案件分析的方法、装置及系统与流程

1.本技术涉及信息处理技术领域，尤其涉及一种案件分析的方法、装置及系统。


背景技术：

2.近年来，电信网络诈骗、金融诈骗等欺诈案件高发，严重危害人民群众财产安全。在现有的已知诈骗案件中，涉案资金通常都隐藏在对公账户、赌博账户或第三方金融账户的正常资金交易中，并且，当涉案资金在多个账户之间进行多次流转后，即实现对涉案资金的“洗白”。
3.为了高效案件分析，需要在用于“洗白”涉案资金的交易网络中对涉案资金进行追踪拦截。目前，在追踪拦截涉案资金时，往往需要通过大量案件侦查人员进行人工标注分析来实现。该方法自动化程度低，从而使得涉案资金的追踪速度慢，不能有效实现对涉案资金的拦截及涉案人员的抓获。
4.因此，对于诈骗案件中如何快速分析涉案资金流向，进而实现对欺诈团伙与组织的甄别，是亟待解决的技术问题。


技术实现要素：

5.本技术提供了一种案件分析的方法、装置及系统，该方法实现了诈骗案件中受害人被骗资金流向的自动追踪，且追踪准确率高。
6.为达上述目的，本技术提供如下技术方案：
7.第一方面，本技术提供了一种案件分析的方法，该方法包括：获取待分析案件的案件信息，该案件信息包括嫌疑人的资金交易信息。按照时间切片分析嫌疑人的资金交易信息，确定案件分析结果。输出案件分析结果。其中，案件分析结果用于指示涉案资金流向的追踪结果。
8.通过本技术提供的案件分析方法，可以按照时间切片细粒度的对嫌疑人的资金交易信息进行分析，从而实现了对受害人被骗资金流向的自动化追踪，从而能够实现对受害人被骗资金的快速拦截，无需人为干预，大幅提高了案件的侦办效率。
9.在一种可能的实现方式中，上述的按照时间切片分析嫌疑人的资金交易信息，确定案件分析结果，包括：按照资金交易时间对上述的资金交易信息中的资金交易记录集进行切分，以得到一个或多个时间切片对应的资金交易记录子集。根据该一个或多个时间切片对应的资金交易记录子集，逐级追踪涉案资金流向，以确定案件分析结果。其中，一个资金交易记录子集中包括至少一笔涉案资金的中转记录。
10.通过该可能的实现方式，本技术提供的方法通过对嫌疑人的资金交易信息中的资金交易记录集按照资金交易时间进行切分，并基于切分得到一个或多个资金交易记录子集来追踪受害人被骗资金的流向。可以看出，相较直接根据资金交易记录集来追踪受害人被骗资金的流向，本技术提供的方法能够细粒度的实现对受害人被骗资金流向的自动化追踪，从而能够实现对受害人被骗资金的快速拦截，大幅提高了案件的侦办效率。
11.在另一种可能的实现方式中，上述方法还包括：计算上述确定出的案件分析结果中每个嫌疑账户的嫌疑度。例如，根据通过嫌疑度时间衰退模型和可疑转账模式判别模型计算案件分析结果中嫌疑账户的嫌疑度。
12.通过该可能的实现方式，在计算出案件分析结果中嫌疑账户的嫌疑度后，可以使下游侦查人员将高嫌疑度的嫌疑账户作为重点对象进行侦查。由此实现在人力有限的场景下，有效的减轻下游侦查人员侦办案件的工作量，从而提高了案件侦办的效率。
13.在另一种可能的实现方式中，上述方法还包括：根据案件信息确定包括嫌疑人的资金交易关系、嫌疑人的通讯关系、以及与嫌疑人有关的人员事件关系的融合网络。根据确定出的融合网络和上述的案件分析结果，确定待分析案件所涉及嫌疑人之间的组织结构。
14.在另一种可能的实现方式中，上述案件信息还包括嫌疑人的通讯信息，则上述的根据案件信息确定包括嫌疑人的资金交易关系、嫌疑人的通讯关系、以及与嫌疑人有关的人员事件关系的融合网络，包括：根据嫌疑人的资金交易信息确定用于指示待分析案件中所涉及的所有嫌疑人之间的资金交易关系的资金交易关系网络，以及，根据嫌疑人的通讯信息确定用于指示待分析案件中所涉及的所有嫌疑人之间的通讯关系的通讯关系网络。接着，根据确定出的资金交易关系网络和通讯关系网络，确定用于指示与待分析案件中所涉及的所有嫌疑人有关的人员事件关系的人员事件关系网络。然后，确定前述的资金交易关系网络、通讯关系网络以及人员事件关系网之间的关联关系，以得到融合网络。
15.在另一种可能的实现方式中，上述的组织结构包括以待分析案件所涉及的嫌疑人的标识为索引的嫌疑团伙组织的层级结构，其中，嫌疑人的标识用于唯一标识该嫌疑人。则上述方法还包括：输出该层级结构。
16.在基于待分析案件的案件信息确定的融合网络中，对嫌疑犯罪团伙的挖掘。该嫌疑犯罪团伙即为待分析案件所涉及嫌疑人之间的组织结构。通过该可能的设计，基于本技术挖掘出的嫌疑犯罪团伙，可以使得下游侦查人员重点针对挖掘出的嫌疑犯罪团伙中的人员及账户进行侦查。由此可以实现在人力有限的场景下，有效的减轻了下游侦查人员的侦办工作量，即进一步提高了案件侦办的效率。
17.第二方面，本技术提供了一种案件分析装置，该案件分析装置包括用于执行第一方面或第一方面任一种可能实现方式中的案件分析方法的各个模块。
18.第三方面，本技术还提供另一种可能案件分析装置，包括：一个或多个处理器和传输接口，该一个或多个处理器通过该传输接口接收或发送数据，该一个或多个处理器被配置为调用存储在存储器中的程序指令，以使得数据传输装置执行如第一方面或第一方面中任一种可能的实现方式提供的案件分析方法的操作步骤。
19.第四方面，本技术还提供一种案件分析系统，该案件分析系统包括客户端设备和服务器，客户端设备用于接收用户输入的待分析案件的报案信息，并将所述报案信息传输至所述服务器；服务器，用于执行如第一方面或第一方面中任一种可能的实现方式提供的案件分析方法的操作步骤。
20.第五方面，本技术提供了一种计算机可读存储介质，该计算机可读存储介质包括程序指令，当程序指令在计算机或处理器上运行时，使得计算机或处理器执行第一方面或第一方面中任一种可能的实现方式提供的案件分析方法的操作步骤。
21.第六方面，本技术提供了一种计算机程序产品，当其在案件分析装置上运行时，使
得第一方面或第一方面中任一种可能的实现方式提供的案件分析方法的操作步骤。
22.本技术在上述各方面提供的实现方式的基础上，还可以进行进一步组合以提供更多实现方式。
附图说明
23.图1为本技术实施例提供的一种案件分析系统的架构示意图；
24.图2为本技术实施例提供的一种计算设备的硬件结构示意图；
25.图3为本技术实施例提供的一种案件分析方法的流程示意图；
26.图4为本技术实施例提供的一种计算设备追踪涉案资金交易流向的过程示意图；
27.图5为本技术实施例提供的另一种案件分析方法的流程示意图；
28.图6为本技术实施例提供的一种资金交易关系网络的示意图；
29.图7为本技术实施例提供的一种通讯关系网络的示意图；
30.图8为本技术实施例提供的一种确定人员事件关系网络的示意图；
31.图9为本技术实施例提供的一种确定融合网络的示意图；
32.图10为本技术实施例提供的一种预设子图的结构示意图；
33.图11为本技术实施例提供的另一种预设子图的结构示意图；
34.图12为本技术实施例提供输出的一种层级树的示意图；
35.图13为本技术实施例提供的一种案件分析装置的结构示意图。
具体实施方式
36.为解决上述技术问题，本技术实施例提供了一种案件分析方法，该方法可以基于时间切片的细粒度资金流向追踪模式，实现对受害人被骗资金(或称为涉案资金)流向的自动追踪，且追踪准确率高。
37.在追踪涉案资金流向的过程中，本技术实施例所提供方法还可以通过基于嫌疑度时间衰退模型和可疑转账模式判别模型计算出用于中转涉案资金的嫌疑账户的嫌疑度，这样可以使下游侦查人员将高嫌疑度的嫌疑账户作为重点对象进行侦查。由此实现无需人为干预的案件分析过程，为后续案件侦办过程提供更有效的输入信息，减轻了下游侦查人员侦办案件的工作量，提高了案件侦办的效率。
38.此外，本技术实施例所提供方法还可以基于追踪到的涉案资金流向结果、以及基于待分析案件(也可以称为待侦办案件)的案件信息确定的资金交易关系网络、通讯关系网络以及人员事件网络确定出嫌疑犯罪团伙组织结构，并向用户输出该嫌疑犯罪团伙组织结构。这样，可以使得侦查人员针对确定出的嫌疑犯罪团伙组织结构中的人员及账户进行重点侦查。由此可以实现在人力有限的场景下，进一步有效的减轻了侦查人员的侦办工作量，提高了案件侦办的效率。
39.接下来，结合附图进一步介绍本技术提供的案件分析方法。
40.图1示出了本技术实施例提供的一种案件分析系统10的架构示意图。如图1所示，案件分析系统10包括客户端设备11和计算设备12，客户端设备11和计算设备12之间通过有线或无线的方式连接通信。
41.其中，客户端设备11可以提供和用户交互的交互界面，用户可以通过该交互界面
向客户端设备11输入待分析案件的报案信息。客户端设备11即可将用户输入的报案信息通过有线或无线的方式传输至计算设备12。该交互界面可以是安装于客户端设备11的用于进行案件分析的客户端应用程序(application，app)的界面，或者可以是通过运行于客户端设备11的浏览器app提供的网页(web)页面等，本技术实施例对此不作限定。应用程序可以是安装在计算设备中的嵌入式应用程序(即计算设备的系统应用)，也可以是可下载应用程序。这里，嵌入式应用程序是计算设备(如手机或计算机)的操作系统提供的应用程序。可下载应用程序是一个可以提供自己的通信连接的应用程序，该可下载应用程序是可以预先安装在终端设备中的应用或可以由用户下载并安装在终端设备中的第三方应用。例如，该可下载应用程序可以是案件侦办app、警务app等等。
42.接着，计算设备12可以基于从客户端设备11接收到的待分析案件的报案信息，并通过执行下文所述的方法实现对涉案资金流向的追踪，以及确定可疑的犯罪团伙组织结构。
