CN107819747B - 一种基于通信事件序列的电信诈骗关联分析系统和方法 - Google Patents

Abstract

一种基于通信事件序列的电信诈骗关联分析系统和方法，该系统由分别连接各基础电信运营企业的通信网络、并采集其核心网话单数据与信令数据、基站经纬度数据、用户基础数据的电信诈骗关联分析服务器所组成。该服务器设有：数据采集、电信诈骗关联分析、关联分析管理和关联分析数据库共四个组件。数据采集组件提取各通信网络通信事件，传送到电信诈骗关联分析组件进行基于电信诈骗场景关联分析后，将分析结果存入关联分析数据库，再由关联分析管理组件对分析结果模型执行通信事件序列和诈骗模型的流程管理，以界面展示关联分析结果，实现基于通信事件序列对电信诈骗场景的分析和还原，及时发现电信诈骗手段，给公安机关提供有效制止途径。

Description

一种基于通信事件序列的电信诈骗关联分析系统和方法

技术领域

本发明涉及一种基于通信事件序列的电信诈骗关联分析系统和方法，属于网络信息安全的技术领域。

背景技术

电信诈骗是指犯罪分子通过电话、网络和短信方式，编造虚假信息，设置骗局，对受害人实施远程、非接触式的诈骗，诱使受害人给犯罪分子打款或转账的犯罪行为。

现在，虽然随着各地公安机关打击治理电信诈骗工作的深入推进，打击治理的力度逐渐加强，境内外诈骗团伙纷纷躲避风头、变换手法；造成当前电信诈骗的犯罪活动又出现了一些新的情况和特点，诈骗手法也逐步升级。据统计，当前活跃在社会上的各种各样的电信诈骗形式将近30余种，有中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗等等。

目前，已经研制成功的针对电信诈骗的分析技术有多种，分别简要介绍之：

基于大数据和机器学习的移动端数据分析方法：该系统由移动端在接收到短信消息或者来电消息的时候，根据预定的约束规则，针对当前的电信数据进行诈骗检测判定，并采用机器学习算法检测是否为电信诈骗。如果监测结果判定为电信诈骗，则将该诈骗数据信息上传到大数据分析端；大数据分析端对从移动端上传举报的诈骗数据信息进行实时统计，针对接收到举报数量超过设定阈值的银行卡账号或/和电话号码，向诈骗阻断治理端发送诈骗预警信息。

基于采集话单进行电信网疑似诈骗的分析方法：该系统的话单服务器通过话单采集模块实时监听所接收到的话单，并发送至判断鉴别模块；判断鉴别模块将接收到的话单存储至内存数据库，并判断接收到的话单是否满足欺诈条件；若此时的判断结果为是，则由外呼模块播放告警语音通知。

基于长期演进LTE(Long Term Evolution)网络的机器类通信事件的检测方法：通过在特定事件的时间窗口期间经由通信网络上的资源从MTC装置接收事件消息，其中，事件消息包括与移动终止呼叫MTC(Mobile Terminate Call)装置相关联的MTC装置标识符；确定MTC装置标识符是否与特定事件时间窗口相关联；以及在MTC装置标识符与特定事件时间窗口相关联的情况下，输出事件报告。

基于通话数据来识别诈骗号码的检测方法：当主叫用户向被叫用户发起呼叫时，提取本次呼叫的主叫用户在当前时间周期内的所有通话记录，并从其所有通话记录中提取出主叫用户在当前事件周期内的所有通话号码，从而沟通主叫用户的通话号码集；根据所提取的通话记录来统计主叫用户和其所有通话号码在当前时间周期内的若干通话指标，然后根据所述若干通话指标来计算主叫号码的诈骗标识符，以识别主叫号码是否是疑似诈骗号码。

以上方法对于识别电信诈骗都能够起到或多或少的作用，但是也都存在有一些缺陷。简要说明如下:

通过移动端数据采集短消息或者来电消息进行大数据分析，再根据举报的诈骗数据信息进行预警和阻断治理的方法缺陷是：只能够进行举报后的事后分析，对于未举报的部分，则不能进行分析判断。

通过采集话单进行电信诈骗的分析方法缺陷是：通过话单判断与鉴别是否满足欺诈条件，这种分析的手段比较单一，缺少信令、短信、上网等多种数据的关联分析手段。

通过对于单一网络、如LTE网的MTC接收装置接收事件消息的方法缺陷是：根据装置标识符对输出事件进行识别，缺少对于电信诈骗事件的深入分析，检测流程只分析MTC，流程单一。

