CN110298663A - 基于序列宽深学习的欺诈交易检测方法 - Google Patents

Abstract

本发明涉及一种基于序列宽深学习的欺诈交易检测方法，包括：对多笔交易数据中的每个进行特征映射处理，以生成相应的特征向量；基于第一自学习模型，将待检测交易的特征向量转换为集成特征向量；基于第二自学习模型，将至少一笔时序交易各自的特征向量分别转换为时序特征向量；将集成特征向量与对应于各时序交易的各时序特征向量进行组合，形成深度特征向量；基于第三自学习模型来分类深度特征向量，以确定待检测交易为正常交易或欺诈交易。其能够有效提高欺诈交易检测模型对欺诈交易的检测准确度。

Description

基于序列宽深学习的欺诈交易检测方法

技术领域

本发明涉及电子商务技术领域，更具体地说，涉及一种基于序列宽深学习的欺诈交易检测方法。

背景技术

当前，欺诈交易时有发生，基于机器学习算法的欺诈交易检测模型正在扮演越来越重要的角色。这些欺诈交易检测方法虽然采用机器学习方法，但无论是有监督的还是无监督的，大多采用静态的训练方法。即，这些方法总是将每一笔交易作为一个独立的个体看待，算法所做的工作仅仅是将该笔交易的各个特征在横向维度上进行训练，而很少考虑交易序列之间的纵向关联。然而，这些序列之间的纵向关联因素很可能对模型的最终输出结果产生极大影响。例如，在发生大额欺诈交易之前，犯罪分子常常先进行一定数量的小额试探***易；又或者，被盗账号短时间内的交易行为明显偏离了该账号的历史交易行为等等。

另一方面，现有的一些序列分析方法关注于序列元素之间的纵向关系，但对于序列内特征，在横向维度上的学习能力有所欠缺，这也会很大程度上影响欺诈交易检测模型的准确度。

发明内容

本发明的目的在于提供一种在横向维度特征与纵向维度特征的机器学***衡的欺诈交易检测方法。

为实现上述目的，本发明提供一种技术方案如下：

一种基于序列宽深学习的欺诈交易检测方法，包括：a)、对多笔交易数据中的每个进行特征映射处理，以生成相应的特征向量；b)、基于第一自学习模型，将待检测交易的特征向量转换为集成特征向量；c)、基于第二自学习模型，将至少一笔时序交易各自的特征向量分别转换为时序特征向量；其中，时序交易表示待检测交易的交易账户在第一时间段内所进行的交易；d)、将集成特征向量与对应于各时序交易的各时序特征向量进行组合，形成深度特征向量；以及e)、基于第三自学习模型来分类深度特征向量，以确定待检测交易为正常交易或欺诈交易。

