一种基于移动终端数据的用户异常行为检测方法与流程

本发明涉及信息处理技术，尤其涉及一种用户终端信息的处理方法。

背景技术：

同类型群体的异常行为检测，一方面有利于个体的异常提醒，便于个体及时调整生活和工作作息等，另一方面，也可以从该群体中识别出区别于同类人员的不同行为，便于在实际生活和工作环境中进行预警。然而现有的异常行为检测方法对个体的历史数据和群体的历史平均数据等的依赖性较强，且由于所述群体的历史平均数据通常为固定值，因此无法适应同类群体中人员行为的趋势性行为变化，很容易将新的非异常行为判定为异常行为，导致异常行为识别效率低。

技术实现要素：

为解决上述技术问题，本发明公开了一种基于移动终端数据的用户异常行为检测方法，包括：步骤s100，获取h个用户的移动终端数据集合x＝[x1,x2,...,xh]，其中xi＝[xi1,xi2,…,xim]^t为第i个用户的移动终端数据，包括m个特征数值，所述m个特征包括以下任一项或其任意组合：所述移动终端安装的软件类型数量、每种软件类型的app安装数量、所述app使用频率、所述app使用开始时间、所述app使用结束时间，1≤i≤h，m≥1；步骤s200，根据所述数据集合x获取所述h个用户的行为异常值g＝[g1,g2,…,gh]，其中gi为第i个用户的行为异常值；步骤s300，基于gi获取第i个用户的行为异常概率pi,如果pi大于第一判断阈值t，则将h个用户中的第i个用户判断为异常用户。

附图说明

图1是本发明基于移动终端数据的用户异常行为检测方法的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，将结合附图对本发明作进一步地详细描述。这种描述是通过示例而非限制的方式介绍了与本发明的原理相一致的具体实施方式，这些实施方式的描述是足够详细的，以使得本领域技术人员能够实践本发明，在不脱离本发明的范围和精神的情况下可以使用其他实施方式并且可以改变和/或替换各要素的结构。因此，不应当从限制性意义上来理解以下的详细描述。

本发明公开了一种基于移动终端数据的用户异常行为检测方法，其中本领域技术人员可以理解，所述移动终端可以为手机、pad等智能终端，且所述移动终端的具体类型不影响本发明的保护范围。

此外，在移动终端中，设置有用于获取所述移动终端状态信息(安装的app、app使用频率/间隔、app启动时间以及app关闭时间等)的接口，本领域技术人员可以理解，通过调用所述接口可以获取所述移动终端的app安装情况、app使用频率/间隔、app启动时间以及app关闭时间等。

图1是本发明基于移动终端数据的用户异常行为检测方法流程图，如图1所示，该方法包括：

步骤s100，获取h个用户的移动终端数据集合x＝[x1,x2,...,xh]，其中xi＝[xi1,xi2,…,xim]^t为第i个用户的移动终端数据，包括m个特征数值，所述m个特征包括以下任一项或其任意组合：所述移动终端安装的软件类型数量、每种软件类型的app安装数量、所述app使用频率、所述app使用开始时间、所述app使用结束时间，1≤i≤h，m≥1。

根据本发明，所述软件类型为软件类型表格(或者软件类型白名单)中指定的多种软件类型，通过调用移动终端的相关调用接口，获取所述移动终端已安装软件信息，并将该软件信息和所述软件类型表格中的软件类型进行匹配，且本领域技术人员可以知悉，现有技术中存在多种方法用于将软件信息和软件类型表格中的软件类型进行匹配，包括使用软件名称、和/或软件标签等。例如对于学生类用户，所述软件类型表格中包括的软件类型依次为学习类软件、阅读类软件和运动类软件，当某个学生用户的移动终端上安装有2个学习类软件和1个运动类软件，且学习软件的使用开始时间为07:00，使用结束时间为20:00，运动类软件的使用开始时间为21:00，使用结束时间为22:00，则通过采集该用户的终端数据可得到的xi＝[2，2，0，1，07：00，20：00，00：00，00：00，21：00，22：00]^t，其中所述xi中的每个特征数值依次对应的特征为：所述移动终端安装的软件类型数据、学习类软件的app安装数量、阅读类软件的app安装数量、运动类软件的app安装数量、学习类软件的使用开始时间、学习类软件的使用结束时间、阅读类软件的使用开始时间、阅读类软件的使用结束时间、运动类软件的使用开始时间、运动类软件的使用结束时间。且本领域技术人员可知，以上所举例子仅为示范性例子，不作为限定本发明权利要求保护范围的唯一示例。

