一种在线支付业务行为的异常检测方法、装置及电子设备与流程

本发明涉及在线支付技术领域，具体而言，涉及一种在线支付业务行为的异常检测方法、装置及电子设备。

背景技术：

互联网金融的快速发展为在线支付业务提供了坚实的技术基础，使得用户能够在不同地点和不同时段实现便捷的线上购物，极大地提高了用户体验。然而，随着在线支付业务朝着数字化方向发展，一些安全性问题也需要得到相应的重视。例如，如何对用户的支付行为进行异常检测以确保用户终端的信息安全和资金安全是现阶段需要解决的一个技术问题。

技术实现要素：

为了改善上述问题，本发明提供了一种在线支付业务行为的异常检测方法、装置及电子设备。

第一方面，提供了一种在线支付业务行为的异常检测方法，应用于电子设备，所述方法包括：

获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个；

抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；

根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息；

根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息；

基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

在一个可替换的实施方式中，所述抽取各所述动态行为数据子集的行为数据特征及各所述静态行为数据子集的行为数据特征，包括：

通过预设的特征提取模型分别抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；其中，所述特征提取模型为卷积神经网络。

在一个可替换的实施方式中，所述根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息，包括：

分别将每个静态行为数据子集作为当前行为数据子集，计算所述当前行为数据子集的行为数据特征与各动态行为数据子集的行为数据特征的匹配度；

将所述匹配度作为评判所述当前行为数据子集的行为风险评价信息的基准，根据所述匹配度对所述当前行为数据子集进行检测，得到所述当前行为数据子集相应的检测结果；

根据所述当前行为数据子集相应的检测结果确定所述静态行为数据子集的行为风险评价信息。

在一个可替换的实施方式中，基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，具体包括：

按照所述行为风险评价信息对相应的动态行为数据子集进行标定得到第一标定子集；按照所述行为标签信息对相应的动态行为数据子集进行标定得到第二标定子集；

根据所述第一标定子集和所述第二标定子集得到动态行为数据子集的第一标定集合；

按照所述行为风险评价信息对相应的静态行为数据子集进行标定得到第三标定子集；按照所述行为标签信息对相应的静态行为数据子集进行标定得到第四标定子集；

根据所述第三标定子集和所述第四标定子集得到静态行为数据子集的第二标定集合；

根据所述第一标定集合以及所述第二标定集合对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，得到识别结果；在所述识别结果中存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为存在异常行为；在所述识别结果中不存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为不存在异常行为；

在判定出所述历史业务行为数据集对应的用户行为存在异常行为时，将所述历史业务行为数据集对应的最近时刻的交互订单信息确定为当前交互订单信息，并从所述历史业务行为数据集中提取出用户操作信息；

根据所述用户操作信息对所述当前交互订单信息对应的用户身份进行检测。

第二方面，提供了一种在线支付业务行为的异常检测装置，应用于电子设备，所述装置包括：

数据获取模块，用于获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个；

特征抽取模块，用于抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；

信息确定模块，用于根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息；

标签确定模块，用于根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息；

属性识别模块，用于基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

第三方面，提供了一种电子设备，包括互相之间通信的处理器和存储器，所述处理器通过运行从所述存储器中调取的计算机程序以实现上述的方法。

第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序在运行时实现上述的方法。

本发明实施例所提供的在线支付业务行为的异常检测方法、装置及电子设备，首先获取历史业务行为数据集，其次抽取各动态行为数据子集的行为数据特征以及各静态行为数据子集的行为数据特征，然后根据各静态行为数据子集与各动态行为数据子集在行为数据特征上的匹配度确定各静态行为数据子集的行为风险评价信息，进而根据各静态行为数据子集之间在行为风险评价信息上的匹配度确定各静态行为数据子集的行为标签信息，最后基于静态行为数据子集的行为风险评价信息和行为标签信息，对动态行为数据子集和静态行为数据子集进行行为属性识别。如此，通过对历史业务行为数据集对应的动态行为数据子集和静态行为数据子集进行行为属性识别，能够对用户的支付行为进行异常检测以确保用户终端的信息安全和资金安全。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本发明实施例所提供的一种在线支付业务行为的异常检测方法的流程示意图。

图2为本发明实施例所提供的一种在线支付业务行为的异常检测装置的功能框图。

图3为本发明实施例所提供的一种电子设备的方框示意图。

具体实施方式

为了更好的理解上述技术方案，下面通过附图以及具体实施例对本发明技术方案做详细的说明，应当理解本发明实施例以及实施例中的具体特征是对本发明技术方案的详细的说明，而不是对本发明技术方案的限定，在不冲突的情况下，本发明实施例以及实施例中的技术特征可以相互组合。

