常转移电子资产的用户群体检测的准确度。该方法包括：获取第一预设时间段的电子资产交易数据；根据交易数据，分别获得交易数据中发生电子资产转移的各个目标用户和各个目标节点的非正常电子资产转移概率；根据各个目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标用户和各个目标节点之间的二部图；采用社区挖掘模型，基于二部图获得至少一个社区；将各个社区中满足设定条件的社区确定为第一预设时间段内进行非正常电子资产转移的非正常社区；将非正常社区包括的目标用户群确定为非正常转移电子资产的用户群体。

Description

非正常转移电子资产的用户群体检测方法、装置和设备

技术领域

本发明涉及计算机技术领域，特别涉及一种非正常转移电子资产的用户群 体检测方法、装置和设备。

背景技术

目前，在各类应用，尤其是游戏应用中，用户可以充值电子资产，或称虚 拟货币，进而使用电子资产换取各种等值的游戏币、虚拟道具和服务等。但是， 在实际运营过程中，存在着非正常转移电子资产的用户，他们利用非正常手段 获得了电子资产，再通过在游戏中赠送等方式售卖给玩家，玩家在第三方平台 中进行付款，从而非正常转移电子资产的用户能够达到电子资产套现的目的。 这样的行为给游戏厂商带来了巨大的经济损失与口碑损失，又严重扰乱了游戏 内的秩序，因此需要准确识别出非正常转移电子资产的用户，从而对非正常转 移电子资产的用户进行限制，因此，如何准确识别出非正常转移电子资产的用 户是目前亟待解决的问题。

发明内容

本发明实施例提供一种非正常转移电子资产的用户群体检测方法、装置和 设备，用于提升非正常转移电子资产的用户群体检测的准确度。

一方面，提供一种非正常转移电子资产的用户群体检测方法，该方法包括：

获取第一预设时间段的电子资产交易数据；

根据所述交易数据，分别获得所述交易数据中发生电子资产转移的各个目 标用户和各个目标节点的非正常电子资产转移概率；

根据所述各个目标用户和各个目标节点的非正常电子资产转移概率，获得 各个目标用户和各个目标节点之间的二部图；

采用社区挖掘模型，基于所述二部图获得至少一个社区，每一个社区包括 至少一个目标节点和/或至少一个目标用户；

将各个社区中满足设定条件的社区确定为所述第一预设时间段内进行非 正常电子资产转移的非正常社区；

将所述非正常社区包括的目标用户群确定为非正常转移电子资产的用户 群体。

一方面，提供一种非正常转移电子资产的用户群体检测置，包括：

数据获取单元，用于获取第一预设时间段的电子资产交易数据；

数据处理单元，用于根据所述交易数据，分别获得所述交易数据中发生电 子资产转移的各个目标用户和各个目标节点的非正常电子资产转移概率；根据 所述各个目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标 用户和各个目标节点之间的二部图；

社区划分单元，用于采用社区挖掘模型，基于所述二部图获得至少一个社 区，每一个社区包括至少一个目标节点和/或至少一个目标用户；

社区判别单元，用于将各个社区中满足设定条件的社区确定为所述第一预 设时间段内进行非正常电子资产转移的非正常社区；将所述非正常社区包括的 目标用户群确定为非正常转移电子资产的用户群体。

一方面，提供一种计算机设备，

所述状态切换设备包括处理器，所述处理器用于执行存储器中存储的计算 机程序时实现如上述方面所述的方法。

一方面，提供一种计算机可读存储介质，

所述计算机可读存储介质存储有计算机指令，当所述计算机指令在计算机 上运行时，使得计算机执行如上述方面所述的方法。

本发明实施例中，可以通过在用户和节点两个维度获取非正常电子资产转 移概率，并基于该概率获取用户和节点之间的二部图，从而根据二部图划分社 区，进而从中确定出非正常社区，非正常社区中的用户则为非正常转移电子资 产的用户群体。这样，本发明实施例中无需标签数据，通过用户和节点两个维 度获取非正常电子资产转移概率进行分析，获取二部图，其中，二部图能够反 映出用户与节点之间的关联关系，从而基于关联关系进行社区的挖掘，进而获 取非正常社区，即进行非正常电子资产转移的用户群体，针对于多用户少量资 产转移行为，同样能够通过节点与用户之间的关联关系，发现存在多用户少量 资产转移行为的用户群体，相较现有的检测方法，准确率更高，适用范围更广。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述 中的附图仅仅是本发明实施例，对于本领域普通技术人员来讲，在不付出创造 性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的应用场景示意图；

图2为本发明实施例提供的非正常电子资产转移流程图；

图3为本发明实施例提供的非正常转移电子资产的用户群体检测方法的流 程示意图；

图4为本发明实施例提供的时间节点和事案件窗口示意图；

图5为本发明实施例提供的二部图的示意图；

图6为本发明实施例提供的构建用户主体社区图的示意图；

图7为本发明实施例提供的一种用户主体社区图融合的示意图；

图8为本发明实施例提供的另一种用户主体社区图融合的示意图；

图9为本发明实施例提供的非正常转移电子资产的用户群体检测装置的一 种结构示意图；

图10为本发明实施例提供的计算机设备的一种结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面将结合本发明实 施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然， 所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发 明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所 有其他实施例，都属于本发明保护的范围。在不冲突的情况下，本发明中的实 施例及实施例中的特征可以相互任意组合。并且，虽然在流程图中示出了逻辑 顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

