异常用户识别方法、装置、电子设备和可读存储介质

技术领域

本申请涉及计算机技术领域，具体而言，涉及一种异常用户识别方法、装置、电子设备和可读存储介质。

背景技术

在直播平台中，对于异常主播，例如黑产主播的识别和封禁是风控业务非常重要的一个环节。因为黑产主播会通过开播扩散不良信息，对直播平台的信誉及公信力造成非常严重的影响。

现有的传统的黑产主播识别方式通常是在主播开播后，通过对主播的直播间内的直播画面、直播间标题等图文信息进行检测识别，来判定主播是否是黑产主播。现有的这种传统方式在识别判定上具有滞后性，进而导致在拦截、打击时间上存在滞后性，通常意味着不良直播内容已经开始散播后才得以识别和制止。

发明内容

本申请的目的包括，例如，提供了一种异常用户识别方法、装置、电子设备和可读存储介质，其能够有效且及时识别异常用户，进而提前拦截避免有害信息的传播。

本申请的实施例可以这样实现：

第一方面，本申请提供一种异常用户识别方法，所述方法包括：

采集用户的连续的多个行为事件，各所述行为事件具有对应的事件属性、事件类型和事件时间；

针对各所述行为事件，结合所述行为事件的事件属性和事件类型获得事件编码，并根据所述行为事件的事件时间获得时间编码；

将所述事件编码和时间编码进行拼接，得到所述行为事件的拼接编码；

将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断所述用户是否为异常用户。

在可选的实施方式中，所述行为事件包括实名认证事件；

所述采集用户的连续的多个行为事件的步骤，包括：

采集用户的实名认证事件之前的第一设定时段，以及实名认证事件之后的第二设定时段内的连续的多个行为事件。

在可选的实施方式中，所述根据所述行为事件的事件时间获得时间编码的步骤，包括：

针对所述行为事件的事件时间，采用多个不同的时间提取函数提取得到多个维度的时间信息；

获得各个维度的时间信息的时间编码；

将多个维度的时间编码进行拼接，得到所述行为事件对应的时间编码。

在可选的实施方式中，所述获得各个维度的时间信息的时间编码的步骤，包括：

针对各个维度的时间信息，对所述时间信息分别进行正弦编码和余弦编码；

基于正弦编码结果和余弦编码结果得到所述时间信息的时间编码。

在可选的实施方式中，所述将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理的步骤，包括：

将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型，通过所述识别模型中的编码器对所述编码序列进行注意力运算，得到注意力输出结果；

利用线性整流函数对所述注意力输出结果进行处理，得到非线性输出结果；

采用激活函数将所述非线性输出结果映射为设定范围内的预测概率值。

在可选的实施方式中，所述通过所述识别模型中的编码器对所述编码序列进行注意力运算，得到注意力输出结果的步骤，包括：

通过所述识别模型中的编码器对所述编码序列进行线性变换处理，得到对应的查询矩阵、键矩阵和值矩阵；

基于所述查询矩阵、键矩阵和值矩阵进行注意力运算，得到注意力输出结果。

在可选的实施方式中，所述基于所述查询矩阵、键矩阵和值矩阵进行注意力运算，得到注意力输出结果的步骤，包括：

基于查询矩阵、键矩阵和值矩阵，进行并行的多次注意力运算；

将并行的多次注意力运算的结果进行拼接，得到注意力输出结果。

在可选的实施方式中，所述注意力输出结果包括各所述行为事件的注意力分值；

所述方法还包括：

在判定所述用户为异常用户的情况下，将该异常用户的多个行为事件中注意力分值高于预设值的行为事件标记为异常行为事件；

将所述异常行为事件进行可视化展示。

在可选的实施方式中，所述方法还包括：

在判定所述用户为异常用户的情况下，将该异常用户的多个行为事件构成的行为事件序列进行保存，以用于与采集到的其他用户的行为事件序列进行相似度比对，并在相似度比对结果满足预设条件时对所述其他用户进行异常标记。

