DE69608108T2

DE69608108T2 - Mobiltelefon-missbrauch-erkennung

Info

Publication number: DE69608108T2
Application number: DE69608108T
Authority: DE
Inventors: Colin Barson; William Hobson; Gill Mcaski
Original assignee: Nortel Networks Corp
Current assignee: Cerebrus Solutions Ltd
Priority date: 1995-07-13
Filing date: 1996-07-12
Publication date: 2000-09-21
Anticipated expiration: 2016-07-13
Also published as: GB2303275B; EP0838123B1; US5966650A; WO1997003533A1; GB2303275A; CA2223521A1; DE69608108D1; EP0838123A1; CA2223521C; GB9514381D0

Description

Diese Erfindung bezieht sich auf eine Vorrichtung und ein Verfahren für die Erkennung einer mißbräuchlichen Verwendung von Mobiltelefonen.

HINTERGRUND DER ERFINDUNG

Ein Mißbrauch von Mobiltelefonen ist die unberechtigte Verwendung eines Telekommunikationsnetzes, das über einen Betrug und Täuschung über das drahtlose Medium erreicht wird. Dieser Mißbrauch oder die Täuschung kann eine Anzahl von Formen annehmen, die allgemein unter den breiten Oberbegriffen von Teilnehmerbetrug, Diebstahl und Nachahmung einzuordnen sind.
Ein Teilnehmerbetrug ergibt sich aus der Verwendung eines falschen Namens und einer falschen Adresse beim Kauf eines Mobiltelefons und führt zu einem direkten Verlust seitens des Dienstanbieters, wenn eine Rechnung für die Benutzung des Telefons nicht bezahlt wird.
Ein Diebstahl eines Mobiltelefons kann zu einem Antennenmißbrauch in der Periode zwischen dem Verlust des Telefons und der Meldung über diesen Verlust an den Dienstanbieter führen. In manchen Fällen kann das Mobiltelefon einfach von einem Betrüger entwendet werden, der dann Funkzeit stiehlt. Diese spezielle Art von Diebstahl kann über eine gewisse Zeit unerkannt bleiben, weil sie nur dann erkennbar wird, wenn der Kunde nachfolgend eine Rechnung empfängt.
Der schwerwiegendste Betrug in einem Mobilsystem ist der Fall einer Mobiltelefon- Nachahmung, bei dem der Betrüger Zugang an das Netz durch Nachbilden oder Kopieren des Identifikationscodes eines echten Mobiltelefons erhält. Dies führt zu einem mehrfachen Auftreten des Telefongerätes. Die Benutzer dieser Nachbildungen können dieser mißbräuchlichen Verwendung gewahr werden oder nicht. Dieser Betrug bleibt allgemein so lange unerkannt, bis ein Kunde unerwartete Posten auf einer Rechnung bemerkt, wobei zu diesem Zeitpunkt der finanzielle Verlust erheblich sein kann.
Lösungen des Problems der Erkennung eines Mobiltelefon-Mißbrauchs sind in der Anmeldung WO-A1-95/01 707 und in der Anmeldung WO-A1-94/11 959 beschrieben, die sich beide auf Techniken zum Aufbau eines Ablaufprofils oder eines Profils für die vergangene Aktivität eines Teilnehmers beziehen, um auf diese Weise Änderungen in dieser Aktivität festzustellen, die eine betrügerische Benutzung anzeigen können.
Mit dem Problem der Erkennung eines Mobiltelefon-Mißbrauchs befaßt sich auch die WO-A1-94/06 103.
Sobald ein illegaler Zugang an das Mobilnetz erreicht wurde, können Gespräche ohne Kosten für einen Betrüger durchgeführt werden, weil entweder ein tatsächlicher Inhaber eines Anschlusses eine Rechnung erhält, oder der Netzanbieter die Kosten abschreiben muß. Es ist zu erkennen, daß sobald ein Identifikationscode "geknackt" wurde und ein Telefon nachgebildet wurde, diese Information an weitere Betrüger verteilt werden kann, was zu hohen möglichen finanziellen Verlusten führt. Die relativ langsamen Reaktionen üblicher Mißbrauch-Erkennungsverfahren reichen nicht mehr aus, um sich mit dem schnellen Anstieg des Mißbrauchs des Systems zu befassen. Es ist weiterhin zu erkennen, daß neue Formen von Betrug dauernd ans Licht kommen, und daß diese nicht unmittelbar mit Hilfe üblicher Techniken erkennbar werden.
Ein Ziel der Erfindung besteht darin, diesen Nachteil zu einem Minimum zu machen oder zu beseitigen.
Es ist ein weiteres Ziel der Erfindung, eine verbesserte Vorrichtung und ein verbessertes Verfahren für die Erkennung einer mißbräuchlichen Verwendung eines Mobiltelefonsystems zu schaffen.