通过对通话数据进行分析的方法缺陷是：主要分析主叫号码与被叫号码的通话指标。根据指标计算诈骗标识，仅仅对主叫号码判断是否是诈骗号码。缺少对于被叫用户的分析方法。

发明内容

有鉴于此，为了精准识别电信犯罪分子的各种诈骗手段，本发明的目的是提供一种基于通信事件序列的电信诈骗关联分析系统和方法，本发明是对电信犯罪分子的各种诈骗形式进行诈骗的场景采用大数据处理技术做出模拟与还原分析，进而通过通信事件序列的特征数据进行关联分析，能够有效、精准地发现和识别各种异常通信手段和内容，对于各种诈骗场景和电信犯罪分子进行快速定位与有力的反制，从而最大限度地避免用户因诈骗而蒙受金钱财产损失和精神损伤，降低电信诈骗发案率，真正为电信用户提供了安全的网络环境。

为了达到上述目的，本发明首先提供了一种基于通信事件序列的电信诈骗关联分析系统，其特征在于：所述系统是由分别连接包括移动、联通、电信的各个基础电信运营企业的通信网络、并采集其中包括各个核心网话单数据、核心网信令数据、基站经纬度数据、用户基础数据的电信诈骗关联分析服务器所组成，该电信诈骗关联分析服务器设有四个组成部件：数据采集组件、电信诈骗关联分析组件、关联分析管理组件和关联分析数据库；其中，数据采集组件提取各种不同通信网络中的通信事件，传送到电信诈骗关联分析组件进行基于电信诈骗场景的关联分析后，将该关联分析结果存入关联分析数据库，再由关联分析管理组件对电信诈骗场景关联分析的结果模型执行通信事件序列和诈骗模型的流程管理，并以界面展示该关联分析后的通信事件结果，从而实现基于通信事件序列对电信诈骗场景的分析和还原，及时发现电信诈骗手段，也给公安机关提供有效的分析处理途径；其中：

数据采集组件，用于采集包括移动、联通、电信的各个基础电信运营企业通信网络中的核心网话单数据、核心网信令数据、基站经纬度数据和用户基础数据，并对来自源端的特征数据进行数据解析，以及对这些特征数据执行抽取extract、转换transform、加载load的ETL(Extract-Transform-Load)处理；设有数据解析模块和数据ETL处理模块两个组成模块；

电信诈骗关联分析组件，负责基于电信诈骗关联分析管理组件的模型流程分析，根据各种诈骗场景将呼叫事件、短信事件、位置更新事件、上网事件分别进行关联后，对每个通信事件序列进行关联分析，并对诈骗案件进行完整还原；设有下述八个模块：通信事件关联模块、呼叫事件关联模块、短信事件关联模块、位置事件关联模块、上网事件关联模块、事件关联分析处理模块、诈骗场景事件序列分析模型管理模块和通信事件数据接口；

关联分析管理组件，负责对各种诈骗场景事件执行建模管理，并对各种模型分析得出的电信诈骗事件的特征数据进行可视化展示；其组成结构包括两个模块：诈骗场景事件建模管理模块和诈骗场景事件可视化管理模块；

关联分析数据库，负责对来自数据采集组件的数据ETL处理模块的特征数据进行号码格式规整、号码关联回填、基站经纬度信息关联、用户基础数据关联的处理，形成的呼叫事件、短信事件、位置更新事件、上网事件的完整通信事件数据进行存储和调用；与事件关联分析处理模块交互，提供各种电信诈骗场景中的包括呼叫事件、短信事件、位置事件、上网事件的关联分析数据；与诈骗场景事件建模管理模块交互，提供诈骗场景关联的建模特征配置数据；与诈骗场景事件可视化管理模块交互，提供各种可视化数据的管理数据。

为了达到上述目的，本发明还提供了一种基于本发明通信事件序列的电信诈骗关联分析系统的分析方法，其特征在于：电信诈骗关联分析服务器对包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗手段进行电信诈骗场景的建模处理，再利用实时检测通信事件的特征数据，一旦发现特征数据异常时，就立即执行对应的呼叫事件、短信事件、位置事件、上网事件的关联分析，形成完整的通信事件序列，从而精准发现各种异常通信手段及其内容，快速定位电信犯罪分子，并执行有效的反制；该方法包括下列具体操作步骤：

步骤1，电信诈骗关联分析服务器建立包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗场景模型；

步骤2，电信诈骗关联分析服务器完成建模后，进行呼叫事件、短信事件、位置事件、上网事件的订阅，实时检测基础电信运营企业核心网通信过程中的通信事件特征数据；同时判断通信事件特征数据是否正常，若是，则结束分析流程；若否，则根据不同情况，执行后续的相应步骤3、4、5、6；