第二方面，本申请提供一种异常用户识别装置，所述装置包括：

采集模块，用于采集用户的连续的多个行为事件，各所述行为事件具有对应的事件属性、事件类型和事件时间；

编码模块，用于针对各所述行为事件，结合所述行为事件的事件属性和事件类型获得事件编码，并根据所述行为事件的事件时间获得时间编码；

拼接模块，用于将所述事件编码和时间编码进行拼接，得到所述行为事件的拼接编码；

识别处理模块，用于将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断所述用户是否为异常用户。

第三方面，本申请提供一种电子设备，所述电子设备包括机器可读存储介质及处理器，所述机器可读存储介质存储有机器可执行指令，所述处理器在执行所述机器可执行指令时，该电子设备实现前述实施方式中任意一项所述的方法。

第四方面，本申请提供一种计算机可读存储介质，所述计算机可读存储介质存储有机器可执行指令，所述机器可执行指令被处理器执行时实现前述实施方式中任意一项所述的方法。

本申请实施例的有益效果包括，例如：

本申请提供一种异常用户识别方法、装置、电子设备和可读存储介质，通过采集用户的连续的多个行为事件，结合行为事件的事件属性和事件类型获得事件编码，根据行为事件的事件时间获得时间编码。将事件编码和时间编码进行拼接，得到行为事件的拼接编码。将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断用户是否为异常用户。该方案基于用户的行为事件进行异常判断，可以实现及时识别进而提前拦截异常用户，且结合多个行为事件的属性、类型、时间等作为判断依据，利用行为事件的时序信息和具体信息可有效识别用户行为的异常点。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的异常用户识别方法的应用场景示意图；

图2为本申请实施例提供的异常用户识别方法的流程图；

图3为图2中步骤S12包含的子步骤的流程图；

图4为图3中步骤S122包含的子步骤的流程图；

图5为图2中步骤S14包含的子步骤的流程图；

图6为正常主播和黑产主播的行为事件的示意图；

图7为本申请实施例提供的异常用户识别装置的功能模块框图；

图8为本申请实施例提供的电子设备的结构框图。

图标：110-异常用户识别装置；111-采集模块；112-编码模块；113-拼接模块；114-识别处理模块；120-处理器；130-存储器；140-通信模块。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

在本申请的描述中，需要说明的是，若出现术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

需要说明的是，在不冲突的情况下，本申请的实施例中的特征可以相互结合。

请参阅图1，为本申请实施例提供的异常用户识别方法的一种可能的应用场景示意图，该场景中包括用户终端和服务端。用户终端可以是多台，多台用户终端分别与服务端通信连接，以实现与服务端之间的数据、信息的交互。

本实施例中，服务端可以是直播平台的后台服务器，用户终端可以是主播所持的终端设备。

本实施例中，用户终端可以是，但不限于，智能手机、个人数字助理、平板电脑、个人计算机、笔记本电脑、虚拟现实终端设备、增强现实终端设备等。其中，用户终端中可以安装用于提供互联网直播服务的互联网产品，例如，互联网产品可以是计算机或智能手机中使用的与互联网直播服务相关的应用程序APP、Web网页、小程序等。

本实施例中，服务端可以是单独的服务器，也可以是多台服务器构成的服务器集群。

可以理解，图1所示的场景仅为一种可行的示例，在其它可行的实施例中，该场景也可以仅包括图1所示组成部分的其中一部分或者还可以包括其它的组成部分。

图2示出了本申请实施例提供的异常用户识别方法的流程示意图，该异常用户识别方法可由异常用户识别装置来执行，该异常用户识别装置可以由软件和/或硬件实现，可配置在电子设备中，该电子设备可以是上述的服务端。该异常用户识别方法的详细步骤介绍如下。

