CN110033278A - 风险识别方法和装置 - Google Patents

Abstract

本发明提供了一种识别终端操作的风险的方法，包括：获取终端关于一行为特征的多个历史特征值；根据所述多个历史特征值来确定用于风险识别的分布函数；根据所述分布函数来确定关于所述行为特征的当前预测值；获取所述终端关于所述行为特征的当前特征值；以及根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险。

Description

风险识别方法和装置

技术领域

本公开一般涉及互联网领域，尤其涉及互联网支付中的风险识别方法和装置。

背景技术

随着互联网的发展，越来越多的电子设备出现在人们的生活中，方便了人们的日常生活。用户越来越多地选择使用电子终端(例如，手机、笔记本电脑、台式机、平板电脑)来完成支付操作。但随之而来也产生了互联网支付的安全问题。但网络支付平台不能对每一笔网络支付交易进行详细的用户身份验证。

因此准确地识别出具有风险的操作行为，对于提升用户支付的安全级别具有很重要的意义。

发明内容

为解决上述技术问题，本发明提供了一种识别终端操作的风险的方法，包括：

获取终端关于一行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于所述行为特征的当前预测值；

获取所述终端关于所述行为特征的当前特征值；以及

根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险。

可任选地，该方法进一步包括：

接收来自所述终端的行为特征；以及

将所述行为特征量化为数值以得到特征值。

可任选地，所述确定用于风险识别的分布函数包括：

使用所述多个历史特征值来构建历史特征曲线；

确定所述历史特征曲线与多个分布函数的曲线的相似度；以及

将与所述历史特征曲线相似度最高的分布函数确定为所述用于风险识别的分布函数。

可任选地，所述确定所述终端操作是否存在风险包括：

将所述当前特征值与所述当前预测值进行比较；

如果所述当前特征值大于所述当前预测值，则确定所述终端操作存在风险；以及

如果所述当前特征值小于或等于所述当前预测值，则确定所述终端操作不存在风险。

可任选地，所述确定所述终端操作是否存在风险包括：

将所述当前特征值同所述当前预测值与预定义偏差之和进行比较；

如果所述当前特征值大于所述当前预测值与预定义偏差之和，则确定所述终端操作存在风险；以及

如果所述当前特征值小于或等于所述当前预测值与所述预定义偏差之和，则确定所述终端操作不存在风险。

可任选地，所述预定义偏差是所述多个历史特征值与所述分布函数上的对应预测值的标准差的平均值。

可任选地，所述确定所述终端操作是否存在风险包括：

将所述当前特征值与所述当前预测值之差与阈值进行比较；

如果所述当前特征值与所述当前预测值之差的绝对值大于阈值，则确定所述终端的操作存在风险；以及

如果所述当前特征值与所述当前预测值之差的绝对值小于或等于所述阈值，则确定所述终端的操作不存在风险。

可任选地，所述确定所述终端操作是否存在风险包括：

根据所述当前特征值与所述当前预测值来确定风险分值；

将所述风险分值与阈值进行比较；

如果所述风险分值大于所述阈值，则确定所述终端操作存在风险；以及

如果所述风险分值小于或等于所述阈值，则确定所述终端操作不存在风险。

可任选地，所述确定风险分值包括：

将所述当前特征值与所述当前预测值之比确定为所述风险分值。

可任选地，所述确定风险分值包括：

确定所述当前特征值和所述当前预测值之间的差值；以及

将所述差值与所述当前预测值之比确定为所述风险分值。

可任选地，该方法进一步包括：

根据所述当前特征值与所述当前预测值来确定所述行为特征的风险分值；

针对所述终端的一个或多个附加行为特征中的每一个附加行为特征：

获取所述终端关于该附加行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于该附加行为特征的当前预测值；

获取所述终端关于该附加行为特征的当前特征值；

根据所述当前特征值与所述当前预测值来确定该附加行为特征的风险分值；以及

根据所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值来确定总风险分值；

根据所述总风险分值来确定所述终端操作是否存在风险。

可任选地，所述根据所述总风险分值来确定所述终端操作是否存在风险包括：

将所述总风险分值与阈值进行比较；

如果所述总风险分值大于所述阈值，则确定所述终端操作存在风险；

如果所述总风险分值小于或等于所述阈值，则确定所述终端操作不存在风险。

可任选地，所述确定总风险分值包括：

将所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值进行加权求和来确定所述总风险分值。

可任选地，该方法进一步包括：

如果确定所述终端操作不存在风险，则将所述当前特征值与所述终端的用户账号相关联地存储在存储器中。

可任选地，所述行为特征包括支付金额、支付时间、和/或支付频次。

本公开的另一方面提供了一种识别终端操作的风险的装置，包括：

用于获取终端关于一行为特征的多个历史特征值的模块；

用于根据所述多个历史特征值来确定用于风险识别的分布函数的模块；

用于根据所述分布函数来确定关于所述行为特征的当前预测值的模块；

用于获取所述终端关于所述行为特征的当前特征值的模块；以及

用于根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险的模块。

可任选地，该装置进一步包括：

用于接收来自所述终端的行为特征的模块；以及

用于将所述行为特征量化为数值以得到特征值的模块。

可任选地，所述用于确定用于风险识别的分布函数的模块包括：

用于使用所述多个历史特征值来构建历史特征曲线的模块；

用于确定所述历史特征曲线与多个分布函数的曲线的相似度的模块；以及

用于将与所述历史特征曲线相似度最高的分布函数确定为所述用于风险识别的分布函数的模块。

可任选地，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值与所述当前预测值进行比较的模块；

用于如果所述当前特征值大于所述当前预测值，则确定所述终端操作存在风险的模块；以及

用于如果所述当前特征值小于或等于所述当前预测值，则确定所述终端操作不存在风险的模块。

可任选地，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值同所述当前预测值与预定义偏差之和进行比较的模块；