43.然后，计算设备12将确定出的可疑的犯罪团伙组织结构发送至客户端设备11，以通过客户端设备11将该可疑的犯罪团伙组织结构显示给用户。例如，客户端设备11将从计算设备12接收到的用于展示可疑的犯罪团伙组织结构的层级树或层级图，通过该客户端设备11的输入输出接口(例如显示屏)显示给用户。
44.应理解，计算设备12可以与银行/第三方金融数据系统13连接通信，以便于可以根据从客户端设备11接收到的待分析案件的报案信息，从银行/第三方金融数据系统13获取该待分析案件的嫌疑人的资金交易信息。计算设备12还可以与电信运营商系统14连接通信，以便于可以根据从客户端设备11接收到的待分析案件的报案信息，从电信运营商系统14获取该待分析案件的嫌疑人的通讯信息。其中，第三方金融数据系统可以是除银行之外的金融企业的数据系统，例如微信、支付宝等，对此不作限定。
45.进一步地，参考图2，图2示出了本技术实施例提供的一种计算设备12的硬件结构示意图。该计算设备可以是上文所述的台式计算机、笔记本电脑、终端、智能分析装置等设备，或者是服务器，对此不作限定。
46.如图2所示，计算设备12包括处理器121、主存储器(main memory)122、存储介质123、通信接口124以及总线125。处理器121、主存储器122、存储介质123以及通信接口124之间可以通过总线125连接。
47.处理器121是计算设备12的控制中心，可以是一个通用中央处理单元(central processing unit，cpu)，处理器121还可以是其他通用处理器、数字信号处理器(digital signal processing，dsp)、专用集成电路(application-specific integrated circuit，asic)、现场可编程门阵列(field-programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件、图形处理器(graphics processing unit，gpu)、神经网络处理单元(neural processing unit，npu)、张量处理器(tensor processing unit，tpu)或人工智能(artificial intelligent)芯片等。作为一个示例，处理器121可以包括一个或多个cpu，例如图2中所示的cpu 0和cpu 1。此外，本技术并不限定每个处理器中处理器核的个数。
48.主存储器122用于存储程序指令，处理器121可以通过执行主存储器122中的程序指令，以实现本技术实施例提供的案件分析方法。
49.在一种可能的实现方式中，主存储器122可以独立于处理器121存在。主存储器122可以通过总线125与处理器121相连接，用于存储数据、指令或者程序代码。处理器121调用并执行主存储器122中存储的指令或程序代码时，能够实现本技术实施例提供的案件分析方法。在另一种可能的实现方式中，主存储器122也可以和处理器121集成在一起。
50.存储介质123可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，rom)、可编程只读存储器(programmable rom，prom)、可擦除可编程只读存储器(erasable prom，eprom)、电可擦除可编程只读存储器(electrically eprom，eeprom)或闪存。易失性存储器可以是随机存取存储器(random access memory，ram)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的ram可用，例如静态随机存取存储器(static ram，sram)、动态随机存取存储器(dram)、同步动态随机存取存储器(synchronous dram，sdram)、双倍数据速率同步动态随机存取存储器(double data date sdram，ddr sdram)、增强型同步动态随机存取存储器(enhanced sdram，esdram)、同步连接动态随机存取存储器(synchlink dram，sldram)和直接内存总线随机存取存储器(direct rambus ram，dr ram)。存储介质123可以用于本技术实施例中所述的案件侦办知识库。
51.通信接口124，用于计算设备12与其他设备(如银行/第三方金融数据系统的设备或电信运营商系统的设备等)通过通信网络连接，所述通信网络可以是以太网，无线接入网(radio access network，ran)，无线局域网(wireless local area networks，wlan)等。通信接口124可以包括用于接收数据的接收单元，以及用于发送数据的发送单元。
52.总线125，可以分为地址总线、数据总线、控制总线等。为便于表示，图2中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。例如，总线125可以是工业标准体系结构(industry standard architecture，isa)总线、外部设备互连(peripheral component interconnect，pci)总线或扩展工业标准体系结构(extended industry standard architecture，eisa)总线等。
53.需要指出的是，图2中示出的结构并不构成对计算设备20的限定，除图2所示部件之外，该计算设备20可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
54.作为一种可能的实施例，图1所示的客户端设备11和计算设备12页可以合一部署，此时，该合一部署的设备能够实现客户端设备11和计算设备12的功能。示例地，该合一部署的设备可以是台式计算机、笔记本电脑、终端(平板电脑、智能手机等可移动设备)、智能分析装置(例如，设置有人工智能(intelligent artificial，ai)芯片的装置)等设备。此时，上述计算设备也可以直接接收用户输入的报案信息，并根据该报案信息对待分析案件进行分析。为了便于描述，本技术的以下实施例以图1所示系统为例进行说明。
55.下面基于图1所示的系统架构和图2所示的计算设备，进一步结合附图对本技术实施例提供的案件分析方法予以说明。
56.参考图3，图3示出了本技术实施例提供的一种案件分析方法的流程示意图，该方法可以由图1所示的案件分析系统中的服务器12执行，或者由图2所示的计算设备执行，本技术实施例对此不作限定。该方法可以包括以下步骤：
57.s101、计算设备获取待分析案件的案件信息，该案件信息包括嫌疑人的资金交易
信息。
58.具体的，计算设备可以基于受害人的报案信息来获取待分析案件的案件信息。该报案信息可以是待分析案件中的受害人在向警方报案时提供的信息。
59.其中，该报案信息可以包括受害人被骗资金的交易信息。该交易信息可以包括但不限于受害人的被骗资金金额，受害人账户信息，与受害人账户直接进行交易的嫌疑账户的账户号，被骗资金交易时间，等等。
60.应理解，上述的嫌疑账户即为受害人被骗资金直接汇入的账户，因此该嫌疑账户也可以称为一级嫌疑账户。该一级嫌疑账户的数量可以是一个，也可以是多个，本技术实施例对此不作限定。受害人账户信息包括受害人在银行所开的金融账户的账户信息，和/或受害人在第三方金融组织所开的金融账户的账户信息。账户信息可以包括该账户的账号和该账户开户人的身份信息等。
61.作为示例，表1示出了受害人向警方提供的被骗资金的交易信息。其中，“账户”即为受害人账户，“对方账户”即为与受害人进行资金交易的账户。借贷标志中的“借”是指该笔交易为受害人账户的收入交易，“贷”是指该笔交易为受害人账户的支出交易。
62.也就是说，在交易序号为1的交易中，受害人账户在时间点20201010122030从对方账户收入资金50000，受害人账户中余额为50000。在交易序号为2的交易中，受害人账户在时间点20201010122031向对方账户支出20000，受害人账户余额为30000。在交易序号为3的交易中，受害人账户在时间点20201010122032向对方账户支出资金30000，受害人账户余额为0。
63.表1
64.序号账户对方账户交易时间交易金额余额借贷标志162xxx62xxx202010101220305000050000借262xxx62xxx202010101220312000030000贷362xxx62xxx20201010122032300000贷
65.具体的，计算设备可以先通过输入输出接口，获取用户输入的待分析案件的报案信息。
66.示例的，当计算设备是服务器时(例如是图1所示的案件分析系统10中的服务器12)，计算设备可以通过接收用户端设备发送的报案信息来获取待分析案件的报案信息。其中，该报案信息可以是用户通过案件分析系统10中的客户端设备11的键盘和/或鼠标/和/或触摸屏等输入输出接口和客户端设备11所提供的信息输入界面，向该客户端设备11输入的待分析案件的报案信息。其中，该信息输入界面可以是案件分析客户端app中的信息输入界面，或者可以是通过运行于该客户端设备的浏览器所显示的网页页面，本技术实施例对此不作限定。
67.然后，计算设备可以根据获取到的待分析案件的报案信息，获取嫌疑人的资金交易信息。这里，嫌疑人的资金交易信息包括一级嫌疑账户(即与受害人账户直接进行资金交易的账户)的资金交易信息，该资金交易信息可以包括资金交易记录集和开户信息。该资金交易记录集可以包括1条或多条资金交易记录。例如，该资金交易记录集可以是资金交易流水。
