張杰俊，李 爽

（1. 中國電信上海分公司，上海 200040；2. 北京郵電大學(xué)，北京 100876）

0 引言

隨著我國社會信息化程度的快速提升，近些年來，與個人信息詐騙相關(guān)的報導(dǎo)也越來越多。不法分子通過編造虛假信息，依托電話系統(tǒng)跨地域?qū)κ芎θ诉M(jìn)行電話詐騙[1]已成為一種高發(fā)態(tài)勢。在這類電話詐騙中，不法分子往往通過事先編排的詐騙套路，通過電話系統(tǒng)遠(yuǎn)程誘使受害人一步步的透露出個人信息，從而使得其詐騙行為更具有目標(biāo)性和欺騙性，不僅給受害人帶來財產(chǎn)的重大損失，更造成了精神上的嚴(yán)重傷害。

因此，如何能夠從正常的話單中快速識別出電信欺詐[2-7]，并進(jìn)行有針對性的防范成為電信運(yùn)營商需要面對的一個新的領(lǐng)域。

另一方面，如果能夠結(jié)合當(dāng)前快速發(fā)展的人工智能技術(shù)，將有助于提升電話詐騙識別率。針對這一需求，本文設(shè)計并實現(xiàn)了一個基于卷積神經(jīng)網(wǎng)絡(luò)（Convolutional Neural Networks，CNN）[8-9]的電話詐騙識別系統(tǒng)，首先清洗并處理用戶話單數(shù)據(jù)，將其構(gòu)建成用戶特征圖片，然后使用基于CNN的人工智能技術(shù)構(gòu)造出相應(yīng)的分類器，對詐騙電話的通話數(shù)據(jù)特征進(jìn)行挖掘，進(jìn)而識別出詐騙人員的用戶行為。

1 電話詐騙識別系統(tǒng)框架設(shè)計

基于 CNN的電話詐騙識別系統(tǒng)的功能框架設(shè)計如圖1所示[10]，其核心功能模塊包括話單數(shù)據(jù)清洗功能模塊、用戶特征圖構(gòu)建功能模塊、詐騙識別模型訓(xùn)練與詐騙行為識別功能模塊。

（1）話單數(shù)據(jù)清洗功能模塊為電話詐騙識別系統(tǒng)提供數(shù)據(jù)準(zhǔn)備，負(fù)責(zé)清洗輸入的原始話單數(shù)據(jù)和用戶信息數(shù)據(jù)，生成用于構(gòu)造原始特征圖的用戶信息數(shù)據(jù)和用戶話單數(shù)據(jù)。其中，原始話單數(shù)據(jù)是電信用戶產(chǎn)生的話單記錄信息；用戶信息則包括電信用戶是否實名制、電信用戶的類別（個人或者政企）、使用的電信套餐類別、使用的電信套餐名稱以及是否停機(jī)等信息[11]。

（2）用戶特征圖構(gòu)建功能模塊負(fù)責(zé)生成原始特征圖，并產(chǎn)生對應(yīng)于一個時段（例如每5分鐘）的用戶特征圖數(shù)據(jù)，為系統(tǒng)提供相應(yīng)的訓(xùn)練數(shù)據(jù)。

（3）電話詐騙識別模型訓(xùn)練與詐騙行為識別功能模塊則負(fù)責(zé)完成識別模型的訓(xùn)練以及電話詐騙行為識別結(jié)果的優(yōu)劣評估，它是電話詐騙識別系統(tǒng)的功能核心。

2 電話詐騙識別系統(tǒng)核心功能模塊的設(shè)計

基于 CNN的電話詐騙識別系統(tǒng)在主體架構(gòu)上包含電話詐騙識別模型訓(xùn)練流程和詐騙行為識別流程。

與此對應(yīng)，基于CNN的電話詐騙識別系統(tǒng)的總體結(jié)構(gòu)包含兩層：低層為詐騙電話分析識別層，高層為電話詐騙識別模型訓(xùn)練與調(diào)優(yōu)層，如圖2所示。其中。

（1）詐騙電話分析識別層主要根據(jù)原始話單數(shù)據(jù)和用戶數(shù)據(jù)產(chǎn)生基于時間粒度的分片規(guī)劃，然后根據(jù)電信用戶特征圖數(shù)據(jù)以及訓(xùn)練好的電話詐騙識別模型，分析并識別電信用戶的行為類別。

在電話詐騙分析識別層中，數(shù)據(jù)清洗模塊負(fù)責(zé)對輸入系統(tǒng)的電信用戶信息和用戶話單數(shù)據(jù)進(jìn)行處理和清洗，產(chǎn)生滿足系統(tǒng)后繼處理需要的標(biāo)準(zhǔn)化用戶話單數(shù)據(jù)，作為下一步電信用戶特征圖構(gòu)造模塊的數(shù)據(jù)基礎(chǔ)。電信用戶特征圖構(gòu)造模塊負(fù)責(zé)從標(biāo)準(zhǔn)化用戶話單數(shù)據(jù)中提取并聚合用戶通話特征，生成以時間段為縱軸、以特征為橫軸的用戶通話特征圖。根據(jù)輸入數(shù)據(jù)來源的不同，如果是訓(xùn)練數(shù)據(jù)，其特征圖將進(jìn)一步通過層間接口輸入到上一層的電話詐騙識別模型構(gòu)造模塊；如果是待測試數(shù)據(jù)，其特征圖與調(diào)優(yōu)完畢的電話詐騙識別模型一起輸入到電話詐騙行為識別模塊進(jìn)行識別，并最終得到待測試數(shù)據(jù)中包含的電話詐騙數(shù)據(jù)的識別結(jié)果。

