CN102231888A - 一种监控方法和装置 - Google Patents

Abstract

本发明提供一种监控方法，包括：配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；获取所述规则时长内用户执行被监控操作的次数，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限；获取统计时长内该用户触发可疑门限的次数，将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。本发明还提供一种监控装置。本发明可以对单位时间内只发送一定数量，但长时间持续发送垃圾短信的用户进行有效监控。

Description

一种监控方法和装置

技术领域

本发明涉及短消息监控领域，更具体地，涉及一种监控方法和装置。

背景技术

近年来，短消息服务作为移动通讯网络的一种基本业务已越来越多地受到运营商和广大用户的重视。各运营商、盈利集团和个人利用消息中心进行促销的手段层出不穷；各网络之间互联互通的活动如火如荼；网上流动的消息量也随之成几何级数增长。短消息业务的发展，在为运营商赚取可观的利润，为用户提供便捷的消息通讯服务的同时，也为垃圾短信的传播提供了渠道。目前，垃圾短信有着愈演愈烈之势，已成为社会一大公害。大量的恶意消息、广告消息不仅使用户烦不胜烦，而且还有可能导致运营商的运营环境瘫痪。

鉴于此，垃圾短消息监控系统应运而生，其功能主要是能根据大量的受监控短消息来自动地发现违规用户，进而限制或禁止其发送短消息。目前市场上已商用的垃圾短消息监控系统，通常是基于监控规则来判断用户在监控时长内发送的消息量是否达到了预设的门限，如果是，则认为该用户在大量的群发垃圾短信，进而限制或禁止该违规用户发送短消息的行为。

上述监控方法的缺陷在于，系统对于用户是否违规的判断主要依据其监控时长内是否触发预设的违规门限，通常情况下，为了满足正常用户的通信需求，违规门限通常不会设置太小，这样就使得一些恶意用户，利用系统的这种特性，长时间的持续发送垃圾短信，但对单位时间内的发送量却进行一定的控制，从而逃脱系统的监控。

发明内容

本发明要解决的技术问题是提供一种监控方法和装置，对现有短消息监控系统进行完善和补充，以解决当前捕获违规用户的策略过于简单，无法对单位时间内只发送一定数量，但长时间持续发送垃圾短信的用户进行有效监控的问题。

为了解决上述问题，本发明提供了一种监控方法，包括：

配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

获取所述规则时长内用户执行被监控操作的次数，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限；

获取统计时长内该用户触发可疑门限的次数，将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

进一步的，上述方法还可具有以下特点，

所述监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述方法还包括，将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

进一步的，上述方法还可具有以下特点，

与所述流量可疑门限或流量违规门限或可疑记录数门限进行比较包括：

统计完一个规则时长或统计时长内的相关信息后，再与对应的门限进行比较，或者，实时统计一个规则时长或统计时长内的相关信息，实时与对应的门限进行比较，所述相关信息为执行被监控操作的次数或用户触发可疑门限的次数。

进一步的，上述方法还可具有以下特点，

所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

进一步的，上述方法还可具有以下特点，

所述方法还包括：当配置有多条监控规则时，遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到该用户被判定为违规，或者，直到遍历完所有监控规则。

本发明还提供一种监控装置，包括规则定义模块、初步分析模块和后续分析模块，所述初步分析模块包括第一监控单元和第一比较单元，所述后续分析模块包括第二监控单元和第二比较单元，其中：

规则定义模块用于：配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

所述第一监控单元用于：获取所述规则时长内用户执行被监控操作的次数；

所述第一比较单元用于：将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限，并通知所述后续分析模块；

所述第二监控单元用于：获取统计时长内该用户触发可疑门限的次数；

所述第二比较单元用于：将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

进一步的，上述装置还可具有以下特点，

所述规则定义模块配置的监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述第一比较单元还用于：将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