ZUSAMMENFASSUNG DER ERFINDUNG

Gemäß einem Gesichtspunkt der Erfindung wird eine Vorrichtung für die Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem geschaffen, wobei die Vorrichtung Einrichtungen zur Bestimmung eines Langzelt-Gesprächsprofils für den Teilnehmer, Einrichtungen zur Bestimmung eines Kurzzeit-Gesprächsprofils für den Teilnehmer, Einrichtungen zur Bestimmung des Unterschiedes zwischen den Langzeit- und Kurzzeit-Profilen, wobei der Unterschied ein Teilnehmerprofilmuster bildet, und eine trainierte Neuronennetz-Anordnung zur Bestimmung eines Wahrscheinlichkeitswertes für das Vorliegen eines Mißbrauchs in diesem Muster aus dem Teilnehmerprofilmuster umfaßt, wobei die Neuronennetz- Anordnung eine selbstorganisierende Abbildung zur Durchführung einer Mustererkennung der Teilnehmerprofilmuster und eine Mehrschicht-Wahrnehmungseinrichtung umfaßt, die zur Bestimmung des Wahrscheinlichkeitswertes für jedes erkannte Muster ausgebildet ist.
Gemäß einem weiteren Gesichtspunkt der Erfindung wird eine Vorrichtung für die Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem geschaffen, wobei die Vorrichtung einen Eingangs- Vorprozessor, eine Neuronennetz-Maschine, die mit dem Vorprozessor gekoppelt ist, und einen Ausgangs-Nachprozessor einschließt, der mit der Neuronennetz-Maschine gekoppelt ist, wobei der Vorprozessor so ausgebildet ist, daß er für jeden Teilnehmer aus den Telefongesprächsdaten dieses Teilnehmers ein erstes Langzeit-Gesprächsprofil, ein zweites Kurzzeit-Gesprächsprofil und ein Teilnehmer-Profilmuster bestimmt, das durch den Unterschied zwischen den ersten und zweiten Profilen gebildet ist, wobei jedes der Gesprächsprofile und das Teilnehmer-Profilmuster einen Satz von Werten für einen jeweiligen Satz von Gesprächsattributen umfassen, wobei die Neuronennetz- Maschine eine selbstorganisierende Abbildung, die zur Durchführung einer.
Mustererkennung der Teilnehmer-Profilmuster trainiert wird, und eine Mehrschicht- Wahrnehmungseinrichtung umfaßt, die so ausgebildet ist, daß sie für jedes erkannte Muster einen Wert bestimmt, der die Wahrscheinlichkeit eines mit diesem Muster verbundenen Mißbrauchs anzeigt, und wobei der Nachprozessor so ausgebildet ist, daß er das erkannte Muster gemäß den genannten Mißbrauchwahrscheinlichkeiten ordnet. Gemäß einem weiteren Gesichtspunkt der Erfindung wird ein Verfahren zur Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem geschaffen, wobei das Verfahren die Bestimmung eines Langzeit- Gesprächsprofils für einen solchen Teilnehmer, die Bestimmung eines Kurzzeit- Gesprächsprofils für den Teilnehmer, die Bestimmung der Differenz zwischen den Langzeit- und Kurzzeit-Profilen, wobei die Differenz ein Teilnehmer-Profilmuster bildet, und die Verarbeitung des Musters über eine trainierte Neuronennetz-Anordnung einschließt, die eine selbstorganisierende Abbildung, die zur Durchführung einer Mustererkennung der Teilnehmer-Profilmuster ausgebildet ist, und eine Mehrschicht- Wahrnehmungseinrichtung umfaßt, die zur Bestimmung des Wahrscheinlichkeitswertes für jedes erkannte Muster ausgebildet ist, um auf diese Weise aus dem Teilnehmer- Profilmuster einen Wahrscheinlichkeitswert für das Vorliegen eines Mißbrauchs in diesem Muster zu bestimmen.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

Ein Ausführungsbeispiel der Erfindung wird nunmehr unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, in denen:
Fig. 1 eine allgemeine schematische Darstellung einer Anordnung für die Erkennung einer mißbräuchlichen Verwendung eines Mobiltelefonsystems ist,
Fig. 2 die allgemeine Konstruktion eines Vorprozessors zur Verwendung in der Anordnung nach Fig. 1 zeigt,
Fig. 3a und 3b jeweils ein typisches Benutzerprofil und ein entsprechendes Profilmuster zeigen, die durch den Prozessor nach Fig. 2 bestimmt werden,
Fig. 4a und 4b die Wirkung der Anwendung von Transformationen auf das Profilmuster nach Fig. 3b zeigen,
Fig. 5a bis 5c die Erzeugung eines Kundenprofils aus vergangenen und den letzten Kundendaten zeigen,
Fig. 6 die Konstruktion einer Neuronennetz-Maschine zur Verwendung in der Anordnung nach Fig. 1 zeigt,
Fig. 7 die SOM-Neuronennetz-Architektur der Neuronennetz-Maschine nach Fig. 6 zeigt,
Fig. 8 die MLP-Neuronennetz-Architektur der Neuronennetz-Maschine nach Fig. 6 zeigt,
Fig. 9 einen Nachprozessor zur Verwendung bei der Anordnung nach Fig. 1 zeigt, und
Fig. 10 die Gruppierung von SOM-Profilen zeigt, die von dem SOM-Neuronennetz abgeleitet werden.

