异常行为检测方法、装置和可读存储介质与流程

本申请涉及计算机技术领域，特别是涉及一种异常行为检测方法、装置和计算机可读存储介质。

背景技术：

随着计算机技术的发展，人们的休闲娱乐方式发生了很大变化，出现了许多网络活动，例如多人在线竞技战术游戏。多人在线竞技战术游戏中的任何一个用户的操作都影响对局的胜负，而一些用户对局中往往会出现一些恶意行为。这些恶意行为极大地影响了对局的胜负，长期来看这些问题将影响到整个游戏的活跃度和生命周期。

目前主要是基于规则识别用户是否存在恶意行为，但是基于规则的方法只能识别特定的情况，容易出现漏判，识别不准确。

技术实现要素：

基于此，有必要针对用户行为识别不准确的技术问题，提供一种异常行为检测方法、装置和计算机可读存储介质。

一种异常行为检测方法，包括：

获取用户标识的当前状态；

根据所述用户标识的当前状态获取所述用户标识对应的用户行为数据；

根据所述用户行为数据确定所述用户标识存在异常行为的概率值；

当所述用户标识存在异常行为的概率值超过阈值时，确定所述当前状态下的用户标识为异常用户标识。

一种异常行为检测装置，其特征在于，所述装置包括：

状态获取模块，用于获取用户标识的当前状态；

数据获取模块，用于根据所述用户标识的当前状态获取所述用户标识对应的用户行为数据；

确定模块，用于根据所述用户行为数据确定所述用户标识存在异常行为的概率值；

判定模块，用于当所述用户标识存在异常行为的概率值超过阈值时，确定所述当前状态下的用户标识为异常用户标识。

一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如上述任一项所述方法的步骤。

上述异常行为检测方法、装置和计算机可读存储介质，通过获取用户标识的当前状态，并根据该用户标识的当前状态获取该用户标识对应的用户行为数据，使得不同状态下可获取不用的特征数据。根据该用户行为数据确定该用户标识存在异常行为的概率值，能够确定不同状态下用户标识是否存在恶意行为。当该用户标识存在异常行为的概率值超过阈值时，确定该当前状态下的用户标识为异常用户标识，使得模型能够针对不同的状态使用不同的行为数据，以识别不同状态下的恶意行为。使得模型可识别的情况更广泛，并且识别更准确。

附图说明

图1为一个实施例中异常行为检测方法的应用环境图；

图2为一个实施例中异常行为检测方法的流程示意图；

图3为另一个实施例中异常行为检测方法的流程示意图；

图4为一个实施例中确定概率值的步骤的流程示意图；

图5为一个实施例中用户标识的举报关系图；

图6为一个实施例中用户标识的点赞关系图；

图7为另一个实施例中异常行为检测方法的流程示意图；

图8为一个实施例中获取行为序列数据的步骤的流程示意图；

图9为一个实施例中异常行为检测模型的网络结构图；

图10为一个实施例中编码和拼接处理的步骤的流程示意图；

图11为另一个实施例中异常行为检测方法的流程示意图；

图12为其中一个实施例中异常行为检测方法的流程示意图；

图13为一个实施例中异常行为检测装置的结构框图；

图14为一个实施例中计算机设备的结构框图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

图1为一个实施例中异常行为检测方法的应用环境图。参照图1，该异常行为检测方法应用于异常行为检测系统。该异常行为检测系统包括终端110和服务器120。终端110和服务器120通过网络连接。终端110具体可以是台式终端或移动终端，移动终端具体可以手机、平板电脑、笔记本电脑等中的至少一种。服务器120可以用独立的服务器或者是多个服务器组成的服务器集群来实现。在本实施例中，用户标识的不同状态可对应不同的预测模型。进入虚拟交互场景前的用户标识存在异常行为的概率通过第一预测模型检测，并且该第一预测模型可存储在服务器120上。处于虚拟交互场景中的用户标识存在异常行为的概率可通过第二预测模型检测，并且该第二预测模型可存储在终端110上。退出虚拟交互场景后的用户标识存在异常行为的概率可通过第三预测模型检测，并且该第三预测模型可存储在服务器120上。进一步地，三个状态下的用户标识可为不同的用户标识，也可以是同一用户标识。

如图2所示，在一个实施例中，提供了一种异常行为检测方法。本实施例主要以该方法应用于上述图1中的终端110(或服务器120)来举例说明。参照图2，该异常行为检测方法具体包括如下步骤：

步骤202，获取用户标识的当前状态。

其中，用户的标识可以是用户的昵称、用户的账号标识等，一个用户对应一个唯一标识。用户标识的当前状态包括用户标识进入虚拟交互场景前、处于虚拟交互场景中和退出虚拟交互场景后这三种状态。

具体地，计算机设备检测用户标识当前处于进入虚拟交互场景前、处于虚拟交互场景中和退出虚拟交互场景后三种状态中的哪一种。

在本实施例中，计算机设备可检测用户标识是否发出了匹配请求，或者是否接受了其它用户的匹配请求，以及该用户标识是否刚退出虚拟交互场景。当以上三种情况均未检测到时，判定该用户标识的当前状态为进入虚拟交互场景前。当检测到用户标识进入了虚拟交互场景时，判定该用户标识的当前状态为处于虚拟交互场景前中。当检测到用户标识刚退出了虚拟交互场景，判定该用户标识的当前状态为退出虚拟交互场景后。

步骤204，根据该用户标识的当前状态获取该用户标识对应的用户行为数据。

其中，用户行为数据为用户标识产生的，以及与用户标识相关的数据。同一用户标识不同状态下获取的行为数据不相同。例如，用户标识发出的与其它用户标识之间的会话信息为该用户标识产生的行为数据，被其他用户标识举报的信息非该用户标识产生的，但该被举报的对象是该用户标识，则被举报的信息为与该用户标识相关的数据。