步骤3，若是呼叫事件特征数据异常，即包括呼叫时段、呼叫频次、呼叫时长、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户呼叫位置、呼转号码或主叫号码显示限制标识的通信事件特征数据异常时，就提取呼叫事件的时间、主叫号码、被叫号码的特征数据，进行短信事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤4；否则，返回执行步骤2；

步骤4，若是短信事件特征数据异常，即包括发送短信时段、短信次数、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户发送短信位置的通信事件特征数据异常时，就提取短信事件的时间、主叫号码、被叫号码的特征数据，进行呼叫事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤5；否则，返回执行步骤2；

步骤5，若是位置事件特征数据异常，即包括时段、位置更新次数、常驻位置、驻留时长、驻留频次、实时位置的通信事件特征数据异常时，就提取位置事件的时间、号码的特征数据，进行呼叫事件、短信事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤6；否则，返回执行步骤2；

步骤6，若是上网事件特征数据异常，即包括时段、上网次数、驻留时长、上网网址、上网APP、上网位置的通信事件特征数据异常时，就提取上网事件的时间、号码的特征数据，进行呼叫事件、短信事件、位置事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤7；否则，返回执行步骤2；

步骤7，电信诈骗关联分析服务器对基于电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件进行关联分析后，形成完整的通信事件序列；再判断关联是否成功，若是，则对关联分析结果进行可视化展示，结束流程；若否，即关联不成功，则对诈骗场景的建模特征进行调整，并继续返回执行上述步骤进行分析。

本发明基于通信事件序列的电信诈骗关联分析系统和方法的创新优点是：

本发明是根据各个基础电信运营企业的核心网络的话单数据、信令数据、位置经纬度、用户数据，采用大数据处理技术对电信犯罪分子以各种诈骗形式进行诈骗的场景进行模拟，以及建模还原分析，并实时调整电信诈骗场景的建模特征数据，还能够对关联分析的结果进行修正、调整和验证。

本发明系统和方法是采用基于呼叫事件、短信事件、位置事件、上网事件的实时订阅模式，实时检测核心网的通信事件序列的特征数据，对于异常的特征数据进行实时分析和上报，因此，能够精准地分析、发现和识别电信诈骗场景，且时效性较高，能够对于各种诈骗场景和电信犯罪分子进行快速定位与有力反制，有效杜绝受骗人给犯罪分子打款或转账的犯罪行为，从而最大限度地避免用户因诈骗而蒙受金钱财产损失和精神损伤，降低了电信诈骗发案率，为电信用户提供了安全的网络环境。

本发明的技术关键有两条：

一是业务创新：基于基础电信运营企业的呼叫事件、短信事件、位置事件、上网事件的关联分析，全面分析包括移动、联通、电信、虚拟运营商的所有电信用户的全部通信行为。本发明是结合通信特征数据的异常，分析导出电信犯罪分子的诈骗手段技术特征，在根据多个通信事件的关联分析，有效还原出基于呼叫诈骗、短信诈骗、上网诈骗以及呼叫、短信、上网相结合的各种诈骗形式。本发明基于通信事件序列进行建模分析后，按照通信事件序列的特征数据进行各个场景的还原，以帮助公安进行快速定位分析，从而对电信犯罪分子进行有力打击，维护人民群众的利益。

二是技术实现的创新：采用电信诈骗建模的方式，对于电信犯罪分子的中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗和冒充公检法诈骗的多种电信诈骗场景进行建模分析，对电信犯罪分子不断变化的诈骗手段能够即时建模和实时分析，形成不断演进发展的电信诈骗建模分析手段。通过通信大数据技术，将基础电信运营企业的呼叫事件、短信事件、位置事件、上网事件的数据进行实时处理和实时分析，并实时输出各种建模模型的通信异常特征数据，对于通信事件序列执行关联分析提供有效的关联分析数据。通过呼叫事件、短信事件、位置事件、上网事件的各种特征参数进行实时计算处理，对于通信特征按照呼叫、短信、位置、上网进行分类细化，并提供对于各种电信诈骗模型特征数据的分析手段，能有效适应各种电信诈骗模型的特征数据要求。基于通信事件序列进行完整通信事件的关联，将电信诈骗场景按照通信事件序列进行可视化展示，提供了完整展示电信诈骗分子的诈骗手段的展示方式。

附图说明

图1是本发明基于通信事件序列的电信诈骗关联分析系统的服务器组成结构示意图。

图2是本发明系统的关联分析服务器中的数据采集组件结构组成示意图。

图3是本发明系统的关联分析服务器中的电信诈骗关联分析组件结构组成示意图。

图4是本发明系统的关联分析服务器中的关联分析管理组件结构组成示意图。

图5是本发明基于通信事件序列的电信诈骗关联分析系统的分析方法操作步骤流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