BESCHREIBUNG EINER BEVORZUGTEN AUSFÜHRUNGSFORM

Gemäß Fig. 1 schließt die Anordnung einen allgemein mit 11 bezeichneten Prozessor ein, an den ein Zugriff über eine Benutzer-Schnittstelle 12 erfolgt. Der Prozessor empfängt Kundendetail-Datensätze 13 von Gesprächen, die von Kunden oder Teilnehmern geführt werden und liefert als Ausgang eine Liste von möglichen Mißbräuchen 14 durch Verarbeiten und Analysieren dieser Datensätze. Wie dies in Fig. 1 gezeigt ist, schließt der Prozessor 11 einen Vorprozessor 110, der Kundenprofile 15 aus den Eingangs-Kundendaten erzeugt, eine Neuronennetz-Maschine 111, die die Kundenprofil-Analyse durchführt und einen Nachprozessor 112 ein, der eine Ausgangsfunktion durchführt.
Die Neuronennetz-Maschine 111 kann eine selbstorganisierende Abbildung (SOM), die Kunden-Gesprächsmuster in Gruppen organisiert, sowie eine mehrschichtige Wahrnehmungseinrichtung (MLP) beinhalten, die so trainiert ist, daß sie einen möglichen Mißbrauch in den Kunden-Gesprächsmustern aus bekannten Fällen von Mißbrauch erkennt.
Es wird nunmehr auf Fig. 2 Bezug genommen, die die Konstruktion des Vorprozessors der Anordnung nach Fig. 1 zeigt. Die Funktion des Vorprozessors besteht in der Transformation neuer Daten, die sich auf Kundengespräche beziehen, in ein Format, das für die Verarbeitung durch die Neuronennetz-Maschine geeignet ist. Der Vorprozessor wird weiterhin zur Verarbeitung von Informationen von einer Trainingsdatei 21 in eine Form verwendet, die zum Trainieren der MLP geeignet ist.
Der Ausgang des Vorprozessors umfaßt SOM-Profile 22 für die selbstorganisierende Abbildung, MLP-Erkennungsprofile 23 für die mehrschichtige Wahrnehmungseinrichtung (MLP) und Trainingsprofile 24 für die MLP.
Ein Kundendetail-Datensatz (CDR) ist eine Aufzeichnung eines abgeschlossenen Telefongesprächs. Diese Aufzeichnung umfaßt eine Anzahl von Attributen, beispielsweise die folgenden:
Rechnungskonten-Nummer
Telefonnummer, die diesem Konto zugeordnet ist,
angerufene Telefonnummer
Daten und Zeit des Gesprächsaufbaus
Dauer des Gesprächs
Ursprungssendebereich
Empfangsbereich
Heimatort des anrufenden Teilnehmers
Medium des Gesprächsziels, d. h. landgestützt, mobil oder Gesprächsweiterleitung
Gesprächseinheiten
Anruf an eine häufig verwendete Telefonnummer
Entfernungsklasse eines Gesprächs.
Der Vorprozessor sammelt die einzelnen CDR für jeden Kunden und erzeugt einen Kundenprofil-Datensatz. Ein Profil-Datensatz erfaßt ein Kunden-Gesprächsmuster über die Zeit und wird für jeden Kundenkonto-Inhaber aus dem jeweiligen CDR geschaffen. Typischerweise umfaßt ein Kundenprofil-Datensatz die folgenden Attribute oder Felder:
1. Die Zeitspanne, über die das Profil erzeugt wurde.
2. Den prozentualen Anteil von Ortsgesprächen.
3. Den prozentualen Anteil an nationalen Gesprächen.
4. Den prozentualen Anteil an internationalen Gesprächen.
5. Den proportionalen Anteil an Gesprächen, die zu regelmäßig verwendeten Telefonnummern durchgeführt werden.
6. Die Anzahl der verbrauchten Gesprächseinheiten.
7. Die Gesamtzahl von Gesprächen, die über eine vorgegebene Zeitperiode geführt werden.
8. Die mittlere Dauer eines Telefongesprächs.
9. Den prozentualen Anteil an Gesprächen, die mit anderen Mobiltelefonen im Gegensatz zu stationären Zielen geführt werden.
10. Den Anteil von Gesprächen, die von dem örtlichen Bereich des Telefons ausgehen, im Vergleich zu denen, die in anderen Gebieten geführt werden.
11. Die Änderung in verschiedenen Gesprächsaufbaufällen.
Dies stelle eine Messung der Anzahl von unterschiedlichen Gebieten dar, von denen aus Gespräche aufgebaut werden.
Es gibt zwei Arten von Kunden- oder Benutzer-Kontenprofilen, nämlich ein Ablaufprofil oder historisches Profil und ein neues Profil. Das Ablaufprofil erfaßt das Gesprächsverhalten des Kunden über eine lange Zeitperiode, typischerweise 6 Monate. Es wird angenommen, daß eine mißbräuchliche Aktivität für jedes historische oder Ablaufprofil während dieser Periode nicht erfolgt. Das Gesprächsverhalten kann sich mit der Zeit ändern, und das Ablaufprofil muß daher periodisch aktualisiert werden, um das neue Gesprächsverhalten wiederzugeben.
Das neue Profil modelliert das Gesprächsverhalten des Kontoinhabers in der letzteren Zeit. Die Zeitperiode könnte von einem Bereich von Stunden bis zu Wochen reichen.