具体地，计算机设备检测出用户标识的当前状态后，可获取该用户标识在该当前状态下的该用户标识对应的行为数据。当该用户标识当前的状态为进入虚拟交互场景前，则计算机设备获取该用户标识的历史行为数据。当该用户标识当前的状态为处于虚拟交互场景时，则计算机设备获取该用户标识的行为序列数据。当该用户标识当前的状态为退出虚拟交互场景后，则计算机设备获取该用户标识的全局行为数据。

步骤206，根据该用户行为数据确定该用户标识存在异常行为的概率值。

具体地，计算机设备可将用户行为数据输入预测模型，得到预测模型输出的该用户标识存在异常行为的概率。

在本实施中，用户标识的不同状态对应不同的预测模型。计算机设备检测出用户标识的当前状态后，可确定该当前状态对应的预测模型。接着，计算机设备可将当前状态下的用户行为数据输入对应的预测模型，得到预测模型输出的该用户标识在该当前状态下的存在异常行为的概率值。例如，用户标识进入虚拟交互场景前该状态对应第一预测模型，用户标识处于虚拟交互场景中该状态对应第二预测模型，用户标识退出虚拟交互场景后该状态对应第三预测模型。

步骤208，当该用户标识存在异常行为的概率值超过阈值时，确定该当前状态下的用户标识为异常用户标识。

其中，阈值是指预先设置的界限值，用于判断用户标识是否为异常用户标识。并且，不同状态下设置的阈值可以相同，也可以不相同。例如，进入虚拟交互场景前、处于虚拟交互场景时和退出虚拟交互场景后三种状态可对应相同的阈值，也可分别设置不同的阈值。例如，三种状态对应的阈值都为0.5，或者进入虚拟交互场景前对应的阈值为0.5，处于虚拟交互场景时对应的阈值为0.4，退出虚拟交互场景后对应的阈值为0.6等。

具体地，计算机设备获取阈值，并将该用户标识对应概率值与阈值进行对比。当用户标识存在异常行为的概率值小于或等于阈值时，判定当前状态下的用户标识非异常用户标识。当该用户标识存在异常行为的概率值超过阈值时，判定该当前状态下的用户标识为异常用户标识。

在本实施例中，计算机设备可获取当前状态对应的阈值，将得到的用户标识存在异常行为的概率值与阈值进行对比，以确定当前状态下的用户标识是否为异常用户标识。

上述异常行为检测方法，通过获取用户标识的当前状态，并根据该用户标识的当前状态获取该用户标识对应的用户行为数据，使得不同状态下可获取不用的特征数据。根据该用户行为数据确定该用户标识存在异常行为的概率值，能够确定不同状态下用户标识是否存在恶意行为。当该用户标识存在异常行为的概率值超过阈值时，确定该当前状态下的用户标识为异常用户标识，使得模型能够针对不同的状态使用不同的行为数据，以识别不同状态下的恶意行为。使得预测模型可识别的情况更广泛，并且识别更准确。

在一个实施例中，该用户标识的当前状态为进入虚拟交互场景前；该根据该用户标识的当前状态获取该用户标识对应的用户行为数据包括：获取该用户标识的历史行为数据，该历史行为数据包括历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据，该历史交互数据为该用户标识在虚拟交互场景中产生的数据；

该根据该用户行为数据确定该用户标识存在异常行为的概率值，包括：根据该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据确定该用户标识存在异常行为的概率值。

其中，历史行为数据是指该用户标识已发生过的行为所产生的数据和与该用户标识相关的数据。历史交互数据是指该用户标识进入虚拟交互场景进行交互的次数和该用户标识每次在虚拟交互场景中产生的数据。历史被举报数据是指一个用户标识被虚拟交互场景中的其它用户标识举报的次数和被举报的信息。历史被扣分数据是指一个用户标识被扣除信用度积分的次数和每次被扣除的分值。历史被点赞数据是指一个用户标识被虚拟交互场景中的其它用户标识点赞的次数。

具体地，当计算机设备检测到该用户标识处于进入虚拟交互场景前的状态时，获取该用户标识在虚拟交互场景中交互的次数和该用户标识每次在虚拟交互场景中产生的数据、该用户标识在虚拟交互场景中的其它用户标识举报的次数和被举报的信息、该用户标识被扣除信用度积分的次数和每次被扣除的分值，以及该用户标识被虚拟交互场景中的其它用户标识点赞的次数。接着，计算机设备可将该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据输入第一预测模型，以确定该用户标识存在异常行为的概率值。则计算机设备可得到该第一预测模型输出的该用户标识在进入虚拟交互场景前存在异常行为的概率值。

上述异常行为检测方法，通过获取在进入虚拟交互场景前的用户标识的历史行为数据，通过历史行为数据检测该用户标识可能会发生恶意行为的概率。从历史行为数据预测该用户标识是否为异常用户标识，能够预防该异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

在一个实施例中，该方法还包括：当该用户标识存在异常行为的概率值超过阈值时，为该用户标识匹配概率值超过该阈值的其余用户标识。

具体地，当计算机设备检测到该用户标识存在异常行为的概率值超过阈值时，为该用户标识匹配概率值超过阈值的其余用户标识。通过为异常行为的概率值超过阈值的用户标识匹配其他概率值超过该阈值的用户标识，能够将正常用户标识和异常用户标识有效分类，可以极大地减少异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

在一个实施例中，该方法还包括：当该用户标识存在异常行为的概率值超过阈值时，确定当前状态下的用户标识为异常用户标识，则为该用户标识匹配概率值超过该阈值的其余用户标识。