68.具体的，计算设备可以基于报案信息中的一级嫌疑账户的账户号，从与该账户对
应的银行/第三方金融数据系统获取该账户的资金交易记录集和开户信息。这样，计算设备即获取到了包括一级嫌疑账户的资金交易记录集和开户信息的嫌疑人的资金交易信息。
69.应理解，计算设备提供有与多个银行/第三方金融数据系统通信连接的接口。当计算设备需要从这些系统获取相关信息时，通常需要先进行安全验证，在安全验证通过后，即可从这些系统获取相关数据。本技术实施例对计算设备如何通过安全验证，并如何在通过安全验证后从银行/第三方金融数据系统获取相关信息的过程不作详细描述。
70.当然，上述的嫌疑人的资金交易信息也可以由专用设备预先获取并存储在存储设备(例如u盘等)里，这样，计算设备即可通过通信接口与该存储设备连接，并从存储设备中导入嫌疑人的资金交易信息，本技术实施例对此不作限定。
71.需要说明的是，计算设备从银行/第三方金融数据系统或存储设备等外部系统/设备导入嫌疑人的资金交易信息时，可以通过结构化查询语言(structured query language，sql)导入，或者将外部系统/设备的信息经过模板配置后导入，本技术实施例对此不做具体限定。
72.s102、计算设备按照时间切片分析嫌疑人的资金交易信息，确定案件分析结果，该案件分析结果用于指示涉案资金流向的追踪结果。
73.由上文可知，该嫌疑人的资金交易信息包括一级嫌疑账户的资金交易记录集。这样，计算设备可以根据每个时间切片对应的一级嫌疑账户的资金交易记录子集，逐级追踪涉案资金流向，以确定得到案件分析结果。其中，一个资金交易记录子集可以是资金交易记录集中的一部分或全部的资金交易记录。应理解，一个时间切片对应的资金交易记录子集中包括有至少一笔涉案资金的中转记录。其中，涉案资金的中转记录，包括涉案资金的转入记录和涉案资金的转出记录。这里，涉案资金即为受害人的被骗资金。
74.具体的，计算设备根据每个时间切片对应的一级嫌疑账户的资金交易记录子集，逐级追踪涉案资金流向，以确定得到案件分析结果的过程具体可以如下：
75.步骤1、计算设备可以将一级嫌疑账户作为待处理账户，并先按照交易时间，对待处理账户的资金交易记录集中的资金交易记录进行排序。
76.步骤2、计算设备可以根据涉案资金转入待处理账户的时间和待处理账户中的余额，对待处理账户排序后的资金交易记录集按照时间进行切分，以得到一个或多个资金交易记录子集。
77.其中，对于该一个或多个资金交易记录子集中的任一个资金交易记录子集而言，该任一个资金交易记录子集中第一笔交易发生时间和最后一笔交易发生时间之间的时段，即为一个时间切片。
78.具体的，计算设备可以将一笔涉案资金转入待处理账户的时刻开始，直到待处理账户中的余额第一次为0时所经的时间段，确定为一个时间切片。这样，在该时间切片对应的资金交易记录子集中，包括至少一笔涉案资金的中转记录。
79.应理解，涉案资金从受害人账户转入作为待处理账户的一级嫌疑账户时，可以通过一笔资金转入，也可以通过多笔资金转入，本技术实施例对此不作限定。一笔或者多笔转入待处理账户的涉案资金，可以在一个时间切片内完成资金转出。但一笔涉案资金的中转，不会跨越两个时间切片。
80.步骤3、计算设备根据预设研判模式，在切分得到的每个时间切片对应的资金交易
记录子集中确定涉案资金的转出账户，并将该转出账户确定目标嫌疑账户。
81.其中，该预设研判模式是已知或可疑的资金转入转出模式。其中，已知的资金转入转出模式可以是根据历史侦办案件的结果所确定的资金转入转出模式。可疑的资金转入转出模式可以是基于经验预定义的资金转入转出模式。
82.一个示例，上述已知或可疑的资金转入转出模式可以是一笔转入对应相同金额的一笔转出，即资金通过一笔转入待处理账户，再通过相同金额的一笔资金从待处理账户转出。
83.另一个示例，上述已知或可疑的资金转入转出模式可以是一笔转入记录对应多笔转出记录，且转入的一笔资金的金额和转出的多笔资金的金额之和相同。也就是说，资金通过一笔转入记录转入待处理账户，再分为多笔资金交易记录从待处理账户转出。
84.又一个示例，上述已知或可疑的资金转入转出模式可以是多笔转入对应一笔转出，且转入的多笔资金的金额之和与转出的一笔资金的金额相同。也就是说，资金通过多笔转入待处理账户，然后合为一笔资金交易记录从待处理账户转出。
85.应理解，上述的预设研判模式可以是计算设备从预设的案件侦办知识库中获取的。当计算设备在嫌疑账户的时间切片对应的资金交易记录子集中确定目标嫌疑账户时，则从案件侦办知识库中调用这些预设研判模式，以用于追踪涉案资金的交易流向。其中，该案件侦办知识库可以预存在计算设备的存储介质(例如图2所示的存储介质)中，也可以预存在与计算设备连接通信的数据库系统中，这里不作限定。
86.这样，计算设备可以根据涉案资金的转入记录，通过待处理账户在一个时间切片对应的资金交易记录子集中查找符合预设研判模式的资金转出记录。然后，计算设备可以将该资金转出记录中的转出账户确定为目标嫌疑账户。可以理解，该目标嫌疑账户即为用于接收从待处理账户转出的涉案资金的账户。
87.应理解，当前待处理账户是一级嫌疑账户，则涉案资金的转入记录即为一级嫌疑账户中，受害人的被骗资金转入一级嫌疑账户时对应的转入交易记录。
88.步骤4、计算设备将确定出的目标嫌疑账户作为新的待处理账户，并重复执行上述步骤1-步骤3，直到根据新的待处理账户确定出的新的目标嫌疑账户的数量为0为止。
89.由上文可以看出，计算设备将一级嫌疑账户作为待处理账户时，可以通过执行步骤1-步骤3确定出1个或多个目标嫌疑账户。为便于描述，本技术实施例将根据一级嫌疑账户的资金交易记录确定的目标嫌疑账户称为二级嫌疑账户。
90.然后，计算设备将上述确定出的每个二级嫌疑账户作为新的待处理账户，并分别执行步骤1-步骤3，即计算设备可以根据每个二级嫌疑账户确定出一个或多个目标嫌疑账户。为便于描述，本技术实施例将根据二级嫌疑账户的资金交易记录确定的目标嫌疑账户称为三级嫌疑账户。
91.类似的，计算设备利用迭代的过程对资金交易过程进行分析，例如，可以将每个n级嫌疑账户作为新的待处理账户，并分别执行步骤1-步骤3，即可以根据每个n级嫌疑账户确定出一个或多个n+1级嫌疑账户，n是正整数。这样，即实现了计算设备根据一级嫌疑账户的资金交易记录逐级的追踪涉案资金流向的过程。直到计算设备根据n级嫌疑账户确定的目标嫌疑账户的数量为0时，则计算设备逐级追踪涉案资金流向的过程结束。
92.可以看出，受害人账户和一级嫌疑账户直接进行资金交易，一级嫌疑账户和二级
嫌疑账户直接进行资金交易，n即嫌疑账户和n+1级嫌疑账户直接进行资金交易。其中，当计算设备根据新的待处理账户确定出的新的目标嫌疑账户的数量为0，则表明当前涉案资金可能已经提现，这种情况下，涉案资金流的追踪过程结束。或者，表明涉案资金还未被当前新的待处理账户转出，这种情况下，涉案资金流的追踪过程结束，且计算设备可以基于该结果，对该账户请求进行拦截，以实现对受害人的被骗资金的拦截。
93.作为示例，参考图4，图4示例性的示出了计算设备追踪涉案资金交易流向的过程示意图。如图所示，与受害人账户直接进行资金交易的一级嫌疑账户包括一级嫌疑账户1和一级嫌疑账户2。
94.计算设备可以将一级嫌疑账户1作为待处理账户并执行上述的步骤1-步骤3，即可确定出2个目标嫌疑账户，分别为二级嫌疑账户1和二级嫌疑账户2。计算设备还可以将一级嫌疑账户2作为待处理账户并执行上述的步骤1-步骤3，即可确定出1个目标嫌疑账户，即二级嫌疑账户3。
95.接着，计算设备可以将二级嫌疑账户1作为待处理账户并执行上述的步骤1-步骤3，确定到的目标嫌疑账户的数量为0。计算设备可以将二级嫌疑账户2作为待处理账户并执行上述的步骤1-步骤3，即可确定出1个目标嫌疑账户，即三级嫌疑账户1。计算设备还可以将二级嫌疑账户3作为待处理账户并执行上述的步骤1-步骤3，即可确定出2个目标嫌疑账户，分别为三级嫌疑账户2和三级嫌疑账户3。
96.进一步的，计算设备将三级嫌疑账户1、三级嫌疑账户2以及三级嫌疑账户3分别作为待处理账户，并分别执行步骤1-步骤3，确定出的目标嫌疑在账户的数量均为0，则表示计算设备逐级追踪涉案资金交易流向的过程结束。
97.步骤5、计算设备基于受害人账户和确定出的全部目标嫌疑账户，确定案件分析结果。
98.具体的，计算设备可以基于受害人账户以及确定出的全部目标嫌疑账户之间的交易关系，构建涉案资金交易流向网络，该涉案资金交易流向网络即为计算设备确定出的涉案资金流向的追踪结果，即计算设备确定出了待分析案件的案件分析结果。
99.可选的，计算设备还可以统计上述构建得到的涉案资金交易流向网络中每个节点账户中转涉案资金的次数，中转涉案资金的金额、以及中转涉案资金的时间等信息等，以便计算设备根据这些信息计算涉案资金交易流向网络中节点账户的嫌疑度。
100.可选的，计算设备可以输出上述构建的涉案资金交易流向网络。
101.在一种可能的实现方式中，当计算设备是终端设备时，计算设备可以通过显示屏将上述得到的涉案资金交易流通过网络显示给侦查人员，以实现涉案资金交易流向网络的输出。
102.在另一种可能的实现方式中，当计算设备是服务器(例如图1所示的案件分析系统中的服务器12)时，计算设备可以将上述得到的涉案资金交易流向网络通过有线或无线的通信连接发送给案件分析系统中的客户端设备(例如图1所示的案件分析系统中的客户端设备11)。作为响应，该客户端设备即可接收到计算设备发送的涉案资金交易流向网络。这样，客户端设备即可通过显示屏将接收到的涉案资金交易流向网络显示给侦查人员，从而实现了涉案资金交易流向网络的输出。
103.s103(可选的)、计算设备确定上述案件分析结果中嫌疑账户的嫌疑度。