Fig. 3a zeigt ein typisches Kundenprofil. Die Profilattribute wurden auf Werte zwischen 0 bis 1 normalisiert. Ein Profilmuster wird dann durch Auftragen der Punkte des Profils für jedes Attribut gewonnen, wie dies in Fig. 3b gezeigt ist, wie das aus dem Profil nach Fig. 3a gewonnene Muster zeigt.
Die Ausgangsdatei muß nicht alle vorstehend beschriebenen Felder einschließen, und für manche Anwendungen kann sie aus einer Teilmenge der Felder bestehen, die in dem Profil-Datensatz identifiziert wurden. Alle Felder sind numerisch und können mathematischen Transformationen unterworfen werden. Transformationen ändern die Charakteristik eines Feldes und sie werden zur Verbesserung der Mustererkennungsmöglichkeiten des Neuronennetzes durch Hervorheben wesentlicher Merkmale verwendet. Es gibt viele Funktionen, die für diese Aufgabe geeignet sind.
Transformationen können global zur Änderung aller Felder oder lokal angewandt werden, um ein Attribut mehr oder weniger überwiegen zu lassen. Die Fig. 4a und 4b zeigen die Wirkungen der Anwendung lokaler und globaler Transformationen auf Attribute oder Felder des Musters nach Fig. 3b.
Wie dies weiter oben erläutert wurde, verwendet der Prozessor die vergangenen oder Ablaufprofile und die neuen Profile zur Erzeugung von SOM-Profilen und MLP-Profilen.
Ein SOM-Profil ist ein Maß der Änderung des Verhaltens der Gesprächsgewohnheiten eines Benutzers. Dies ist der Unterschied zwischen dem Ablaufprofil und dem neuen Profil. Eine maßstabliche Änderung kann zwischen dem Ablaufprofil und dem neuen Profil erfolgen, um ein ausgeprägteres Ausgangsmuster zu erzeugen. Dies kann zur Verbesserung der Mustererkennunsfähigkeiten des Neuronennetzes verwendet werden und ist in den Fig. 5a-5c gezeigt, die die Ableitung eines SOM-Profils aus den entsprechenden Ablaufprofilen und neuen Profilen für einen Kunden zeigen.
Ein MLP-Profil für die Erkennung ist ein Satz oder Paar von Ablaufprofilen und neuen Profilen für einen bestimmten Kunden. Ein MLP-Profil zum Training ist einfach ein MLP- Profil für die Erkennung unter Einfluß eines zusätzlichen Binärfeldes für jedes Profil, das anzeigt, ob ein Mißbrauch oder Betrug in diesem speziellen Profil begangen wird. Eine binäre "1" bezeichnet eine mißbräuchliche Aktivität, andernfalls ist der Wert gleich "0".
Gemäß Fig. 6 beinhaltet die Neuronennetz-Maschine eine selbstorganisierende Abbildung oder Tabelle (SOM) 61 und eine mehrschichtige Wahrnehmungseinrichtung (MLP) 62, die jeweils ein jeweiliges Definitionsmodul 611, 621 aufweisen. SOM-Profile 22 von dem Vorprozessor werden der SOM 61 zugeführt. Die MLP-Erkennungsprofile 23 und die MLP-Trainingsprofile 24 werden der MLP 62 zugeführt.
Die Neuronennetz-Maschine ist ein Werkzeug, das Muster eines Mißbrauchs oder Betrugs aus einem Satz von Konten- oder Kundenprofilen erkennt. Die Mustererkennungsfähigkeiten werden durch die Architektur und die Eingangsdaten bestimmt.
Die SOM 61 ist eine Neuronennetz-Architektur, die Muster in Daten dadurch entdeckt, daß ähnliche Arten zusammengruppiert werden. Die Daten werden von der SOM ohne vorherige Kenntnis oder Unterstützung in Gruppen unterteilt, was die Arten von herausgefundenen Mustern sehr stark abhängig von den angebotenen Eingangsdaten macht. Die SOM wird zur Klassifizierung der SOM-Profile in Gruppen verwendet, die Arten von legitimen und mißbräuchlichen Mustern darstellen. Die Gruppierung wird durch Abbildung der Profile auf Punkte auf einer zweidimensionalen Ebene erreicht, wobei jeder Punkt eine Gruppe darstellt. Eine SOM behält eine Topologie bei, was bedeutet, daß benachbarte Gruppen ähnliche Merkmale gemeinsam haben.
Die SOM arbeitet in zwei Phasen, wobei das Neuronennetz anfänglich die Charakteristiken von Daten lernt, aus denen das Modell die Gruppen bildet. Dies wird durch wiederholtes Zuführen des Satzes von Profilen an das Netz erzielt, bis die Klassifikation der Profile zu Gruppen statisch bleibt. Die Anzahl von möglichen Gruppen ist vorherbestimmt und gibt die Vielseitigkeit der Daten wieder. Dies ist die Trainingsphase der SOM. Sobald die Gruppentypen festgelegt wurden, können bisher nicht vorliegende Profile dem Netz zugeführt werden, und sie werden entsprechend klassifiziert. Jedes Profil wird der Gruppe zugeteilt, der es am stärksten ähnelt.