具体地，当计算机设备检测到该用户标识存在异常行为的概率值超过阈值时，判定该当前状态下的用户标识为异常用户标识，则计算机设备为该异常用户标识匹配其它概率值超过该阈值的其余用户标识。通过为异常用户标识匹配其它异常用户标识，极大地减少异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

在一个实施例中，如图3所示，提供了一种异常行为检测方法，包括：

步骤302，当该用户标识的当前状态为进入虚拟交互场景前，获取该用户标识的历史行为数据，该历史行为数据包括历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据，该历史交互数据为该用户标识在虚拟交互场景中产生的数据。

步骤304，根据该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据确定该用户标识存在异常行为的概率值。

步骤306，当该用户标识存在异常行为的概率值超过阈值时，为该用户标识匹配概率值超过该阈值的其余用户标识。

具体地，当计算机设备检测到该用户标识处于进入虚拟交互场景前的状态时，获取该用户标识的历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数。接着，计算机设备可将该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据输入第一预测模型，以确定该用户标识存在异常行为的概率值。计算机设备可得到该第一预测模型输出的该用户标识在进入虚拟交互场景前存在异常行为的概率值。计算机设备获取阈值，将第一预测模型输出的概率值和阈值进行对比，当该概率值超过阈值时，为该用户标识匹配概率值超过阈值的其余用户标识。

上述异常行为检测方法，通过获取进入虚拟交互场景前的用户标识的历史行为数据，并根据历史行为数据确定该用户标识可能存在恶意行为的概率值，使得预测模型可根据不同状态下的不同行为数据预测用户标识可能存在恶意行为的概率，识别更精确。当概率值超过阈值时，为该用户标识匹配其他概率值超过该阈值的用户标识，能够将正常用户标识和异常用户标识有效分类，可以避免异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

在一个实施例中，如图4所示，该根据该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据确定该用户标识存在异常行为的概率值，包括：

步骤402，根据该历史交互数据、历史被举报数据和历史被扣分数据确定该用户标识的被举报分值。

具体地，计算机设备根据该用户标识的历史交互数据、历史被举报的次数和历史被扣分的次数以及被扣的分值，计算出该用户标识的被举报分值。例如，计算机设备根据公式(1)计算出用户标识对应的被举报分值，

其中s(i)为用户标识i的被举报得分，α＝0.8，i和j代表用户标识，j代表指向i的用户标识，s(j)代表用户标识j的被举报得分，o(j)代表指向用户标识i的用户标识的总数，m代表用户标识的总数量。

如图5所示，为一个实施例中用户标识的举报关系图。由于虚拟交互场景中的用户标识比较多，将每个用户标识抽象成图中的一个节点，用户标识举报的关系抽象成图中的有向边，即可得到如图5所示的举报关系图。其中，a、b和c为不同的用户标识。有向边表示用户标识之间的指向关系。在本实施例中，用户标识a指向用户标识b，代表用户标识a举报了用户标识b。用户标识b指向用户标识c，代表用户标识b成功举报了用户标识c，并且用户标识c被扣了信用度积分。根据该举报关系图可计算出用户标识的被举报分值。

步骤404，根据该历史交互数据和历史被点赞数据确定该用户标识的被点赞分值。

具体地，计算机设备根据该用户标识的历史交互数据、历史被点赞的次数，计算出该用户标识的被点赞分值。例如，计算机设备根据公式(2)计算出用户标识对应的被点赞分值，

其中，s(r)为用户标识r的被点赞得分，β＝0.8，r和t代表用户标识，t代表指向r的用户标识，s(t)代表用户标识t的被点赞得分，o(t)代表指向用户标识r的用户标识的总数，m代表用户标识的总数量。

步骤406，根据该用户标识的被举报分值和被点赞分值确定该用户标识存在异常行为的概率值。

具体地，计算机设备得到该用户标识的被举报分值和被点赞分值后，可根据公式(3)计算出该用户标识存在异常行为的概率值，

s＝0.5(s(i)-s(r))(3)

其中，s为用户标识存在异常行为的概率值。s(i)为用户标识i的被举报得分，s(r)为用户标识r的被点赞得分。需要注意的是，这里的被举报分值和被点赞分值都对应同一用户标识，即这里的用户标识i和用户表示r为同一用户标识。

如图6所示，为一个实施例中用户标识的点赞关系图。类似地，将每个用户标识抽象成点赞关系图中的一个节点，用户标识点赞的关系抽象成图中的有向边，即可得到如图5所示的点赞关系图。其中，a、b和c为不同的用户标识。有向边表示用户标识之间的指向关系。在本实施例中，用户标识a指向用户标识b，代表用户标识a点赞了用户标识b。用户标识b指向用户标识c，代表用户标识b点赞了用户标识c。根据该点赞关系图可计算出用户标识的被点赞分值。

上述异常行为检测方法，通过历史交互数据、历史被举报数据和历史被扣分数据确定该用户标识的被举报分值，根据该历史交互数据和历史被点赞数据确定该用户标识的被点赞分值，根据该用户标识的被举报分值和被点赞分值确定该用户标识存在异常行为的概率值，增加了被举报分值和被点赞分值作为预测的特征，使得预测模型识别更准确。

在一个实施例中，该当该用户标识存在异常行为的概率值超过阈值时，为该用户标识匹配概率值超过该阈值的其余用户标识，包括：当该用户标识存在异常行为的概率值超过阈值时，将该用户标识加入黑名单，该黑名单中包括异常行为的概率值超过该阈值的用户标识；当接收到该用户标识的匹配请求时，为该用户标识匹配该黑名单中的其余用户标识。

具体地，当计算机设备检测到用户标识存在异常行为的概率超过阈值时，判定该用户标识在当前状态下为异常用户标识，则计算机设备将该用户标识加入黑名单。黑名单中的用户标识都为异常行为的概率值超过该阈值的用户标识，即黑名单中存放的都是异常用户标识。接着，当计算机设备接收到该用户标识的匹配请求时，从该黑名单中为该用户标识匹配其它用户标识。