为便于理解本发明实施例提供的技术方案，这里先对本发明实施例使用的 一些关键名词进行解释：

电子资产：或称虚拟货币，即非真实的货币，一般为通过线上充值获取的 货币、游戏币以及游戏道具等等，例如Q币、Q点以及点券，或者游戏中的元 宝、通宝以及纹银等等，例如对于游戏而言，通过电子资产可以换取各种等值 的游戏币、虚拟道具和服务，例如通过Q币在游戏中购买皮肤或者符文等游戏 道具。

非正常电子资产转移：指非正常转移电子资产的用户利用非正常手段获得 了电子资产，再通过代付或者赠送等方式售卖给其他用户，其他用户在第三方 平台中进行付款，从而非正常转移电子资产的用户能够达到电子资产套现的行 为。例如，非正常转移电子资产的用户通过非正常手段获取Q币后，通过向其 他玩家赠送皮肤，其他玩家在第三方平台中付款的方式，将这些Q币变现。当 然，这种行为也不仅仅体现在游戏中，在其他能够通过虚拟货币进行交易的场 景中也可能出现这样的行为。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可 以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B， 单独存在B这三种情况。另外，本文中字符“/”，在不做特别说明的情况下， 一般表示前后关联对象是一种“或”的关系。

目前，非正常电子资产转移的行为，目前的解决方法主要包括以下两种：

(1)基于规则策略的方法。这种方法通过采用阈值限制等方法降低用户 在单位时间内可交易次数以及交易金额等，从而上述行为进行扼制，这种方法 虽然可以对单用户大量资产转移行为进行发现和拦截，但是却无法发现和阻止 多用户少量资产转移行为，此外，非正常转移电子资产的用户易感知到策略并 较容易伪装绕过策略。

(2)基于监督学习的方法。这种方法通过收集大量用户的标签，根据业 务场景构造多种特征，从构造的特征中选择出最有效的特征子集，采用监督学 习方法对用户进行建立用户识别模型，从而通过用户识别模型识别用户是否为 非正常转移电子资产的用户。样本数据的准确度能够直接影响建模的准确性， 但是在实际应用中，获取用户的标签是极其困难的，从而使得基于监督学习的 方法实施起来较为困难。

本发明人对现有技术进行分析后发现，现有的方法在对非正常电子资产转 移的用户的检测时都是基于单个用户进行的，并未考虑到进行非正常电子资产 转移的用户通常为一个用户群体，且同一个群体的行为模式的较为类似，因而 针对于多用户少量资产转移的行为，无法得到较好的检测效果。鉴于此，要想 解决上述问题，那么在非正常电子资产转移的行为的检测时，则需要针对非正 常电子资产转移的行为的用户群体来进行，进而用户群体中所包含的用户则为 非正常电子资产转移的用户。

鉴于上述的分析和考虑，本发明实施例提供一种非正常转移电子资产的用 户群体检测方法，在该方法中，无需标签数据，通过用户和节点两个维度获取 非正常电子资产转移概率进行分析，获取二部图，其中，二部图能够反映出用 户与节点之间的关联关系，从而基于关联关系进行社区的挖掘，进而获取非正 常社区，即进行非正常电子资产转移的用户群体，针对于多用户少量资产转移 行为，同样能够通过节点与用户之间的关联关系，发现存在多用户少量资产转 移行为的用户群体，相较现有的检测方法，准确率更高，适用范围更广。

在介绍完本发明实施例的设计思想之后，下面对本发明实施例的技术方案 能够适用的应用场景做一些简单介绍，需要说明的是，以下介绍的应用场景仅 用于说明本发明实施例而非限定。在具体实施过程中，可以根据实际需要灵活 地应用本发明实施例提供的技术方案。

请参见图1所示，为发明实施例中的技术方案能够适用的一种应用场景， 在该场景中，可以包括第一设备101、第一服务器102、第二服务器103以及 第二设备104。

第一设备101和第二设备104可以分别是电子资产转移涉及的两方的设备。 例如以游戏中赠送皮肤为例，则第一设备101可以为被赠送皮肤的用户的设备， 即获取皮肤的用户的设备，第二设备104则可以为赠送皮肤的用户的设备，即 消耗电子资产的用户的设备。在实际应用中，存在正常电子资产转移的用户和 非正常电子资产转移的用户，正常电子资产转移的用户为通过正当途径从运营 商处购买了电子资产，然后通过该电子资产为自己或者他人购买相应的道具或 者服务的用户，而非正常电子资产转移的用户则是通过非正当途径获取了电子 资产，然后通过代付或者赠送的形式通过电子资产为其他用户购买道具或者服 务，从而获取其他用户在第三方平台中的付款，以将电子资产变现。

第一设备101和第二设备104可以是平板电脑(PAD)、手机、笔记本电 脑或者个人计算机(Personal Computer，PC)等设备，当然，也可以是其他可 能的设备，本发明实施例对此不做限制。

第一服务器102可以是电子资产所在的运营平台的后台服务器。同样以游 戏为例，则第一服务器102则可以是游戏运营商的后台服务器，第二设备104 所对应的用户可以从第一服务器102获取电子资产，再为第一设备101对应的 用户代付游戏道具，或者赠送游戏道具给第一设备101对应的用户。第一服务 器102还用于存储所有电子资产的交易记录。

第二服务器103可以是第三方平台的后台服务器，第三方平台例如可以是 淘宝、京东或者5173等电商平台，用于在第二设备104所对应的用户为第一 设备101对应的用户代付游戏道具，或者赠送游戏道具给第一设备101对应的 用户之后，第一设备101对应的用户付款给第二设备104所对应的用户，从而 达到电子资产变现的目的。