用于如果所述当前特征值大于所述当前预测值与预定义偏差之和，则确定所述终端操作存在风险的模块；以及

用于如果所述当前特征值小于或等于所述当前预测值与所述预定义偏差之和，则确定所述终端操作不存在风险的模块。

可任选地，所述预定义偏差是所述多个历史特征值与所述分布函数上的对应预测值的标准差的平均值。

可任选地，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值与所述当前预测值之差与阈值进行比较的模块；

用于如果所述当前特征值与所述当前预测值之差的绝对值大于阈值，则确定所述终端的操作存在风险的模块；以及

用于如果所述当前特征值与所述当前预测值之差的绝对值小于或等于所述阈值，则确定所述终端的操作不存在风险的模块。

可任选地，所述用于确定所述终端操作是否存在风险包括：

用于根据所述当前特征值与所述当前预测值来确定风险分值的模块；

用于将所述风险分值与阈值进行比较的模块；

用于如果所述风险分值大于所述阈值，则确定所述终端操作存在风险的模块；以及

用于如果所述风险分值小于或等于所述阈值，则确定所述终端操作不存在风险的模块。

可任选地，所述用于确定风险分值的模块包括：

用于将所述当前特征值与所述当前预测值之比确定为所述风险分值的模块。

可任选地，所述用于确定风险分值的模块包括：

用于确定所述当前特征值和所述当前预测值之间的差值的模块；以及

用于将所述差值与所述当前预测值之比确定为所述风险分值的模块。

可任选地，该装置进一步包括：

用于根据所述当前特征值与所述当前预测值来确定所述行为特征的风险分值的模块；

用于针对所述终端的一个或多个附加行为特征中的每一个附加行为特征执行以下操作的模块：

获取所述终端关于该附加行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于该附加行为特征的当前预测值；

获取所述终端关于该附加行为特征的当前特征值；

根据所述当前特征值与所述当前预测值来确定该附加行为特征的风险分值；以及

用于根据所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值来确定总风险分值的模块；

用于根据所述总风险分值来确定所述终端操作是否存在风险的模块。

可任选地，所述用于根据所述总风险分值来确定所述终端操作是否存在风险的模块包括：

用于将所述总风险分值与阈值进行比较的模块；

用于如果所述总风险分值大于所述阈值，则确定所述终端操作存在风险的模块；

用于如果所述总风险分值小于或等于所述阈值，则确定所述终端操作不存在风险的模块。

可任选地，所述用于确定总风险分值的模块包括：

用于将所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值进行加权求和来确定所述总风险分值的模块。

可任选地，该装置进一步包括：

用于如果确定所述终端操作不存在风险，则将所述当前特征值与所述终端的用户账号相关联地存储在存储器中的模块。

可任选地，所述行为特征包括支付金额、支付时间、和/或支付频次。

本发明的进一步方面提供了一种装置，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：

获取终端关于一行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于所述行为特征的当前预测值；

获取所述终端关于所述行为特征的当前特征值；以及

根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险。

使用本公开的技术方案，可以随着时间的推移，根据每个终端的历史行为特征来确定其风险范围(例如，风险阈值)，从而能够更准确地进行风险识别。

附图说明

图1是根据本公开的各方面的用于风险识别的系统的示图。

图2是根据本公开的各方面的用于风险识别的方法的流程图。

图3是根据本公开的一方面的用于风险识别的曲线图。

图4是根据本公开的另一方面的用于风险识别的曲线图。

图5示出了根据风险分值来确定是否存在风险的方法的流程图。

图6示出了根据本发明的各方面的用于风险识别的过程的示图。

图7示出了使用多种特征来确定风险级别的方法的流程图。

图8是根据本发明的各方面的用于确定风险级别的装置的框图。

具体实施方式

为让本发明的上述目的、特征和优点能更明显易懂，以下结合附图对本发明的具体实施方式作详细说明。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其它不同于在此描述的其它方式来实施，因此本发明不受下面公开的具体实施例的限制。

随着互联网支付的普及，支付平台的资金盗用现象也日趋增多。为了保障用户的支付安全，支付平台往往使用风险识别方案来标识支付过程中用户账户被盗用的行为，并输出相应的校验措施以阻止盗用者的操作。现有的风险识别方案可预先设定某些高危特征，当用户出现这些高危特征时，即判定用户账户有被盗用的风险。这些高危特征通常是基于对大量用户的支付行为的分析来得到的。例如，支付应用在用户转账超过一定金额时可判定该支付行为可能有风险或即是高危行为，从而启动风险校验过程，例如，向用户的手机发送短信进行验证。