在本实施例中，将该用户标识加入黑名单，还包括：确定黑名单中的各用户标识对应的能力值。当计算机设备接收到该用户标识的匹配请求时，确定黑名单中的其余用户标识对应的能力值与需要匹配的用户标识的能力值相同，或者两者的差值在预设范围内的用户标识，即可得到该用户标识的匹配对象。

上述异常行为检测方法，当该用户标识存在异常行为的概率值超过阈值时，将该用户标识加入黑名单，以将异常用户标识与正常用户标识进行分类，实现异常用户标识的归类处理。当接收到该用户标识的匹配请求时，为该用户标识匹配该黑名单中的其余用户标识，从而使得异常标识只能匹配到其它异常用户标识，避免异常用户标识匹配到正常用户标识的情况，降低对正常用户标识的伤害。

在一个实施例中，如图7所示，该用户标识的当前状态为处于虚拟交互场景中；该根据该用户标识的当前状态获取该用户标识对应的用户行为数据，包括：

步骤702，获取该用户标识的行为序列数据，该行为序列数据包括该用户标识的位置信息、能力属性和该用户标识对应的会话信息。

其中，行为序列数据是指用户标识在虚拟交互场景中产生的数据。位置信息是指用户标识在虚拟交互场景中的坐标。能力属性包括用户标识在虚拟交互场景中的死亡次数、死亡占团队的百分比和kda值(kill、death、assist，击杀、死亡、助攻)。会话信息是指用户标识在虚拟交互场景中与其他用户标识之间的会话信息，该会话信息可以是语音、文字等。

具体地，当计算机设备检测到用户标识的当前状态为处于虚拟交互场景中时，计算机设备获取该用户标识在虚拟交互场景中的坐标、该用户标识在虚拟交互场景中的死亡次数、死亡占团队的百分比和该用户标识的kda值，以及该用户标识与其它用户标识之间的会话信息。

该根据该用户行为数据确定该用户标识存在异常行为的概率值，包括：

步骤704，根据该用户标识的位置信息、能力属性和该用户标识对应的会话信息，确定该用户标识处于虚拟交互场景时存在异常行为的概率值。

具体地，计算机设备确定处于虚拟交互场景中时对应的第二预测模型，将该用户标识在虚拟交互场景中的坐标、该用户标识在虚拟交互场景中的死亡次数、死亡占团队的百分比和该用户标识的kda值，以及该用户标识与其它用户标识之间的会话信息输入第二预测模型，通过第二预测模型预测得到该用户标识处于虚拟交互场景时存在异常行为的概率值。

该方法还包括：

步骤706，当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，对该用户标识发出警告信息。

其中，警告信息是指对处于虚拟交互场景中的异常用户标识发出的警醒信息，以避免用户标识持续性的存在异常行为。

具体地，当计算机设备检测到该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，判定该用户标识在处于虚拟交互场景中属于异常用户标识，则计算机设备对当前处于虚拟交互场景中的该用户标识发出警告信息。

在本实施例中，计算机设备可在虚拟交互场景中通过弹窗或悬浮窗形式输出对该用户标识的文本警告信息，也可以通过语音输出对该用户标识的警告信息。

上述异常行为检测方法，通过获取处于虚拟交互场景中的用户标识的行为序列数据，根据该用户标识的行为序列数据确定该用户标识处于虚拟交互场景时存在异常行为的概率值，以判断该用户标识是否为异常用户标识。当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，对该用户标识发出警告信息，以对该异常用户标识进行警告惩罚，从而减少正常用户标识的负面体验。

在一个实施例中，如图8所示，该获取该用户标识的行为序列数据，包括：

步骤802，按照预设时间间隔获取该用户标识的行为序列数据，得到当前时间段的行为序列数据。

其中，预设时间是指预先设置的获取用户标识的行为序列数据的间隔时间。例如，每隔5分钟、10分钟或15分钟获取一次用户标识的行为序列数据。

具体地，计算机设备从用户标识进入虚拟交互场景开始计时，当用户标识进入虚拟交互场景中的时间达到第一个预设时间间隔时，计算机设备获取该用户标识进入虚拟交互场景至达到第一个预设时间间隔时的行为序列数据，得到第一个时间段内该用户标识对应的行为序列数据。接着，计算机设备从第一个时间段的下一个时刻开始计时，当达到第二个预设时间间隔时，计算机设备获取该用户标识从第一个时间段的下一个时刻开始至达到第二个预设时间间隔时的行为序列数据，得到第二个时间段内该用户标识对应的行为序列数据。类似地，计算机设备可得到该用户标识在该虚拟交互场景中的每个时间段的行为序列数据。当该用户标识得到虚拟交互结果时，表示该用户标识在该虚拟交互场景中的交互结束，则停止计时。

该根据该用户标识的位置信息、能力属性和该用户标识对应的会话信息，确定该用户标识存在异常行为的概率，包括：

步骤804，将该当前时间段的行为序列数据进行编码和拼接处理。

其中，编码是将信息从一种形式转化为另一种形式的过程。拼接是指将离散的数据连接以得到连续的数据。

i具体地，计算机设备得到当前时间段的行为时间序列数据后，可将当前时间段的行为时间序列数据输入第二预测模型。第二预测模型接收行为时间序列数据，并对行为序列数据进行一一编码，得到编码后的行为序列数据。接着，第二预测模型将编码后的行为序列数据进行拼接，得到当前时间段的拼接处理后的行为序列数据。

步骤806，获取该用户标识在当前时间段之前的其余时间段的经过编码和拼接处理后的行为序列数据。

具体地，计算设备获取当前时间段之前的其它时间段对应的行为序列数据，并且是经过编码和拼接处理后的行为序列数据。例如，当前时间段为第三个时间段，则计算机设备获取第一个时间段和第二个时间段分别对应的经过编码和拼接处理后的行为序列数据。