当然，本发明实施例提供的方法并不限用于图1所示的应用场景中，还可 以用于其他可能的应用场景，本发明实施例并不进行限制。对于图1所示的应 用场景的各个设备所能实现的功能将在后续的方法实施例中一并进行描述，在 此先不过多赘述。

在对本发明实施例的方法进行描述之前，首先对非正常电子资产转移的流 程进行简单的描述，请参见图2，该流程主要包括如下几个步骤：

步骤201：非正常电子资产转移的用户获取电子资产。

非正常电子资产转移的用户获取电子资产可通过多种渠道以及多种场景 获取，例如可以包括通过参与营销活动领取电子资产、通过在官方充值渠道购 买电子资产、通过话费购买电子资产、通过使用电子资产卡充值、通过从电子 资产经销商处购买电子资产等。各渠道获取电子资产的难度和折扣力度均有所 差异，非正常电子资产转移的用户获取电子资产的渠道通常是折扣大、易产生 坏账或营销资源聚集的渠道和场景。由于运营商可能采取电子资产获取限制的 策略，例如部分场景或者渠道对每个账户限制获取次数，或者限制获取额度等， 而非正常电子资产转移的用户通常则会控制一批账号进行电子资产的获取。

步骤202：电子资产的转移。

非正常电子资产转移的用户在获取电子资产后，由于可能会被运营商检测 到非正常行为，进而封号，因此非正常电子资产转移的用户通常会在账号被封 前尽快变现，因此，他们通常会将电子资产进行转移，转移可以包括转移给自 己的账号以及他人的账号。例如对于游戏而言，可以将多个游戏账号的电子资 产转移到同一个账号上，并且为了增加运营商对电子资产的追查，非正常电子 资产转移的用户通常还会将电子资产进行多层转移，即将电子资产转移多次， 这种转移行为通常通过计算机进行操控，通常具有一定的聚集性以及行为的重 复性。或者，还可以将电子资产转移到他人账号，他人账号一般为正常用户的 账号，即在第三方平台付款的用户的账号。

步骤203：吸引正常用户购买变现。

非正常电子资产转移的用户通常会在多个第三方平台发布低价折扣购买 信息，吸引正常用户购买，从而在第三方平台上达到交易，完成电子资产的 变现。

通过以上步骤，非正常电子资产转移的用户即可获取电子资产并及时变现。 通常情况下，电子货币厂商及相关游戏道具及服务提供者的利益均会收到损害。

为进一步说明本发明实施例提供的技术方案，下面结合附图以及具体实施 方式对此进行详细的说明。虽然本发明实施例提供了如下述实施例或附图所示 的方法操作步骤，但基于常规或者无需创造性的劳动在所述方法中可以包括更 多或者更少的操作步骤。在逻辑上不存在必要因果关系的步骤中，这些步骤的 执行顺序不限于本发明实施例提供的执行顺序。所述方法在实际的处理过程中 或者装置执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行。

请参见图3，为本发明实施例提供的非正常转移电子资产的用户群体检测 方法的流程示意图，该方法可以应用于应对非正常电子资产转移的风控***中， 可以由执行非正常转移电子资产的用户群体检测功能的服务器执行，例可以为 如图1所示的第一服务器102。该方法的流程描述如下：

步骤301：获取第一预设时间段的电子资产交易数据。

本发明实施例中，在电子资产的每一次交易过程中，都会涉及到用户与客 户端、客户端与服务器的交互过程，在此过程中所产生的交易数据，通常都会 由执行数据存储功能的服务器进行存储，例如可以为图1所示的第一服务器 102。由此，则可以从服务器的存储数据中获取后续所需的交易数据。

具体的，交易数据中可以包括目标用户信息、目标节点信息、交易类型以 及交易金额等信息。其中，目标用户信息为用户的账户的标志信息，例如可以 为用户的账号或者账户名称等，目标节点为用户在进行交易时所使用的设备或 者网络的标志信息，例如可以为用户的互联网协议(Internet Protocol，IP)地 址、用户设备的媒体访问控制(MediaAccess Control，MAC)地址或者用户设 备的国际移动设备识别码(International MobileEquipment Identity，IMEI)等 信息。

以目标用户信息为交易账号，目标节点信息为IP地址为例，当交易类型 为代付或者赠送时，交易账号可以包括支付账号和收货账号，支付账号为支付 电子资产的账号，收货账号为收取电子道具的账号，相应的目标节点也会涉及 到两个节点，即支付节点和收货节点，支付节点为支付电子资产的账号所在设 备或者网络，收货节点为收取电子道具的账号所在的设备或者网络，也就是会 包括支付IP地址和收货IP地址。

本发明实施例中，第一预设时间段为当前时间节点所对应的时间窗口，如 图4所示，为时间节点与时间窗口的示意图。其中，时间节点可以为等长时间 节点，代表的是非正常电子资产检测的周期，在每个时间节点处开始一次非正 常电子资产的检测。时间窗口与时间节点在何处无关，时间窗口长度可以比调 度周期长，也可以比调度周期短。T₀、T₁、T₂……T_n-1、T_n均为时间节点，若 当前时间节点为T2，则对应的时间窗口则可以为Period，那么所获取的交易数 据则可以是发生在时间窗口Period之内的全部交易的交易数据，对于Period 长度，可以根据具体情况进行设置，本发明实施例对此不做限制。

本发明实施例中，在获取交易数据之后，还可以对获取的交易数据进行简 单的清洗与统计。例如清洗包括去除无效交易，如交易失败、发货帐号错误、 无交易金额或为金额为0等情况的交易，并对清洗后的交易数据进行统计，得 到同一支付帐号、同一发货账号及同一登录IP地址在时间窗口内的总交易电 子货币金额。