S11，采集用户的连续的多个行为事件，各行为事件具有对应的事件属性、事件类型和事件时间。

S12，针对各行为事件，结合行为事件的事件属性和事件类型获得事件编码，并根据行为事件的事件时间获得时间编码。

S13，将事件编码和时间编码进行拼接，得到行为事件的拼接编码。

S14，将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断用户是否为异常用户。

本实施例中，用户可以指在直播平台上进行注册以开播的主播用户，采集的多个行为事件主要包括用户在直播平台上执行的与后续的开播相关的行为事件。多个行为事件可包括注册事件、登陆事件、实名认证事件、换绑手机号事件、修改密码事件等。将采集到的多个行为事件按照各个行为事件在时间轴上的触发先后进行记录。

本实施例中，各个行为事件具有对应的事件属性、事件类型和事件时间。其中，事件类型表示行为事件的具体意义，例如注册、登陆、实名认证、换绑手机号、修改密码等。事件属性表示某种类型的行为事件中包含的属性，例如，注册事件中的注册端口、登陆事件中IP的归属地(省份、城市等)。事件时间表示行为事件发生的具体时间戳。由于采集的大部分行为事件都是瞬时行为，例如注册事件、登陆事件等，这类行为事件的事件时间均可以利用具体时间戳来表征。而对于少部分的具有一定持续性的行为事件，例如观看视频的行为事件。对于这类连续行为事件，可以将其开始时间点记录为该行为事件的事件时间，并将其持续时段作为事件属性进行记录。

在现有的处理方式中，在对行为事件进行处理时，往往是将行为事件进行直接编码。这种编码方式得到的编码信息表征能力有限，难以表示更加复杂的细粒度事件。基于此，本实施例中，采用结合行为事件的事件属性和事件类型相结合的方式进行编码得到事件编码，例如将登陆事件中的事件类型与事件属性相拼接，如登陆事件中登录IP在广东的行为事件，拼接后表示为login_Guangdong。再将拼接后的事件类型和事件属性进行编码，可以采用item2vec的方式进行编码得到行为事件的embedding向量。此外，对于连续型属性的行为事件，可以采用分桶编码方式。

本实施例中，采用item2vec方法进行行为事件的Embedding向量编码，可以避免one-hot编码方式容易产生的维度爆炸的缺陷。本实施例中，利用行为事件的上下文共现的特性将每一个行为事件映射为一个稠密向量，使用优化后的细粒度的事件类型加事件属性的Embedding向量，可以进一步提供后续识别模型的识别能力，挖掘出更丰富的异常用户的作案路径，同时，在可解释性也更丰富。

此外，考虑到异常用户相对于正常用户而言，往往在行为事件的时间信息上存在异常，例如，异常用户往往是由少量真人操控的大批量账号对应的用户，因此，通常会使用脚本或自动化工具进行操作，往往会表现出短时间快速操作或者固定时间间隔操作等特点。基于此，本实施例中，还可对行为事件的事件时间进行编码得到时间编码，进而可基于是否存在时间信息上的异常来识别异常用户。

在现有常见的处理方式中，在做异常行为序列识别中通常只考虑行为事件本身，或者是由行为事件按时序串联起来的序列。这种方式考虑到一定的时序信息，但是丢失了时间戳原本包含的更丰富的信息。本实施例中，采用直接基于行为事件的具体的事件时间进行编码的方式，可以体现出更具体的时间戳信息，从而有利于基于时间信息的角度来识别异常用户。

本实施例中，将得到的事件编码和时间编码进行拼接，作为行为事件的拼接编码。连续的多个行为事件分别对应的拼接编码按照时序信息排列可得到对应的编码序列，也即，编码序列中包括按照时序先后排列的多个拼接编码。将得到的编码序列作为输入信息，导入预先训练得到的识别模型进行识别处理。识别模型对编码序列进行处理后，可输出识别处理结果，该识别处理结果可以是一个表征异常程度的数值，也可以是一个二分类的结果，具体地本实施例不作限制。