步骤808，将每个时间段的经过编码和拼接处理后的行为序列数据输入循环神经网络和深度神经网络，得到该用户标识处于虚拟交互场景时存在异常行为的概率值。

具体地，计算机设备通过第二预测模型将每个时间段对应的经过编码和拼接处理的行为序列数据输入该第二预测模型中的循环神经网络内，并将循环神经网络的输出输入到深度神经网络中，得到深度神经网络的输出层输出的预测值。该预测值即为处于虚拟交互场景中的该用户标识从进入虚拟交互场景起至当前时间段内存在异常行为的概率值。

在本实施例中，第二预测模型按照行为序列数据对应的时间段的先后顺序，将每个时间段的经过编码和拼接后的行为序列数据再次进行拼接，得到从第一个时间段至当前时间段的进行拼接后的行为序列数据。接着，第二预测模型将拼接后的行为序列数据输入该第二预测模型中的循环神经网络内，并将循环神经网络的输出输入到深度神经网络中，得到深度神经网络的输出层输出的预测值。

上述异常行为检测方法，通过按照预设时间间隔获取该用户标识的行为序列数据，得到当前时间段的行为序列数据，将该当前时间段的行为序列数据进行编码和拼接处理，并获取该用户标识在当前时间段之前的其余时间段的经过编码和拼接处理后的行为序列数据，得到每个时间段的拼接好的行为序列数据。将每个时间段的经过编码和拼接处理后的行为序列数据输入循环神经网络和深度神经网络，得到该用户标识处于虚拟交互场景时存在异常行为的概率值。使得可以通过预测模型检测用户标识在虚拟交互场景中的每个时间段内出现异常行为的概率，能够针对不用的状态采集不同的数据进行检测，从而更准确地识别异常行为和异常用户标识。

如图9所示，为一个实施例中异常行为检测模型的网络结构图。每隔t时间获取一次用户标识处于虚拟交互场景中的行为序列数据，得到该用户标识t1时段至tn时段的每个时段的行为序列数据。从该用户标识进入虚拟交互场景开始计时，当用户标识进入虚拟交互场景中的时间达到t1时刻时，获取该用户标识从进入虚拟交互场景至t1时刻内的行为序列数据，得到t1时段的行为序列数据。将t1时段的行为序列数据输入第二预测模型的卷积层和池化层进行编码处理，得到输出的激活值。接着，输入全连接层进行拼接，然后输入隐层，通过输出层得到t1时段该用户标识存在异常行为的概率值。接着，从t1时刻的下一时刻开始计时，当达到另一个t时间间隔时，获取该用户标识从t1时刻的下一时刻至t2时刻的行为序列数据，得到t2时段的行为序列数据。接着，计算机设备将t2时刻的行为序列数据按照相同的方式进行处理，得到t2时段的拼接好的密集特征。并将t1时段的隐层的输出和t2时段的拼接好的密集特征输入下一层隐层，通过输出层得到t1至t2时段内该用户标识存在异常行为的概率值。类似地，可得到t1至tn时段内该用户标识存在异常行为的概率值。

在一个实施例中，如图10所示，该将该行为序列数据进行编码和拼接处理，包括：

步骤1002，将该行为序列数据中的位置信息通过卷积神经网络进行编码。

具体地，计算机设备确定该行为序列数据中的类似图像的特征，例如该行为序列数据中的位置信息。通过第二预测模型的卷积神经网络对行为序列数据中的位置信息进行编码。

步骤1004，将该行为序列数据中能力属性和该用户标识对应的会话信息通过深度神经网络进行编码。

具体地，能力属性包括该用户标识在虚拟交互场景中的死亡次数、死亡占团队的百分比和该用户标识的kda值。计算机设备可先提取该用户标识对应的会话信息中的特征词，得到会话信息中的关键信息。接着，计算机设备将用户标识在虚拟交互场景中的死亡次数、死亡占团队的百分比和该用户标识的kda值，以及该用户标识对应的会话信息中的特征词输入第二预测模型中，第二预测模型通过内部的深度神经网络对这些特征进行编码。

步骤1006，将该编码后的位置信息、能力属性和该用户标识对应的会话信息进行拼接处理。

具体地，第二预测模型将深度神经网络的输出的编码后的特征进行拼接，得到当前时间段的该用户标识拼接后的行为序列数据。

上述异常行为检测方法，将该行为序列数据中的位置信息通过卷积神经网络进行编码，将该行为序列数据中能力属性和该用户标识对应的会话信息通过深度神经网络进行编码，能够将不同类型的特征分别编码。通过将不同的特征采用不同的神经网络进行编码，可提高编码的效率，从而提高模型检测的效率。

在一个实施例中，如图11所示，该用户标识的当前状态为退出虚拟交互场景后；该根据该用户标识的当前状态获取该用户标识对应的用户行为数据包括：

步骤1102，获取该用户标识的全局行为数据，该全局行为数据包括该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，该虚拟交互结果是该用户标识在虚拟交互场景中获得的虚拟对象交互的结果。

其中，全局行为数据包括该用户标识在刚结束的虚拟交互场景后的被举报数据，该用户标识在虚拟交互场景中获得的虚拟对象交互的结果和该用户标识处于虚拟交互场景时的每个时间段的行为序列数据。该虚拟交互结果是该用户标识在虚拟交互场景中获得的虚拟对象交互结束后得到的结果。

具体地，当计算机设备检测到用户标识退出虚拟交互场景后，获取该用户标识在刚退出的虚拟交互场景后被其他用户标识举报的信息。并获取该用户标识在虚拟交互场景中获得的虚拟对象交互结束后获得的结果，以及获取该用户标识在刚退出的虚拟交互场景中的每个时间段对应的拼接好的行为序列数据。