步骤302：根据交易数据，分别获得交易数据中发生电子资产转移的各个 目标用户和各个目标节点的非正常电子资产转移概率。

下面分别对发生电子资产转移的各个目标用户和各个目标节点的非正常 电子资产转移概率进行描述，首先对各个目标节点的非正常电子资产转移概率 进行描述。

本发明实施例中，可以对上述简单统计的结果进行再次统计，以获得在上 述时间窗口内每一个目标节点上的交易次数N、赠送次数Np、交易支付帐号 数、交易金额M和赠送金额Mp，进而根据各个目标节点的赠送次数Np占交 易次数N的比例、以及赠送金额Mp占交易金额M的比例，获取各个目标节 点的非正常电子资产转移概率。其中，由于交易包括转入和转出，本发明实施 例中的交易金额M均是指在转出的金额。

具体的，非正常电子资产转移概率与赠送次数Np占交易次数N的比例成 正比，以及与赠送金额Mp占交易金额M成正比。其中，目标节点上赠送金额 Mp占比越高则越有代付或者赠送可疑，即在该节点上完成的交易为非正常电 子资产转移的概率越高；目标节点上自消费次数相对赠送次数Np越少越可疑， 即自消费次数越少，而赠送次数越多，则该节点上完成的交易为非正常电子资 产转移的概率越高。

具体的，目标节点的非正常电子资产转移概率的计算公式为：

其中，P(v)表示目标节点v的非正常电子资产转移概率，β为取值大于1 的常量，一般取值区间为[1，2]。用于表示目标节点的非正常电子资产转移 程度，非正常电子资产转移程度越高，非正常电子资产转移概率越大，目标节 点的非正常电子资产转移程度与目标节点上的赠送金额Mp的占比，以及赠送 次数Np所占交易次数N有关。

当目标节点为IP地址时，则可以获取在上述时间窗口内每一个IP地址上 的交易次数N、赠送次数Np、交易支付帐号数、交易金额M和赠送金额Mp， 进而根据各个IP地址的赠送次数Np占交易次数N的比例、以及赠送金额Mp 占交易金额M的比例，获取各个IP地址的非正常电子资产转移概率，计算方 式同样如上，因此就不过多赘述了。

本发明实施例中，需要声明的是，上述计算公式并非是唯一的计算公式， 只要是能够满足上述的变化规律的公式均可用于计算各个目标节点的非正 常电子资产转移的概率。

下面对发生电子资产转移的各个目标用户的非正常电子资产转移概率进 行描述。

本发明实施例中，同样可以对上述简单统计的结果进行再次统计，但是考 虑到目标用户很可能存在多用户协作但单个用户的非正常电子资产转移概率 不高的情况，在获取目标用户的非正常电子资产转移概率时，可以将扩大统计 的时间段，即根据上述时间窗口内的交易数据获取该时间窗口内涉及的目标用 户，再获取这些目标用户在第二预设时间段内的支付次数N、交易金额M、赠 送用户数P、赠送次数Np以及赠送金额Mp，进而根据各个目标用户的赠送用 户数P以及赠送金额Mp占所述交易金额M的比例，获取各个目标用户的非 正常电子资产转移概率。其中，第二预设时间段一般而言相较第一预设时间段 时间更长，例如第一预设时间段可以是一个星期，第二预设时间段可以是半年， 当然，也可以是其他可能的时间长度，本发明实施例对此不做限制。

具体的，目标用户的非正常电子资产转移概率与赠送用户数P成正比，以 及与赠送金额Mp占交易金额M的比例成正比。其中，赠送金额Mp占交易金 额M的比例越高，则目标用户越有代付可疑，即该目标用户的非正常电子资 产转移的概率越高；赠送用户数P越多越有代付可疑，即该目标用户的非正常 电子资产转移的概率越高。

具体的，目标用户的非正常电子资产转移概率的计算公式为：

其中，P(u)表示目标用户u的非正常电子资产转移概率，α是为取值大于 1的常量，一般取值区间为[1，2]，φ代表目标用户的非正常电子资产转移程度， 目标用户的非正常电子资产转移程度越高，目标用户的非正常电子资产转移概 率越高，目标用户的非正常电子资产转移程度与该目标用户的赠送金额Mp占 交易金额M的比例，以及目标用户的赠送用户数P有关。

当目标用户通过支付账号表示时，则可以获取在第二预设时间段内每一个 支付账号的支付次数N、交易金额M、赠送用户数P、赠送次数Np以及赠送 金额Mp，进而根据各个支付账号的赠送金额Mp占交易金额M的比例、以及 赠送用户数P，获取各个支付账号的非正常电子资产转移概率，计算方式同样 如上，因此就不过多赘述了。

本发明实施例中，需要声明的是，上述计算公式并非是唯一的计算公式， 只要是能够满足上述φ的变化规律的公式均可用于计算各个目标用户的非正常 电子资产转移的概率。

步骤303：根据各个目标用户和各个目标节点的非正常电子资产转移概率， 获得各个目标用户和各个目标节点之间的二部图。

本发明实施例中，考虑到通常非正常电子资产转移的用户都为一个用户群 体，而隶属同一个用户群体往往在网络或者设备上表现出明显的聚集性，在帐 号行为上表现出趋同性，因此基于上述各个目标用户和各个目标节点的非正常 电子资产转移概率，构建表征电子资产转移关系的二部图。