优选地，第二自学习模型包括第一数量的子模型，各子模型分别进行独立的训练学习，其中，第一数量与待检测交易的交易账户在第一时间段内所进行的交易的次数相一致。

优选地，在第一自学习模型与第二自学习模型之间提供特征层注意力模块，以用于主动地学习深度特征向量中时序交易对待检测交易的影响力权重。

优选地，在第二自学习模型中还包括组件层注意力模块，使得第二自学习模型能够主动地学习各时序交易分别对深度特征向量的影响力权重。

优选地，该方法还包括：在第二自学习模型与第三自学习模型之间提供一个多层神经网络，以用于将集成特征向量与各时序特征向量进行组合，并输出深度特征向量。

优选地，多层神经网络还用于控制深度特征向量的向量长度。

优选地，第一自学习模型为梯度提升决策树模型，第二自学习模型为循环神经网络模型，第三自学习模型为随机森林模型。

优选地，随机森林模型基于对欺诈样本的判定的准确率和覆盖率来调节模型的参数。

本发明还公开一种基于序列宽深学习的欺诈交易检测***，包括：特征映射处理单元，用于对多笔交易数据进行特征映射处理，以生成相应的多组交易特征向量；第一自学习单元，与特征映射处理单元耦合，用于将待检测交易的特征向量转换为集成特征向量；第二自学习单元，与第一自学习单元耦合，用于将至少一笔时序交易各自的特征向量分别转换为时序特征向量；其中，时序交易表示待检测交易的交易账户在第一时间段内所进行的交易；时序特征组合单元，与第一自学习单元和第二自学习单元分别耦合，用于将集成特征向量与对应于各时序交易的各时序特征向量进行组合，以形成深度特征向量；以及第三自学习单元，与时序特征组合单元耦合，用于分类深度特征向量，以确定待检测交易为正常交易或欺诈交易。

本发明各实施例所公开的欺诈交易检测方法及***，不仅在横向维度特征方面进行机器学***衡，能够有效提高欺诈交易检测模型对欺诈交易的检测准确度。同时，用户也能够对这种模型进行适当的参数调节、人工干预，使得其适用于多种场合。

附图说明

图1示出根据本发明一实施例的基于序列宽深学习的欺诈交易检测方法的流程示意图。

图2示出根据本发明一实施例的基于序列宽深学习的欺诈交易检测***的模块结构示意图。

具体实施方式

在以下描述中提出具体细节，以便提供对本发明的透彻理解。然而，本领域的技术人员将清楚地知道，即使没有这些具体细节也可实施本发明的实施例。在本发明中，可进行具体的数字引用，例如“第一元件”、“第二装置”等。但是，具体数字引用不应当被理解为必须服从于其字面顺序，而是应被理解为“第一元件”与“第二元件”不同。

本发明所提出的具体细节只是示范性的，具体细节可以变化，但仍然落入本发明的精神和范围之内。术语“耦合”定义为表示直接连接到组件或者经由另一个组件而间接连接到组件。

以下通过参照附图来描述适于实现本发明的方法、***和装置的优选实施例。虽然各实施例是针对元件的单个组合来描述，但是应理解，本发明包括所公开元件的所有可能组合。因此，如果一个实施例包括元件A、B和C，而第二实施例包括元件B和D，则本发明也应被认为包括A、B、C或D的其他剩余组合，即使没有明确公开。

如图1所示，本发明提供一种基于序列宽深学习的欺诈交易检测方法，该方法包括以下多个步骤S10-S14。但是，应理解，本领域技术人员在对本发明深入理解的基础上，有可能对这些步骤进行组合、省略或变更执行的顺序，包括对这些步骤中的并行执行，均应落入本发明的保护范围。

步骤S10、对多笔交易数据中的每个进行特征映射处理，以生成相应的特征向量。

具体来说，对原始交易数据进行特征映射处理，感兴趣特征可以包括消费类型、交易时间与地点、交易金额、交易频率、交易账户的类型与注册时间等。根据本发明，还需要将它们进行结合以进行进一步的统计处理。作为示例，可以进行统计工程，以统计例如当笔交易相关变量、上一笔交易相关变量、长短时统计量、以及可信特征变量等等。这些变量对应的数据都需要经过映射编码等一系列的预处理，转变为数值型变量。最终每一笔交易都被映射为多维的特征向量。

步骤S11、基于第一自学习模型，将待检测交易的特征向量转换为集成特征向量。

在该步骤中，首先使用全量的单笔交易的样本来训练好第一自学习模型，再用该模型将每一笔交易的多维特征向量都转换为集成特征向量，该集成特征向量不仅包括原多维特征向量的信息，还能够包含对它们进行统计分析所得到的额外信息。进一步地，可以将集成特征向量与一个或多个人工提取的特征向量进行组合，以形成单笔交易的组合特征。