（2）電話詐騙識別模型訓(xùn)練與調(diào)優(yōu)層主要負(fù)責(zé)產(chǎn)生并訓(xùn)練電話詐騙識別模型，評估電話詐騙識別結(jié)果，以及對電話詐騙識別模型進(jìn)行調(diào)優(yōu)，并在瀏覽器界面中通過可視化模塊展示電話詐騙識別的訓(xùn)練過程。

圖2 電話詐騙識別系統(tǒng)總體架構(gòu)Fig.2 Overall architecture of telephone fraud identification classifier

在電話詐騙識別模型訓(xùn)練與調(diào)優(yōu)層中，電話詐騙識別模型構(gòu)造模塊通過學(xué)習(xí)下層用戶特征圖構(gòu)造子模塊輸入的混合了電話詐騙數(shù)據(jù)的訓(xùn)練數(shù)據(jù)集，可生成相應(yīng)的電話詐騙識別模型。電話詐騙識別模型對于包含電話詐騙數(shù)據(jù)的識別效果由電話詐騙識別評估子模塊進(jìn)行評估，該功能模塊通過對電話詐騙識別結(jié)果中查全率和查準(zhǔn)率的統(tǒng)計，評估相應(yīng)模型的輸出效果。

根據(jù)電話詐騙識別評估子模塊輸出的評估結(jié)果，對電話詐騙識別模型的調(diào)優(yōu)功能則由后續(xù)的電話詐騙識別模型調(diào)優(yōu)模塊完成。其調(diào)優(yōu)功能主要通過增加識別電話詐騙關(guān)聯(lián)特征、改變生成電話詐騙識別模型所需要的迭代次數(shù)以及配置相應(yīng)的模型參數(shù)等措施來實現(xiàn)。

本層中，電話詐騙識別模型可視化模塊與瀏覽器終端配合，可實現(xiàn)基于神經(jīng)網(wǎng)絡(luò)的電話詐騙識別模型建立與訓(xùn)練過程的可視化，并采用圖形化方式展示在模型訓(xùn)練與評估期間的電話詐騙識別模型構(gòu)造結(jié)果、電話詐騙識別評估情況以及電話詐騙識別模型調(diào)優(yōu)過程。

3 基于CNN的電話詐騙識別模型與電話詐騙行為識別的設(shè)計

在設(shè)計電話詐騙識別系統(tǒng)時，本文對比和分析了多種機(jī)器學(xué)習(xí)算法，最終選用CNN中較為經(jīng)典和常用的 Lenet結(jié)構(gòu)作為參考基礎(chǔ)。下面簡略介紹基于 LeNet-5的電話詐騙識別模型與電話詐騙行為識別的主要設(shè)計。

參考 LeNet-5的設(shè)定，本文設(shè)計的電話詐騙識別模型的分層結(jié)構(gòu)如圖3所示，共計包含了6個層次。

圖3 基于CNN的電話詐騙識別模型分層結(jié)構(gòu)示意圖Fig.3 Hierarchical structure of telephone fraud identification model based on CNN

基于神經(jīng)網(wǎng)絡(luò)模型的特性，對電話詐騙識別模型的調(diào)優(yōu)工作是基于模型的迭代調(diào)優(yōu)過程實現(xiàn)的。本文采用的主要調(diào)優(yōu)手段包括卷積核大小和神經(jīng)元個數(shù)的調(diào)整（比如本文對于卷積核大小有4*4，5*5，6*6，7*7四種方案，神經(jīng)元個數(shù)有163,248、326,496和64,128,192三種方案），以及對于待評測用戶特征圖的特征數(shù)調(diào)整（即特征圖中特征數(shù)的減少或增加、正負(fù)樣本比例的調(diào)整），其他的調(diào)優(yōu)方式還包括增大輸入的數(shù)據(jù)量、增大模型的迭代次數(shù)等。后續(xù)還可以直接深入CNN結(jié)構(gòu)的內(nèi)部修改電話詐騙識別模型。

本文中，電話詐騙行為識別功能對用戶類別的識別是基于CNN分類器實現(xiàn)的，其核心流程如圖4所示。通過將待測試的數(shù)據(jù)文件輸入已訓(xùn)練完畢的電話詐騙識別模型，如果同一數(shù)據(jù)文件中的用戶屬于同一類別，則CNN分類器直接輸出識別結(jié)果；如果同一數(shù)據(jù)文件中的用戶屬于不同的類別，則CNN分類器根據(jù)識別的結(jié)果取眾數(shù)，并基于所獲得的眾數(shù)結(jié)果對當(dāng)前用戶的行為類別進(jìn)行判斷。