进一步的，上述装置还可具有以下特点，

所述第一比较单元是用于：在所述第一监控单元统计完一个规则时长内用户执行被监控操作的次数后，再与所述流量可疑门限或流量违规门限比较；或者，实时将所述第一监控单元一个规则时长内实时统计的用户执行被监控操作的次数与所述流量可疑门限或流量可疑门限进行比较；

所述第二比较单元是用于：在所述第二监控单元统计完一个统计时长内用户触发可疑门限的次数后，再与所述可疑记录数门限比较；或者，实时将所述第二监控单元一个统计时长内实时统计的用户触发可疑门限的次数与所述可疑记录数门限进行比较。

进一步的，上述装置还可具有以下特点，

所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

进一步的，上述装置还可具有以下特点，

所述规则定义模块用于配置多条监控规则；

所述初步分析模块和后续分析模块用于遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到用户被判定为违规，或者，直到遍历完所有监控规则。

本发明通过在监控过程中引入可疑用户的判定和可疑用户记录数的统计分析，可以有效的监控到长时间以较低频率发送垃圾短信的用户，且能有效的防止系统对正常用户的误判。若规则中只设置值较大的违规门限，虽能够捕获单位时间内大量发送垃圾短信的用户，但对于单位时间内只发送一定数量，且长时间持续发送垃圾短信的用户却无法捕获；若规则中的违规门限设置较低，又无法将其与正常用户进行区分。而通过引入可疑用户的判定，设置值较小的可疑门限，能够更广泛的捕获有群发垃圾短信嫌疑的可疑用户，再通过后续对统计时长内用户被置疑的次数进行统计分析，能够有效的判断出可疑用户中哪些是正常用户，哪些是长时间持续发送垃圾短信的用户。

附图说明

图1为根据本发明的示例性实施例的监控装置的架构示意图；

图2为根据本发明的示例性实施例的短消息监控方法的流程图；

图3为根据本发明的示例性实施例的短消息监控系统的架构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

为了便于描述，首先定义几个名词：

1.监控规则：进行监控所依据的规则，可包括规则时长、流量可疑门限、流量违规门限、统计时长、可疑记录数门限等参数。

2.规则时长：一条监控规则的监控时长，即判断用户执行被监控操作的次数是否触发流量可疑门限和流量违规门限所依据的时间长度，执行被监控操作包括发送短消息的数量，或者，发起呼叫的次数。

3.流量监控：即对规则时长内的执行被监控操作的次数(比如发送的短消息数量或呼叫数)进行监控，以预先设置的流量违规门限和流量可疑门限作为监控基础，当用户在规则时长内发送的短消息数量或呼叫数达到流量违规门限或流量可疑门限时，就认为用户触发该门限。

4.统计时长：监控规则中规定的对用户可疑记录数进行统计的时间长度，当某一用户在统计时长内的可疑记录数(触发流量可疑门限的次数)达到可疑记录数门限时，就认为该用户触发可疑记录数门限，判定为违规用户。

在监控规则中引入可疑门限(可疑门限小于违规门限)，并引入可疑用户的后续统计分析。除了将违反违规门限的用户判为违规用户外，还对违反可疑门限的用户进行统计分析，对于一个统计时长内(统计时长需大于规则时长)可疑次数达到一定门限的用户也判定为违规用户。具体包括，基于监控规则对用户发送的短消息数进行计数统计，当在一个监控时长内，用户所发送的消息数量触发流量可疑门限，就认为该用户在此规则时长内可疑，记录可疑用户信息；然后，基于监控规则对可疑用户在一个统计时长内触发流量可疑门限的记录数进行统计分析，当触发可疑记录数门限时就认为该用户违规。

本发明实施例提供的监控装置如图1所示，包括以下模块：

规则定义模块，用于配置至少一条监控规则。其中，每条监控规则中包括：规则时长、流量可疑门限、流量违规门限、统计时长、可疑记录数门限。所述流量可疑门限小于流量违规门限，所述统计时长大于所述规则时长。所述监控规则可配置一条或多条，多条监控规则中可配置不同的规则时长、流量可疑门限、流量违规门限、统计时长、可疑记录数门限。