下面分别从本发明系统的结构组成及其工作的分析方法两方面，描述基于通信事件序列的电信诈骗关联分析系统。

本发明系统的关键是由分别连接包括移动、联通、电信的各个基础电信运营企业的通信网络、并采集其中包括各个核心网话单数据、核心网信令数据、基站经纬度数据、用户基础数据的电信诈骗关联分析服务器所组成，该电信诈骗关联分析服务器设有四个组成部件：数据采集组件、电信诈骗关联分析组件、关联分析管理组件和关联分析数据库(参见图1)。其中的数据采集组件提取各种不同通信网络中的通信事件，传送到电信诈骗关联分析组件进行基于电信诈骗场景的关联分析后，将该关联分析结果存入关联分析数据库，再由关联分析管理组件对电信诈骗场景关联分析的结果模型执行通信事件序列和诈骗模型的流程管理，并以界面展示该关联分析后的通信事件结果，从而实现基于通信事件序列对电信诈骗场景的分析和还原，及时发现电信诈骗手段，也给公安机关提供有效的分析处理途径。

下面结合各个附图，具体介绍本发明系统的关联分析服务器各个组成部件的结构与功能：

参见图2，先介绍数据采集组件，它是用于采集包括移动、联通、电信的各个基础电信运营企业通信网络中的核心网话单数据、核心网信令数据、基站经纬度数据和用户基础数据，对来自源端的数据进行数据解析并执行抽取extract、转换transform、加载load的处理；设有数据解析模块和数据ETL(Extract-Transform-Load)处理模块两个组成模块。这两个模块功能如下：

数据解析模块：负责适配多种通信协议，采集每个基础电信运营企业通信网络中的核心网话单数据、核心网信令数据、基站经纬度数据和用户基础数据，并对这些特征数据进行解析，形成通信事件数据后，发送给数据ETL处理模块进行数据交互处理。

数据ETL处理模块：该模块负责获取数据解析模块的通信事件特征数据后，对其中的特征数据进行号码格式规整、号码关联回填、基站经纬度信息关联、用户基础数据关联的处理操作后，形成呼叫事件、短信事件、位置更新事件、上网事件的完整通信事件数据，然后将这些完整的通信事件数据存储到关联分析数据库。该模块还用于与电信诈骗关联分析组件交互，获取电信新诈骗关联分析组件的通信事件数据订阅信息后，上报订阅成功的完整通信事件数据。

参见图3，介绍电信诈骗关联分析组件，该组件负责基于电信诈骗关联分析管理组件的模型流程分析，根据各种诈骗场景将呼叫事件、短信事件、位置更新事件、上网事件分别进行关联后，对每个通信事件序列进行关联分析，并对诈骗案件进行完整还原。设有下述八个模块：通信事件关联模块、呼叫事件关联模块、短信事件关联模块、位置事件关联模块、上网事件关联模块、事件关联分析处理模块、诈骗场景事件序列分析模型管理模块和通信事件数据接口。电信诈骗关联分析组件的八个模块功能说明如下：

通信事件订阅模块：该模块用于与数据采集组件进行交互：将通信事件订阅的特征数据下发给数据采集组件，并接收数据采集组件返回的呼叫事件、短信事件、位置事件和上网事件的特征数据。还与诈骗场景事件序列分析模型管理模块进行交互，接收分析模型管理模块的通信事件订阅规则，并返回订阅规则的执行处理结果，再传送给诈骗场景事件序列分析模型管理模块。又与呼叫事件关联模块交互，接收呼叫事件的订阅特征，并将订阅的呼叫事件特征数据返回给呼叫事件关联模块进行数据关联。与短信事件关联模块交互，接收短信事件的订阅特征，并将订阅的短信事件数据返回给短信事件关联模块进行数据关联。与位置事件关联模块交互，接收位置事件的订阅特征，并将订阅的位置事件特征数据返回给位置事件关联模块进行数据关联。与上网事件关联模块交互，接收上网事件的订阅特征，并将订阅的上网事件特征数据返回给上网事件关联模块进行数据关联。

呼叫事件关联模块：该模块用于与通信事件订阅模块进行交互：给通信事件订阅模块下发呼叫事件订阅特征，并接收订阅的呼叫事件特征数据；还与事件关联分析处理模块交互：接收呼叫事件关联的订阅特征，并上报订阅的呼叫事件特征数据和需要关联分析处理的短信事件、位置事件、上网事件的特征数据。