圖4 電話詐騙行為識別流程圖Fig.4 Flow chart of telephone fraud identification

4 電話詐騙識別系統(tǒng)原型的測試

圖5是本文設(shè)計完成的使用CNN技術(shù)的電話詐騙識別原型系統(tǒng)測試環(huán)境架構(gòu)。

圖5 測試環(huán)境組成示意圖Fig.5 Composition diagram of test environme nt

該測試環(huán)境依托于中國電信的大數(shù)據(jù)環(huán)境。由于中國電信集團(tuán)對于企業(yè)大數(shù)據(jù)的保密原因，電話詐騙識別原型系統(tǒng)測試環(huán)境首先必須以 Root權(quán)限登錄到大數(shù)據(jù)平臺的堡壘機(jī)，然后再通過堡壘機(jī)提供的數(shù)據(jù)訪問接口才能夠進(jìn)入企業(yè)大數(shù)據(jù)環(huán)境中拉取本測試所需的話單數(shù)據(jù)。

本文所實現(xiàn)的電話詐騙識別原型系統(tǒng)測試用例涵蓋了原始話單數(shù)據(jù)清洗、用戶特征圖構(gòu)建和電話詐騙識別模型訓(xùn)練與評估等三個方面。根據(jù)神經(jīng)網(wǎng)絡(luò)測試的方法，在測試階段中構(gòu)建了總共包含250000張用戶特征圖的數(shù)據(jù)訓(xùn)練集。

在初始測試中，本文所開發(fā)的基于CNN的電話詐騙識別模型的卷積核大小初步設(shè)定為 3*3，其中包含的神經(jīng)元個數(shù)相應(yīng)為 64,128,192，迭代次數(shù)設(shè)定為1000次，并且將訓(xùn)練數(shù)據(jù)與測試數(shù)據(jù)的比例設(shè)為4∶1。該部分測試用例總數(shù)為50005個，其中詐騙電話（正樣本）的測試用例總數(shù)為1508個，普通電話的測試用例總數(shù)是48497個。該測試得到的電話詐騙識別結(jié)果如圖6所示。

圖6 50005條測試數(shù)據(jù)測試結(jié)果截圖Fig.6 Screenshots of 50,005 data test results

在888個詐騙電話的測試用例中，被正確預(yù)測的測試用例數(shù)量為597個（記為TP），錯誤預(yù)測的測試用例數(shù)量為291個（記為FP）；在49117個普通電話測試用例中，被正確預(yù)測的測試用例為48206（記為TN）個，被錯誤預(yù)測的測試用例為911（記為FN）個。根據(jù)查準(zhǔn)率和查全率的計算公式（查準(zhǔn)率=TP / TP + FP，查全率=TP / TP + FN），得到原型系統(tǒng)相關(guān)測試結(jié)果是查準(zhǔn)率=0.672，查全率=0.396。上述測試結(jié)果的直觀展示如表1所示。

表1 測試評估結(jié)果匯總Tab.1 Summary of test evaluation results

經(jīng)過多次調(diào)整測試參數(shù)，在將測試所用的前置條件設(shè)定為：訓(xùn)練數(shù)據(jù)與測試數(shù)據(jù)的比例=3∶1，電話詐騙識別模型的卷積核大小=6*6，迭代次數(shù)設(shè)定為1000次，得到的電話欺騙識別原型系統(tǒng)在查準(zhǔn)率和查全率方面的綜合表現(xiàn)最好，分別是查準(zhǔn)率=0.735，查全率=0.518，最終測試結(jié)果的準(zhǔn)確率=0.790。

5 結(jié)束語

本文描述了一個基于 CNN的電話詐騙識別系統(tǒng)的設(shè)計與實現(xiàn)方案，該電話詐騙識別系統(tǒng)能夠基于CNN技術(shù)對電話詐騙識別模型進(jìn)行訓(xùn)練，并基于訓(xùn)練完畢的電話詐騙識別模型分析輸入的用戶話單數(shù)據(jù)，最終實現(xiàn)對于普通用戶和電話詐騙用戶的有效識別。在該系統(tǒng)中，用戶話單數(shù)據(jù)清洗模塊實現(xiàn)了該系統(tǒng)對用戶話單數(shù)據(jù)的處理能力；用戶特征圖構(gòu)建模塊實現(xiàn)了該系統(tǒng)將已有用戶話單數(shù)據(jù)整合成為用戶特征圖的處理能力；電話詐騙識別訓(xùn)練與評估模塊實現(xiàn)了該系統(tǒng)提供電話詐騙識別模型訓(xùn)練、預(yù)測與評估的處理能力。同時電話詐騙識別系統(tǒng)采用分層開發(fā)模式，使得各層模塊之間的功能相對獨(dú)立，減少了各層模塊之間的耦合度，提高了整個電話詐騙識別系統(tǒng)的可維護(hù)性。