104.其中，该嫌疑账户即为计算设备构建的涉案资金交易流向网络(即上述的案件分析结果)中的节点账户。计算设备可以根据在步骤s102确定的涉案资金交易流网络中每个节点账户中转涉案资金的金额、中转涉案资金的次数以及转入转出涉案资金的时间差，来计算节点账户的嫌疑度。
105.具体的，计算设备可以先基于嫌疑度时间衰退模型确定涉案资金交易流网络中每个节点账户的转出资金交易的嫌疑度。
106.示例的，嫌疑度时间衰退模型可以通过下述的公式(1)实现，这样的话，对于涉案资金交易流网络中的任一节点账户在一个时间切片内的任一笔转出资金的交易而言，计算设备可以基于公式(1)计算该笔转出资金交易的嫌疑度：
[0107][0108]
其中，t为需要计算嫌疑度的当前转出资金交易的交易时间。ts为时间切片内所要追踪的最早的可疑转入资金交易的时间，即该时间切片的起始时间。t-ts即为时间切片内所要追踪的可疑资金转入和转出的时间差(即涉案资金的转入转出时间差)，te为时间切片的结束时间。x为当前转出资金交易的交易金额。s为该时间切片内所要追踪的可疑转入金额。a，b为模型系数(人为预先设定)。在公式(1)中，金额饱和点表示：若交易金额为a，在该笔交易之前已查找到的交易的交易金额为b，若金额a+金额b大于所要追踪的(可疑资金金额+预设阈值)，且金额b小于等于(可疑金额+预设阈值)，则交易金额a为金额饱和点。
[0109]
然后，计算设备在计算出涉案资金交易流向网络中的每个节点账户的转出资金交易的嫌疑度后，可以基于可疑转账模式判别模型来计算涉案资金交易流向网络中节点账户的嫌疑度。
[0110]
示例的，可疑转账模式判别模型可以通过下述的公式(2)实现，这样的话，涉案资金交易流向网络中节点账户的嫌疑度可以通过下述的公式(2)计算得到：
[0111][0112]
其中，x表示需要计算嫌疑度的当前节点账户的所有具有高嫌疑度的转出资金交易的交易金额之和。这里，高嫌疑度的转出资金交易，可以是嫌疑度大于或等于第一预设阈值的转出资金交易。本技术实施例对该第一预设阈值的取值不作具体限定。x为当前节点账户所在层级的所有交易中的单笔最大转出资金金额。y为当前节点账户的转入资金的笔数，y为当前节点账户所在层级的所有账户中转入资金笔数最多的账户的转入资金的笔数。z为当前节点账户的高嫌疑度的转出资金笔数。z为当前节点账户所在层级所有账户中高嫌疑度转出资金交易笔数最大的账户的高嫌疑度转出资金交易笔数；m为当前节点的资金转入转出符合案件侦办知识库中预设研判模式的个数(例如符合3种预设研判模式，则m为3)，w1，a为模型阈值，可预先设定。其中，预设研判模式可以参考上文描述，这里不再赘述。
[0113]
可选的，计算设备可以输出包括有节点账户嫌疑度的涉案资金交易流向网络给侦查人员。其中，计算设备输出包括有节点账户嫌疑度的涉案资金交易流向网络的具体过程，可以参考下文s102中计算设备输出涉案资金交易流向网络的描述，这里不予赘述。
[0114]
通过本技术实施例提供的方法，计算设备可以以时间切片的细粒度资金流向追踪模式，实现对受害人被骗资金(或称为涉案资金)交易流向的自动追踪，且追踪准确率高。另一方面，计算设备还可以基于嫌疑度时间衰退模型和可疑转账模式判别模型计算出用于中转涉案资金的嫌疑账户的嫌疑度，这样可以使下游侦查人员将高嫌疑度的嫌疑账户作为重点对象进行侦查。由此可以实现在人力有限的场景下，有效的减轻了下游侦查人员侦办案件的工作量，即本技术实施例提供的方法提高了案件侦办的效率。
[0115]
进一步的，本技术提供的案件分析方法还可以基于追踪到的涉案资金流向网络，对可疑的犯罪团伙组织进行挖掘。
[0116]
参考图5，图5示出了本技术实施例提供的另一种案件分析方法的流程示意图。该方法可以先执行上述的s101-s103。
[0117]
在s101，计算设备获取的嫌疑人的资金交易信息中，除包括与受害人账户直接进行资金交易的一级嫌疑账户的资金交易信息外，还包括与受害人间接进行资金交易的下级账户的资金交易信息。其中，下级账户，是指通过至少一个中间账户来实现与受害人账户进行资金交易的账户。
[0118]
为了便于描述，一级嫌疑账户也可以称为与受害人账户进行资金交易的一级账户，而下级账户即包括与受害人账户进行间接资金交易的多级账户，例如二级账户、三级账户等。其中，一级账户与二级账户直接进行资金交易，二级账户与三级账户直接进行资金交易，即j级账户和j+1级账户之间直接进行资金交易。j是正整数。
[0119]
应理解，在不同的资金交易流中，同一个账户可以作为不同级的下级账户。例如，在资金交易流1中，账户1是二级账户，而在资金交易流2中，账户1是四级账户。
[0120]
作为示例，受害人账户为账户a，受害人账户的资金从账户a汇入账户b，即账户b是与受害人账户进行直接资金交易的账户(即一级嫌疑账户)。当账户b的资金从账户b汇入账户c，则账户c可以称为与受害人账户间接进行资金交易的下级账户(这里具体是二级账户)。
[0121]
这样，计算设备可以基于一级嫌疑账户的资金交易记录集确定出二级账户的账户号。然后，计算设备即可基于该二级账户的账户号，从与该二级账户对应的银行/第三方金融数据系统获取该二级账户的资金交易信息。
[0122]
类似的，计算设备即可以获取到其他下级账户的资金交易信息，这里不再赘述。
[0123]
可以理解的是，上述获取的下级账户的资金交易信息，可以是受害人账户向一级嫌疑账户转入被骗资金的时刻开始，预设时长范围内的资金交易信息，本技术实施例对该预设时长范围的取值不作具体限定。或者，上述获取的下级账户的资金交易信息，可以是从受害人账户向一级嫌疑账户转入被骗资金的时刻开始，直至当前时刻的时间范围内的资金交易信息。本技术实施例对此不作限定。
[0124]
作为一种可能的实现方式，计算设备在s101获取的案件信息中，还可以包括嫌疑人的通讯信息。
[0125]
具体的，计算设备可以基于待分析案件的受害人的报案信息，来获取嫌疑人的通讯信息。其中，该报案信息中除包括s101所述的受害人被骗资金的交易信息外，还可以包括受害人的通讯信息。这里，受害人的通讯信息可以包括受害人的电话通讯信息和网络通讯信息。其中，电话通讯信息可以包括受害人的电话号码，与受害人电话号码直接通讯的嫌疑
电话号码等。这里，与受害人电话号码直接通讯的嫌疑电话号码可以称为一级嫌疑电话号码。
[0126]
需要说明的是，这里的一级嫌疑电话号码和上文所述的一级嫌疑账户可以同属一个嫌疑人，也可以是属于不同的嫌疑人，本技术实施例对此不作限定。
[0127]
网络通讯信息可以包括但不限于与受害人直接联系的嫌疑人的网络用户名、受害人的网络用户名、受害人与嫌疑人的网络聊天记录等。这里，网络用户名包括但不限于是社交软件的用户名，网站注册的用户名。等等。
[0128]
这样，计算设备可以根据获取到的受害人的电话通讯信息来获取嫌疑人的通讯信息。这里，嫌疑人的通讯信息可以包括嫌疑电话号码的通话记录集和开户信息。该通话记录集中包括1条或多条通话记录。
[0129]
具体的，计算设备可以基于受害人的电话通讯信息中的一级嫌疑电话号码(即与受害人电话号码直接进行通讯的电话号码)，从与该一级嫌疑电话号码对应电信运营商系统获取该一级嫌疑电话号码的通讯话单。其中，电话号码的通讯话单中包括但不限于该电话号码的通话记录集(包括电话拨出记录、电话拨入记录)、开户信息以及该电话号码的国际移动用户识别码(international mobile subscriber identity，imsi)等信息。这样，计算设备即获取到了嫌疑人的通讯信息。
[0130]
然后，计算设备可以基于获取到的一级嫌疑电话号码的通讯信息，获取与一级嫌疑电话号码直接或间接通讯联系的下级电话号码的通讯信息。
[0131]
其中，与该一级嫌疑电话号码直接或间接进行通讯的下级电话号码，即为与受害人电话号码间接进行通讯联系的电话号码。或者，该下级电话号码可以理解为与受害人电话号码之间没有直接通讯联系，但是与受害人电话号码拥有相同通讯联系人的电话号码。
[0132]
为了便于描述，上述一级嫌疑电话号码也可以称为与受害人电话号码进行通讯联系的一级电话号码，下级电话号码即包括与受害人电话号码进行间接通讯联系的多级电话号码，例如二级电话号码、三级电话号码等。其中，一级电话号码与二级电话号码直接进行通讯联系，二级电话号码与三级电话号码直接进行通讯联系，即k级电话号码和k+1级电话号码直接进行通讯联系。
[0133]
应理解，同一个电话号码，可以作为不同通讯流中不同级的下级电话号码。例如，在通讯流1中，电话号码1是三级电话号码，而在通讯流2中，电话号码1是一级电话号码。
[0134]
示例的，作为示例，如果受害人的电话号码为号码a，号码a与号码b直接进行通讯联系，则号码b即为与号码a直接进行通讯联系的电话号码，即号码b为与号码a直接通讯联系的一级嫌疑电话号码。如果号码b与号码c之间进行通讯联系，但是号码c与号码a之间没有进行通讯联系，则号码c即为与号码a间接进行通讯联系的下级电话号码(这里具体为二级电话号码)。
[0135]
这样，计算设备即可基于一级嫌疑电话号码的通讯记录中确定二级电话号码。然后，计算设备即可基于二级电话号码，从与该二级电话号码对应的电信运营商系统获取该二级电话号码的通讯信息。
[0136]
类似的，计算设备即可以获取到其他下级电话号码的通讯信息，这里不再赘述。
[0137]
需要说明的是，对于下级账户和下级电话号码而言，同一级的账户和电话号码可以属于同一个嫌疑人，也可以属于不同的嫌疑人，本技术实施例对此不作限定。例如，二级