步骤S12、基于第二自学习模型，将至少一笔时序交易各自的特征向量分别转换为时序特征向量。其中，时序交易表示待检测交易的交易账户在第一时间段内所进行的交易。

在前一步骤S11获得单笔交易的集成特征(或组合特征)之后，在该步骤S12中，根据相应交易账号的前N笔历史交易信息(即时序交易)对当前交易的集成特征(或组合特征)进行扩充，时序交易数量不足N笔的用0补足，标签为当前交易(待检测交易)对应的标签。具体来说，在进行这种扩充之后，将训练第二自学习模型，使得第二自学习模型通过学习来调节内部参数，从而能够将时序交易信息转换为时序特征向量。在学习完成之后，通过第二自学习模型，基于待检测交易对应的N个时序交易，能够获得相应数量的时序特征。

作为进一步的改进，第二自学习模型包括第一数量的子模型，各子模型分别进行独立的训练学习，其中，第一数量与待检测交易的交易账户在第一时间段内所进行的交易的次数相一致。换言之，对每个待检测交易(无论是作为学习样本还是用于实际检测)而言，其第一时序交易将利用第一子模型来进行训练学习以及检测，其第二时序交易(例如，在时间上更远离待检测交易)将利用第二子模型来进行训练学习以及检测，依次类推。

这种改进是基于如下考量：在一些应用场合，需要根据历史交易分布信息来训练多个不同时间窗口分别对应的时序子模型，而所有时序子模型的输出维度是统一的。这种情况下，在横向对比上(不同待检测交易之间对比)，能够对每个待检测交易对应的特定时序交易(例如，在时间上最接近待检测交易的历史交易)进行统一尺度的计算；而在纵向对比上(某一待检测交易所对应的不同时序交易之间对比)，则能够进行不同尺度的计算，以使得不同的时序交易获得不同的权重(在深度特征向量所占的权重)。

步骤S13、将集成特征向量与对应于各时序交易的各时序特征向量进行组合，形成深度特征向量。

优选情况下，在第二自学习模型与第三自学习模型之间，提供一个多层神经网络，以用于将集成特征向量与各时序特征(向量)进行组合，并向第三自学习模型输出所生成的深度特征向量。除了用于将集成特征向量与相应的时序特征向量进行组合，该多层神经网络还可以用于控制深度特征向量的向量长度。

进一步地，通过在特定位置引入“特征层”和“组件层”注意力模块，使得模型能够主动地学习到各时序特征对当前交易特征(集成特征或组合特征)的影响力权重、以及每一子模型对最后得到的深度特征向量的影响力权重，并能在一定程度上避免过拟合风险。

作为一种示例，在第一自学习模型与第二自学习模型之间提供特征层注意力模块，以用于主动地学习深度特征向量中时序交易对待检测交易的影响力权重。

作为另一示例，在第二自学习模型中还包括组件层注意力模块，使得第二自学习模型能够主动地学习各时序交易分别对深度特征向量的影响力权重。

步骤S14、基于第三自学习模型来分类深度特征向量，以确定待检测交易为正常交易或欺诈交易。

得到每笔待检测交易对应的深度特征向量之后，每一笔交易就成为彼此独立的样本。可以随机地打乱样本间的顺序，然后选取一部分数据作为训练集来训练顶层分类器。

这种先用集成学习得到宽度特征，再用序列学习对宽度特征进行深度优化，最后再用集成学习对深度特征进行宽度优化的结构模型，在本文中，称之为“宽->深->宽”结构模型。

步骤S14所采用的分类器可以有多种选择，例如，选择随机森林作为顶层分类器。训练好随机森林分类器之后，就得到了最终的欺诈交易检测模型。训练完成后，使用部分交易数据进行测试，即可验证最终的模型效果。

作为一种具体示例，上述第一自学习模型可以采用梯度提升决策树模型，而第二自学习模型可以选用循环神经网络模型。

优选情况下，步骤S14中的随机森林模型基于对欺诈样本的判定的准确率和覆盖率来调节模型自身的参数。其中，准确率表示被判别为欺诈交易而确实为欺诈交易的交易个数与被判别为欺诈交易的交易总数之间的比率。覆盖率表示被判别为欺诈交易而确实为欺诈交易的交易个数与样本中的实际欺诈交易的数量之间的比率。