具体的，由于不存在赠送行为的目标用户以及目标节点，其非正常电子资 产转移概率均为零，对于这些显然不可能存在非正常电子资产转移行为的，以 及非正常电子资产转移行为的概率较小的，可以先将这些用户和节点筛除，再 通过剩余的目标用户以及目标节点进行二部图的构建。

本发明实施例中，可以获取剩余的目标用户与目标节点之间的连边权重， 进而根据连边权重建立二部图。其中，连边权重为目标用户和目标节点的非正 常电子资产转移概率中的较大值，且，二部图中仅包括目标用户与目标节点之 间的连边权重大于预设权重阈值的连边。

具体的，二部图的构建规则为：当且仅当目标用户与目标节点的非正常电 子资产转移概率均大于0，且连边权重大于预设权重阈值时，目标用户与目标 节点之间存在连边。这样，可以将无赠送行为的目标节点、无赠送行为的目标 用户、及恶意度较低的赠送交易给过滤出来，最终得到目标用户与目标节点的 二部图。目标用户与目标节点之间的连边权重的计算公式如下：

其中，weight表示u和v之间的连边权重，P(u)代表目标用户的非正常电 子资产转移概率，P(v)代表目标节点的非正常电子资产转移概率，δ是预设权 重阈值。根据上述公式，只有在P(u)和P(v)之中的较大值大于预设权重阈值时， u与v之间才会存在连边，且连边权重为P(u)和P(v)之中的较大值，而当P(u) 和P(v)之中的较大值小于或者等于预设权重阈值时，u与v之间则不存在连边， 也就是说连边权重为0。

本发明实施例中，二部图可以描述为G＝(U，V，E)，其中，U表示目标用 户集合，V表示目标节点集合，E代表目标用户与目标节点之间是否有连接关 系。请参见图5所示，为本发明实施例提供的二部图的示意图，其中，在二部 图中，U包括u1～u5，V包括v1～v5，若一个目标用户在一个目标节点上有过 支付行为，且max(P(u),P(v))＞δ，则目标用户与目标节点之间存在一条连边。

如图5所示，u1和u2均在v1上有过支付行为，且max(P(u1),P(v1))＞δ， 以及max(P(u2),P(v1))＞δ，则u1与v1之间以及u2与v1之间均存在一条连边。

u3在v2和v3上均有过支付行为，且max(P(u3),P(v2))＞δ，以及 max(P(u3),P(v3))＞δ，则u3与v2之间以及u3与v3之间均存在一条连边。

u4在v4和v5上均有过支付行为，且max(P(u4),P(v4))＞δ，以及 max(P(u4),P(v5))＞δ，则u4与v4之间以及u4与v5之间均存在一条连边。

u5在v3上均有过支付行为，且max(P(u5),P(v3))＞δ，则u5与v3之间存 在一条连边。

当然，在实际应用中，目标用户与目标节点的数量均是很庞大的，图5中 仅用于示意，而并不用于对目标用户与目标节点的数量进行限制。

步骤304：采用社区挖掘模型，基于二部图获得至少一个社区。

本发明实施例中，二部图能够反映目标用户与目标节点之间的联系，同一 用户群体一般在目标节点上都会呈现出聚集性，因此可以基于上述获取的二部 图来进行社区的划分，采用社区挖掘模型，获得至少一个社区。

具体的，社区挖掘模型可以为采用louvain算法，标签传播(Label PropagationAlgorithm，LPA)算法，基于信息论的社团发现(InfoMap)算法等 算法的社区挖掘模型，下面以louvain算法为例对社区的划分进行介绍。

louvain算法，或称Fast unfolding算法，是一种基于模块度(Modularity) 的社区发现算法，模块度用于衡量一个社区的连接紧密性，其中，在louvain 算法进行社区的划分时，初始时可以将每个目标节点或者目标用户作为一个单 独的社区看待，然后将每个目标节点或者目标用户加入到模块度增益最大的临 近社区中，本发明实施例中目标节点的临近社区即为与该目标节点拥有连边的 目标用户，目标用户的临近社区即为与该目标用户拥有连边的目标节点。当初 次划分了多个社区之后，在将每个社区作为一个整体看待，再次进行划分，循 环迭代，直至最终划分结果不再发生变化。由于社区划分算法进行社区的划分 均为现有技术的范畴，因此对此不再过多赘述，

步骤305：将各个社区中满足设定条件的社区确定为第一预设时间段内进 行非正常电子资产转移的非正常社区。

本发明实施例中，完成社区的划分之后，针对每个社区，获取该社区中的 全部目标用户在第一预设时间段内的交易总金额、赠送总金额、赠送总金额占 交易总金额的比例P_u、所有目标节点上的交易总金额、赠送总金额以及赠送总 金额占交易总金额的比例P_ip，进而基于全部目标用户的赠送总金额占交易总金 额的比例P_u、所有目标节点上的赠送总金额占交易总金额的比例P_v获取该社 区的非正常电子资产转移判别指标P_uv，非正常电子资产转移判别指标P_uv的计 算如下：

具体的，由于在构建二部图之后，将连边权重较小的连边进行了删除，那 么在划分社区后则会出现孤立的目标节点或者目标用户，针对于孤立的目标用 户，即该社区中没有目标节点存在，该社区的非正常电子资产转移判别指标P_uv则为目标用户的赠送总金额占交易总金额的比例P_u；针对于孤立的目标节点， 即该社区中没有目标用户存在，该社区的非正常电子资产转移判别指标P_uv则 为目标节点的赠送总金额占交易总金额的比例P_v；针对于同时存在目标节点和 目标用户的社区，该社区的P_u和P_v均不会为零，则该社区的非正常电子资产 转移判别指标P_uv则可以根据P_u和P_v来确定，例如上式中为P_u和P_v的乘积。