初步分析模块，用于对用户发送的短消息数进行初步分析。所述初步分析模块包括：(1)第一监控单元，获取所述规则时长内用户执行被监控操作的次数；比如对用户在一个规则时长内发送的短消息数量或呼叫数进行监控；(2)第一比较单元，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限，并通知所述后续分析模块；以及，将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。比较方式有两种：在所述第一监控单元统计完一个规则时长内用户执行被监控操作的次数后，再与所述流量可疑门限或流量违规门限比较；或者，实时将所述第一监控单元一个规则时长内实时统计的用户执行被监控操作的次数与所述流量可疑门限或流量可疑门限进行比较；比如，将监控得到的短消息数或呼叫数与流量可疑门限、流量违规门限进行比较，判定规则时长内执行被监控操作的次数达到所述流量可疑门限的用户触发可疑门限，并向后续分析模块发送可疑用户记录和后续监控请求；以及，将规则时长内执行被监控操作的次数达到所述流量违规门限的用户判定为违规用户。

后续分析模块，用于对可疑用户在统计时长内触发可疑门限的次数进行统计分析。所述后续分析模块包括：(1)第二监控单元，对所述初步分析模块监控所得的可疑用户在一个统计时长内触发流量可疑门限的次数进行统计；(2)第二比较单元，用于将统计所得的触发流量可疑门限的次数与可疑记录数门限进行比较，当触发流量可疑门限的次数大于等于所述可疑记录数门限，将所述用户判定为违规用户。这里的比较方式同上也有两种。在所述第二监控单元统计完一个统计时长内用户触发可疑门限的次数后，再与所述可疑记录数门限比较；或者，实时将所述第二监控单元一个统计时长内实时统计的用户触发可疑门限的次数与所述可疑记录数门限进行比较。

当规则定义模块配置多条监控规则时，所述初步分析模块和后续分析模块用于遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到用户被判定为违规，或者，直到遍历完所有监控规则。具体的，对用户执行的每一个被监控操作，初步分析模块基于一条监控规则的规则时长、流量可疑门限、流量违规门限进行监控，后续分析模块基于该监控规则的统计时长和可疑记录数门限进行监控，如果该监控规则下用户被判定为违规用户，则不再基于其他监控规则进行监控，否则，基于下一条监控规则的规则时长、流量可疑门限、流量违规门限、统计时长和可疑记录数门限进行监控，直到用户被判定未违规用户，或者，遍历完所有监控规则。

所述监控装置进一步包括：

输出模块，用于输出所述可疑用户和/或违规用户的用户信息。

所述监控装置还可包括一数据库，保存可疑用户和违规用户的信息。

本实施例提供一种监控方法，包括：

配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

获取所述规则时长内用户执行被监控操作的次数，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限；

获取统计时长内该用户触发可疑门限的次数，将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

其中，所述监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述方法还包括，将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

其中，与所述流量可疑门限或流量违规门限或可疑记录数门限进行比较包括：

统计完一个规则时长或统计时长内的相关信息后，再与对应的门限进行比较，或者，实时统计一个规则时长或统计时长内的相关信息，实时与对应的门限进行比较，所述相关信息为执行被监控操作的次数或用户触发可疑门限的次数。比如，统计完一个规则时长内用户执行被监控操作的次数后，再与所述流量可疑门限比较，或者，实时监控一个规则时长内用户执行被监控操作的次数，实时与所述流量可疑门限进行比较。