其中，本实施例中识别模型可为transformer模型，可以是基于注意力机制的transformer模型。本实施例中使用Transformer模型来实现异常用户的识别，可以更高效地利用图形处理器的并行运算能力，提高处理效率。并且还可以通过模型输出的表征异常程度的数值提高输出规则的可解释性。

本实施例中，预先进行识别模型的训练的过程与识别模型的应用过程类似，例如，可以基于采集到的大量的行为事件样本对初始的transformer模型进行训练，直至训练满足预设要求时，例如训练达到收敛、训练次数达到预设最大次数或训练时长达到预设最大时长等，可以得到训练完成的识别模型。

本实施例所提供的异常用户识别方案，基于用户的行为事件进行异常判断，可以实现及时识别进而提前拦截异常用户的目的，且结合多个行为事件的属性、类型、时间等作为判断依据信息，利用行为事件的时序信息和具体信息可有效识别用户行为的异常点。

本实施例中，考虑到主播开播前通常需要进行实名认证等必要的行为事件操作，而异常用户例如黑产主播，若真人一对一进行实名注册认证，实名成本将很高。因此，通常会通过某种黑产手段，如买卖号、众包等手段来降低批量账号进行实名认证的成本。如此，在实名认证流程上，将会出现操作行为路径上的异常点共性。

基于此，本实施例中，上述所采集的用户的多个行为事件中包括实名认证事件，采集用户的连续的多个行为事件时，可以采集用户的实名认证事件之前的第一设定时段，以及实名认证事件之后的第二设定时段内的连续的多个行为事件。

本实施例中，第一设定时段和第二设定时段可以根据实际需求进行设定，例如，第一设定时段和第二设定时段是以实名认证事件为时间节点的前后n天的时段，其中，n可以是2、3等不限。

本实施例中通过采集用户在实名认证事件前后的一系列的行为事件，通过对行为事件进行编码，再基于编码得到的信息进行异常识别，可以基于黑产主播等异常主播在实名认证以及其前后通常会出现行为路径异常的特性，实现异常主播的有效识别。如此，可以从源头识别异常主播，进而阻止异常主播开播，以确保在有害信息被传播之前即得到妥善解决。

由上述可知，异常用户的行为事件往往表现出在时间上的异常，因此，采用对行为事件的事件时间进行编码得到时间编码，以时间编码作为异常判断依据之一。

由于行为事件的时间戳除了递增的特性，还存在时间上的周期性。为了更好地从多角度来描述行为事件的时间特性，请参阅图3，本实施例中，上述根据行为事件的事件时间获得时间编码的步骤，可以通过以下方式实现：

S121，针对行为事件的事件时间，采用多个不同的时间提取函数提取得到多个维度的时间信息。

S122，获得各个维度的时间信息的时间编码。

S123，将多个维度的时间编码进行拼接，得到行为事件对应的时间编码。

本实施例中，多个不同的时间提取函数可以包括按具体时间戳(时、分、秒)、一周中的某天、一个月中的某天进行记录的时间提取函数。例如，某个行为事件的事件时间为上午10点20分30秒，假设该行为事件发生在周一、某个月中的20号。则按照上述的五个时间提取函数分别提取得到的时间信息为10、20、30、1、20。具体地，利用上述五个时间提取函数分别对行为事件x

本实施例中，在提取得到多个维度的时间信息的情况下，还可进一步对各个维度的时间信息进行编码得到时间编码。最后，单个行为事件的时间编码可由多个维度的时间编码拼接得到。

请参阅图4，本实施例中，考虑到行为事件在时间上的周期性，在对各个维度的时间信息进行编码得到时间编码时，可以通过以下方式实现：

S1221，针对各个维度的时间信息，对时间信息分别进行正弦编码和余弦编码。

S1222，基于正弦编码结果和余弦编码结果得到时间信息的时间编码。

由于正弦函数和余弦函数为周期性函数，对时间信息采用正弦函数进行处理实现正弦编码，并对时间信息采用余弦函数进行处理实现余弦编码。得到的正弦编码结果和余弦编码结果可以体现出时间信息的周期性。对于各个维度的时间信息进行正弦编码和余弦编码的方式可如下所示：