本发明实施例中，设定条件可以如下：

(1)所有目标用户的赠送总金额大于预设金额阈值，或者，所有目标节 点的赠送总金额大于预设金额阈值λ₁。

(2)非正常电子资产转移判别指标P_uv大于预设判别指标阈值λ₂。

当满足上述两个条件时，则将该社区确定为非正常社区。其中， 为所有社区中交易总金额最高的第i个社区的交易总金 额，I为社区的集合，P₁、λ₂的确定可根据具体情况进行调整，例如可以设置 P1＝0.01，λ₂＝0.8，当然，也可以是其他可能的值，本发明实施例对此不做限 制。

步骤306：将非正常社区包括的目标用户群确定为非正常转移电子资产的 用户群体。

本发明实施例中，由于非正常转移电子资产的用户群体通常呈现出一定额 聚集性，也就是说本发明实施例中划分的社区，那么非正常社区中包括的目标 用户群则为非正常转移电子资产的用户群体，即非正常社区中所有的目标节点 为进行非正常电子资产转移的节点，非正常社区中所有的目标用户为进行非正 常电子资产转移的用户。

步骤307：根据第一预设时间段内的非正常社区以及其包括的用户主体， 建立当前用户主体社区图。

本发明实施例中，将同一个社区中的用户主体与该社区身份标识(identity， ID)之间构造一条连边，得到当前时间节点的用户主体社区图，用户主体社区 图用于表征用户主体与非正常社区的对应关系，其中，其中的每一个用户主体 可以为上述的目标用户或者目标节点。请参见图6所示，当前时间节点获取的 非正常社区为社区2，社区2中包括7个用户主体，将7个用户主体与社区2 之间构造连边得到用户主体社区图，可以看到用户主体社区图中用户主体与社 区2一一对应。

在具体应用时，用户主体社区图可以是目标节点和目标用户混合的图，即 在一个用户主体社区图中同时包括目标节点与社区ID的对应关系，也包括目 标用户与社区ID的对应关系；或者，还可以分别针对目标节点和目标用户构 建不同的用户主体社区图，那么一个社区则会对应两个用户主体社区图，即目 标用户社区图和目标节点社区图，目标用户社区图用于表征社区中目标用户与 社区ID的对应关系，目标节点社区图则用于表征社区中目标节点与社区ID的 对应关系。

步骤308：将当前用户主体社区图与历史用户主体社区图进行融合。

本发明实施例中，融合后的用户主体社区图同时包括当前用户主体社区图 所包括的对应关系，和/或历史用户主体社区图所包括的对应关系。

将历史用户主体社区图中的用户主体与社区ID，以及当前用户主体社区图 的用户主体与社区ID融合，并对融合后形成的社区ID节点图进行连通分量的 划分，并为每个连通分量分配一个独立ID，即社区ID，将同一个连通分量中 的用户主体作为同一个社区的用户主体并为之重新分配社区ID。具体的，在进 行融合时，依次向历史用户主体社区图中增加当前用户主体社区图的连接边及 对应节点，如果该用户主体或连边已经在历史社区节点图中存在，则忽略，如 果不存在，则增加节点及连边。

相对应的，在进行用户主体社区图的融合时，若用户主体社区图为目标节 点和目标用户混合的图，则当前的用户主体社区图可以与历史用户主体社区图 直接进行融合；而若是当前用户主体社区图包括目标用户社区图和目标节点社 区图，则分别针对目标用户社区图和目标节点社区图进行融合，即分别将当前 目标用户社区图与历史目标用户社区图进行融合，以及将当前目标节点社区图 和历史目标节点社区图进行融合。

请参见图7所示，历史用户主体社区图中包括社区1与用户主体A～D的 对应关系，当前用户主体社区图中包括社区2与用户主体A和B，以及E和F 的对应关系，在进行融合之后，则将当前用户主体社区图的对应关系添加至历 史用户主体社区图中，如图7中右图所示，得到包含社区1和社区2与用户主 体的对应关系的连通分量，并为该连通分量分配新的社区ID，例如社区3，从 而得到如图8所示的新的用户主体社区图。

本发明实施例中，在将当前用户主体社区图与历史用户主体社区图进行融 合之后，则可以方便非正常用户和非正常节点的存储。在后续的使用中，可以 针对融合后的用户主体社区图中的非正常用户或者非正常节点的交易加以限 制，例如针对非正常电子资产转移概率很高的用户，则可以直接进行封号处理， 针对非正常电子资产转移概率较高的用户，则可以加入到限制名单中，限制其 交易次数或者额度等，非正常电子资产转移概率很高的节点也可以如此。

综上所述，本发明实施例提供了一种无监督自动挖掘非正常电子资产转移 的用户群体的方法，通过多个时间节点，统计每个时间节点对应的时间窗口的 多种类型用户主体的非正常电子资产转移概率，并根据交易信息构造节点间连 接关系的二部图，通过对连接关系进行社区挖掘，设定非正常社区判定标准， 挖掘出了每个时间窗口中的非正常社区。此外，还通过融合多个时间节点的检 测结果，达到快速挖掘出大规模交易中的非正常电子资产转移的用户群体的目 的。

请参见图9，基于同一发明构思，本发明实施例还提供了一种非正常转移 电子资产的用户群体检测装置90，包括：

数据获取单元901，用于获取第一预设时间段的电子资产交易数据；

数据处理单元902，用于根据交易数据，分别获得交易数据中发生电子资 产转移的各个目标用户和各个目标节点的非正常电子资产转移概率；根据各个 目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标用户和各 个目标节点之间的二部图；