账户和二级电话号码可以属于同一个嫌疑人，也可以属于不同的嫌疑人。
[0138]
另外可以理解的是，上述获取的通讯信息，可以是受害人电话号码和一级嫌疑电话号码第一次通讯联系开始的时刻开始，预设时长范围内的通讯信息，本技术实施例对该预设时长范围的取值不作具体限定。或者，上述获取的通讯信息，可以是从受害人账户和一级嫌疑电话号码第一次通讯联系开始的时刻开始，直至当前时刻的时间范围内的通讯信息。本技术实施例对此不作限定。
[0139]
可以理解的是，计算设备提供有与多个电信运营商系统连接的通信接口。当计算设备需要从这些系统获取相关信息时，通常需要先进行安全验证，在安全验证通过后，即可从这些系统获取相关数据。本技术实施例对计算设备如何通过安全验证，并如何在通过安全验证后从电信运营商系统获取相关信息的过程不作详细描述。
[0140]
此外，计算设备还可以获取嫌疑人的上网信息，该上网信息也可以作为待分析案件的案件信息。
[0141]
具体的，计算设备可以基于上述获取的受害人的网络通讯信息，获取到与受害人直接联系的嫌疑人的上网日志。计算设备还可以基于该嫌疑人的上网日志，获取到与该嫌疑人联系的其他嫌疑人的上网日志。并且，计算设备还可以基于一级嫌疑账户和/或下级账户的账户信息，获取到一级嫌疑账户和/或下级账户通过网络登陆时的上网日志，以及，计算设备可以基于一级嫌疑电话号码和/或下级电话号码，获取到一级嫌疑电话号码和/或下级电话号码中网络电话的上网日志。
[0142]
然后，计算设备从获取到的上网日志中提取上网信息，并将提取到的上网信息作为待分析案件的案件信息。这里，上网信息包括但不限于网际互连协议(internet protocol，ip)地址、媒体存取控制(media access control，mac)信息、以及基站信息等。
[0143]
当然，上述的嫌疑人的资金交易信息、嫌疑人的通讯信息以及上网信息等也可以由专用设备预先获取后存储在存储设备(例如u盘等)里，这样，计算设备即可通过通信接口与该存储设备连接，并从该存储设备中导入这些信息，本技术实施例对此不作限定。
[0144]
需要说明的是，计算设备从银行/第三方金融数据系统、电信运营商系统或存储设备等外部系统/设备导入案件信息时，可以通过sql导入，或者将外部系统/设备的信息经过模板配置后导入，本技术实施例对此不做具体限定。
[0145]
然后，计算设备可以执行上述的s102-s103，以及执行下述的s104-s109。这里需要说明的是，本技术实施例对s102-s103和s104-s105的执行时序不作限定，例如计算设备可以先执行s102-s103，再执行s104-s105，或者计算设备可以同时执行s102-s103和s104-s105等。
[0146]
s104、计算设备根据获取到的案件信息，确定资金交易关系网络、通讯关系网络以及人员事件关系网络。
[0147]
计算设备可以根据案件信息中嫌疑人的资金交易信息来确定资金交易关系网络，该资金交易关系网络用于指示待分析案件中所涉及的所有嫌疑人之间的资金交易关系。
[0148]
计算设备可以根据案件信息中的嫌疑人的通讯信息来确定通讯关系网络，该通讯关系网络用于指示待分析案件中所涉及的所有嫌疑人之间的通讯关系。
[0149]
下面分别对计算设备确定资金交易关系网络和通讯关系网络的过程予以说明。
[0150]
1、确定资金交易关系网络：
[0151]
计算设备可以根据嫌疑人的资金交易信息中的资金交易记录集来确定资金交易关系网络。具体的，计算设备可以根据一级嫌疑账户的资金交易记录集、下级账户的资金交易记录集以及受害人账户，确定资金交易关系网络。该下级账户的描述可以参考上文，这里不作赘述。
[0152]
具体的，计算设备可以先分别对一级嫌疑账户的资金交易记录集和下级账户的资金交易记录集中的资金交易记录按照交易时间进行排序，然后对单个资金交易记录集中重复的数据进行去重，以及对每个资金交易记录集中缺少关键字段的资金交易记录进行去除。其中，缺少的关键字段例如可以是缺少交易时间，或者缺少交易账号等，当然不限于此。
[0153]
然后，计算设备可以根据一级嫌疑账户和下级账户的资金交易记录集中的交易时间、交易金额、借贷标志以及交易账户，对各个资金交易记录集中的资金交易记录进行匹配，以确定账户之间的交易关系。
[0154]
具体的，计算设备可以将两个账户的资金交易记录集中交易时间差小于第二预设阈值，交易金额相同、借贷标志互补、且交易账户互为对方账户号的两条资金交易记录，确定为匹配的资金交易记录。这样，计算设备基于该两条资金交易记录的借贷标志，即可确定出该两个账户之间的交易关系。
[0155]
其中，借贷标志互补是指两条资金交易记录中，一条资金交易记录的借贷标志为“借”，另一条资金交易记录的借贷标志为“贷”。此外，本技术实施例对第二预设阈值的具体取值不作限定。
[0156]
示例性的，在账户a的资金交易记录集中存在资金交易记录1，该资金交易记录1的交易时间为时刻1、交易金额为x、借贷标志为“贷”(即转出)以及目标账户为账户b。在账户b的资金交易记录集中存在资金交易记录2，该资金交易记录2的交易时间为时刻2、交易金额为x、借贷标志为“借”(即转入)以及对方账户为账户a。当时刻1和时刻2之间时间差小于或等于第二预设阈值，则计算设备可以确定账户a的资金交易记录1和账户b的资金交易记录2是匹配的资金交易记录。这样，基于资金交易记录1和资金交易记录2的借贷标志，计算设备可以确定账户a和账户b之间具有交易关系，且交易关系为：账户a向账户b转入金额为x的资金，或者账户b接收账户a转出的金额为x的资金。
[0157]
需要说明的是，上述确定出的具有交易关系的资金交易记录，可以是用于中转涉案资金的资金交易记录，也可以是合法的资金交易记录，本技术实施例对此不作限定。
[0158]
当计算设备确定出具有交易关系的账户后，即可基于受害人账户和一级嫌疑账户之间的交易关系、以及确定出的一级嫌疑账户和下级账户之间的交易关系，确定资金交易关系网络。
[0159]
参考图6，图6示例性的示出了本技术实施例提供的一种资金交易关系网络的示意图。如图所示，图中的箭头方向用于指示资金的流向。与受害人账户具有直接交易关系、且交易关系为接收受害人账户转出资金的账户包括一级嫌疑账户1、一级嫌疑账户2以及一级嫌疑账户3。
[0160]
其中，与一级嫌疑账户1具有直接交易关系、且交易关系为接收一级嫌疑账户1转出资金的账户包括二级账户1、二级账户2以及二级账户3(图中为标记出)，需要说明的是，二级账户3与前文所述的一级嫌疑账户2是同一个账户。与二级账户2具有直接交易关系、且交易关系为接收二级账户2转出资金的账户包括三级账户1和三级账户2(图中为标记出)，
需要说明的是，三级账户2与前文所述的二级账户4是同一个账户。
[0161]
与一级嫌疑账户2具有直接交易关系、且交易关系为接收一级嫌疑账户2转出资金的账户包括二级账户1、二级账户2、二级账户4以及二级账户5。
[0162]
与一级嫌疑账户3具有直接交易关系、且交易关系为接收一级嫌疑账户3转出资金的账户包括二级账户4和二级账户6。
[0163]
然后，计算设备可以将预先获取的一级嫌疑账户和各个下级账户的开户信息和上网信息，添加为上述确定出的资金交易关系网络中节点账户的第一属性信息。例如，计算设备可以将一级嫌疑账户的开户信息和上网信息添加为资金交易关系网络中表示一级嫌疑账户的节点账户的第一属性信息。
[0164]
可以理解的是，计算设备在这里为资金交易关系网络中的节点账户所添加的第一属性信息，可以是计算设备在s101获取的开户信息和上网信息，也可以是在确定出资金交易关系网络后，实时通过银行/第三方金融数据系统的安全验证后获取到的开户信息，以及实时获取的上网信息，本技术实施例对此不作限定。
[0165]
2、确定通讯关系网络：
[0166]
计算设备可以根据案件信息中的嫌疑人的通讯信息中的通话记录集，确定通讯关系网络。具体的，计算设备可以根据一级嫌疑电话号码的通话记录集、下级电话号码的通话记录集以及受害人电话号码，确定通讯关系网络。该下级电话号码的描述可以参考上文，这里不作赘述。
[0167]
具体的，计算设备可以先分别对一级嫌疑电话号码的通话记录集和下级电话号码的通话记录集中的通话记录按照通话时间进行排序，然后对单个通话记录集中重复的数据进行去重，以及对每个通话记录中缺少关键字段的通话记录进行去除。其中，缺少的关键字段例如可以是缺少拨出/接入时间，或者缺少拨出/接入的电话号码等，当然不限于此。
[0168]
然后，计算设备可以先根据一级嫌疑电话号码和下级电话号码的通话记录集中的通话标志、通话时间、通话时长以及通话的电话号码，对各个通话记录集中的每条通话记录进行匹配，以确定电话号码之间的通讯关系。其中，通话标志包括电话拨入和电话拨出，通话时间包括电话拨入时间和电话拨出时间。
[0169]
具体的，计算设备可以将两个电话号码的通话记录集中，通话标志互补，通话时间差小于第三预设阈值、通话时长相同、且通话的电话号码互为对方电话号码的两条通话记录，确定为匹配的通话记录。这样，计算设备基于该两条通话记录的通话标志，即可确定出该两个电话号码之间的通讯关系。
[0170]
其中，通话标志互补是指两条通话记录中，一条通话记录的通话标志为电话拨入，另一条通话记录的通话标志为电话拨出。此外，本技术实施例对第三预设阈值的具体取值不作限定。
[0171]