并且，由于基于注意力机制的transformer模型中存在矩阵与其转矩相乘的过程，因此，对于时间信息采用正弦编码和余弦编码的方式，此时时间戳之差的向量可以理解为两个向量的内积运算(如下式所示)，有利于后续的transformer模型建模。

sin(t

cos(t

其中，t

本实施例中，在对行为事件的事件时间进行编码时，采用具体化的时间戳信息，并利用具有周期性的正弦、余弦函数来进行编码，可有效地将异常用户与高活跃度的用户区分开来，降低后续识别模型的误识别。

本实施例中，在通过以上方式获得行为事件的时间编码后，将事件编码和时间编码进行拼接，作为行为事件的拼接编码。连续的多个行为事件的拼接编码所构成的编码序列作为输入，导入预先训练得到的识别模型中进行识别处理。

请参阅图5，本实施例中，利用识别模型进行识别处理的步骤可以通过以下方式实现：

S141，将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型，通过识别模型中的编码器对编码序列进行注意力运算，得到注意力输出结果。

S142，利用线性整流函数对注意力输出结果进行处理，得到非线性输出结果。

S143，采用激活函数将非线性输出结果映射为设定范围内的预测概率值。

本实施例中，输入识别模型的编码序列可表示为X＝{x

本实施例中，首先可通过识别模型中的编码器对编码序列进行线性变换处理，得到对应的查询矩阵、键矩阵和值矩阵，再基于查询矩阵、键矩阵和值矩阵进行注意力运算，得到注意力输出结果。其中，基于编码序列得到查询矩阵、键矩阵和值矩阵的实现可参见现有实现方式，本实施例在此不作赘述。

其中，编码序列的查询矩阵、键矩阵和值矩阵分别表示如下：

Q＝W

K＝W

V＝W

其中，Wq、Wk、Wv分别表示权重矩阵。

在上述基础上，采用以下公式计算得到注意力输出结果：

其中，d

本实施例中，为了提高处理效率，可采用多头注意力机制进行处理，具体地，可基于查询矩阵、键矩阵和值矩阵，进行并行的多次注意力运算，再将并行的多次注意力运算的结果进行拼接，得到注意力输出结果。

识别模型包括全连接层，在全连接层中利用线性整流函数对注意力输出结果进行处理，得到非线性输出结果。其中，线性整流函数可为relu激活函数。

识别模型还包括输出层，非线性输出结果进入输出层后，采用激活函数将非线性输出结果映射为设定范围内的预测概率值。其中，激活函数可为sigmoid激活函数，激活函数的处理方式可表示如下：

式中，F表示全连接层的输出结果，W

本实施例中，可以设置一个阈值以用于异常用户的判断，例如，若预测概率值高于该阈值，则可判定用户为异常用户，预测概率值低于该阈值，可判定用户为正常用户。

本实施例中，对于判定出的异常用户，可以对该异常用户进行异常标签标记。对于打上异常标签的用户，平台可以对其业务活动进行拦截，从而避免有害信息在平台上传播。或者，也可以提供给其他的监督模型，以便于监督模型可以对异常用户的业务活动进行重点监控。

为了充分利用识别模型的判定结果，以进一步地对平台上的异常用户进行侦测，本实施例中，还可在判定用户为异常用户的情况下，将该异常用户的多个行为事件构成的行为事件序列进行保存，以用于与采集到的其他用户的行为事件序列进行相似度比对，并在相似度比对结果满足预设条件时对其他用户进行异常标记。

本实施例中，考虑到异常用户的异常行为事件往往存在相似性，因此，被识别模型判定为异常用户的行为事件序列可以作为参照来识别其他用户是否为异常用户。例如，若某个其他用户的行为事件序列与判定为异常用户的行为事件序列的相似度高于相似度阈值时，则可以对该其他用户进行异常标记。如此，可以通过规则拦截方式拦截具有相似行为事件序列的团伙。