请首先参阅图1，示出了在线支付业务行为的异常检测方法的流程示意图，所述方法应用于电子设备，可以包括以下步骤s110-步骤s150所描述的内容。

步骤s110，获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个。

步骤s120，抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征。

步骤s130，根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息。

步骤s140，根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息。

步骤s150，基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

可以理解，通过执行上述步骤s110-步骤s150，首先获取历史业务行为数据集，其次抽取各动态行为数据子集的行为数据特征以及各静态行为数据子集的行为数据特征，然后根据各静态行为数据子集与各动态行为数据子集在行为数据特征上的匹配度确定各静态行为数据子集的行为风险评价信息，进而根据各静态行为数据子集之间在行为风险评价信息上的匹配度确定各静态行为数据子集的行为标签信息，最后基于静态行为数据子集的行为风险评价信息和行为标签信息，对动态行为数据子集和静态行为数据子集进行行为属性识别。如此，通过对历史业务行为数据集对应的动态行为数据子集和静态行为数据子集进行行为属性识别，能够对用户的支付行为进行异常检测以确保用户终端的信息安全和资金安全。

进一步地，所述抽取各所述动态行为数据子集的行为数据特征及各所述静态行为数据子集的行为数据特征，包括：通过预设的特征提取模型分别抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；其中，所述特征提取模型为卷积神经网络。

进一步地，所述根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息，包括：分别将每个静态行为数据子集作为当前行为数据子集，计算所述当前行为数据子集的行为数据特征与各动态行为数据子集的行为数据特征的匹配度；将所述匹配度作为评判所述当前行为数据子集的行为风险评价信息的基准，根据所述匹配度对所述当前行为数据子集进行检测，得到所述当前行为数据子集相应的检测结果；根据所述当前行为数据子集相应的检测结果确定所述静态行为数据子集的行为风险评价信息。

进一步地，步骤s150所描述的基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，具体包括以下步骤s151-步骤s157所描述的内容。

步骤s151，按照所述行为风险评价信息对相应的动态行为数据子集进行标定得到第一标定子集；按照所述行为标签信息对相应的动态行为数据子集进行标定得到第二标定子集。

步骤s152，根据所述第一标定子集和所述第二标定子集得到动态行为数据子集的第一标定集合。

步骤s153，按照所述行为风险评价信息对相应的静态行为数据子集进行标定得到第三标定子集；按照所述行为标签信息对相应的静态行为数据子集进行标定得到第四标定子集。

步骤s154，根据所述第三标定子集和所述第四标定子集得到静态行为数据子集的第二标定集合。

步骤s155，根据所述第一标定集合以及所述第二标定集合对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，得到识别结果；在所述识别结果中存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为存在异常行为；在所述识别结果中不存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为不存在异常行为。

步骤s156，在判定出所述历史业务行为数据集对应的用户行为存在异常行为时，将所述历史业务行为数据集对应的最近时刻的交互订单信息确定为当前交互订单信息，并从所述历史业务行为数据集中提取出用户操作信息。

步骤s157，根据所述用户操作信息对所述当前交互订单信息对应的用户身份进行检测。

在一个可替换且能够实施的方式中，步骤s157所描述的根据所述用户操作信息对所述当前交互订单信息对应的用户身份进行检测，具体可以包括以下步骤s1571-步骤s1575所描述的内容。

步骤s1571，基于所述用户操作信息确定出操作行为标签、操作时序标签以及操作环境标签；确定出所述操作行为标签对应的第一标签认证密钥与所述操作时序标签对应的第二标签认证密钥之间的第一密钥匹配度以及所述操作时序标签对应的第二标签认证密钥与所述操作环境标签对应的第三标签认证密钥之间的第二密钥匹配度。

步骤s1572，针对所述操作行为标签，以所述第一标签认证密钥为初始密钥按照所述第一密钥匹配度对所述操作行为标签进行标签属性更新得到当前行为标签；针对所述操作时序标签，以所述第二标签认证密钥为初始密钥按照所述第二密钥匹配度对所述操作时序标签进行标签属性更新得到当前时序标签。

步骤s1573，分别将所述操作行为标签和所述操作时序标签、所述操作行为标签和所述当前行为标签、所述操作时序标签和所述操作环境标签、以及所述操作时序标签和所述当前时序标签进行标签权重一致性比较，得到第一权重比较结果、第二权重比较结果、第三权重比较结果和第四权重比较结果；确定出所述第一权重比较结果和所述第二权重比较结果之间的第一结果传递信息以及所述第三权重比较结果和所述第四权重比较结果之间的第二结果传递信息。