示例性的，在电话号码a的通话记录集中存在通话记录1，该通话记录1的通话标志为电话拨出，电话拨出时间为时刻1、通话时长为l1、以及拨出的电话号码为电话号码b。在电话号码b的通话记录集中存在通话记录2，该通话记录2的通话标志为电话拨入，电话接入时间是时刻2、通话时长为l2、以及接入的电话号码为电话号码a。当时刻1和时刻2之间时间差小于或等于第三预设阈值，且l1等于l2，则计算设备可以确定电话号码a的通话记录1和电话号码b的通话记录1是匹配的，即计算设备可以确定电话号码a和电话号码b之间具有直
接的通讯关系，且通讯关系为：电话号码a主叫电话号码b，或者，电话号码b接听电话号码a的呼叫。
[0172]
当计算设备确定出具有通讯关系的电话号码后，即可基于受害人电话号码和一级嫌疑电话号码之间的通讯关系、以及确定出的一级嫌疑电话号码和下级电话号码之间的通讯关系，确定通讯关系网络。
[0173]
参考图7，图7示例性的示出了本技术实施例提供的一种通讯关系网络的示意图。如图7所示，图7中的箭头方向用于指示电话拨出的方向。
[0174]
如图7所示，与受害人电话号码之间具有直接通讯关系电话号码包括一级嫌疑电话号码。与一级嫌疑电话号码具有直接通讯关系的电话号码包括二级电话号码1和二级电话号码2。其中，二级电话号码1和二级电话号码2之间也进行直接通讯联系。
[0175]
与二级电话号码2具有直接通讯关系的电话号码包括三级电话号码1。
[0176]
与三级电话号码1具有直接通讯关系的电话号码包括四级电话号码1、四级电话号码2、四级电话号码3、四级电话号码4以及四级电话号码5。其中，四级电话号码1和四级电话号码2之间也进行直接通讯联系。
[0177]
然后，计算设备将预先获取的一级嫌疑电话号码和各个下级电话号码的开户信息和/或上网信息，添加为上述确定出的通讯关系网络中的节点电话号码的第二属性信息。
[0178]
应理解，计算设备这里为通讯关系网络中的节点账户添加的第二属性信息，可以是计算设备在s101获取的电话号码的开户信息和上网信息，也可以是在确定出通讯关系网络后，实时通过电信运营商系统的安全验证后获取到的电话号码的开户信息，以及实时获取的网络电话的上网信息，本技术实施例对此不作限定。
[0179]
然后，计算设备可以根据确定出的资金交易关系网络和通讯关系网络，确定人员事件关系网络。其中，人员事件关系网络用于指示与待分析案件中所涉及的所有嫌疑人有关的人员事件关系。应理解，本技术实施例中的人员事件包括但不限于上网事件、购物事件等。
[0180]
可选的，计算设备可以从上述确定出的资金交易关系网络中节点账户的第一属性信息、通讯关系网络中节点电话号码的第二属性信息、上述通讯话单信息中的imsi号、以及案件信息中的上网信息等信息中，抽取人员事件关系。然后，计算设备可以基于抽取到的人员事件关系，确定人员事件关系网络。
[0181]
作为示例，参考图8，图8示出了本技术实施例提供的一种确定人员事件关系网络的示意图。
[0182]
如果资金交易关系网络中的两个节点账户的第一属性信息指示其开户人均为人员a，计算设备即可抽取人员a作为人员事件关系网络的一个节点(例如图8中的节点“人员a”)。如果基于人员a的银行账户上网信息确定人员a在地点a处消费，计算设备即可抽取地点a为人员事件网络中的另一个节点(例如图6中的节点“地点a”)，这样，节点“人员a”和节点“地点a”之间的关系为购物，具体如图6所示。
[0183]
如果通讯关系网络中的节点电话号码的第二属性信息指示其开户人是人员b，则计算设备可以抽取人员b为人员事件网络的一个节点(例如图8中的节点“人员b”)。基于人员b的通话记录发现与人员b通讯的另一个节点电话号码的第二属性信息指示其开户人是人员a，则计算设备可以建立节点“人员a”和节点“人员b”之间的关系，具体如图8所示。
[0184]
如果案件信息中嫌疑人网络用户名a的上网信息指示其地点a处消费，则计算设备可以抽取网络用户名a为人员事件关系网络的一个节点(例如图8中的节点“网络用户名a”)。这样，节点“网络用户名a”和节点“地点a”之间的关系为购物，具体如图8所示。另外，如果计算设备还根据人员b的电话号码的上网信息指示人员b所在位置为地点a，则计算设备可以建立节点“人员b”和节点“地点a”之间的关系，具体如图8所示。
[0185]
s105、计算设备确定上述资金交易关系网络、通讯关系网络以及人员事件网络之间的关联关系，以得到融合网络。
[0186]
具体的，计算设备可以根据上述确定出的资金交易关系网络中节点的第一属性信息、通讯关系网络中节点的第二属性信息以及人员事件网络，确定这三个网络之间的关联关系。然后，计算设备根据该关联关系将这三个网络进行关联，即得到融合网络。
[0187]
其中，对于资金交易关系网络中的任一个节点而言，该任一个节点及其第一属性信息可以用于标识一个嫌疑人。类似的，对于通讯关系网络中的任一个节点而言，该任一个节点及其第二属性信息也可以用于标识一个嫌疑人。对于人员事件网络中的任一个节点而言，该任一个节点也可以标识一个嫌疑人。当属于不同网络中的两个或多个节点所标识的嫌疑人具有共同属性，例如嫌疑人的上网地址相同或电话号码相同，则计算设备可以确定该两个或多个节点之间具有关联关系。
[0188]
例如，如果资金交易关系网络里节点1及其第一属性信息中的上网信息(包括但不限于用户上网时使用计算设备的mac信息、国际移动设备识别码(international mobile equipment identity，imei)、身份信息、ip等信息)所标识的嫌疑人，和通讯关系网络中节点2的属性信息标识的嫌疑人具有共同属性，例如嫌疑人上网的ip相同，则计算设备可以确定资金交易关系网络里节点1和通讯关系网络中节点2具有关联关系。
[0189]
结合图6、图7以及图8，参考图9，图9示出了本技术实施例提供的一种确定融合网络的示意图。
[0190]
如图9所示，对于图6所示的资金交易关系网络中的节点二级账户5而言，计算设备可以根据节点二级账户5的第一属性信息中的上网信息确定节点二级账户5在登陆时所接入网络的开户电话是号码1，即节点二级账户5所标识的嫌疑人的电话号码是号码1。那么，如果号码1与图7所示通讯关系网络中的节点二级电话号码1是同一个电话号码，则表明节点二级账户5所标识的嫌疑人和节点二级电话号码1所标识的嫌疑人具有共同的属性，即嫌疑人的电话号码相同。因此，计算设备确定节点二级账户5和节点二级电话号码1之间具有关联关系，则计算设备建立节点二级账户5和节点二级电话号码1之间的关联。
[0191]
可选的，由于在图7所示通讯关系网络中，二级电话号码1和二级电话号码2之间直接通讯，且二级电话号码1和一级嫌疑电话号码之间直接通讯，因此计算设备可以建立图6中资金交易关系网络中的节点二级账户5和通讯关系网络中的二级电话号码2之间的关联，以及建立图6中资金交易关系网络中的节点二级账户5和通讯关系网络中的一级嫌疑电话号码之间的关联。
[0192]
另外，计算设备根据图7所示通讯关系网络中的四级电话号码5的第二属性信息中的上网信息确定该号码接入网络时的ip地址是ip1，即节点四级电话号码5标识的嫌疑人上网时的ip地址是ip1。如果计算设备根据图6所示资金交易关系网络中的节点二级账户6的第一属性信息中的上网信息确定该账户通过网络登陆时的ip地址也是ip1，并且确定图8所
示人员事件关系网络中的节点用户名a通过ip1上网购物。因此，计算设备确定节点四级电话号码5所标识的嫌疑人、节点二级账户6所标识的嫌疑人以及节点用户名a所标识的嫌疑人，具有共同的属性，即嫌疑人上网的ip地址均为ip1。因此，计算设备确定节点四级电话号码5、节点二级账户6以及节点用户名a之间具有关联关系，则计算设备建立节点四级电话号码5、节点二级账户6以及节点用户名a之间的关联。
[0193]
这样，通过建立资金交易关系网络、通讯关系网络以及人员事件关系网络中节点之间的关联，即实现了将资金交易关系网络、通讯关系网络以及人员事件关系网络的融合，即得到了融合网络。
[0194]
可选的，该融合网络可以存储于待分析案件的案件侦办知识库中。其中，案件侦办知识库的描述可以参考上文，这里不作赘述。
[0195]
s106、计算设备以上述案件分析结果中的嫌疑账户为种子节点，在上述融合网络中确定至少一个目标图。
[0196]
其中，目标图用于指示计算设备挖掘出的待分析案件所涉及嫌疑人的组织结构，为便于表述，本技术实施例下文中将待分析案件所涉及嫌疑人的组织结构称为待分析案件的嫌疑犯罪团伙组织结构。
[0197]
具体的，计算设备可以以上述案件分析结果(即s102确定的涉案资金交易流向网络)中的一个或多个嫌疑账户为种子节点，并根据预设子图在上述融合网络中进行匹配，以确定出至少一个目标图。
[0198]
其中，预设子图用于指示已知或可疑的犯罪团伙组织结构，该预设子图可以预存在案件侦办知识库中，在计算设备确定目标图时，则从案件侦办知识库中调用这些预设子图。示例地，预设子图可以包括历史案件的资金交易关系，或者，人员关系，或者，历史案件的分析结果。以便于基于历史分析结果对融合网络进行进一步分析，以便获得目标图。
[0199]
应理解，预设子图可以包括基于历史侦办案件的侦办结果确定的预设子图、极大团或具有特殊结构的子图中的至少一种。
[0200]
其中，基于历史侦办案件的侦办结果确定的预设子图，即为已侦办完成的案件中确定的犯罪团伙组织的结构图，即这一类子图是已知的犯罪团伙组织结构图。
[0201]
极大团是指网络中各个节点之间均两两相连的网络结构。具有特殊结构的子图，例如可以是星型结构子图，环路结构子图或者树形结构子图等中的任一种，本技术实施例对此不作限定。应理解，极大团和具有特殊结构的子图中节点之间的关系，可以在一定程度上反映出可能的犯罪团伙组织的结构，因此，这两类预设子图是可疑的犯罪团伙组织结构图。
[0202]