SOM-EINGANG

Sowohl in den Lern- als auch den Klassifizierungsstufen wird die gleiche Art von Eingabe oder Eingang verwendet und umfaßt einen Satz von SOM-Profilen von dem Vorprozessor. Obwohl das Netz an nicht markierten Daten arbeitet, ist irgendeine vorher gehende Kenntnis von Fällen von Mißbrauch nützlich, um die Interpretation der Daten zu unterstützen und um die Mustererkennungfähigkeiten zu optimieren. Die nachfolgende Tabelle 1 zeigt ein SOM-Profil, das ein Satz von Benutzerkonten-Profilen ist, wobei #n die Feld- oder Attribut-Nummer bezeichnet. Tabelle 1 SOM-Profil

SOM-AUSGANG

Die Gruppen werden durch Punkte in einem zweidimensionalen Raum dargestellt. Jede Gruppe weist weiterhin einen Satz von Charakteristiken auf, die dieser zugeordnet ist und die Gruppe beschreibt. Die Charakteristiken umfassen das dieser Gruppe zugeordnete Profil. Der Ausgang besteht aus der Zuteilung von Profilen zu Gruppen, wobei jedes Profil genau zu einer Gruppe gehört. Dies ist in der nachfolgenden Tabelle 2 sowie in Fig. 7 gezeigt, die die SOM-Neuronennetz-Architektur in stark schematischer Form zeigt. Tabelle 2 SOM-Ausgang
In Fig. 7 stellt die zweidimensionale Ebene den Ausgangsraum des Netzes dar, wobei die Gruppen durch Knoten gezeigt sind. Der SOM-Profil-Eingang wird in das Netz eingespeist und dem Ausgangsknoten zugeteilt, dem er am meisten ähnelt. Der schwarze Knoten in Fig. 7 bezeichnet den Gruppentyp des SOM-Profils. Die Gruppencharakteristiken sind an den Verbindungen von dem SOM-Profil zu der Ausgangsebene gespeichert, wie dies durch schwarze Punkte angezeigt ist.
Die mehrschichtige Wahrnehmungseinrichtung (MLP) wird dazu verwendet, eine Anzeige der Wahrscheinlichkeit eines Mißbrauchs zu geben, der für jeden Konteninhaber oder Kunden auftritt. Die mehrschichtige Wahrnehmungseinrichtung ist so trainiert, daß sie Muster aus historischen oder vergangenen Daten erkennt, die bekannte Fälle von Mißbrauch enthalten. Das Training ist so definiert, daß dem Neuronennetz ein Satz von MLP-Profilen zum Training gezeigt wird, wobei dieser Satz das gewünschte Ansprechverhalten als entweder legitim oder mißbräuchlich einschließt. Sobald das Neuronennetz trainiert wurde, kann es dann über bisher nicht gesehene Daten interpolieren.
Die MLP weist drei Betriebsarten auf, nämlich Training, Validierung und Erkennung, die jeweils nachfolgend beschrieben werden.
Ein Training ist der Vorgang des Unterrichtens des Neuronennetzes derart, daß dieses Muster erkennt. Während dieser Phase wird jedes Profil dem Neuronennetz zusammen mit der gewünschten Antwort dargeboten. Zum Training benötigen wir Daten, die uns bekannt sind. Wir benötigen weiterhin einen großen repräsentativen Satz von Daten, um sicherzustellen, daß das Neuronennetz alle möglichen Muster lernt. Dieser Vorgang wird wiederholt, bis das Neuronennetzwerk in geeigneter Weise unterrichtet wurde, wobei dies durch das Ausmaß des Fehlers zwischen dem Ausgang des Neuronennetzes und der gewünschten Antwort gemessen wird.
Die Validierung ist der Vorgang des Prüfens, ob das Neuronennetz erfolgreich gelernt hat. Die Validierung ist weitgehend ähnlich dem Training, doch wird hier das Netz anhand von bisher nicht dargebotenen Daten geprüft, wobei die gewünschte Antwort bereits bekannt ist, um festzustellen, wie gut das Netz verallgemeinert wurde. Wenn die Validierung fehlschlägt, so muß das Neuronennetz erneut trainiert werden.
Sobald die MLP erfolgreich trainiert wurde, so kann sie dann in einer Erkennungsbetriebsart anhand von bisher nicht dargebotenen Daten verwendet werden, um zu beurteilen, ob ein Mißbrauch für ein Konto auftritt.
Fig. 8 zeigt die Neuronennetz-Architektur der MLP. Das Netzwerk erhält entweder das MLP-Profil zum Trainieren oder ein MLP-Profil zur Erkennung, und zwar in Abhängigkeit von der Betriebsart. Der Ausgang ist ein kontinuierlicher Wert zwischen 0-1 was eine Anzeige einer legitimen Benutzung oder eines Mißbrauchs ist.