步骤s1574，判断所述第一结果传递信息和所述第二结果传递信息是否均与预设传递信息相匹配内；若是，根据所述第一权重比较结果和所述第三权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签；若否，分别确定出所述第一结果传递信息和所述第二结果传递信息与所述预设传递信息的第一传递路径缺损度和第二传递路径缺损度；比较所述第一传递路径缺损度和所述第二传递路径缺损度的大小；在所述第一传递路径缺损度小于所述第二传递路径缺损度时，根据所述第一权重比较结果和所述第二权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签；在所述第一传递路径缺损度大于所述第二传递路径缺损度时，根据所述第三权重比较结果和所述第四权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签。

步骤s1575，基于所述综合行为结果标签对当前交互订单信息对应的用户身份进行检测；若通过综合行为结果标签确定出所述当前交互订单信息对应的用户身份对应的身份清单中的清单消息数量低于设定数量，则判定所述当前交互订单信息对应的用户身份为异常身份；若通过综合行为结果标签确定出所述当前交互订单信息对应的用户身份对应的身份清单中的清单消息数量大于等于设定数量，则判定所述当前交互订单信息对应的用户身份为正常身份。

可以理解，基于上述步骤s1571-步骤s1575，能够对用户操作信息进行不同层面的操作标签的确定，从而确定出操作行为标签、操作时序标签以及操作环境标签，这样可以基于操作行为标签、操作时序标签以及操作环境标签对当前交互订单信息对应的用户身份进行检测，从而可以根据确定出的当前交互订单信息对应的用户身份对应的身份清单中的清单消息数量来判定当前交互订单信息对应的用户身份为正常身份还是异常身份，从而确保对身份信息进行全面、可靠地检测，避免遗漏某项清单消息而导致的误检测。

请继续参阅图2，示出了一种在线支付业务行为的异常检测装置200，应用于电子设备，所述装置包括：

数据获取模块210，用于获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个；

特征抽取模块220，用于抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；

信息确定模块230，用于根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息；

标签确定模块240，用于根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息；

属性识别模块250，用于基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

请继续参阅图3，示出了一种电子设备300，包括互相之间通信的处理器310和存储器320，所述处理器310通过运行从所述存储器320中调取的计算机程序以实现上述的方法。

进一步地，还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序在运行时实现上述的方法。

综上，本发明实施例所提供的在线支付业务行为的异常检测方法、装置及电子设备，首先获取历史业务行为数据集，其次抽取各动态行为数据子集的行为数据特征以及各静态行为数据子集的行为数据特征，然后根据各静态行为数据子集与各动态行为数据子集在行为数据特征上的匹配度确定各静态行为数据子集的行为风险评价信息，进而根据各静态行为数据子集之间在行为风险评价信息上的匹配度确定各静态行为数据子集的行为标签信息，最后基于静态行为数据子集的行为风险评价信息和行为标签信息对进行行为属性识别。如此，通过对动态行为数据子集和静态行为数据子集进行行为属性识别，能够对用户的支付行为进行异常检测以确保用户终端的信息安全和资金安全。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

a1.一种在线支付业务行为的异常检测方法，应用于电子设备，所述方法包括：

获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个；

抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；

根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息；

根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息；

基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

a2.根据a1所述的方法，所述抽取各所述动态行为数据子集的行为数据特征及各所述静态行为数据子集的行为数据特征，包括：

通过预设的特征提取模型分别抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；其中，所述特征提取模型为卷积神经网络。

a3.根据a1所述的方法，所述根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息，包括：

分别将每个静态行为数据子集作为当前行为数据子集，计算所述当前行为数据子集的行为数据特征与各动态行为数据子集的行为数据特征的匹配度；

将所述匹配度作为评判所述当前行为数据子集的行为风险评价信息的基准，根据所述匹配度对所述当前行为数据子集进行检测，得到所述当前行为数据子集相应的检测结果；

根据所述当前行为数据子集相应的检测结果确定所述静态行为数据子集的行为风险评价信息。

a4.根据a1所述的方法，基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，具体包括：

按照所述行为风险评价信息对相应的动态行为数据子集进行标定得到第一标定子集；按照所述行为标签信息对相应的动态行为数据子集进行标定得到第二标定子集；

根据所述第一标定子集和所述第二标定子集得到动态行为数据子集的第一标定集合；

按照所述行为风险评价信息对相应的静态行为数据子集进行标定得到第三标定子集；按照所述行为标签信息对相应的静态行为数据子集进行标定得到第四标定子集；

根据所述第三标定子集和所述第四标定子集得到静态行为数据子集的第二标定集合；

根据所述第一标定集合以及所述第二标定集合对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别，得到识别结果；在所述识别结果中存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为存在异常行为；在所述识别结果中不存在目标识别标签时，判定所述历史业务行为数据集对应的用户行为不存在异常行为；