短信事件关联模块：该模块用于与通信事件订阅模块进行交互，给通信事件订阅模块下发短信事件订阅特征，并接收订阅的短信事件数据；还与事件关联分析处理模块交互：接收短信事件关联的订阅特征，并上报订阅的短信事件的特征数据和需要关联分析处理的呼叫事件、位置事件、上网事件的特征数据。

位置事件关联模块：该模块用于与通信事件订阅模块进行交互：给通信事件订阅模块下发位置事件订阅特征，并接收订阅的位置事件数据；还与事件关联分析处理模块交互：接收位置事件关联的订阅特征，并上报订阅的位置事件的特征数据和需要关联分析处理的呼叫事件、短信事件、上网事件的特征数据。

上网事件关联模块：该模块用于与通信事件订阅模块进行交互：给通信事件订阅模块下发上网事件订阅特征，并接收订阅的上网事件数据；还与事件关联分析处理模块交互：接收上网事件关联的订阅特征，并上报订阅的上网事件的特征数据和需要关联分析处理的呼叫事件、短信事件、位置事件的特征数据。

事件关联分析处理模块：该模块用于分别与呼叫事件关联模块、短信事件关联模块、位置事件关联模块、上网事件关联模块进行交互：下发分别与呼叫事件、短信事件、位置事件、上网事件关联的订阅参数特征，并接收订阅的呼叫事件数据、短信事件数据、位置事件数据、上网事件数据，以及需要关联分析处理的呼叫事件、短信事件、位置事件、上网事件的各自特征数据；还与诈骗场景事件序列分析模型管理模块进行交互，获取各种电信诈骗场景的事件序列特征，并返回通信事件序列关联后的电信诈骗事件特征数据；以及与通信事件关联接口进行交互，获取各种电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件的特征数据。

诈骗场景事件序列分析模型管理模块：该模块用于与通信事件订阅模块进行交互：下发诈骗场景分析模型的通信事件订阅规则，并接收订阅规则的处理结果；还与事件关联分析处理模块进行交互：下发各种电信诈骗场景的事件序列特征，并接收通信事件序列关联后的电信诈骗事件特征数据；以及与关联分析管理组件进行交互：接收各种电信诈骗场景分析模型管理特征参数的请求，返回管理特征请求的特征数据处理结果，并上报基于通信事件序列关联后的电信诈骗事件特征数据。

通信事件数据接口：通信事件数据接口用于与事件关联分析处理模块进行交互：获取各种电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件的数据接口请求；还与关联分析数据库进行交互：获取呼叫事件、短信事件、位置事件、上网事件的特征数据。

参见图4，介绍关联分析管理组件，该组件负责对各种诈骗场景事件执行建模管理，并对各种模型分析得出的电信诈骗事件数据进行可视化展示；其组成结构包括两个模块：诈骗场景事件建模管理模块和诈骗场景事件可视化管理模块。这两个模块功能介绍如下：

诈骗场景事件建模管理模块：该模块用于与电信诈骗关联分析组件进行交互，对各种电信诈骗场景事件执行建模的流程管理，还对各种诈骗场景事件进行通信事件序列建模，并接收电信诈骗关联分析组件的电信诈骗事件特征数据；还与关联分析数据库交互数据，获取诈骗场景关联的建模参数配置数据；再与诈骗场景事件可视化管理模块进行交互：接收诈骗场景事件可视化管理模块的建模流程管理和通信事件序列可视化请求，并返回建模流程结果和可视化展示电信诈骗事件特征数据。

诈骗场景事件可视化管理模块：该模块用于与诈骗场景事件建模管理模块进行交互：下发建模流程管理及通信事件序列的可视化请求，接收诈骗场景事件建模管理模块的建模流程处理结果，以及可视化展示电信诈骗事件特征数据；还与关联分析数据库进行交互，获取各种可视化特征数据所需要的管理数据。

关联分析数据库，负责对来自数据采集组件的数据ETL处理模块的数据进行号码格式规整、号码关联回填、基站经纬度信息关联、用户基础数据关联的处理，形成的呼叫事件、短信事件、位置更新事件、上网事件的完整通信事件数据后进行存储和使用；与事件关联分析处理模块交互，提供各种电信诈骗场景中的包括呼叫事件、短信事件、位置事件、上网事件的关联分析数据；与诈骗场景事件建模管理模块交互，提供诈骗场景关联的建模参数配置数据；与诈骗场景事件可视化管理模块交互，提供各种可视化数据的管理数据。