本领域技术人员还知晓，需要对获取的用户的移动终端数据xi或数据集合x进行数值化处理，即将所述数据集合x中用户的移动终端数据转化为可处理的数值，例如对软件的使用开始时间和使用结束时间进行数值化处理时，可以将当前时间转换为当前时间和参考时间的以秒为单位的差值，等等，且本领域技术人员知悉，所述使用开始时间和使用结束时间的转换方式有多种，其具体采用的转换方式不影响本发明保护范围。进一步，对数值化后的数据集合x进行数据归一化处理，以便于平衡各个特征在所述异常行为检测过程中的作用，例如归一化后新的

其中，所述h可自定义设置，优选地，h≥2000。进一步地，所述数据集合x由集成在移动终端内的sdk采集。

步骤s200，根据所述数据集合x获取所述h个用户的行为异常值g＝[g1,g2,…,gh]，其中gi为第i个用户的行为异常值。根据本发明，第i个用户的行为异常值反应了第i个用户的移动终端数据xi与其他h-1个用户的移动终端数据的差异。根据本发明的一个实施例，例如但是，在本发明优选的实施例中，其中d(i,j)为第i个用户的移动终端数据xi和第j个用户的移动终端数据xj的相似度，ri(n)为d(i,:)中的第n个非零最小值，rj(n)为d(j,:)中的第n个非零最小值，n≥1。该优选的实施例中，小规模的测试表明，与实际的用户行为之间具有相对较好的匹配性。

根据本发明的的优选实施例，进一步的，所述ri(n)为n的函数，示例性的，若d(i,:)＝(0,1,1,2,4)，则当n＝1时，ri(1)＝1，当n＝2时，ri(2)＝2。根据本发明的另一个实施例，进一步的，所述ri(n)为n的函数，示例性的，若d(i,:)＝(0,0.25,0.25,0.5,0.8)，则当n＝1时，ri(1)＝0.25，当n＝2时，ri(2)＝0.5。

根据本发明，n的取值可自定义设置，优选地，n＝1或2。

步骤s300，基于gi获取第i个用户的行为异常概率pi,如果pi大于第一判断阈值t，则将h个用户中的第i个用户判断为异常用户。在该步骤中，基于所述gi获取第i个用户的行为异常概率pi＝f(gi),其中一个实施例中，归一化后的xij的取值范围为[0,1]，因此，pi＝gi；另一个优选的实施例中，此时函数f将第i个用户的行为异常值gi转换为0-1之间的概率值。

优选地，所述第一判断阈值t的取值范围为[0.6,0.92]，优选为0.85。且通过试验可知，当所述第一判断阈值t取值为0.85时，可显著提高用户异常行为识别的准确率。

优选地，所述步骤s300还包括输出异常用户的用户id，例如，所述输出异常用户的用户id可以为n在不同取值下输出的异常用户的用户，一个实施例中，输出异常用户的用户id为n＝1时获取的异常用户id；另一个实施例中，输出异常用户的用户id为n＝2时获取的异常用户id。

综合上述内容可知，本发明可随机采集同类用户的多个用户终端数据，并从所述多个用户终端数据中筛选出与其他用户不同的数据作为异常数据进行提醒，该方法可以兼容新出现的多个同类用户的趋势变化，不会将新的趋势行为(即多个用户同时出现的新行为)判定为异常行为；此外，判断用户异常行为的计算方法仅包括加法和乘法等基本运算，因此计算消耗的时间少，适用于并行集群运算，可满足实际环境要求。

在本发明的一个实施例中，本发明还公开了一种用于检测用户异常行为的服务器，包括处理器和存储有计算机程序的存储器，所述处理器执行所述计算机程序以实现所述步骤s100-s300和/或其他预处理等过程，以利用服务器的资源优势和计算优势。

此外，根据公开的本发明的说明书，本发明的其他实现对于本领域的技术人员是明显的。实施方式和/或实施方式的各个方面可以单独或者以任何组合用于本发明的系统和方法中。说明书和其中的示例应该是仅仅看作示例性，本发明的实际范围和精神由所附权利要求书表示。