在判定出所述历史业务行为数据集对应的用户行为存在异常行为时，将所述历史业务行为数据集对应的最近时刻的交互订单信息确定为当前交互订单信息，并从所述历史业务行为数据集中提取出用户操作信息；

根据所述用户操作信息对所述当前交互订单信息对应的用户身份进行检测；

其中，根据所述用户操作信息对所述当前交互订单信息对应的用户身份进行检测，具体包括：

基于所述用户操作信息确定出操作行为标签、操作时序标签以及操作环境标签；确定出所述操作行为标签对应的第一标签认证密钥与所述操作时序标签对应的第二标签认证密钥之间的第一密钥匹配度以及所述操作时序标签对应的第二标签认证密钥与所述操作环境标签对应的第三标签认证密钥之间的第二密钥匹配度；

针对所述操作行为标签，以所述第一标签认证密钥为初始密钥按照所述第一密钥匹配度对所述操作行为标签进行标签属性更新得到当前行为标签；针对所述操作时序标签，以所述第二标签认证密钥为初始密钥按照所述第二密钥匹配度对所述操作时序标签进行标签属性更新得到当前时序标签；

分别将所述操作行为标签和所述操作时序标签、所述操作行为标签和所述当前行为标签、所述操作时序标签和所述操作环境标签、以及所述操作时序标签和所述当前时序标签进行标签权重一致性比较，得到第一权重比较结果、第二权重比较结果、第三权重比较结果和第四权重比较结果；确定出所述第一权重比较结果和所述第二权重比较结果之间的第一结果传递信息以及所述第三权重比较结果和所述第四权重比较结果之间的第二结果传递信息；

判断所述第一结果传递信息和所述第二结果传递信息是否均与预设传递信息相匹配内；若是，根据所述第一权重比较结果和所述第三权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签；若否，分别确定出所述第一结果传递信息和所述第二结果传递信息与所述预设传递信息的第一传递路径缺损度和第二传递路径缺损度；比较所述第一传递路径缺损度和所述第二传递路径缺损度的大小；在所述第一传递路径缺损度小于所述第二传递路径缺损度时，根据所述第一权重比较结果和所述第二权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签；在所述第一传递路径缺损度大于所述第二传递路径缺损度时，根据所述第三权重比较结果和所述第四权重比较结果确定出针对当前交互订单信息对应的用户身份进行检测的检测维度清单并按照当前交互订单信息对应的用户身份对应的检测维度清单对所述操作行为标签、所述操作时序标签和所述操作环境标签进行标签特征融合得到综合行为结果标签；

基于所述综合行为结果标签对当前交互订单信息对应的用户身份进行检测；若通过综合行为结果标签确定出所述当前交互订单信息对应的用户身份对应的身份清单中的清单消息数量低于设定数量，则判定所述当前交互订单信息对应的用户身份为异常身份；若通过综合行为结果标签确定出所述当前交互订单信息对应的用户身份对应的身份清单中的清单消息数量大于等于设定数量，则判定所述当前交互订单信息对应的用户身份为正常身份。

b5.一种在线支付业务行为的异常检测装置，应用于电子设备，所述装置包括：

数据获取模块，用于获取历史业务行为数据集；所述历史业务行为数据集包括动态行为数据子集和静态行为数据子集；其中，所述动态行为数据子集的数量和所述静态行为数据子集的数量均大于一个；

特征抽取模块，用于抽取各所述动态行为数据子集的行为数据特征以及各所述静态行为数据子集的行为数据特征；

信息确定模块，用于根据各所述静态行为数据子集与各所述动态行为数据子集在行为数据特征上的匹配度，确定各所述静态行为数据子集的行为风险评价信息；

标签确定模块，用于根据各所述静态行为数据子集之间在行为风险评价信息上的匹配度，确定各所述静态行为数据子集的行为标签信息；

属性识别模块，用于基于所述静态行为数据子集的行为风险评价信息和行为标签信息，对所述动态行为数据子集和所述静态行为数据子集进行行为属性识别。

c6.一种电子设备，包括互相之间通信的处理器和存储器，所述处理器通过运行从所述存储器中调取的计算机程序以实现a1-a4任一项所述的方法。

d7.一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序在运行时实现a1-a4任一项所述的方法。