以下说明第一自学习模型在特定场景下的一种更具体实现。

使用梯度提升决策树(GBDT)来生成集成特征向量，其基于集成学习中的boosting思想，每次迭代都在减少残差的梯度方向新建立一颗决策树，迭代多少次就会生成多少颗决策树。GBDT的思想使其具有天然优势可以发现多种有区分性的特征以及特征组合，省去了人工寻找特征、特征组合的步骤。GBDT前面的树，特征***主要体现对多数样本有区分度的特征；而后面的树，主要体现的是经过前N颗树，残差仍然较大的少数样本。优先选用在整体上有区分度的特征，再选用针对少数样本有区分度的特征，这也是本发明选用GBDT而不是随机森林来进行特征集成的原因。

以下说明上述第一实施例提供的第二自学习模型在特定场景下的一种更具体实现。

S201、选择并获取一段时间T内的欺诈样本。统计该段时间内欺诈样本对应的交易账号共有C个。

S202、从时间T内的历史交易数据中随机抽取不在欺诈集合中的正常交易账号。统计每个交易账号对应的交易笔数，如果某交易账号对应的交易笔数大于阈值(例如1000笔)，将该账号从待选集合中排除。直到正常交易账号个数也达到N*C个。这里N为不平衡比。

S203、以交易账号为键，对历史交易进行组合，随后，统计每个交易账号对应的历史交易笔数。

S204、将交易账号对应的交易集合也按照每个交易账号对应的交易笔数的大小划分为k个集合，这可以用聚类的方法进行。具体地，假设单个账号在时间T内的交易笔数最小为S₁笔，最大为E_k笔，那么在[S_k,E_k]的范围内根据log₁₀转换坐标等值划分为k个集合。按范围大小从小到大依次为[S₁,E₁],[S₂,E₂],…[S_k,E_k]。对于每一个[S_i,E_i]区间范围，其对应的时序子模型的时间窗口设定为左边界值S_i。对于属于该集合内的账号，如果当笔交易前期存在次数大于S_i笔的情况时,则根据前S_i笔交易进行时序样本扩充。

作为示例，若发现对于单账户交易次数小于40次的账户数目比较多，可以将对应的账号分别对应到时间窗口递增5次的时序子模型中去。而对于单账户交易次数大于40次的账号来说，由于这类账号总数目比较少，如果对时间窗口切分太细性价比不高，因此，这里统一使用时间窗口为该区间内的最低值40的统一时序子模型。

经以上步骤S201-S204，第i个(1≤i≤k)集合中，每个交易账号都有对应的S_i-E_i笔交易，将这些交易按时间从远及近的顺序进行排序。以下对该账号的每笔交易进行深度上的扩充。

S205、就某一交易账号而言，对于该账号最早的第一笔交易，原本该笔交易向量是一个n维向量X₁＝{X₁₁,X₁₂,…,X_1n}。目标是将每一笔交易扩充为一个固定的n*E_i+1维的向量。例如对于第1笔交易来说，前期并无交易，所以前n*E_i-1维的向量都用0填充，最后加上该笔交易是否欺诈的标签Y₁，则成为{0,…0,X₁,Y₁}这个第1个样本。而对于第2笔交易来说，最原始的向量为X₂＝{X₂₁,X₂₂,…,X_2n}。对于第2笔交易来说，第1笔交易X₁是其前置的交易，因此将其添加在原始向量的左侧，因此第2笔的向量被映射为{0,…0,X₁,X₂,Y₂}这个第2个样本，其中Y₂为第二笔交易是否欺诈的标签，而填充的0一共n*E_i-2维。