本实施例中，识别模型的编码器所输出的注意力输出结果中还包括各个行为事件的注意力分值，注意力分值体现了对应行为事件的异常程度。

为了增强规则可解释性，本实施例中，还可在判定用户为异常用户的情况下，将该异常用户的多个行为事件中注意力分值高于预设值的行为事件标记为异常行为事件，将异常行为事件进行可视化展示。

请结合参阅图6，图6中示出了正常用户和异常用户的一系列的行为事件，其中，异常用户的行为事件经过识别模型的处理后，往往其中的改绑手机号、修改密码等行为事件的注意力分值是较高的，也即，改绑手机号、修改密码等行为事件为异常行为事件。该识别结果也是符合专家经验的判断逻辑的，因为改绑手机号通常与买卖号行为关系密切。

本实施例所提供的异常用户识别方案，借鉴了自然语言处理学科中对于文本序列的处理方式，巧妙地将其使用在对用户的行为事件序列信息处理上，并且，还通过注意力机制的transformer模型进行识别处理，提升了输出规则的应用及可解释性。

本方案相较于传统方式中利用主播开播后的主播画面、标题文本等信息进行异常判断的方式而言，采用基于主播开播前的必经的多个行为事件，例如实名认证前后的多个行为事件来预先检测可能存在的开播风险。从而可以给业务人员保留充分的策略应对时间，并且，将可能的有害信息传播风险降到最低。本方案的实现成本低、简单快捷且可解释性强。

将本方案应用至直播平台进行应用后，针对多种类型的黑产主播具有非常好的召回效果。在将该方案接入推荐侧时，在首页保量推荐策略中对可疑主播进行过滤使用。识别结果对黑样本主播召回率100％、准确率90％。上线初期试验阶段，日均识别黑产主播158名，日均避免无效曝光11.5w。

此外，将本方案接入赌博自开播主播的审核流程中时，上线以来，日均有效打击赌博黑主播约70个，给业务带来的额外召回率约32.1％。

基于同一发明构思，请参阅图7，示出了本申请实施例提供的异常用户识别装置110的功能模块示意图，本实施例可以根据上述方法实施例对该异常用户识别装置110进行功能模块的划分。例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

比如，在采用对应各个功能划分各个功能模块的情况下，图7示出的异常用户识别装置110只是一种装置示意图。其中，异常用户识别装置110可以包括采集模块111、编码模块112、拼接模块113和识别处理模块114，下面分别对该异常用户识别装置110的各个功能模块的功能进行详细阐述。

采集模块111，用于采集用户的连续的多个行为事件，各行为事件具有对应的事件属性、事件类型和事件时间；

可以理解，该采集模块111可以用于执行上述步骤S11，关于该采集模块111的详细实现方式可以参照上述步骤S11有关的内容。

编码模块112，用于针对各行为事件，结合行为事件的事件属性和事件类型获得事件编码，并根据行为事件的事件时间获得时间编码；

可以理解，该编码模块112可以用于执行上述步骤S12，关于该编码模块112的详细实现方式可以参照上述步骤S12有关的内容。

拼接模块113，用于将事件编码和时间编码进行拼接，得到行为事件的拼接编码；

可以理解，该拼接模块113可以用于执行上述步骤S13，关于该拼接模块113的详细实现方式可以参照上述步骤S13有关的内容。

识别处理模块114，用于将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断用户是否为异常用户。

可以理解，该识别处理模块114可以用于执行上述步骤S14，关于该识别处理模块114的详细实现方式可以参照上述步骤S14有关的内容。

在一种可能的实现方式中，行为事件包括实名认证事件，上述采集模块111可以用于：

采集用户的实名认证事件之前的第一设定时段，以及实名认证事件之后的第二设定时段内的连续的多个行为事件。

在一种可能的实现方式中，上述编码模块112可以用于：

针对行为事件的事件时间，采用多个不同的时间提取函数提取得到多个维度的时间信息；

获得各个维度的时间信息的时间编码；

将多个维度的时间编码进行拼接，得到行为事件对应的时间编码。

在一种可能的实现方式中，上述编码模块112具体可以用于：

针对各个维度的时间信息，对时间信息分别进行正弦编码和余弦编码；

基于正弦编码结果和余弦编码结果得到时间信息的时间编码。

在一种可能的实现方式中，上述识别处理模块114可以用于：

将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型，通过识别模型中的编码器对编码序列进行注意力运算，得到注意力输出结果；