本发明基于通信事件序列的电信诈骗关联分析系统的分析方法，是由系统中的电信诈骗关联分析服务器对包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗手段进行电信诈骗场景的建模处理，再利用实时检测通信事件的特征数据，一旦发现特征数据异常时，就立即执行对应的呼叫事件、短信事件、位置事件、上网事件的关联分析，形成完整的通信事件序列，从而精准发现各种异常通信手段及其内容，快速定位电信犯罪分子，并执行有效的反制。

参见图5，介绍本发明方法的下列具体操作步骤：

步骤1，电信诈骗关联分析服务器建立包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗场景模型。

步骤2，电信诈骗关联分析服务器完成建模后，进行呼叫事件、短信事件、位置事件、上网事件的订阅，实时检测基础电信运营企业核心网通信过程中的通信事件特征数据。所述通信事件的特征数据包括：通信时长、呼叫频次、短信频次、上网频次、常驻位置、当前位置、历史轨迹、用户特征、通信关系圈和上网喜好特征。同时，关联分析服务器还要判断通信事件特征数据是否正常，若是，则结束分析流程；若否，则根据不同情况，执行后续的相应步骤3、4、5、6的对应操作。

步骤3，若是呼叫事件特征数据异常，即包括呼叫时段、呼叫频次、呼叫时长、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户呼叫位置、呼转号码或主叫号码显示限制标识的通信事件特征数据异常时，就提取呼叫事件的时间、主叫号码、被叫号码的特征数据，进行短信事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤4；否则，返回执行步骤2。

步骤4，若是短信事件特征数据异常，即包括发送短信时段、短信次数、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户发送短信位置的通信事件特征数据异常时，就提取短信事件的时间、主叫号码、被叫号码的特征数据，进行呼叫事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤5；否则，返回执行步骤2。

步骤5，若是位置事件特征数据异常，即包括时段、位置更新次数、常驻位置、驻留时长、驻留频次、实时位置的通信事件特征数据异常时，就提取位置事件的时间、号码的特征数据，进行呼叫事件、短信事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤6；否则，返回执行步骤2。

步骤6，若是上网事件特征数据异常，即包括时段、上网次数、驻留时长、上网网址、上网APP、上网位置的通信事件特征数据异常时，就提取上网事件的时间、号码的特征数据，进行呼叫事件、短信事件、位置事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤7；否则，返回执行步骤2。

步骤7，电信诈骗关联分析服务器对基于电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件进行关联分析后，形成完整的通信事件序列；再判断关联分析的结果是否成功，若是，则对关联分析结果进行可视化展示，结束流程；若否，即关联分析的结果不成功，则对诈骗场景的建模特征进行调整，并继续返回执行上述步骤进行分析。

本发明已经进行了多次实施试验，适宜的结果是成功的，实现了发明目的。

Claims (5)

1.一种基于通信事件序列的电信诈骗关联分析系统，其特征在于：所述系统是由分别连接包括移动、联通、电信的各个基础电信运营企业的通信网络、并采集其中包括各个核心网话单数据、核心网信令数据、基站经纬度数据、用户基础数据的电信诈骗关联分析服务器所组成，该电信诈骗关联分析服务器设有四个组成部件：数据采集组件、电信诈骗关联分析组件、关联分析管理组件和关联分析数据库；其中，数据采集组件提取各种不同通信网络中的通信事件，传送到电信诈骗关联分析组件进行基于电信诈骗场景的关联分析后，将该电信诈骗场景关联分析结果存入关联分析数据库，再由关联分析管理组件对电信诈骗场景关联分析结果执行通信事件序列和诈骗模型的流程管理，并以界面展示该关联分析后的通信事件结果，从而实现基于通信事件序列对电信诈骗场景的分析和还原；其中：

数据采集组件，用于采集包括移动、联通、电信的各个基础电信运营企业通信网络中的核心网话单数据、核心网信令数据、基站经纬度数据和用户基础数据，并对来自源端的特征数据进行数据解析，以及对这些特征数据执行抽取extract、转换transform、加载load的ETL(Extract-Transform-Load)处理；设有数据解析模块和数据ETL处理模块两个组成模块；

其中，所述数据ETL处理模块，负责对来自数据解析模块的通信事件数据中的特征数据进行号码格式规整、号码关联回填、基站经纬度信息关联、用户基础数据关联的处理操作后，形成呼叫事件、短信事件、位置更新事件、上网事件的完整通信事件数据，然后将这些完整的通信事件数据存储到关联分析数据库；还用于与电信诈骗关联分析组件交互，获取电信诈骗关联分析组件的通信事件数据订阅信息后，上报订阅成功的完整通信事件数据；