但是个体用户存在行为多样性，用统一的标准判断每个用户的高危行为特征有可能造成误识别。例如某账户正常的操作行为被判定为处于高危范围，进而导致用户被打扰，或者某账户真实的盗用行为由于没进入高危范围而被漏过。

本公开提供了一种基于人工智能的高风险范围的判定方法，其中高风险范围会随着个体用户自身的操作习惯进行自适应调整以满足用户的行为趋势，从而提高了针对个体用户的风险识别的准确度，有效地保障了用户资金账户的安全性，同时提高了用户体验。

图1是根据本公开的各方面的用于风险识别的系统的示图。

如图所示，用于风险识别的系统100可包括多个终端101。每个终端101上可安装有支付应用(例如，支付宝)。终端101可包括蜂窝电话(例如，智能电话)、膝上型计算机、台式电脑、平板设备等。用户可使用终端101进行支付操作。

终端101在接收到用户的操作请求(例如，支付操作请求)之后可以向服务器102发送操作行为消息，以供服务器102识别终端101的操作是否存在风险。该操作行为消息可包括终端101的用户账号以及一个或多个行为特征(例如，支付金额、支付操作时间、支付操作频次等)。

支付操作时间可指发起支付操作的时间，或者发起支付操作在一个周期内的时间，例如，一小时内的计时、一天内的计时(24时计时法的时间)、一个月内的计时等等。

支付操作频次可指一个周期(一天、一周等)内的支付次数。例如，操作行为消息可指示本次操作是当前周期内的第几次操作。

服务器102可包括风险确定模块103。风险确定模块103可以根据来自各个终端101的操作行为消息中所包括的信息(例如，行为特征)来确定终端101上的操作行为(例如，支付行为)的风险等级(例如，是否具有风险、风险分值)。

服务器103还可包括存储器104。存储器104可针对每个终端101存储关于一种或多种特征的多个行为特征量化值。在本文中，‘行为特征量化值’、‘特征量化值’和‘特征值’可互换地使用。

图2是根据本公开的各方面的用于风险识别的方法的流程图。用于风险识别的方法可由例如图1中所示的服务器102来执行。图2中的方法根据一种特征进行风险识别。

在步骤202，可获取终端的多个历史特征值。

终端101在接收到用户的操作请求(例如，支付请求)之后可以向服务器102发送操作行为消息，该操作行为消息可包括终端101的用户账号以及一个或多个行为特征。该一个或多个行为特征可包括支付金额、支付时间、支付频次等中的一者或多者。

服务器102每次在接收到终端101的操作行为消息之后，可将操作行为消息中所包括的每个行为特征进行量化以生成行为特征量化值，并将终端101的用户账号和行为特征量化值相对应地存储起来。例如，在终端101的用户账号下增加条目来存储与接收到的一个或多个行为特征相对应的一个或多个行为特征量化值。

行为特征的量化可包括将行为特征转换为数值表示。

在一个示例中，如果行为特征类型为支付金额，则金额行为特征可被量化为以“分”为单位的数值。例如，100元可被量化为10000，15.12元可被量化为1512，以此类推。

在另一个示例中，如果行为特征类型为支付时间，则时间行为特征可被量化为以“秒”为单位的数值。例如，2019年3月1日12点15分可被量化为201903011215；替换地，可被量化为24小时计时法的时间(即，1215)，或者以其它方式量化。

在又一个示例中，如果行为特征类型为支付频次(例如，一日内的支付次数、一周内的支付次数、一个月内的支付次数等等)，则行为特征量化值可以简单地就是从终端101接收到的指示该周期内支付次数的值(例如，指示该操作行为消息对应于该周期内的第几次支付操作，诸如，一天内的第三次支付)。替换地，服务器102可设置有支付频次计数器，每次接收到操作行为消息就使计数器递增，周期期满时将计数器重置为0。

以上列出了可被量化的特征的示例，但本领域技术人员将领会，其它可被量化的操作行为特征也在本发明的构想中。

服务器102可为每个终端101存储在一个时间段(例如，一周、一个月、一个季度、一年等)内的多个历史行为特征值。

在要进行风险识别时，服务器102可获取终端101关于一行为特征的多个历史行为特征值，其中历史行为特征值的数目可以预先设定，例如，10个、50个、100个，等等。

在步骤204，可根据该多个历史特征值来确定用于识别风险的分布函数。

具体而言，可将多个历史特征值按照时间的先后顺序(例如，按照对应操作行为消息的接收时间的先后)编号，随后将该多个历史特征值表示为历史特征函数h＝s(i)，其中i可表示历史特征值的编号，s(i)表示对应的特征值(例如，支付金额、支付时间、支付频次等)。

分布函数y＝f(x)可包括常数函数、一次函数、二次函数、三次函数、四次函数、五次函数、正态分布函数、泊松分布函数、二项分布函数、均匀分布函数、三角函数(例如，正弦函数、余弦函数)、幂函数、指数函数、对数函数等等，以及其任何组合。