利用线性整流函数对注意力输出结果进行处理，得到非线性输出结果；

采用激活函数将非线性输出结果映射为设定范围内的预测概率值。

在一种可能的实现方式中，上述识别处理模块114具体可以用于：

通过识别模型中的编码器对编码序列进行线性变换处理，得到对应的查询矩阵、键矩阵和值矩阵；

基于查询矩阵、键矩阵和值矩阵进行注意力运算，得到注意力输出结果。

在一种可能的实现方式中，上述识别处理模块114具体可以用于：

基于查询矩阵、键矩阵和值矩阵，进行并行的多次注意力运算；

将并行的多次注意力运算的结果进行拼接，得到注意力输出结果。

在一种可能的实现方式中，注意力输出结果包括各行为事件的注意力分值，异常用户识别装置还包括标记模块，该标记模块可以用于：

在判定用户为异常用户的情况下，将该异常用户的多个行为事件中注意力分值高于预设值的行为事件标记为异常行为事件；

将异常行为事件进行可视化展示。

在一种可能的实现方式中，异常用户识别装置还包括存储模块，该存储模块可以用于：

在判定用户为异常用户的情况下，将该异常用户的多个行为事件构成的行为事件序列进行保存，以用于与采集到的其他用户的行为事件序列进行相似度比对，并在相似度比对结果满足预设条件时对其他用户进行异常标记。

请参阅图8，为本申请实施例提供的电子设备的结构框图，该电子设备可以是上述的服务端，电子设备包括存储器130、处理器120及通信模块140。存储器130、处理器120以及通信模块140各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。

其中，存储器130用于存储程序或者数据。存储器130可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-Only Memory，PROM)，可擦除只读存储器(ErasableProgrammable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric ErasableProgrammable Read-Only Memory，EEPROM)等。

处理器120用于读/写存储器130中存储的数据或程序，并执行本申请任意实施例提供的异常用户识别方法。

通信模块140用于通过网络建立电子设备与其他通信终端之间的通信连接，并用于通过网络收发数据。

应当理解的是，图8所示的结构仅为电子设备的结构示意图，电子设备还可包括比图8中所示更多或者更少的组件，或者具有与图8所示不同的配置。

进一步地，本申请实施例还提供一种计算机可读存储介质，计算机可读存储介质存储有机器可执行指令，机器可执行指令被执行时实现上述实施例提供的异常用户识别方法。

具体地，该计算机可读存储介质能够为通用的存储介质，如移动磁盘、硬盘等，该计算机可读存储介质上的计算机程序被运行时，能够执行上述异常用户识别方法。关于计算机可读存储介质中的及其可执行指令被运行时所涉及的过程，可以参照上述方法实施例中的相关说明，这里不再详述。

综上所述，本申请实施例提供的异常用户识别方法、装置、电子设备和可读存储介质，通过采集用户的连续的多个行为事件，结合行为事件的事件属性和事件类型获得事件编码，根据行为事件的事件时间获得时间编码。将事件编码和时间编码进行拼接，得到行为事件的拼接编码。将连续的多个行为事件对应的拼接编码构成的编码序列输入预先训练得到的识别模型进行识别处理，根据识别处理结果判断用户是否为异常用户。该方案基于用户的行为事件进行异常判断，可以实现及时识别进而提前拦截异常用户，且结合多个行为事件的属性、类型、时间等作为判断依据信息，利用行为事件的时序信息和具体信息可有效识别用户行为的异常点。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。