该根据该用户行为数据确定该用户标识存在异常行为的概率值，包括：

步骤1104，根据该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，确定该用户标识存在异常行为的概率值。

接着，计算机设备将该用户标识在刚退出的虚拟交互场景后被其他用户标识举报的信息和在虚拟交互场景中获得的虚拟对象交互结束后获得的结果输入第三预测模型。其中，第三预测模型是用于预测用户标识在刚退出的虚拟交互场景中存在异常行为的总概率的模型。第三预测模型将该用户标识的被举报信息和交互结果进行编码。接着将编码后的被举报信息和交互结果以及每个时间段对应的拼接好的行为序列数据进行拼接首尾拼接，并经过第三预测模型的各层神经网络和深度神经网络，输出该用户标识存在异常行为的概率值。

该方法还包括：

步骤1106，当该用户标识存在异常行为的概率值超过阈值时，扣除该用户标识的信用度积分。

其中，信用度积分是指用户标识在每次虚拟交互场景结束后得到的累计分值。

具体地，当计算机设备检测到该用户标识存在异常行为的概率值超过阈值时，判定该用户标识在刚结束的虚拟交互场景存在恶意行为，该用户标识为异常用户标识。则计算机设备扣除该用户标识的信用度积分。

在本实施例中，计算机设备获取预设分值，该预设分值是指预先设置的每次扣除的分值。接着，计算机设备从该用户标识的信用度积分中扣除预设的分值。

在上述异常行为检测方法中，通过检测用户标识的全局行为数据，增加了用户标识的被举报信息和交互结果以判断用户标识在虚拟交互场景中是否存在恶意行为，使得预测模型识别的范围更广，使用更多的特征以识别用户标识的行为，使得预测模型识别更准确。

在一个实施例中，当计算机设备接到用户标识对一个用户标识的举报信息后，计算机设备获取该被举报的用户标识的全局行为数据。通过全局行为数据确定该被举报的用户标识是否存在恶意行为并进行相应地处理。通过接收到举报信息时，检测被举报的用户标识是否为异常用户标识，只对可疑的用户标识进行检测，避免了直接检测每个用户标识而导致的不必要工作量，提高模型检测的效率。

在一个实施例中，该异常行为检测方法，包括：

计算机设备获取用户标识的当前状态；

可选地，当计算机设备检测到该用户标识的当前状态为进入虚拟交互场景前，计算机设备获取该用户标识的历史行为数据，该历史行为数据包括历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据，该历史交互数据为该用户标识在虚拟交互场景中产生的数据；计算机设备根据该历史交互数据、历史被举报数据和历史被扣分数据确定该用户标识的被举报分值；计算机设备根据该历史交互数据和历史被点赞数据确定该用户标识的被点赞分值；计算机设备根据该用户标识的被举报分值和被点赞分值确定该用户标识存在异常行为的概率值；当该用户标识存在异常行为的概率值超过阈值时，计算机设备确定该当前状态下的用户标识为异常用户标识，当该用户标识存在异常行为的概率值超过阈值时，计算机设备将该用户标识加入黑名单，该黑名单中包括异常行为的概率值超过该阈值的用户标识；当接收到该用户标识的匹配请求时，计算机设备为该用户标识匹配该黑名单中的其余用户标识。

可选地，当计算机设备检测到该用户标识的当前状态为处于虚拟交互场景中；计算机设备按照预设时间间隔获取该用户标识的行为序列数据，得到当前时间段的行为序列数据，该行为序列数据包括该用户标识的位置信息、能力属性和该用户标识对应的会话信息；计算机设备将该行为序列数据中的位置信息通过卷积神经网络进行编码；计算机设备将该行为序列数据中能力属性和该用户标识对应的会话信息通过深度神经网络进行编码；计算机设备将该编码后的位置信息、能力属性和该用户标识对应的会话信息进行拼接处理；计算机设备获取该用户标识在当前时间段之前的其余时间段的经过编码和拼接处理后的行为序列数据；计算机设备将每个时间段的经过编码和拼接处理后的行为序列数据输入循环神经网络和深度神经网络，得到该用户标识处于虚拟交互场景时存在异常行为的概率值。当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，计算机设备确定该当前状态下的用户标识为异常用户标识，对该用户标识发出警告信息。

可选地，当计算机设备检测到该用户标识的当前状态为退出虚拟交互场景后；获取该用户标识的全局行为数据，该全局行为数据包括该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，该虚拟交互结果是该用户标识在虚拟交互场景中获得的虚拟对象交互的结果；计算机设备根据该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，确定该用户标识存在异常行为的概率值；当该用户标识存在异常行为的概率值超过阈值时，计算机设备确定该当前状态下的用户标识为异常用户标识，则扣除该用户标识的信用度积分。

上述异常行为检测方法，通过获取进入虚拟交互场景前的用户标识的历史行为数据，可预测该用户标识在进入虚拟交互场景前存在恶意行为的概率值，使得预测模型可根据不同状态下的不同行为数据预测用户标识可能存在恶意行为的概率，识别更精确。当概率值超过阈值时，为该用户标识匹配其他概率值超过该阈值的用户标识，能够将正常用户标识和异常用户标识有效分类，可以避免异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

通过获取处于虚拟交互场景中的用户标识的行为序列数据，根据该用户标识的行为序列数据确定该用户标识处于虚拟交互场景时存在异常行为的概率值，以判断该用户标识是否为异常用户标识。当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，对该用户标识发出警告信息，以对该异常用户标识进行警告惩罚，从而减少正常用户标识的负面体验。