以上仅列出了分布函数的一些示例，本领域技术人员将领会，其它函数和函数的组合也在本公开的构想中。

可以确定满足历史特征函数h＝s(i)的取值的分布函数f(x)。

例如，可以确定该多个历史特征值的函数表示h＝s(i)的曲线与各个分布函数y＝f(i)的曲线的相似度，选择相似度最高的分布函数以用于后续风险识别。

在步骤206，可根据步骤204确定的分布函数来确定当前行为特征的预测值。

如上所述，可以对每个特征值进行编号(例如，按照对应操作行为消息的接收时间的先后顺序编号)，如果当前行为特征的编号为i，则该当前行为特征的预测值为f(i)。

在步骤208，可获取当前行为特征值。

如上所述，终端101在接收到用户的操作请求之后，可向服务器102发送当前操作行为消息。该当前操作行为消息可包括当前操作的行为特征，例如，支付金额、支付时间、支付频次等信息。

服务器102在接收到当前操作的一个或多个行为特征之后可对该一个或多个行为特征进行量化以生成一个或多个当前行为特征值，如以上关于步骤202所描述的。

请注意，在图2的描述中步骤206在步骤208之前，但这两个步骤的次序可以互换。例如，可以响应于接收到当前操作行为消息来获取当前行为特征值，随后确定当前行为特征的预测值，这也在本发明的构想中。

在步骤210，基于当前行为特征的预测值和当前行为特征值来确定终端的操作是否存在风险。

具体而言，如果当前行为特征值在与预测值相关的预设范围内，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。

在一方面，该预设范围为低于预测值的范围。换言之，如果当前行为特征值小于或等于预测值，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。

如图3所示，根据分布函数f(x)可得到当前行为特征预测值为f(i)＝A。如果当前行为特征值为C(C<A)，则认为这次支付行为是安全的。如果当前行为特征值为B(B>A)，则认为这次支付行为存在风险。

例如，如果行为特征为支付金额，根据分布函数得到当前预测值为500元，那么高于500元的支付金额被认为是有风险的。如果支付金额为600元，则认为该行为可能存在风险，需要触发风险报警。例如，向用户发送短信确认。

在另一个示例中，如果行为特征为支付频次，根据分布函数得到当前预测值为一天内5次，那么在一天内少于或等于5次的支付被认为是安全的。如果当前操作行为消息是一天内第6次支付，则认为该行为可能存在风险。

附加地，风险识别还可以使用预定义偏差结合预测值来确定是否存在风险。

在一方面，如果当前特征值大于当前预测值与预定义偏差之和，则确定终端操作存在风险；如果当前特征值小于或等于当前预测值与预定义偏差之和，则确定所述终端操作不存在风险。

在另一方面，如果当前特征值与所述预测值之差大于预定义偏差，则确定终端的操作存在风险；如果当前特征值与当前预测值之差小于或等于预定义偏差，则确定终端的操作不存在风险。

预定义偏差的确定可以包括确定多个历史行为特征值中的每一者与分布函数上的对应值(历史行为特征值的对应预测值，与关于步骤208所述的相同)的偏差(例如，|f(j)–h(j)|)，并根据该多个偏差来确定预定义偏差。例如，可将该多个偏差取平均值来确定预定义偏差。

以下以偏差为标准差σ为例进行说明。

在一方面，如果当前特征值h(i)小于或等于f(i)+σ，则认为无风险，其中f(i)表示当前特征预测值。该标准差σ可以使用该多个历史特征值来获得。例如，该标准差σ可以是该多个历史特征值中的每一者与分布函数上的对应值(即，对应预测值)的标准差σ的平均值。

本领域技术人员将领会，也可使用其它类型的偏差代替标准差σ以用于确定是否存在风险。

例如，如果特征为支付金额，根据分布函数得到当前预测值为500元，并且标准差σ为60。那么支付金额在560元以下被认为是安全的。如果支付金额为550元，则认为该行为是安全的；如果支付金额为565元，则认为该行为可能存在风险，需要触发风险报警，例如向用户发送短信确认。

在另一方面，如果特征为支付频次，根据分布函数得到当前预测值为一天内5次，标准差σ为1次。那么在一天内少于6次的支付被认为是安全的。如果当前操作行为消息是一天内第6次支付，则认为该行为是安全的；如果当前操作行为消息是一天内第7次支付，则认为该行为可能存在风险，需要触发风险报警，例如向用户发送短信确认。

在另一方面，该预设范围可以为预测值附近的范围。换言之，如果当前行为特征值与预测值之差小于或等于阈值，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。

如图4所示，分布函数f(x)的曲线的上方和下方的预设值范围[f(i)-a,f(i)+b]内(如虚线所示)可被认为是安全的。

例如，假设特征预测值为A；特征值C在范围[A-a,A+b]内，可确定操作是安全的；特征值B和D在范围[A-a,A+b]之外，可确定操作存在风险。

请注意，为了简化解说起见，本文关于a＝b的情形来进行说明，但a与b也可以根据实际需要而不必相等。

例如，在特征为支付时间的情况下，假设预测支付时间为上午8点整，预设范围为预测值前后15分钟。如果当前特征为8点10分，则被认为是安全的；如果当前特征为7点半，则确定可能存在风险。

在一个示例中，可以使用标准差σ来设置该范围，[f(i)-σ,f(i)+σ]内的当前特征值可被认为是没有风险的。该标准差σ可以使用该多个历史行为特征值来获得。例如，该标准差σ可以是该多个历史行为特征值与分布函数的曲线的偏差的平均值。