MLP-EINGANG

Die Eingangsdaten für die MLP sind ein Satz von MLP-Profilen, die von dem Vorprozessor geliefert werden. Bei der Trainings- und Validierungsbetriebsart enthält jeder Datensatz ein zusätzliches Feld mit dem gewünschten Ergebnis. Dieses zusätzliche Feld ist ein Binärwert, wobei "1" ein Mißbrauchsprofil bezeichnet, während andernfalls der Wert eine "0" ist. Diese zusätzliche Bedingung ist in dem MLP-Profil für das Training wiedergegeben. Typische MLP-Trainings- und Erkennungsprofile sind in den Tabellen 3 bzw. 4 gezeigt. Tabelle 3 MLP-Profil für das Training

Tabelle 4 MLP-Profil für die Erkennung

Ablaufprofil Neues Profil
0.5 0.4... 0.4 0.3...
0.1 0.1... 0.9 0.8...
0.2 0.5... 0.3 0.45...
0.1 0.5... 0.2 0.4...

MLP-AUSGANG

Der MLP-Ausgang von dem MLP-Netz ist eine Kette von kontinuierliche Werte aufweisenden Zahlen zwischen "0" und "1 ". Jede Zahl stellt die Wahrscheinlichkeit eines Netzmißbrauchs oder eines Betruges für den entsprechenden Konteninhaber dar. Je näher der Wert an "1" liegt, desto stärker ist die Anzeige eines Betruges. Bei der Trainings- und Validierungsbetriebsart wird das zusätzliche Binärfeld, das den tatsächlichen Wert enthält, ebenfalls ausgegeben, um eine Auswertung des Betriebsverhaltens zu ermöglichen. Der MLP-Trainingsausgang ist in Tabelle 5 gezeigt, und der Erkennungsausgang ist in Tabelle 6 gezeigt.

Tabelle 5 MLP-Ausgang für das Training

Tatsächliche Antwort Gewünschte Antwort
0.8 1
0.1 0
0.4 0
0.7 1

Tabelle 6 Ausgang für die Erkennung

Tatsächliche Antwort
0.8
0.1
0.4
0.7
Der in Fig. 9 gezeigte Nachprozessor bildet die Zwischenstufe zwischen dem Neuronennetz und der Benutzer-Schnittstelle. Sein Zweck besteht in der Umsetzung des Ausganges der Neuronennetze in ein aussagekräftiges und brauchbares Format. Die Nachverarbeitungsaufgaben schließen die Zusammenführung von Daten aus Profilen, die Umkehrung mathematischer Funktionen, die von dem Vorprozessor angewandt wurden, das Sortieren, Filtern und Speichern der Ergebnisse in eine Datei ein.

SELBSTORGANISIERENDE ABBILDUNG ODER TABELLE (SOM)

Das SOM-Netz gruppiert Profile von Benutzerkonten in Gruppen in einem zweidimensionalen Raum. Dieses Konzept ist in Fig. 10 gezeigt, in der die schwarzen Kreise Gruppentypen darstellen und die grauen Punkte die Kundenkonten-Profile bezeichnen. Ein Kundenkonten-Profil gehört zu der nächstgelegenen Gruppe in dem zweidimensionalen Raum, wobei Gruppenbegrenzungen durch die gestrichelten Linien angezeigt sind. Der Ausgang umfaßt das SOM-Profil und deren zugehörigen Gruppentyp sowie die Charakteristiken dieser Gruppe. Aus den Gruppencharakteristiken können wir messen, wie eng das SOM-Profil mit dieser Gruppe übereinstimmt. Dieses Maß dient als Gewissheitsfaktor für Gruppen, die als mißbräuchlich festgestellt werden. Der Ausgang wird mit der Rechnungskonten-Nummer des Benutzers zusammengeführt, um Benutzereinzelheiten beizubehalten. Die Benutzerkontenprofile werden dann anhand ihres Gruppentyps und des Gewißheitsfaktors innerhalb dieser Gruppe aufgeführt, wie dies in der nachfolgenden Tabelle 7 gezeigt ist.