社区划分单元903，用于采用社区挖掘模型，基于二部图获得至少一个社 区，每一个社区包括至少一个目标节点和/或至少一个目标用户；

社区判别单元904，用于将各个社区中满足设定条件的社区确定为第一预 设时间段内进行非正常电子资产转移的非正常社区；将非正常社区包括的目标 用户群确定为非正常转移电子资产的用户群体。

可选的，数据处理单元具体用于：

获取交易数据中每一个目标节点的交易次数、赠送次数、交易金额和赠送 金额；

根据各个目标节点赠送次数占交易次数的比例、以及赠送金额占交易金额 的比例，获取各个目标节点的非正常电子资产转移概率，其中，非正常电子资 产转移概率与赠送次数占交易次数的比例成正比，以及与赠送金额占交易金额 成正比。

可选的，数据处理单元902具体用于：

获取交易数据中包括的每一个目标用户在第二预设时间段内的交易金额、 赠送用户数和赠送金额；

根据各个目标用户的赠送用户数以及赠送金额占交易金额的比例，获取各 个目标用户的非正常电子资产转移概率，其中，非正常电子资产转移概率与赠 送账号数成正比，以及与赠送金额占交易金额的比例成正比。

可选的，数据处理单元902具体用于：

筛除非正常电子资产转移概率为零的目标用户和目标节点；

获取剩余的目标用户与目标节点之间的连边权重，其中，连边权重为目标 用户和目标节点的非正常电子资产转移概率中的较大值；

根据连边权重建立二部图，其中，二部图中仅包括目标用户与目标节点之 间的连边权重大于预设权重阈值的连边。

可选的，社区划分单元903还用于：

当社区内未包括目标节点时，则社区的非正常电子资产转移判别指标为社 区包括的所有目标用户的赠送总金额占交易总金额的比例；或者，

若社区内未包括目标用户时，则社区的非正常电子资产转移判别指标为社 区包括的所有目标节点的赠送总金额占交易总金额的比例；或者，

若社区内包括目标用户和目标节点时，则根据社区包括的所有目标用户的 赠送总金额占交易总金额的比例，以及所有目标节点的赠送总金额占交易总金 额的比例获取社区的非正常电子资产转移判别指标。

可选的，社区划分单元903具体用于：

将赠送总金额大于预设金额阈值，且非正常电子资产转移判别指标大于预 设判别指标阈值的社区确定为非正常社区。

可选的，该装置还包括融合单元905，用于：

根据第一预设时间段内的非正常社区以及其包括的用户主体，建立当前用 户主体社区图，用户主体社区图用于表征用户主体与非正常社区的对应关系； 将当前用户主体社区图与历史用户主体社区图进行融合，其中，融合后的用户 主体社区图同时包括当前用户主体社区图所包括的对应关系，和/或，历史用户 主体社区图所包括的对应关系。

该装置可以用于执行图3～图8所示的实施例中各设备或者装置所能执行 的方法，因此，对于该装置的各功能模块所能够实现的功能等可参考图3～图8 所示的实施例的描述，不多赘述。其中，融合单元905虽然在图9中一并示出， 但需要知道的是，融合单元905并不是必选的功能单元，因此在图9中以虚线 示出。

请参见图10，基于同一技术构思，本发明实施例还提供了一种计算机设备 100，可以包括存储器1001和处理器1002。

所述存储器1001，用于存储处理器1002执行的计算机程序。存储器1001 可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至 少一个功能所需的应用程序等；存储数据区可存储根据计算机设备的使用所创 建的数据等。处理器1002，可以是一个中央处理单元(central processing unit， CPU)，或者为数字处理单元等等。本发明实施例中不限定上述存储器1001和 处理器1002之间的具体连接介质。本发明实施例在图10中以存储器1001和 处理器1002之间通过总线1003连接，总线1003在图10中以粗线表示，其它 部件之间的连接方式，仅是进行示意性说明，并不引以为限。所述总线1003 可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条 粗线表示，但并不表示仅有一根总线或一种类型的总线。

存储器1001可以是易失性存储器(volatile memory)，例如随机存取存储 器(random-access memory，RAM)；存储器1001也可以是非易失性存储器 (non-volatilememory)，例如只读存储器，快闪存储器(flash memory)，硬盘 (hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)、或者存储器1001 是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由 计算机存取的任何其他介质，但不限于此。存储器1001可以是上述存储器的 组合。

处理器1002，用于调用所述存储器1001中存储的计算机程序时执行如图 3～图8中所示的实施例中设备所执行的方法。

在一些可能的实施方式中，本发明提供的方法的各个方面还可以实现为一 种程序产品的形式，其包括程序代码，当所述程序产品在计算机设备上运行时， 所述程序代码用于使所述计算机设备执行本说明书上述描述的根据本发明各 种示例性实施方式的方法中的步骤，例如，所述计算机设备可以执行如图3～ 图8中所示的实施例中设备所执行的方法。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是 可读信号介质或者可读存储介质。可读存储介质例如可以是——但不限于—— 电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的 组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个 导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、 可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器 (CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

本发明的实施方式的方法的程序产品可以采用便携式紧凑盘只读存储器 (CD-ROM)并包括程序代码，并可以在计算设备上运行。然而，本发明的程序 产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形 介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。

可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其 中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括——但 不限于——电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以 是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用 于由指令执行***、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作 的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++ 等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。 程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为 一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、 或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远 程计算设备可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN) —连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