进一步，可以确定当前行为特征的风险分值，根据风险分值来确定当前操作是否存在风险。

图5示出了根据风险分值来确定是否存在风险的方法的流程图。

在步骤502，可根据当前特征值h(i)和当前预测值f(i)来确定当前操作的风险分值。

当前特征值h(i)对应于当前从终端101接收到的行为特征。如以上关于步骤208描述的。

当前预测值f(i)是通过以上关于步骤206所描述的操作获得的。

步骤502可以在图2所示过程的步骤208之后执行。

风险分值可以表示存在风险的概率。

在一些情况下，当前行为特征值h(i)越低，风险分值越低。例如，在特征类型为支付金额和频次的情况下，风险分值s可如下计算：

在一些情况下，当前行为特征值h(i)与预测值f(i)越接近，风险分值越低。例如，在特征类型为支付时间的情况下，风险分值s可如下计算：

在步骤504，可确定风险分值是否大于阈值。

如果在步骤504确定风险分值大于阈值，则在步骤506，确定当前操作存在风险。

如果在步骤504确定风险分值小于或等于阈值，则在步骤508，确定当前操作不存在风险。

该阈值可以是预先确定的。

例如，在风险阈值使用来确定的情况下，风险阈值可以为1+σ,即，如果当前行为特征值h小于或等于f(i)+σ，则认为当前操作无风险。

作为另一示例，在风险阈值使用来确定的情况下，风险阈值可以为σ，即，如果当前行为特征h在[f(i)(1-σ),f(i)(1+σ)]的范围内，则认为当前操作无风险。

本领域技术人员可以根据实际需要来选择恰适的阈值来确定支付操作是否存在风险。

在确定支付操作存在风险之后，可触发风险校验操作。例如，可向终端发送短信，请用户确认该操作是否为本人操作。

如果在步骤210或508确定操作不存在风险，或者在步骤506确定操作存在风险的情况下，通过了风险校验操作(例如，用户通过短信确认是本人操作)，则可将当前特征值存储在服务器102的存储器104中以供后续风险识别使用。

图6示出了根据本发明的各方面的用于风险识别的过程的示图。

图6示出了服务器102与一个终端101的用于风险识别的过程的示图，本领域技术人员将领会，该过程也可应用于服务器与多个终端以用于风险识别。

如图6所示，终端101每次接收到用户的操作请求(例如，支付请求)就向服务器102发送操作行为消息。服务器102接收到操作行为消息之后，可在步骤601将操作行为消息中所包括的每个行为特征进行量化以生成行为特征量化值(特征值)，并将终端101的用户账号和特征值相对应地存储起来。

进一步，服务器102可针对每个用户账号按照操作行为消息的接收时间来对相应的特征值进行编号。例如，每个用户账号下的对应多个条目包括特征值以及基于接收时间先后的编号。

在602，服务器102可获取终端101的预定数目的历史特征值，并且根据这些历史特征值来确定用于识别风险的分布函数。

例如，可以确定该多个历史特征值的函数表示h＝s(x)与各个分布函数y＝f(x)的曲线的相似度，选择相似度最高的分布函数以用于后续风险识别。

在603，终端101可向服务器102发送当前操作行为消息，以供服务器102确定该支付行为是否存在风险。

该当前操作行为消息可包括一个或多个行为特征，例如，支付金额、时间、频次等。

在604，服务器102可根据分布函数来确定当前特征的预测值。

例如，服务器102可对当前特征进行编号(例如，将最近接收到的特征的编号递增作为当前特征的编号)，根据分布函数f(x)和当前特征的编号i来确定当前特征的预测值f(i)。

在605，服务器102可获取当前行为特征值。

服务器102在接收到当前操作行为消息之后可对其中包括的行为特征进行量化以生成当前特征值。

在606，可基于当前特征的预测值和当前特征值来确定是否存在风险。

具体而言，如果当前特征值在与预测值相关的预设范围内，则可确定用户的支付行为不存在风险；否则，可确定用户的支付行为存在风险。

在一方面，如果当前特征值小于或等于预测值，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。附加地，如果当前行为特征值小于或等于f(i)+σ，则认为无风险，其中f(i)表示当前特征预测值。

在另一方面，如果当前特征值与预测值之差小于或等于阈值，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。

请注意，以上按照特定顺序描述了用于风险识别的过程，但本领域技术人员将领会，各个步骤的特征可互换。例如，可以响应于接收到当前操作行为消息而执行后续步骤602－606。步骤604和605的顺序也可互换。