电信诈骗关联分析组件，负责基于电信诈骗关联分析管理组件的模型流程分析，根据各种诈骗场景将呼叫事件、短信事件、位置更新事件、上网事件分别进行关联后，对每个通信事件序列进行关联分析，并对诈骗案件进行完整还原；设有下述八个模块：通信事件关联订阅模块、呼叫事件关联模块、短信事件关联模块、位置事件关联模块、上网事件关联模块、事件关联分析处理模块、诈骗场景事件序列分析模型管理模块和通信事件数据接口；

关联分析管理组件，负责对各种诈骗场景事件执行建模管理，并对各种模型分析得出的电信诈骗事件的特征数据进行可视化展示；其组成结构包括两个模块：诈骗场景事件建模管理模块和诈骗场景事件可视化管理模块；

关联分析数据库，负责对来自数据采集组件的数据ETL处理模块的完整通信事件数据进行存储和调用；与事件关联分析处理模块交互，提供各种电信诈骗场景中的包括呼叫事件、短信事件、位置事件、上网事件的关联分析数据；与诈骗场景事件建模管理模块交互，提供诈骗场景关联的建模特征配置数据；与诈骗场景事件可视化管理模块交互，提供各种可视化数据的管理数据。

2.根据权利要求1所述的系统，其特征在于：所述电信诈骗关联分析服务器中的电信诈骗关联分析组件的各个模块功能如下：

通信事件订阅模块，用于与数据采集组件交互：将通信事件订阅的特征数据下发给数据采集组件，并接收数据采集组件返回的呼叫事件、短信事件、位置事件和上网事件的特征数据；还与诈骗场景事件序列分析模型管理模块进行交互，接收诈骗场景事件序列分析模型管理模块的通信事件订阅规则，并返回订阅规则的执行处理结果，再传送给诈骗场景事件序列分析模型管理模块；与呼叫事件关联模块交互，接收呼叫事件的订阅特征，并将订阅的呼叫事件特征数据返回给呼叫事件关联模块进行数据关联；与短信事件关联模块交互，接收短信事件的订阅特征，并将订阅的短信事件数据返回给短信事件关联模块进行数据关联；与位置事件关联模块交互，接收位置事件的订阅特征，并将订阅的位置事件特征数据返回给位置事件关联模块进行数据关联；与上网事件关联模块交互，接收上网事件的订阅特征，并将订阅的上网事件特征数据返回给上网事件关联模块进行数据关联；

呼叫事件关联模块，用于与通信事件订阅模块交互：给通信事件订阅模块下发呼叫事件订阅特征，并接收订阅的呼叫事件特征数据；还与事件关联分析处理模块交互：接收呼叫事件关联的订阅特征，并上报订阅的呼叫事件特征数据和需要关联分析处理的短信事件、位置事件、上网事件的特征数据；

短信事件关联模块，用于与通信事件订阅模块交互，给通信事件订阅模块下发短信事件订阅特征，并接收订阅的短信事件数据；还与事件关联分析处理模块交互：接收短信事件关联的订阅特征，并上报订阅的短信事件的特征数据和需要关联分析处理的呼叫事件、位置事件、上网事件的特征数据；

位置事件关联模块，用于与通信事件订阅模块交互：给通信事件订阅模块下发位置事件订阅特征，并接收订阅的位置事件数据；还与事件关联分析处理模块交互：接收位置事件关联的订阅特征，并上报订阅的位置事件的特征数据和需要关联分析处理的呼叫事件、短信事件、上网事件的特征数据；

上网事件关联模块，用于与通信事件订阅模块交互：给通信事件订阅模块下发上网事件订阅特征，并接收订阅的上网事件数据；还与事件关联分析处理模块交互：接收上网事件关联的订阅特征，并上报订阅的上网事件的特征数据和需要关联分析处理的呼叫事件、短信事件、位置事件的特征数据；

事件关联分析处理模块，用于分别与呼叫事件关联模块、短信事件关联模块、位置事件关联模块、上网事件关联模块进行交互：下发分别与呼叫事件、短信事件、位置事件、上网事件关联的订阅特征，并接收订阅的呼叫事件数据、短信事件数据、位置事件数据、上网事件数据，以及需要关联分析处理的呼叫事件、短信事件、位置事件、上网事件的各自特征数据；还与诈骗场景事件序列分析模型管理模块进行交互，获取各种电信诈骗场景的事件序列特征，并返回通信事件序列关联后的电信诈骗事件数据；以及与通信事件数据接口进行交互，获取各种电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件的特征数据；

诈骗场景事件序列分析模型管理模块，用于与通信事件订阅模块交互：下发诈骗场景分析模型的通信事件订阅规则，并接收订阅规则的处理结果；还与事件关联分析处理模块进行交互：下发各种电信诈骗场景的事件序列特征，并接收通信事件序列关联后的电信诈骗事件特征数据；以及与关联分析管理组件进行交互：接收各种电信诈骗场景分析模型管理特征请求，返回管理特征请求处理结果，并上报基于通信事件序列关联后的电信诈骗事件特征数据；