其中，所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

其中，所述方法还包括：当配置有多条监控规则时，遍历所述多条监控规则对用户执行的被监控操作的次数进行监控，直到该用户被判定为违规，或者，直到遍历完所有监控规则。

本实施例提供的监控方法包括以下步骤：

步骤A.规则定义模块配置监控规则，其中，可配置一条或多条监控规则；

步骤B.初步分析模块对用户发送的短消息数或发起的呼叫数进行计数，计算一个规则时长内用户发送的短消息数量或发起的呼叫数；

步骤C.将步骤B计算所得的短消息数量或呼叫数与监控规则中的门限值相比较，若达到流量违规门限，则直接判定该用户为违规用户；若达到流量可疑门限，则判定触发流量可疑门限，并将该用户记录发送至后续分析模块进行可疑记录统计分析；否则返回步骤B；

步骤D.后续分析模块记录步骤C发送的触发流量可疑门限的用户，统计其在一个统计时长内触发流量可疑门限的次数，并与监控规则中的可疑记录数门限进行比较，若达到可疑记录数门限，则将该用户判定为违规用户，否则，返回步骤B。

下面将参考附图并结合示例性实施例，来详细说明本发明。

在监控装置工作前，需要配置至少一条监控规则。监控规则包括：规则时长、流量可疑门限、流量违规门限、统计时长、可疑记录数门限。其中，流量可疑门限需小于流量违规门限，统计时长需大于所述规则时长。

下面实施例中以短消息监控为例，呼叫监控类似。

图2示出了根据本发明的示例性实施例的短消息监控方法的流程图，包括：

S101，接收短信中心的监控请求，获取短消息受控消息体，根据该受控消息体解析出起呼用户号码等信息，执行下一步S102；

S102，从配置的监控规则中取出一条监控规则。取出的监控规则将为以下的计数、统计、分析过程提供依据，执行下一步S103；

S103，基于监控规则，对该用户在一个规则时长内所发送的短消息数量计数(所使用的计数器保证正常情况下不溢出)，执行下一步S104；

S104，基于监控规则，将S103中的计数值与流量可疑门限进行比较，若该计数值达到流量可疑门限，执行下一步S105；否则，执行S109；

S105，记录可疑用户信息，包括主叫用户号码、流量可疑门限触发时间等，执行S106。

S106，基于监控规则，计算用户在一个统计时长内的可疑记录数，即触发规则流量可疑门限的次数，执行S107。

S107，基于监控规则，判断S106中的统计值是否达到可疑记录数门限，如果是，执行S108；否则，该用户当前正常，结束此次流程，等待接收短信中心的监控请求触发新的流程；

S108，系统将该用户判定为违规用户，结束此次流程，等待接收短信中心的监控请求触发新的流程；

S109，基于监控规则，将S103中的计数值与流量违规门限进行比较，若计数值达到流量违规门限，执行下一步S108；否则，该用户当前正常，结束此次流程，等待接收短信中心的监控请求触发新的流程；

其中，若系统中设置了多条监控规则，则在S107和S109的判定结果为“否”时，不结束流程，返回S102，继续取下一条监控规则并依据监控规则对该用户进行监控，如此往复，直至遍历完所有的监控规则再结束此次流程，等待接收短信中心的监控请求触发新的流程。

图3示出了根据本发明的示例性实施例的短消息监控系统的架构示意图。结合图3可以看出该系统包括：

控制台(人机交互界面)201，用于监控规则等的配置以及用户信息的显示，即该控制台结合了规则定义模块和显示模块的功能。在该控制台上，既可以进行数据的配置，如监控规则的配置，又可以将系统的监控结果进行显示。控制台的数据配置完成后，将配置数据同步给初步分析模块202和数据库管理操作模块203。

初步分析模块202，主要实现初步分析功能，用于接收短消息中心的消息，按照控制台配置的监控规则进行计数统计，并将结果与监控规则中配置的流量门限相比较，判断用户是否触发了流量可疑门限或流量违规门限。对于触发流量可疑门限的用户，将用户信息发送给数据库管理操作模块203进行插入数据库204操作，目的在于对触发流量可疑门限的用户进行记录。