在本公开的另一方面，提供了一种使用多种特征来确定是否存在风险的方法。

图7示出了使用多种特征来确定风险级别的方法的流程图。

在步骤701，确定第一种特征的风险分值，如以上关于图5的步骤502所描述的。

在步骤702，确定第二种特征的风险分值。

在步骤703，确定第三种特征的风险分值。

第一种特征、第二种特征和第三种特征可以是与终端102的支付相关的特征，包括但不限于支付金额、支付时间、支付频次等。

请注意，虽然图7示出了确定三种特征的风险分值，但确定更多或更少种类的特征的风险分值也在本公开的构想中。图5的过程是确定一种特征的风险分值的情况。

在步骤704，根据多种特征的风险分值来确定总风险分值。

可以对多种特征的风险分值s_i进行加权求和来确定总风险分值S。

其中ω_i是对应特征s_i的权重，0<ω_i<1。

本领域技术人员可根据实际需要来选择每种特征的权重。

在步骤705，可确定总风险分值S是否大于阈值。

该阈值可以预先确定。例如，根据历史经验来确定该阈值。

本领域技术人员可以根据实际需要来选择恰适的阈值来确定支付操作是否存在风险。

如果在步骤705确定总风险分值大于阈值，则在步骤706，确定存在风险。

如果在步骤705确定总风险分值小于或等于阈值，则在步骤707，确定不存在风险。

使用多种特征来确定是否存在风险可以在判定风险时考虑到各种特征，使得风险识别更为准确。

图8是根据本发明的各方面的用于确定风险级别的装置的框图。

用于确定风险级别的装置800包括量化模块802、存储模块804、分布函数确定模块806、预测模块808以及风险判定模块810。

量化模块802将输入的特征量化为数值表示。如以上在步骤202中所述的。

存储模块804可从量化模块802接收经量化的特征值，并且将特征值与用户账号存储在一起以供后续使用。存储模块804可以针对每种特征存储多个特征值，并且对特征值进行编号。

表1示出了存储模块804中的数据存储的一个示例。

特征类型	特征编号	特征值
			第一特征	1	a<sub>1</sub>
第一特征	2	a<sub>2</sub>
			……	……	……
第一特征	N	a<sub>N</sub>
			……	……	……
第Z特征	1	z<sub>1</sub>
			第Z特征	2	z<sub>2</sub>
……	……	……
			第Z特征	M	z<sub>M</sub>

表1

分布函数确定模块806可以根据多个历史行为特征值来确定用于识别风险的分布函数。例如，可以确定该多个历史行为特征值的函数表示h＝s(i)与各个分布函数y＝f(i)的曲线的相似度，选择相似度最高的分布函数f(x)以用于后续风险识别。如以上在步骤204所述的。

预测模块808可以根据分布函数来确定当前特征的预测值。例如，可对每个行为特征编号，如果当前行为特征的编号为i，则该当前行为特征的预测值为f(i)。如以上在步骤206所述的。

风险判定模块810可以基于当前行为特征的预测值和当前行为特征值来确定终端的操作是否存在风险。如以上在步骤210所述的。

具体而言，如果当前行为特征值在与预测值相关的预设范围内，则可确定用户的支付行为是安全的，不存在风险；否则，可确定用户的支付行为存在风险。

附加地，风险判定模块810可以使用多种特征来确定是否存在风险。

风险判定模块810可接收多种特征的当前特征值和预测值，分别确定每一种特征的风险分值，根据多种特征的风险分值来确定总风险分值，并且根据总风险分值来确定是否存在风险。如以上关于图7所描述的。

本文结合附图阐述的说明描述了示例配置而不代表可被实现或者落在权利要求的范围内的所有示例。本文所使用的术语“示例性”意指“用作示例、实例或解说”，而并不意指“优于”或“胜过其他示例”。本详细描述包括具体细节以提供对所描述的技术的理解。然而，可以在没有这些具体细节的情况下实践这些技术。在一些实例中，众所周知的结构和设备以框图形式示出以避免模糊所描述的示例的概念。

在附图中，类似组件或特征可具有相同的附图标记。此外，相同类型的各个组件可通过在附图标记后跟随短划线以及在类似组件之间进行区分的第二标记来加以区分。如果在说明书中仅使用第一附图标记，则该描述可应用于具有相同的第一附图标记的类似组件中的任何一个组件而不论第二附图标记如何。

结合本文中的公开描述的各种解说性框以及模块可以用设计成执行本文中描述的功能的通用处理器、DSP、ASIC、FPGA或其他可编程逻辑器件、分立的门或晶体管逻辑、分立的硬件组件、或其任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可被实现为计算设备的组合(例如，DSP与微处理器的组合、多个微处理器、与DSP核心协同的一个或多个微处理器，或者任何其他此类配置)。

本文中所描述的功能可以在硬件、由处理器执行的软件、固件、或其任何组合中实现。如果在由处理器执行的软件中实现，则各功能可以作为一条或多条指令或代码存储在计算机可读介质上或藉其进行传送。其他示例和实现落在本公开及所附权利要求的范围内。例如，由于软件的本质，以上描述的功能可使用由处理器执行的软件、硬件、固件、硬连线或其任何组合来实现。实现功能的特征也可物理地位于各种位置，包括被分布以使得功能的各部分在不同的物理位置处实现。另外，如本文(包括权利要求中)所使用的，在项目列举(例如，以附有诸如“中的至少一个”或“中的一个或多个”之类的措辞的项目列举)中使用的“或”指示包含性列举，以使得例如A、B或C中的至少一个的列举意指A或B或C或AB或AC或BC或ABC(即，A和B和C)。同样，如本文所使用的，短语“基于”不应被解读为引述封闭条件集。例如，被描述为“基于条件A”的示例性步骤可基于条件A和条件B两者而不脱离本公开的范围。换言之，如本文所使用的，短语“基于”应当以与短语“至少部分地基于”相同的方式来解读。