应当注意，尽管在上文详细描述中提及了装置的若干单元或子单元，但是 这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上 文描述的两个或更多单元的特征和功能可以在一个单元中具体化。反之，上文 描述的一个单元的特征和功能可以进一步划分为由多个单元来具体化。

此外，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非 要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的 操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤 合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计 算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结 合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包 含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、 CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产 品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和 /或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/ 或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入 式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算 机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一 个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设 备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中 的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个 流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使 得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处 理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个 流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基 本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要 求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发 明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及 其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种非正常转移电子资产的用户群体检测方法，其特征在于，包括：

获取第一预设时间段的电子资产交易数据；

根据所述交易数据，分别获得所述交易数据中发生电子资产转移的各个目标用户和各个目标节点的非正常电子资产转移概率；

根据所述各个目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标用户和各个目标节点之间的二部图；

采用社区挖掘模型，基于所述二部图获得至少一个社区，每一个社区包括至少一个目标节点和/或至少一个目标用户；

将各个社区中满足设定条件的社区确定为所述第一预设时间段内进行非正常电子资产转移的非正常社区；

将所述非正常社区包括的目标用户群确定为非正常转移电子资产的用户群体。

2.如权利要求1所述的方法，其特征在于，获得所述交易数据中发生电子资产转移的各个目标节点的非正常电子资产转移概率，包括：

获取所述交易数据中每一个目标节点的交易次数、赠送次数、交易金额和赠送金额；

根据各个目标节点所述赠送次数占所述交易次数的比例、以及所述赠送金额占所述交易金额的比例，获取各个目标节点的非正常电子资产转移概率，其中，所述非正常电子资产转移概率与所述赠送次数占所述交易次数的比例成正比，以及与所述赠送金额占所述交易金额成正比。

3.如权利要求1所述的方法，其特征在于，获得所述交易数据中发生电子资产转移的各个目标用户的非正常电子资产转移概率，包括：

获取所述交易数据中包括的每一个目标用户在第二预设时间段内的交易金额、赠送用户数和赠送金额；

根据各个目标用户的所述赠送用户数以及所述赠送金额占所述交易金额的比例，获取各个目标用户的非正常电子资产转移概率，其中，所述非正常电子资产转移概率与所述赠送账号数成正比，以及与所述赠送金额占所述交易金额的比例成正比。

4.如权利要求1所述的方法，其特征在于，所述根据所述各个目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标用户和各个目标节点之间的二部图，包括：

筛除非正常电子资产转移概率为零的目标用户和目标节点；

获取剩余的目标用户与目标节点之间的连边权重，其中，连边权重为目标用户和目标节点的非正常电子资产转移概率中的较大值；

根据所述连边权重建立所述二部图，其中，所述二部图中仅包括目标用户与目标节点之间的连边权重大于预设权重阈值的连边。

5.如权利要求1所述的方法，其特征在于，在所述将各个社区中满足设定条件的社区确定为所述第一预设时间段内进行非正常电子资产转移的非正常社区之前，所述方法还包括：

当社区内未包括目标节点时，则所述社区的非正常电子资产转移判别指标为所述社区包括的所有目标用户的赠送总金额占交易总金额的比例；或者，

若社区内未包括目标用户时，则所述社区的非正常电子资产转移判别指标为所述社区包括的所有目标节点的赠送总金额占交易总金额的比例；或者，

若社区内包括目标用户和目标节点时，则根据所述社区包括的所有目标用户的赠送总金额占交易总金额的比例，以及所有目标节点的赠送总金额占交易总金额的比例获取所述社区的非正常电子资产转移判别指标。

6.如权利要求5所述的方法，其特征在于，所述将各个社区中满足设定条件的社区确定为所述第一预设时间段内进行非正常电子资产转移的非正常社区，包括：

将所述赠送总金额大于预设金额阈值，且非正常电子资产转移判别指标大于预设判别指标阈值的社区确定为非正常社区。

7.如权利要求1～6任一所述的方法，其特征在于，从所述至少一个社区中确定出所述时间窗口内的非正常社区之后，所述方法还包括：

根据所述第一预设时间段内的非正常社区以及其包括的用户主体，建立当前用户主体社区图，所述用户主体社区图用于表征用户主体与非正常社区的对应关系；

将所述当前用户主体社区图与历史用户主体社区图进行融合，其中，融合后的用户主体社区图同时包括所述当前用户主体社区图所包括的对应关系，和/或，所述历史用户主体社区图所包括的对应关系。

8.一种非正常转移电子资产的用户群体检测置，其特征在于，包括：

数据获取单元，用于获取第一预设时间段的电子资产交易数据；

数据处理单元，用于根据所述交易数据，分别获得所述交易数据中发生电子资产转移的各个目标用户和各个目标节点的非正常电子资产转移概率；根据所述各个目标用户和各个目标节点的非正常电子资产转移概率，获得各个目标用户和各个目标节点之间的二部图；

社区划分单元，用于采用社区挖掘模型，基于所述二部图获得至少一个社区，每一个社区包括至少一个目标节点和/或至少一个目标用户；

社区判别单元，用于将各个社区中满足设定条件的社区确定为所述第一预设时间段内进行非正常电子资产转移的非正常社区；将所述非正常社区包括的目标用户群确定为非正常转移电子资产的用户群体。

9.一种计算机设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1-7中任一权利要求所述的方法。

10.一种计算机存储介质，其特征在于，

所述计算机存储介质存储有计算机指令，当所述计算机指令在计算机上运行时，使得计算机执行如权利要求1-7中任一项所述的方法。