这样，基于预设子图，计算设备可以以案件分析结果中的嫌疑账户作为种子节点在融合网络中进行匹配，以确定出至少一个目标图。
[0203]
其中，匹配包括图结构的匹配以及节点属性信息的匹配。具体的，图结构的匹配是指在融合网络中确定和预设子图的图结构相同或相近的子图。节点属性信息的匹配，是指对在融合网络中基于预设子图的图结构匹配到的子图中的节点的属性信息和预设子图中节点的属性信息进行匹配。其中，属性信息可以是节点的转账次数、转账金额、涉案资金转入转出模式等信息，当然不限于此。例如，子图1中的节点1和子图中的节点2的转账次数相同或相近，即视为节点1和节点2的属性信息匹配。再例如，子图1中的节点1和子图中的节点
2的涉案资金转入转出模式相同或相近，即视为节点1和节点2的属性信息匹配。其中，涉案资金转入转出模式可以参考前文描述，这里不再赘述。
[0204]
应理解，案件分析结果中作为种子节点的嫌疑账户，可以是匹配得到的目标图中的任意位置处的节点。也就是说，目标图中包括案件分析结果中的至少一个嫌疑账户。
[0205]
作为一个示例，计算设备可以基于极大团算法，以上述案件分析结果中的一个或多个嫌疑账户为种子节点在融合网络中匹配出图结构符合极大团的预设子图结构、且属性信息与该预设子图中节点的属性信息匹配的目标图。例如，计算设备可以基于极大团算法，以上述案件分析结果中的一个或多个嫌疑账户为种子节点在融合网络中匹配出如图10中的(a)所示的图结构符合四节点极大团的预设子图结构、且属性信息与该预设子图中节点的属性信息匹配的目标图。如图10中的(a)所示，图10中的(a)示出的目标图中的四个节点之间两两相连，且该目标图中包括案件分析结果中的至少一个嫌疑账户。
[0206]
或者，计算设备基于极大团算法，以案件分析结果中的一个或多个嫌疑账户为种子节点在融合网络中匹配出如图10中的(b)所示的图结构符合六节点极大团的预设子图结构、且属性信息与该预设子图中节点的属性信息匹配的目标图。如图10中的(b)所示，图10中的(b)示出的目标图中的六个节点之间两两相连，且该目标图中包括案件分析结果中的至少一个嫌疑账户。
[0207]
作为另一个示例，计算设备可以利用节点度数统计算法，以案件分析结果中的一个或多个嫌疑账户为种子节点在融合网络中快速查找图结构符合星型结构的预设子图、且属性信息与该预设子图中节点的属性信息匹配的目标图。例如，如图11中的(a)所示出的星型结构的目标图，且该目标图中包括案件分析结果中的至少一个嫌疑账户。通常，星型结构子图是典型的可以反映出犯罪团伙中核心头目的子图结构。
[0208]
作为另一个示例，计算设备可以以案件分析结果中的一个或多个嫌疑账户为种子节点，并利用环路检测算法(例如通过广度优先搜索(depth first search，bfs)/深度优先搜索(depth first search，dfs)等基础算法实现的环路检测算法)来查找图结构符合环路结构的预设子图、且属性信息与该预设子图中节点的属性信息匹配的目标图。其中，计算设备基于环路检测算法查找到一个或多个环路结构的子图后，可以先通过属性约束对查找出的环路结构的子图进行过滤，再将过滤后的子图和预设子图的属性信息进行匹配，以确定目标图。其中，属性约束例如基于交易时间或事件发生时间，去除不合理的环路结构子图。例如，计算设备以案件分析结果中的一个或多个嫌疑账户为种子节点，利用环路检测算法查找到的、通过属性约束过滤后的目标图为如图11中的(b)所示出的环路结构的目标图，且该目标图中包括案件分析结果中的至少一个嫌疑账户。其中，图11中的(b)中的箭头可以是资金的流向。通常，环路结构子图是典型的可以反映出借贷欺诈团伙的子图结构。
[0209]
作为另一个示例，计算设备可以以案件分析结果中的一个或多个嫌疑账户为种子节点，并利用预设算法在融合网络中查找图结构符合树形结构的预设子图、且属性信息与该预设子图中节点的属性信息匹配的目标图。其中，计算设备基于预设算法查找到一个或多个树形结构的子图后，可以先通过属性约束实现对查找到的子图的剪枝，再将剪枝后的子图和预设子图的属性进行匹配，以确定目标图。其中，属性约束例如是通过节点账户转入转出资金的金额，或者是交易的时间等属性，去除属性结构子图中不合理的枝丫。例如，计算设备以案件分析结果中的嫌疑账户为种子节点，利用预设算法查找到的、通过属性约束
剪纸后的目标图为如图11中的(c)所示出的树型结构的目标图，且该目标图中包括案件分析结果中的至少一个嫌疑账户。其中，图11中的(c)中的箭头可以是资金的流向。通常，树形结构子图是典型的可以反映传销欺诈团伙的子图结构。
[0210]
应理解，本技术实施例对上述的极大团算法、节点度数统计算法、环路检测算法以及预设算法不作具体限定。应理解，任意能实现在融合网络中查找到上述不同结构子图的算法，均应在本技术实施例的保护范围内。
[0211]
需要说明的是，上述预设子图可以是单一的资金流子图，或者是单一的通讯流子图，或者是包括资金流和通讯流的子图，当然不限于此。当预设子图是单一的资金流子图，则计算设备可以基于该预设子图在上述的资金交易关系网络中进行匹配即可。或者，当预设子图是单一的通讯流子图，则计算设备可以基于该预设子图在上述的通讯关系网络中进行匹配即可。当然，如果预设子图是包括资金流和通讯流的子图，则计算设备可以在基于上述的资金交易关系网络和通讯关系网络得到的融合网络中进行匹配。
[0212]
可以看出，计算设备基于至少一个预设子图，即可在融合网络中确定出至少一个目标图。这样，在案件后期侦办过程中，有限的侦查人员只需对计算设备确定出的目标图所对应的嫌疑犯罪团伙组织进行重点侦查。可见，本技术实施例提供的方法有效的提高了案件的侦办效率。
[0213]
可选的，为了节省后期的案件侦办效率，计算设备可以优先将案件分析结果中嫌疑度高的嫌疑账户作为种子节点来在融合网络中匹配目标图。
[0214]
一个示例，计算设备可以将案件分析结果中嫌疑度超过第四预设阈值的嫌疑账户作为种子节点，并根据预设子图在融合网络中确定目标图。其中，本技术实施例对该第四预设阈值的具体取值不作具体限定。
[0215]
另一个示例，计算设备可以将案件分析结果中嫌疑度从高到低排序，并将排名前m的多个(不排除有并列排名的情况)嫌疑账户作为种子节点，并根据预设子图在融合网络中确定目标图。其中，m是正整数。
[0216]
这样的话，在案件后期侦办过程中，有限的侦查人员可以先对基于嫌疑度高的嫌疑账户匹配到的目标图所对应的嫌疑犯罪团伙组织进行侦查，再对基于嫌疑度较低的嫌疑账户匹配到的目标图所对应的嫌疑犯罪团伙组织进行侦查。因此，本技术实施例提供的方法进一步有效的提高了案件的侦办效率。
[0217]
s107(可选的)、计算设备将上述得到的至少一个目标图中的每个目标图转换为层级树。
[0218]
其中，该层级树用于指示待分析案件的嫌疑犯罪团伙组织(即待分析案件所涉及嫌疑人的组织结构)的层级结构。该层级树的层级和目标图中的资金流级或通讯流级对应。
[0219]
其中，计算设备可以按照如下方式中任意一种将目标图转换为层级树：
[0220]
方式1，计算设备可以基于节点之间的交易时间的约束，将目标图转换为层级树。例如，交易时间早的节点在层级树中的层级高于交易时间晚的节点在层级树中的层级。
[0221]
方式2，计算设备可以基于节点之间的资金流向的约束，将目标图转换为层级树。例如，资金流的源节点在层级树中的层级，高于资金流的目标节点在层级树中的层级。
[0222]
方式3，计算设备可以基于节点中转涉案资金的金额的约束，将目标图转换为层级树。例如，受害人被骗资金为一级嫌疑账户涉案资金的总和与第五预设阈值的总和。类似
的，其他层级嫌疑账户的约束与一级嫌疑账户的约束相同，这里不再赘述。其中，本技术实施例对该第五预设阈值的具体取值不作限定。
[0223]
需要说明的是，如果计算设备确定的目标图中包括环路结构，则计算设备在将该目标图转换为层级树之前，可以先对目标图中的环路结构进行拆分，然后再通过上述的方式1-方式3中的任一种方式，将拆分了环路结构的目标图转换为层级树。
[0224]
其中，计算设备在拆分目标图中的环路结构时，当遇到环路嵌套，则通常先拆分内层环路，再拆分外部环路。
[0225]
此外，计算设备在转换得到的层级树中，计算设备可以将前文步骤s102统计得到的节点账户中转涉案资金的次数、中转涉案资金的金额、中转涉案资金的时间等信息添加至层级树中节点的属性信息中。当然，计算设备也可以在确定得到目标图时，即将前文步骤s102统计得到的节点账户中转涉案资金的次数、中转涉案资金的金额、中转涉案资金的时间等信息添加至目标图中节点的属性信息中，本技术实施例对此不作限定。
[0226]
s108(可选的)、计算设备输出上述得到的层级树。
[0227]
计算设备向用户所输出的层级树，即为向用户输出待分析案件的嫌疑犯罪团伙组织(即待分析案件所涉及嫌疑人的组织结构)的层级结构，该层级结构可以是以待分析案件所涉及的嫌疑人的标识为索引的嫌疑团伙组织的层级结构。
[0228]
其中，嫌疑人的标识可以用于唯一标识该嫌疑人，该标识例如可以是嫌疑人的姓名、嫌疑人的账户或者嫌疑人的电话号码等信息，本技术实施例对此不作限定。
[0229]
具体的，计算设备输出层级树的过程，可以参考s102中计算设备输出涉案资金交易流向网络的描述，这里不予赘述。
[0230]
作为示例，以嫌疑人的标识为嫌疑人的账户为例，即该层级结构是以待分析案件所涉及的嫌疑账户为索引的嫌疑团伙组织的层级结构。参考图12，图12示出了本技术实施例输出的一种层级树的示意图。其中，该层级树可以是基于单一资金流的预设子图在融合网络或资金交易关系网络中匹配到的目标图所转换得到的层级树。