Tabelle 7 Nachverarbeiteter SOM-Ausgang

GRUPPE A

Rechnungskonto-Nummer Gewißheitsfaktor

001 0.98
002 0.9
003 0.78
004 0.72
005 0.69

GRUPPE B

Rechnungskonto-Nummer Gewißheitsfaktor

006 0.94
Die Aufgabe besteht nunmehr darin, Gruppen in Ausdrücken von legitimen Konten und Arten von Betrug oder Mißbrauch zu markieren oder zu etikettieren. Eine Technik zur Identifikation von Gruppentypen besteht darin, Profile von bekannten legitimen und mißbräuchlichen Typen zum Eingangsraum hinzuzufügen. Die resultierende Gruppe kann dann entsprechend markiert werden. Unbekannte Gruppen können neue Arten von Mißbrauch oder Betrug darstellen. Sobald die Daten markiert wurden, kann der Ausgang zur Erkennung eines Mißbrauchs verwendet werden. Hier müssen lediglich mißbräuchliche Fälle aufgeführt werden. Dies Liste kann dann in einer Datei gespeichert werden.

MEHRSCHICHTIGE WAHRNEHMUNGSEINRICHTUNG (MLP)

Das MLP-Netz arbeitet in der Trainings-, Validierungs- oder Erkennungs-Betriebsart. In der Trainings- oder Validierungs-Betriebsart ist der Ausgang des Neuronennetzes ein Satz von tatsächlichen und gewünschten Werten. Die tatsächlichen Werte werden von dem Neuronennetz berechnet und stellen den Grad der Gewißheit eines Mißbrauchs dar, der für diesen Konteninhaber auftritt. Dies sind kontinuierliche Werte zwischen "0" und "1". Der gewünschte Wert ist ein Binärwert, bei dem "1" einen Mißbrauch bezeichnet, während er andernfalls "0" ist. Der Ausgang wird als Maß der Betriebsleistung oder des Betriebsverhaltens verwendet, um zu beurteilen, wie gut das Neuronennetz gelernt hat, einen Mißbrauch zu erkennen. Das Leitungsmaß wird aus dem mittleren Unterschied zwischen den tatsächlichen oder Ist-Werten und den gewünschten oder Soll-Werten berechnet. Es muß ein Schwellenwert für einen annehmbaren Fehler eingestellt werden, und wenn die Messung außerhalb dieses Wertes liegt, so wurde das Neuronennetz noch nicht erfolgreich trainiert. Das Neuronennetz sollte anhand eines Satzes von Daten validiert werden, der von dem Trainingssatz unabhängig ist, um die Verallgemeinerungsfähigkeiten zu prüfen. Fig. 8 zeigt die Berechnung der Metrik der Wahrnehmungseinrichtung. Tabelle 8 Metrik-Leistungsmaß
Sobald das Netzwerk erfolgreich trainiert wurde, kann es in der Erkennungsbetriebsart verwendet werden. Der Ausgang enthält nunmehr den Satz von tatsächlichen oder Ist- Werten. Diese tatsächlichen Werte müssen mit ihrer entsprechenden Benutzer- Rechnungskontennummer vor der Verarbeitung zusammengeführt werden, um sicherzustellen, daß die Bezugnahme auf die ursprünglichen Benutzerdetails beibehalten wird. Das Konten-Profil kann dann in einer Liste anhand der Stärke der Anzeige für einen Mißbrauch geordnet werden. Weiterhin kann optional ein Schwellenwert verwendet werden, um weniger vorherrschende Fälle auszufiltern. Posten am Anfang der Liste sollten die höchste Priorität für eine weitere Untersuchung haben. Die Liste kann dann in eine Datei gespeichert werden. Ein Beispiel der Liste in der Tabelle 9 angegeben.

Tabelle 9 Nachverarbeiteter MLP-Erkennungsausgang

Rechnungskonto-Nummer Gewißheitsfaktor

001 0.98
002 0.9
003 0.78
004 0.72
0.72 00
005 0.69
Die vorstehend beschriebene Anordnung kann in eine Netzverwaltungseinrichtung für ein Mobiltelefonnetz eingefügt werden. Alternativ kann sie als selbständige Anordnung vorgesehen werden, die eine Anzahl von Mobilnetzen bedient.

Claims

1. Vorrichtung zur Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem, wobei die Vorrichtung Einrichtungen zur Bestimmung eines Langzeit-Gesprächsprofils für den Teilnehmer, Einrichtungen zur Bestimmung eines Kurzzeit-Gesprächsprofils für den Teilnehmer, Einrichtungen zur Bestimmung des Unterschiedes zwischen den Langzeit- und den Kurzzeit-Profilen, wobei der Unterschied ein Teilnehmer-Profilmuster bildet, und eine trainierte Neuronennetz-Anordnung zur Bestimmung eines Wahrscheinlichkeitswertes für das Vorliegen eines Mißbrauchs in diesem Muster aus dem Teilnehmer-Profilmuster einschließt, wobei die Neuronennetz-Anordnung eine selbstorganisierende Abbildung, die zum Bewirken einer Mustererkennung der Teilnehmer-Profilmuster ausgebildet ist, und eine mehrschichtige Wahrnehmungseinrichtung umfaßt, die zur Bestimmung des Wahrscheinlichkeitswertes für jedes erkannte Muster ausgebildet ist.