通信事件数据接口，用于与事件关联分析处理模块交互：获取各种电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件的数据接口请求；还与关联分析数据库交互：获取呼叫事件、短信事件、位置事件、上网事件的特征数据。

3.根据权利要求1所述的系统，其特征在于：所述电信诈骗关联分析服务器中的关联分析管理组件的各个模块功能如下：

诈骗场景事件建模管理模块，用于与电信诈骗关联分析组件交互，对各种电信诈骗场景事件执行建模的流程管理，还对各种诈骗场景事件进行通信事件序列建模，并接收电信诈骗关联分析组件的电信诈骗事件特征数据；还与关联分析数据库交互数据，获取诈骗场景关联的建模配置数据；再与诈骗场景事件可视化管理模块交互：接收诈骗场景事件可视化管理模块的建模流程管理和通信事件序列可视化请求，并返回建模流程结果和可视化展示电信诈骗事件特征数据；

诈骗场景事件可视化管理模块，用于与诈骗场景事件建模管理模块交互：下发建模流程管理及通信事件序列的可视化请求，接收诈骗场景事件建模管理模块的建模流程处理结果，以及可视化展示电信诈骗事件特征数据；还与关联分析数据库交互，获取各种可视化特征数据需要的管理数据。

4.根据权利要求1所述的基于通信事件序列的电信诈骗关联分析系统的分析方法，其特征在于：电信诈骗关联分析服务器对包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗手段进行电信诈骗场景的建模处理，再利用实时检测通信事件的特征数据，一旦发现特征数据异常时，就立即执行对应的呼叫事件、短信事件、位置事件、上网事件的关联分析，形成完整的通信事件序列，从而精准发现各种异常通信手段及其内容，快速定位电信犯罪分子，并执行有效的反制；该方法包括下列具体操作步骤：

步骤1，电信诈骗关联分析服务器建立包括中奖诈骗、汽车退税诈骗、冒充熟人诈骗、直接汇款诈骗、电话欠费诈骗、冒充公检法诈骗的多种电信诈骗场景模型；

步骤2，电信诈骗关联分析服务器完成建模后，进行呼叫事件、短信事件、位置事件、上网事件的订阅，实时检测基础电信运营企业核心网通信过程中的通信事件特征数据；同时判断通信事件特征数据是否正常，若是，则结束分析流程；若否，则根据不同情况，执行后续的相应步骤3、4、5、6；

步骤3，若是呼叫事件特征数据异常，即包括呼叫时段、呼叫频次、呼叫时长、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户呼叫位置、呼转号码或主叫号码显示限制标识的通信事件特征数据异常时，就提取呼叫事件的时间、主叫号码、被叫号码的特征数据，进行短信事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤4；否则，返回执行步骤2；

步骤4，若是短信事件特征数据异常，即包括发送短信时段、短信次数、被叫用户个数、被叫用户万号段占比、被叫用户地域分布、主叫用户发送短信位置的通信事件特征数据异常时，就提取短信事件的时间、主叫号码、被叫号码的特征数据，进行呼叫事件、位置事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤5；否则，返回执行步骤2；

步骤5，若是位置事件特征数据异常，即包括时段、位置更新次数、常驻位置、驻留时长、驻留频次、实时位置的通信事件特征数据异常时，就提取位置事件的时间、号码的特征数据，进行呼叫事件、短信事件、上网事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤6；否则，返回执行步骤2；

步骤6，若是上网事件特征数据异常，即包括时段、上网次数、驻留时长、上网网址、上网APP、上网位置的通信事件特征数据异常时，就提取上网事件的时间、号码的特征数据，进行呼叫事件、短信事件、位置事件的关联分析；再判断这些特征数据是否异常，若异常，则执行后续步骤7；否则，返回执行步骤2；

步骤7，电信诈骗关联分析服务器对基于电信诈骗场景的呼叫事件、短信事件、位置事件、上网事件进行关联分析后，形成完整的通信事件序列；再判断关联是否成功，若是，则对关联分析结果进行可视化展示，结束流程；若否，即关联不成功，则对诈骗场景的建模特征进行调整，并继续返回执行上述步骤进行分析。

5.根据权利要求4所述的分析方法，其特征在于：所述步骤2中，通信事件的特征数据包括：通信时长、呼叫频次、短信频次、上网频次、常驻位置、当前位置、历史轨迹、用户特征、通信关系圈和上网喜好特征。

Images