[0231]
如图12所示的用于指示嫌疑犯罪团伙组织层级结构的层级树中，包括与受害人账户直接交易的4个一级嫌疑账户(包括一级嫌疑账户a，一级嫌疑账户b，一级嫌疑账户c以及一级嫌疑账户d)，该层级树中还包括与一级嫌疑账户a交易的二级嫌疑账户a和二级嫌疑账户b，以及包括与一级嫌疑账户d交易的二级嫌疑账户c和二级嫌疑账户d。在该层级树的每个节点中，还包括节点账户的部分属性信息，例如包括该嫌疑账户的开户人和嫌疑账户参与中转涉案资金的金额。
[0232]
作为一种可能的实施例，该层级树也可以以嫌疑人的其他标识为索引来呈现。示例性的，上述层级树可以以嫌疑人本身为索引来展示。这种情况下，对于该层级树中的任一个节点而言，该节点的信息可以包括该节点所指示嫌疑人对应的嫌疑账户、该嫌疑账户对应中转的涉案资金、该嫌疑账户参与中转资金的次数、该嫌疑账户的开户信息、该嫌疑账户的嫌疑度等信息，当然不限于此。
[0233]
作为另一种可能的实施例，案件分析结果也可以包括多个，计算设备可以从不同维度分析，输出多个可能的结果。
[0234]
s109(可选的)、计算设备基于上述获取的待分析案件的案件信息和案件分析结果，确定与待分析案件相关的历史侦办案件的侦办结果。
[0235]
具体的，计算设备可以基于待分析案件的案件信息中的账户信息、电话号码、上网信息等、以及案件分析结果，在历史侦办案件的侦办结果中进行查找，以确定与待分析案件相关的历史侦办案件的侦办结果。其中，侦办结果中可以包括但不限于该历史侦办案件的涉案资金交易流向结果、犯罪账户中转涉案资金的转入转出模式、该历史侦办案件的犯罪团伙组织结构等信息，本技术实施例对此不作限定。
[0236]
然后，计算设备可以向用户输出与待分析案件相关的历史侦办案件的侦办结果。可以看出，通过这种方式，计算设备实现了向用户推送与待分析案件的相关的历史侦办案件侦办结果的目的，从而实现了待分析案件与历史侦办案件的串并案。其中，计算设备输出与待分析案件相关的历史案件侦办结果的过程，可以参考s102中计算设备输出涉案资金交易流向网络的描述，这里不予赘述。
[0237]
通过上述描述的案件分析方法，可以根据受害人提供的报案信息，本技术实施例可以基于时间切片细粒度资金追踪模式实现了对涉案资金流向的自动化追踪，从而实现了对受害人被骗资金的快速拦截，大幅提高了案件的侦办效率。同时，该方法还可以基于涉案资金流向结果、嫌疑人资金交易关系网络、嫌疑人通讯关系网络以及与嫌疑人有关的人员事件关系网络等多种网络信息确定出待分析案件的嫌疑犯罪团伙组织的结构，并向用户输出确定出的嫌疑犯罪团伙组织的结构，从而可以帮助下游侦查人员根据计算设备确定出的嫌疑犯罪团伙组织中的相关人员或账户进行重点侦查，从而节省了下游侦查人员侦办案件的工作量，即本技术实施例提高了案件侦办的效率。
[0238]
并且，本技术实施例提供的方法还可以确定上述案件分析结果中的嫌疑账户的嫌疑度，这样的话，在案件后期侦办过程中，有限的侦查人员可以先对基于嫌疑度高的嫌疑账户匹配到的目标图所对应的嫌疑犯罪团伙组织进行侦查，再对基于嫌疑度较低的嫌疑账户匹配到的目标图所对应的嫌疑犯罪团伙组织进行侦查。因此，本技术实施例提供的方法进一步有效的提高了案件的侦办效率。
[0239]
此外，在计算设备执行完s101-s102确定案件分析结果后，侦查人员基于计算设备输出的涉案资金流向结果进行侦查确认后，可以将其侦查确认的结果反馈至计算设备。类似的，计算设备执行完s101-s108向侦查人员输出层级树后，侦查人员基于计算设备输出的层级树进行侦查确认后，可以将其侦查确认的结果反馈至计算设备。其中，该结果反馈至计算设备的过程，可以参考s101中计算设备获取待分析案件的报案信息的描述，这里不再赘述。
[0240]
应理解，侦查人员向计算设备反馈的结果包括但不限于待分析案件的犯罪账户(在侦查人员侦查确认后，嫌疑账户即为犯罪账户)中转涉案资金时的转入转出模式，待分析案件的犯罪团伙组织结构等信息。
[0241]
这样，计算设备即可以根据侦查人员反馈的结果，对案件侦办知识库进行更新。例如将待分析案件的确定的犯罪账户中转涉案资金时的转入转出模式作为新的预设研判模式添加到案件侦办知识库中，或者将待分析案件侦查确认后的犯罪团伙组织结构对应的架构图作为新的预设子图添加至案件侦办知识库中。
[0242]
这样的话，当未来发生新的诈骗案件，计算设备即可基于更新后的案件侦办知识库来分析该诈骗案件。可见，本技术实施例提供的方法可以实现案件分析过程中分析知识的积累和扩展，进而当积累和扩展的分析知识在用于分析处理未来发生的诈骗案件时，实
现了分析知识的迁移使用，进而使得未来发生新的诈骗案件在侦办时的侦办效率高。
[0243]
上述主要从方法的角度对本技术实施例提供的方案进行了介绍。为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本技术能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本技术的范围。
[0244]
本技术实施例可以根据上述方法示例对案件分析装置进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本技术实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。
[0245]
如图13所示，图13示出了本技术实施例提供的一种案件分析装置130的结构示意图。案件分析装置130可以用于执行上述的案件分析方法，例如用于执行图3或图5所示的方法。其中，案件分析装置130可以包括获取单元131、确定单元132以及输出单元132。
[0246]
获取单元131，用于获取待分析案件的案件信息，该案件信息包括嫌疑人的资金交易信息。确定单元132，用于按照时间切片分析所获取的嫌疑人的资金交易信息，以确定案件分析结果。输出单元133，用于输出确定出的案件分析结果。其中，案件分析结果用于指示涉案资金流向的追踪结果。
[0247]
作为示例，结合图3，获取单元131可以用于执行s101，确定单元132可以用于执行s102。
[0248]
可选的，确定单元132具体用于：按照资金交易时间对资金交易信息中的资金交易记录集进行切分，以得到一个或多个时间切片对应的资金交易记录子集。以及，根据该一个或多个时间切片对应的资金交易记录子集，逐级追踪涉案资金流向，以确定案件分析结果。其中，一个资金交易记录子集中包括至少一笔涉案资金的中转记录。
[0249]
作为示例，结合图3，确定单元132可以用于执行s102。
[0250]
可选的，确定单元132还用于：根据上述案件信息确定包括嫌疑人的资金交易关系、嫌疑人的通讯关系、以及与嫌疑人有关的人员事件关系的融合网络。以及，根据该融合网络和上述确定的案件分析结果，确定待分析案件所涉及嫌疑人之间的组织结构。
[0251]
作为示例，结合图5，确定单元132可以用于执行s104-s106。
[0252]
可选的，上述案件信息还包括嫌疑人的通讯信息，则确定单元132还具体用于：根据嫌疑人的资金交易信息确定用于指示待分析案件中所涉及的所有嫌疑人之间的资金交易关系的资金交易关系网络。根据嫌疑人的通讯信息确定用于指示待分析案件中所涉及的所有嫌疑人之间的通讯关系的通讯关系网络。根据资金交易关系网络和通讯关系网络，确定用于指示与待分析案件中所涉及的所有嫌疑人有关的人员事件关系的人员事件关系网络。以及，确定资金交易关系网络、通讯关系网络以及人员事件关系网之间的关联关系，以得到融合网络。
[0253]
作为示例，结合图5，确定单元132可以用于执行s104-s105。
[0254]
可选的，上述组织结构包括以待分析案件所涉及的嫌疑人的标识为索引的嫌疑团
伙组织的层级结构，则输出单元133，还用于输出该层级结构。其中，嫌疑人的标识用于唯一标识该嫌疑人。
[0255]
作为示例，结合图5，输出单元133可以用于执行s108。
[0256]
关于上述可选方式的具体描述可以参见前述的方法实施例，此处不再赘述。此外，上述提供的任一种案件分析装置130的解释以及有益效果的描述均可参考上述对应的方法实施例，不再赘述。
[0257]
作为示例，结合图2，案件分析装置130中的获取单元131和确定单元132实现的功能，可以通过图2中的处理器121执行图2中的主存储器122中的程序代码实现。输出单元133实现的功能可以通过图2中的通信接口124实现。
[0258]
作为一种可能的实施例，本技术还提供一种案件分析装置，该案件分析装置可以如图2所示，包括处理器121、主存储器122、存储介质123和通信接口124，上述分析装置用于实现上述图2至图12中计算设备所执行方法的功能。
[0259]
作为另一种可能的实施例，本技术还提供一种案件分析系统，包括如图1所示的客户端设备和服务器，其中，客户端设备和服务器分别用于实现如图2至图12中相应主体所执行方法的操作步骤。
[0260]
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式来实现。该计算机程序产品包括一个或多个计算机指令。在计算机上和执行计算机执行指令时，全部或部分地产生按照本技术实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质(例如，dvd)、或者半导体介质(例如固态硬盘(solid-state disk，ssd))等。
[0261]
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。