2. Vorrichtung nach Anspruch 1, die Trainiereinrichtungen zur Zuführung von Teilnehmer-Profilmustern, die sich auf vorgegebene Mißbräuche beziehen, an die mehrschichtige Wahrnehmungseinrichtung einschließt.

3. Vorrichtung nach Anspruch 1 oder 2, bei der die Langzeit- und Kurzzeit-Profile jeweils einen Satz von Werten umfassen, die für einen jeweiligen Satz von Gesprächsattributen bestimmt sind.

4. Vorrichtung nach Anspruch 3, die Einrichtungen zum selektiven maßstäblichen Verändern des Unterschiedes zwischen den Langzeit- und den Kurzzeit-Profilen einschließt, wodurch der Unterschied zwischen den Profilen für eine Teilmenge der Attribute hervorgehoben wird.

5. Vorrichtung nach Anspruch 1, bei der selbstorganisierende Abbildung so ausgebildet ist, daß sie die Teilnehmer-Profilmuster in eine Vielzahl von Gruppen derart gruppiert, daß ähnliche Muster in die gleiche Gruppe eingruppiert werden.

6. Vorichtung nach Anspruch 5, die Einrichtungen zur Klassifizierung der Gruppen in Typen eines legitimen Gebrauchs und eines Mißbrauchs einschließt.

7. Vorrichtung zur Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem, wobei die Vorrichtung (11) einen Eingangs-Vorprozessor (110), eine Neuronennetz-Maschine (111), die mit dem Vorprozessor gekoppelt ist, und einen mit der Neuronennetz-Maschine gekoppelten Ausgangs-Nachprozessor (112) einschließt, wobei der Vorprozessor (110) so ausgebildet ist, daß er für jeden Teilnehmer aus den Telefongesprächsdaten für diesen Teilnehmer ein erstes Langzeit-Gesprächsprofil, ein zweites Kurzzeit-Gesprächsprofil und ein Teilnehmer-Profilmuster bestimmt, das durch den Unterschied zwischen den ersten und zweiten Profilen gebildet ist, wobei jedes Gesprächsprofil und das Teilnehmer- Profilmuster einen Satz von Werten für einen jeweiligen Satz von Gesprächsattributen umfaßt, wobei die Neuronennetz-Maschine (111) eine selbstorganisierende Abbildung (SOM), die zur Durchführung einer Mustererkennung der Teilnehmer-Profilmuster trainiert ist, und eine Mehrschicht-Wahrnehmungseinrichtung (MLP) umfaßt, die so ausgebildet ist, daß sie für jedes erkannte Muster einen Wert bestimmt, der die Wahrscheinlichkeit anzeigt, daß diesem Muster ein Mißbrauch zugeordnet ist, und wobei der Nachprozessor (112) so angeordnet ist, daß er das erkannte Muster entsprechend den Mißbrauchswahrscheinlichkeiten ordnet.

8. Mobiltelefonsystem, das mit einer Mißbrauchs-Erkennungsvorrichtung nach einem der Ansprüche 1-7 versehen ist.

9. Verfahren zur Erkennung einer mißbräuchlichen Verwendung eines Telefonteilnehmer-Gerätes in einem Mobiltelefonsystem, wobei das Verfahren die Bestimmung eines Langzeit-Gesprächsprofils für den Teilnehmer, die Bestimmung eines Kurzzeit- Gesprächsprofils für den Teilnehmer, die Bestimmung des Unterschiedes zwischen den Langzeit- und den Kurzzeit-Gesprächsprofilen, wobei der Unterschied ein Teilnehmer-Profilmuster bildet, und die Verarbeitung des Teilnehmer-Profilmusters über eine trainierte Neuronennetz-Anordnung einschließt, die eine selbstorganisierende Abbildung, die so ausgebildet ist, daß sie eine Mustererkennung der Teilnehmer-Profilmuster bewirkt, und eine Mehrschicht-Wahrnehmungseinrichtung umfaßt, die zur Bestimmung des Wahrscheinlichkeitswertes für jedes erkannte Muster ausgebildet ist, um aus dem Teilnehmer-Profilmuster einen Wahrscheinlichkeitswert für das Vorliegen eines Mißbrauchs in diesem Muster zu bestimmen.

10. Verfahren nach Anspruch 9, bei dem die Langzeit- und Kurzzeit-Profile jeweils einen Satz von Werten umfassen, der für einen jeweiligen Satz von Gesprächsattributen bestimmt ist.

11. Verfahren nach Anspruch 10, bei dem die Unterschiede zwischen den Werten der Langzeit- und Kurzzeitprofile selektiv maßstäblich verändert werden, um auf diese Weise den Unterschied zwischen den Profilen für eine Teilmenge der Attribute hervorheben.