数据库管理操作模块203，主要功能如下：(1)用于将初步分析模块202所发送的可疑用户信息记入数据库204，从而为后续统计分析和控制台201的事后查询等操作提供数据；(2)实现后续分析功能，接收初步分析模块202所发送的可疑用户记录，基于监控规则从数据库204中统计可疑用户一个统计时长内的可疑记录数，并判断是否达到了监控规则中所设定的可疑记录数门限。

从以上的描述中可以看出，本发明实现了如下技术效果：在监控过程中引入了可疑用户的判定以及用户触发可疑门限记录数的统计分析，这样可以有效的捕获单位时间内发送较少，但长时间持续发送垃圾短信的用户，并能避免对正常用户的误判。

本发明可扩展到骚扰电话监控领域，或其他监控领域。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种监控方法，其特征在于，包括：

配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

获取所述规则时长内用户执行被监控操作的次数，将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限；

获取统计时长内该用户触发可疑门限的次数，将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

2.如权利要求1所述的方法，其特征在于，

所述监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述方法还包括，将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

3.如权利要求1或2所述的方法，其特征在于，与所述流量可疑门限或流量违规门限或可疑记录数门限进行比较包括：

统计完一个规则时长或统计时长内的相关信息后，再与对应的门限进行比较，或者，实时统计一个规则时长或统计时长内的相关信息，实时与对应的门限进行比较，所述相关信息为执行被监控操作的次数或用户触发可疑门限的次数。

4.如权利要求1或2所述的方法，其特征在于，所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

5.如权利要求1或2所述的方法，其特征在于，所述方法还包括：当配置有多条监控规则时，遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到该用户被判定为违规，或者，直到遍历完所有监控规则。

6.一种监控装置，其特征在于，包括规则定义模块、初步分析模块和后续分析模块，所述初步分析模块包括第一监控单元和第一比较单元，所述后续分析模块包括第二监控单元和第二比较单元，其中：

规则定义模块用于：配置监控规则，所述监控规则中包括规则时长、流量可疑门限、统计时长、可疑记录数门限，所述规则时长小于统计时长；

所述第一监控单元用于：获取所述规则时长内用户执行被监控操作的次数；

所述第一比较单元用于：将所述规则时长内用户执行被监控操作的次数与所述流量可疑门限进行比较，当大于等于流量可疑门限时，判定该用户触发可疑门限，并通知所述后续分析模块；

所述第二监控单元用于：获取统计时长内该用户触发可疑门限的次数；

所述第二比较单元用于：将所述统计时长内用户触发可疑门限的次数与所述可疑记录数门限进行比较，当大于等于所述可疑记录数门限时，判定用户为违规用户。

7.如权利要求6所述的装置，其特征在于，

所述规则定义模块配置的监控规则中还包括流量违规门限，所述流量违规门限大于所述流量可疑门限；

所述第一比较单元还用于：将规则时长内用户执行被监控操作的次数与所述流量违规门限进行比较，如果大于等于所述流量违规门限，则直接判定所述用户为违规用户。

8.如权利要求6或7所述的装置，其特征在于，

所述第一比较单元是用于：在所述第一监控单元统计完一个规则时长内用户执行被监控操作的次数后，再与所述流量可疑门限或流量违规门限比较；或者，实时将所述第一监控单元一个规则时长内实时统计的用户执行被监控操作的次数与所述流量可疑门限或流量可疑门限进行比较；

所述第二比较单元是用于：在所述第二监控单元统计完一个统计时长内用户触发可疑门限的次数后，再与所述可疑记录数门限比较；或者，实时将所述第二监控单元一个统计时长内实时统计的用户触发可疑门限的次数与所述可疑记录数门限进行比较。

9.如权利要求6或7所述的装置，其特征在于，所述执行被监控操作的次数为发送短消息的数量或者发起呼叫的次数。

10.如权利要求6或7所述的装置，其特征在于，

所述规则定义模块用于配置多条监控规则；

所述初步分析模块和后续分析模块用于遍历所述多条监控规则对用户执行被监控操作的次数进行监控，直到用户被判定为违规，或者，直到遍历完所有监控规则。

Images