计算机可读介质包括非瞬态计算机存储介质和通信介质两者，其包括促成计算机程序从一地向另一地转移的任何介质。非瞬态存储介质可以是能被通用或专用计算机访问的任何可用介质。作为示例而非限定，非瞬态计算机可读介质可包括RAM、ROM、电可擦除可编程只读存储器(EEPROM)、压缩盘(CD)ROM或其他光盘存储、磁盘存储或其他磁存储设备、或能被用来携带或存储指令或数据结构形式的期望程序代码手段且能被通用或专用计算机、或者通用或专用处理器访问的任何其他非瞬态介质。任何连接也被正当地称为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字订户线(DSL)、或诸如红外、无线电、以及微波之类的无线技术从web网站、服务器、或其它远程源传送而来的，则该同轴电缆、光纤电缆、双绞线、数字订户线(DSL)、或诸如红外、无线电、以及微波之类的无线技术就被包括在介质的定义之中。如本文所使用的盘(disk)和碟(disc)包括CD、激光碟、光碟、数字通用碟(DVD)、软盘和蓝光碟，其中盘常常磁性地再现数据而碟用激光来光学地再现数据。以上介质的组合也被包括在计算机可读介质的范围内。

提供本文的描述是为了使得本领域技术人员能够制作或使用本公开。对本公开的各种修改对于本领域技术人员将是显而易见的，并且本文中定义的普适原理可被应用于其他变形而不会脱离本公开的范围。由此，本公开并非被限定于本文所描述的示例和设计，而是应被授予与本文所公开的原理和新颖特征相一致的最广范围。

Claims (31)