S206、接下来统计该交易账号在时间T内一共交易了多少笔，如果是n笔，而n<E_i，那么生成第n个样本以后就停止生成样本。而如果该账号一共正好交易了E_i笔，那么对于该账号的最近的一笔(第E_i笔)交易，该笔交易正好扩充为{X₁,…,X_Ei-1,X_Ei,Y_Ei}，正好为n*E_i+1维，因此无需再用0填充，Y_Ei为该笔交易是否欺诈的标签。

S207、利用GRU网络算法进行模型训练。由于GRU网络的层数一般不是很深，所以对于同一笔交易之间多维特征的学习能力仅仅相当于一个基本的浅层神经网络。这样一来，尽管GRU网络能够非常好地学习到特定列特征在交易与交易之间的相关性，但是对于同一笔交易的多维特征的学习能力却不是很强大。本文中，仅利用它来提取交易序列之间的时序特征。具体层数可以根据实际效果和需求进行调整，这里使用了2层GRU网络。

GRU网络算法是对循环神经网络(RNN)的方法的改进。本领域技术人员理解，长短期记忆(LSTM)模型是一种特殊的RNN，该方法使用存储单元替代了原来网络中常用的S型激活神经元，能够学习长期依赖的关系。在此基础之上，门限循环单元(GRU)将LSTM模型中的遗忘门和输入门组合成一个单个的更新门，这样一来就比LSTM少了若干矩阵乘法，因此在训练数据很大的情况下GRU的效率更高。

经过以上步骤S205-S207，已经对时序特征进行了较好的深度性学习。由于有k个集合，所以一共得到k个模型。对于每一笔交易，通过对应的模型学习转化为相应的深度特征向量，而深度特征向量对这k个模型应是尺度统一的，以便后续可以对所有深度特征向量进行统一的训练与测试。也就是说，无论第二自学习模型包含多少个时序子模型，它们最终的输出维度都是统一的，这避免了在后续使用多个RF分类器分别进行计算的繁琐。

S208、第二自学***均池化层(Mean Pooling)，这样可以把前面每一个时序子模型的输出进行融合，再经过一个简单MLP之后生成同一维度的输出，作为当前交易的最终深度特征向量。上述“组件层”注意力模块可以***在GRU模型与平均池化层之间，组件层”注意力模块使得平均池化层能够自动学习前面每一个子模型对深度特征向量的影响力权重。

以下说明第三自学习模型在特定场景下的一种更具体实现。

欺诈交易检测模型需要同时关注欺诈样本的准确率和覆盖率，因此，本发明使用针对欺诈类型的F_β值来确定最终的模型参数及效果，F_β值按如下公式计算：

其中，β代表召回率的权重是准确率的倍数。以β＝1为代表，实验结果表明，上述方案在若干场景下的F₁值要比单纯的集成学习模型或者深度序列学习模型都要提高10％以上。当GRU模型(第二自学习模型)处在GBDT模型(第一自学习模型)和随机森林模型(第三自学习模型)之间的时候，检测效果明显增强，有效F₁值可超过0.4。

如图2所示，本发明第二实施例提供一种基于序列宽深学习的欺诈交易检测***，其包括特征映射处理单元200、第一自学习单元210、第二自学习单元220、时序特征组合单元230以及第三自学习单元240。

具体来说，特征映射处理单元200对多笔交易数据进行特征映射处理，以生成相应的多组交易特征向量。第一自学习单元210与特征映射处理单元200通信耦合，用于将待检测交易的特征向量转换为集成特征向量。第二自学习单元220与特征映射处理单元200通信耦合(或者与第一自学习单元210耦合)，用于将至少一笔时序交易各自的特征向量分别转换为时序特征向量。

时序特征组合单元230与第一自学习单元210和第二自学习单元220分别耦合，用于将集成特征向量与对应于各时序交易的各时序特征向量进行组合，以形成深度特征向量。

第三自学习单元240与时序特征组合单元230耦合，用于对深度特征向量进行分类，以确定待检测交易是正常交易或是欺诈交易，并最终输出检测结果。

在本发明的一些实施例中，***的至少一部分可采用通信网络所连接的一组分布式计算装置来实现，或，基于“云”来实现。在这种***中，多个计算装置共同操作，以通过使用其共享资源来提供服务。