通过检测用户标识的全局行为数据，增加了用户标识的被举报信息和交互结果以判断用户标识在虚拟交互场景中是否存在恶意行为，使得预测模型识别的范围更广，使用更多的特征以识别用户标识的行为，使得预测模型识别更准确。

如图12所示，为一个实施例中，该异常行为检测方法的流程图。将一种多人在线战术竞技游戏作为虚拟交互场景，则用户标识对应游戏中的各玩家，用户标识对应的三种状态为对局前，对局中和对局后。则服务器检测到玩家处于对局前，服务器可通过第一预测模型获取该玩家的历史行为数据，并通过第一预测模型得到该玩家在历史对局中存在恶意行为的概率。当玩家在历史对局中存在恶意行为的概率超过阈值时，判定该玩家为恶意玩家。则当该恶意玩家发出匹配请求时，服务器为该恶意玩家匹配其他的恶意玩家，从而将恶意玩家分为同一类，以避免恶意玩家和正常玩家对局，从而净化游戏整体的对局环境。当玩家处于对局中时，终端可通过第二预测模型实时检测玩家的行为序列数据，当玩家在对局中的存在恶意行为的概率超过阈值时，对该玩家进行警告或惩罚。当玩家结束对局后，服务器接收到玩家对另一个玩家的举报信息，接着通过第三预测模型获取被举报的玩家的在本局游戏中的全局行为数据，并通过第三预测模型进一步预测被举报的玩家在全局游戏中存在恶意行为的概率。当玩家在全局游戏中的存在恶意行为的概率超过阈值时，扣除被举报的玩家一定的信用度积分。需要注意的是，对局前、对局中和对局后的三种状态下，检测的玩家可以是同一个玩家，也可以是不同的玩家。

图2-图12为一个实施例中异常行为检测方法的流程示意图。应该理解的是，虽然图2-图12的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2-图12中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

如图13所示，提供了一种异常行为检测装置，包括：状态获取模块1302、数据获取模块1304、确定模块1306和判定模块1308。其中，

状态获取模块1302，用于获取用户标识的当前状态。

数据获取模块1304，用于根据该用户标识的当前状态获取该用户标识对应的用户行为数据。

确定模块1306，用于根据该用户行为数据确定该用户标识存在异常行为的概率值。

判定模块1308，用于当该用户标识存在异常行为的概率值超过阈值时，确定该当前状态下的用户标识为异常用户标识。

上述异常行为检测装置，通过获取用户标识的当前状态，并根据该用户标识的当前状态获取该用户标识对应的用户行为数据，使得不同状态下可获取不用的特征数据。根据该用户行为数据确定该用户标识存在异常行为的概率值，能够确定不同状态下用户标识是否存在恶意行为。当该用户标识存在异常行为的概率值超过阈值时，确定该当前状态下的用户标识为异常用户标识，使得模型能够针对不同的状态使用不同的行为数据，以识别不同状态下的恶意行为。使得模型可识别的情况更广泛，并且识别更准确。

在一个实施例中，该用户标识的当前状态为进入虚拟交互场景前，则该数据获取模块1304还用于：获取该用户标识的历史行为数据，该历史行为数据包括历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据，该历史交互数据为该用户标识在虚拟交互场景中产生的数据；

确定模块1306还用于：根据该历史交互数据、历史被举报数据、历史被扣分数据和历史被点赞数据确定该用户标识存在异常行为的概率值；

该装置还包括：处理模块。该处理模块用于：当该用户标识存在异常行为的概率值超过阈值时，为该用户标识匹配概率值超过该阈值的其余用户标识。

上述异常行为检测装置，通过获取进入虚拟交互场景前的用户标识的历史行为数据，并根据历史行为数据确定该用户标识可能存在恶意行为的概率值，使得预测模型可根据不同状态下的不同行为数据预测用户标识可能存在恶意行为的概率，识别更精确。当概率值超过阈值时，为该用户标识匹配其他概率值超过该阈值的用户标识，能够将正常用户标识和异常用户标识有效分类，可以避免异常用户标识的恶意行为对正常用户标识可能造成的负面影响。

在一个实施例中，该确定模块1306还用于：根据该历史交互数据、历史被举报数据和历史被扣分数据确定该用户标识的被举报分值；根据该历史交互数据和历史被点赞数据确定该用户标识的被点赞分值；根据该用户标识的被举报分值和被点赞分值确定该用户标识存在异常行为的概率值。上述异常行为检测装置，通过历史交互数据、历史被举报数据和历史被扣分数据确定该用户标识的被举报分值，根据该历史交互数据和历史被点赞数据确定该用户标识的被点赞分值，根据该用户标识的被举报分值和被点赞分值确定该用户标识存在异常行为的概率值，增加了被举报分值和被点赞分值作为预测的特征，使得预测模型识别更准确。

在一个实施例中，该处理模块还用于：当该用户标识存在异常行为的概率值超过阈值时，将该用户标识加入黑名单，该黑名单中包括异常行为的概率值超过该阈值的用户标识；当接收到该用户标识的匹配请求时，为该用户标识匹配该黑名单中的其余用户标识。当该用户标识存在异常行为的概率值超过阈值时，将该用户标识加入黑名单，以将异常用户标识与正常用户标识进行分类，实现异常用户标识的归类处理。当接收到该用户标识的匹配请求时，为该用户标识匹配该黑名单中的其余用户标识，从而使得异常标识只能匹配到其它异常用户标识，避免异常用户标识匹配到正常用户标识的情况，降低对正常用户标识的伤害。

在一个实施例中，该用户标识的当前状态为处于虚拟交互场景中，则该数据获取模块1304还用于：获取该用户标识的行为序列数据，该行为序列数据包括该用户标识的位置信息、能力属性和该用户标识对应的会话信息；