1.一种识别终端操作的风险的方法，包括：

获取终端关于一行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于所述行为特征的当前预测值；

获取所述终端关于所述行为特征的当前特征值；以及

根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险。

2.如权利要求1所述的方法，其特征在于，进一步包括：

接收来自所述终端的行为特征；以及

将所述行为特征量化为数值以得到特征值。

3.如权利要求1所述的方法，其特征在于，所述确定用于风险识别的分布函数包括：

使用所述多个历史特征值来构建历史特征曲线；

确定所述历史特征曲线与多个分布函数的曲线的相似度；以及

将与所述历史特征曲线相似度最高的分布函数确定为所述用于风险识别的分布函数。

4.如权利要求1所述的方法，其特征在于，所述确定所述终端操作是否存在风险包括：

将所述当前特征值与所述当前预测值进行比较；

如果所述当前特征值大于所述当前预测值，则确定所述终端操作存在风险；以及

如果所述当前特征值小于或等于所述当前预测值，则确定所述终端操作不存在风险。

5.如权利要求1所述的方法，其特征在于，所述确定所述终端操作是否存在风险包括：

将所述当前特征值同所述当前预测值与预定义偏差之和进行比较；

如果所述当前特征值大于所述当前预测值与预定义偏差之和，则确定所述终端操作存在风险；以及

如果所述当前特征值小于或等于所述当前预测值与所述预定义偏差之和，则确定所述终端操作不存在风险。

6.如权利要求5所述的方法，其特征在于，所述预定义偏差是所述多个历史特征值与所述分布函数上的对应预测值的标准差的平均值。

7.如权利要求1所述的方法，其特征在于，所述确定所述终端操作是否存在风险包括：

将所述当前特征值与所述当前预测值之差与阈值进行比较；

如果所述当前特征值与所述当前预测值之差的绝对值大于阈值，则确定所述终端的操作存在风险；以及

如果所述当前特征值与所述当前预测值之差的绝对值小于或等于所述阈值，则确定所述终端的操作不存在风险。

8.如权利要求1所述的方法，其特征在于，所述确定所述终端操作是否存在风险包括：

根据所述当前特征值与所述当前预测值来确定风险分值；

将所述风险分值与阈值进行比较；

如果所述风险分值大于所述阈值，则确定所述终端操作存在风险；以及

如果所述风险分值小于或等于所述阈值，则确定所述终端操作不存在风险。

9.如权利要求8所述的方法，其特征在于，所述确定风险分值包括：

将所述当前特征值与所述当前预测值之比确定为所述风险分值。

10.如权利要求8所述的方法，其特征在于，所述确定风险分值包括：

确定所述当前特征值和所述当前预测值之间的差值；以及

将所述差值与所述当前预测值之比确定为所述风险分值。

11.如权利要求1所述的方法，其特征在于，进一步包括：

根据所述当前特征值与所述当前预测值来确定所述行为特征的风险分值；

针对所述终端的一个或多个附加行为特征中的每一个附加行为特征：

获取所述终端关于该附加行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于该附加行为特征的当前预测值；

获取所述终端关于该附加行为特征的当前特征值；

根据所述当前特征值与所述当前预测值来确定该附加行为特征的风险分值；以及

根据所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值来确定总风险分值；

根据所述总风险分值来确定所述终端操作是否存在风险。

12.如权利要求11所述的方法，其特征在于，所述根据所述总风险分值来确定所述终端操作是否存在风险包括：

将所述总风险分值与阈值进行比较；

如果所述总风险分值大于所述阈值，则确定所述终端操作存在风险；

如果所述总风险分值小于或等于所述阈值，则确定所述终端操作不存在风险。

13.如权利要求11所述的方法，其特征在于，所述确定总风险分值包括：

将所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值进行加权求和来确定所述总风险分值。

14.如权利要求1所述的方法，其特征在于，进一步包括：

如果确定所述终端操作不存在风险，则将所述当前特征值与所述终端的用户账号相关联地存储在存储器中。

15.如权利要求1所述的方法，其特征在于，所述行为特征包括支付金额、支付时间、和/或支付频次。

16.一种识别终端操作的风险的装置，包括：

用于获取终端关于一行为特征的多个历史特征值的模块；

用于根据所述多个历史特征值来确定用于风险识别的分布函数的模块；

用于根据所述分布函数来确定关于所述行为特征的当前预测值的模块；

用于获取所述终端关于所述行为特征的当前特征值的模块；以及

用于根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险的模块。

17.如权利要求16所述的装置，其特征在于，进一步包括：

用于接收来自所述终端的行为特征的模块；以及

用于将所述行为特征量化为数值以得到特征值的模块。

18.如权利要求16所述的装置，其特征在于，所述用于确定用于风险识别的分布函数的模块包括：

用于使用所述多个历史特征值来构建历史特征曲线的模块；

用于确定所述历史特征曲线与多个分布函数的曲线的相似度的模块；以及

用于将与所述历史特征曲线相似度最高的分布函数确定为所述用于风险识别的分布函数的模块。

19.如权利要求16所述的装置，其特征在于，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值与所述当前预测值进行比较的模块；

用于如果所述当前特征值大于所述当前预测值，则确定所述终端操作存在风险的模块；以及

用于如果所述当前特征值小于或等于所述当前预测值，则确定所述终端操作不存在风险的模块。

20.如权利要求16所述的装置，其特征在于，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值同所述当前预测值与预定义偏差之和进行比较的模块；

用于如果所述当前特征值大于所述当前预测值与预定义偏差之和，则确定所述终端操作存在风险的模块；以及

用于如果所述当前特征值小于或等于所述当前预测值与所述预定义偏差之和，则确定所述终端操作不存在风险的模块。

21.如权利要求20所述的装置，其特征在于，所述预定义偏差是所述多个历史特征值与所述分布函数上的对应预测值的标准差的平均值。

22.如权利要求16所述的装置，其特征在于，所述用于确定所述终端操作是否存在风险的模块包括：

用于将所述当前特征值与所述当前预测值之差与阈值进行比较的模块；

用于如果所述当前特征值与所述当前预测值之差的绝对值大于阈值，则确定所述终端的操作存在风险的模块；以及

用于如果所述当前特征值与所述当前预测值之差的绝对值小于或等于所述阈值，则确定所述终端的操作不存在风险的模块。

23.如权利要求16所述的装置，其特征在于，所述用于确定所述终端操作是否存在风险包括：

用于根据所述当前特征值与所述当前预测值来确定风险分值的模块；

用于将所述风险分值与阈值进行比较的模块；

用于如果所述风险分值大于所述阈值，则确定所述终端操作存在风险的模块；以及

用于如果所述风险分值小于或等于所述阈值，则确定所述终端操作不存在风险的模块。

24.如权利要求23所述的装置，其特征在于，所述用于确定风险分值的模块包括：

用于将所述当前特征值与所述当前预测值之比确定为所述风险分值的模块。

25.如权利要求23所述的装置，其特征在于，所述用于确定风险分值的模块包括：

用于确定所述当前特征值和所述当前预测值之间的差值的模块；以及

用于将所述差值与所述当前预测值之比确定为所述风险分值的模块。

26.如权利要求16所述的装置，其特征在于，进一步包括：

用于根据所述当前特征值与所述当前预测值来确定所述行为特征的风险分值的模块；

用于针对所述终端的一个或多个附加行为特征中的每一个附加行为特征执行以下操作的模块：

获取所述终端关于该附加行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于该附加行为特征的当前预测值；

获取所述终端关于该附加行为特征的当前特征值；

根据所述当前特征值与所述当前预测值来确定该附加行为特征的风险分值；以及

用于根据所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值来确定总风险分值的模块；

用于根据所述总风险分值来确定所述终端操作是否存在风险的模块。

27.如权利要求26所述的装置，其特征在于，所述用于根据所述总风险分值来确定所述终端操作是否存在风险的模块包括：

用于将所述总风险分值与阈值进行比较的模块；

用于如果所述总风险分值大于所述阈值，则确定所述终端操作存在风险的模块；

用于如果所述总风险分值小于或等于所述阈值，则确定所述终端操作不存在风险的模块。

28.如权利要求26所述的装置，其特征在于，所述用于确定总风险分值的模块包括：

用于将所述行为特征的风险分值和所述一个或多个附加行为特征的风险分值进行加权求和来确定所述总风险分值的模块。

29.如权利要求16所述的装置，其特征在于，进一步包括：

用于如果确定所述终端操作不存在风险，则将所述当前特征值与所述终端的用户账号相关联地存储在存储器中的模块。

30.如权利要求16所述的装置，其特征在于，所述行为特征包括支付金额、支付时间、和/或支付频次。

31.一种装置，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：

获取终端关于一行为特征的多个历史特征值；

根据所述多个历史特征值来确定用于风险识别的分布函数；

根据所述分布函数来确定关于所述行为特征的当前预测值；

获取所述终端关于所述行为特征的当前特征值；以及

根据所述当前特征值和所述当前预测值来确定所述终端操作是否存在风险。