基于“云”的实现可提供一个或多个优点，包括：开放性、灵活性和可扩展性、可中心管理、可靠性、可缩放性、对计算资源所优化、具有聚合和分析跨多个用户的信息的能力、跨多个地理区域进行连接、以及将多个移动或数据网络运营商用于网络连通性的能力。

上述说明仅针对于本发明的优选实施例，并不在于限制本发明的保护范围。本领域技术人员可能作出各种变形设计，而不脱离本发明的思想及附随的权利要求。

Claims (10)

1.一种基于序列宽深学习的欺诈交易检测方法，包括：。

a)、对多笔交易数据中的每个进行特征映射处理，以生成相应的特征向量；

b)、基于第一自学习模型，将待检测交易的所述特征向量转换为集成特征向量；

c)、基于第二自学习模型，将至少一笔时序交易各自的所述特征向量分别转换为时序特征向量；其中，所述时序交易表示所述待检测交易的交易账户在第一时间段内所进行的交易；

d)、将所述集成特征向量与对应于各所述时序交易的各所述时序特征向量进行组合，形成深度特征向量；以及

e)、基于第三自学习模型来分类所述深度特征向量，以确定所述待检测交易为正常交易或欺诈交易。

2.根据权利要求1所述的方法，其特征在于，所述第二自学习模型包括第一数量的子模型，各所述子模型分别进行独立的训练学习，其中，所述第一数量与所述待检测交易的交易账户在所述第一时间段内所进行的交易的次数相一致。

3.根据权利要求1所述的方法，其特征在于，在所述第一自学习模型与所述第二自学习模型之间提供特征层注意力模块，以用于主动地学习所述深度特征向量中所述时序交易对所述待检测交易的影响力权重。

4.根据权利要求1所述的方法，其特征在于，在所述第二自学习模型中还包括组件层注意力模块，使得所述第二自学习模型能够主动地学习各所述时序交易分别对所述深度特征向量的影响力权重。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述第二自学习模型与所述第三自学习模型之间提供一个多层神经网络，以用于将所述集成特征向量与各所述时序特征向量进行组合，并输出所述深度特征向量。

6.根据权利要求5所述的方法，其特征在于，所述多层神经网络还用于控制所述深度特征向量的向量长度。

7.根据权利要求6所述的方法，其特征在于，所述第一自学习模型为梯度提升决策树模型，所述第二自学习模型为循环神经网络模型，所述第三自学习模型为随机森林模型。

8.根据权利要求7所述的方法，其特征在于，所述随机森林模型基于对欺诈样本的判定的准确率和覆盖率来调节模型的参数。

9.根据权利要求8所述的方法，其特征在于，其中所述随机森林模型的F_β值满足：

其中precision为所述对欺诈样本的判定的准确率，recall为对欺诈样本的判定的召回率，β表示召回率的权重是准确率的β倍。

10.一种基于序列宽深学习的欺诈交易检测***，包括：

特征映射处理单元，用于对多笔交易数据进行特征映射处理，以生成相应的多组交易特征向量；

第一自学习单元，与所述特征映射处理单元耦合，用于将待检测交易的所述特征向量转换为集成特征向量；

第二自学习单元，与所述特征映射处理单元耦合，用于将至少一笔时序交易各自的所述特征向量分别转换为时序特征向量；其中，所述时序交易表示所述待检测交易的交易账户在第一时间段内所进行的交易；

时序特征组合单元，与所述第一自学习单元和所述第二自学习单元分别耦合，用于将所述集成特征向量与对应于各所述时序交易的各所述时序特征向量进行组合，以形成深度特征向量；以及

第三自学习单元，与所述时序特征组合单元耦合，用于分类所述深度特征向量，以确定所述待检测交易为正常交易或欺诈交易。