确定模块1306还用于：根据该用户标识的位置信息、能力属性和该用户标识对应的会话信息，确定该用户标识处于虚拟交互场景时存在异常行为的概率值；

该处理模块用于：当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，对该用户标识发出警告信息。

上述异常行为检测装置，通过获取处于虚拟交互场景中的用户标识的行为序列数据，根据该用户标识的行为序列数据确定该用户标识处于虚拟交互场景时存在异常行为的概率值，以判断该用户标识是否为异常用户标识。当该用户标识处于虚拟交互场景时存在异常行为的概率值超过阈值时，对该用户标识发出警告信息，以对该异常用户标识进行警告惩罚，从而减少正常用户标识的负面体验。

在一个实施例中，该数据获取模块1304还用于：按照预设时间间隔获取该用户标识的行为序列数据，得到当前时间段的行为序列数据；

确定模块1306还用于：将该当前时间段的行为序列数据进行编码和拼接处理；获取该用户标识在当前时间段之前的其余时间段的经过编码和拼接处理后的行为序列数据；将每个时间段的经过编码和拼接处理后的行为序列数据输入循环神经网络和深度神经网络，得到该用户标识处于虚拟交互场景时存在异常行为的概率值。

上述异常行为检测装置，通过按照预设时间间隔获取该用户标识的行为序列数据，得到当前时间段的行为序列数据，将该当前时间段的行为序列数据进行编码和拼接处理，并获取该用户标识在当前时间段之前的其余时间段的经过编码和拼接处理后的行为序列数据，得到每个时间段的拼接好的行为序列数据。将每个时间段的经过编码和拼接处理后的行为序列数据输入循环神经网络和深度神经网络，得到该用户标识处于虚拟交互场景时存在异常行为的概率值。使得可以通过预测模型检测用户标识在虚拟交互场景中的每个时间段内出现异常行为的概率，能够针对不用的状态采集不同的数据进行检测，从而更准确地识别异常行为和异常用户标识。

在一个实施例中，该确定模块1306还用于：将该行为序列数据中的位置信息通过卷积神经网络进行编码；将该行为序列数据中能力属性和该用户标识对应的会话信息通过深度神经网络进行编码；将该编码后的位置信息、能力属性和该用户标识对应的会话信息进行拼接处理。将该行为序列数据中的位置信息通过卷积神经网络进行编码，将该行为序列数据中能力属性和该用户标识对应的会话信息通过深度神经网络进行编码，能够将不同类型的特征分别编码。通过将不同的特征采用不同的神经网络进行编码，可提高编码的效率，从而提高模型检测的效率。

在一个实施例中，该用户标识的当前状态为退出虚拟交互场景后，则该数据获取模块1304还用于：获取该用户标识的全局行为数据，该全局行为数据包括该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，该虚拟交互结果是该用户标识在虚拟交互场景中获得的虚拟对象交互的结果；

确定模块1306还用于：根据该用户标识的被举报数据，虚拟交互结果和处于虚拟交互场景时的行为序列数据，确定该用户标识存在异常行为的概率值；

该处理模块还用于：当该用户标识存在异常行为的概率值超过阈值时，扣除该用户标识的信用度积分。

通过检测用户标识的全局行为数据，增加了用户标识的被举报信息和交互结果以判断用户标识在虚拟交互场景中是否存在恶意行为，使得预测模型识别的范围更广，使用更多的特征以识别用户标识的行为，使得预测模型识别更准确。

图14示出了一个实施例中计算机设备的内部结构图。该计算机设备具体可以是图1中的终端110(或服务器120)。如图10所示，该计算机设备包括该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、输入装置和显示屏。其中，存储器包括非易失性存储介质和内存储器。该计算机设备的非易失性存储介质存储有操作系统，还可存储有计算机程序，该计算机程序被处理器执行时，可使得处理器实现异常行为检测方法。该内存储器中也可储存有计算机程序，该计算机程序被处理器执行时，可使得处理器执行异常行为检测方法。计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图14中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，本申请提供的异常行为检测装置可以实现为一种计算机程序的形式，计算机程序可在如图14所示的计算机设备上运行。计算机设备的存储器中可存储组成该异常行为检测装置的各个程序模块，比如，图13所示的状态获取模块1302、数据获取模块1304、确定模块1306和判定模块1308。各个程序模块构成的计算机程序使得处理器执行本说明书中描述的本申请各个实施例的异常行为检测方法中的步骤。

例如，图14所示的计算机设备可以通过如图13所示的异常行为检测装置中的状态获取模块1302执行获取用户标识的当前状态的步骤。计算机设备可数据获取模块1304执行根据所述用户标识的当前状态获取所述用户标识对应的用户行为数据的步骤。计算机设备可通过确定模块1306执行根据所述用户行为数据确定所述用户标识存在异常行为的概率值的步骤。计算机设备可通过判定模块1308执行当所述用户标识存在异常行为的概率值超过阈值时，确定所述当前状态下的用户标识为异常用户标识的步骤。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行上述异常行为检测方法的步骤。此处异常行为检测方法的步骤可以是上述各个实施例的异常行为检测方法中的步骤。

在一个实施例中，提供了一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行上述异常行为检测方法的步骤。此处异常行为检测方法的步骤可以是上述各个实施例的异常行为检测方法中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一非易失性计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(rom)、可编程rom(prom)、电可编程rom(eprom)、电可擦除可编程rom(eeprom)或闪存。易失性存储器可包括随机存取存储器(ram)或者外部高速缓冲存储器。作为说明而非局限，ram以多种形式可得，诸如静态ram(sram)、动态ram(dram)、同步dram(sdram)、双数据率sdram(ddrsdram)、增强型sdram(esdram)、同步链路(synchlink)dram(sldram)、存储器总线(rambus)直接ram(rdram)、直接存储器总线动态ram(drdram)、以及存储器总线动态ram(rdram)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。