ATM机交易状态异常检测分析

倪贤卿， 梁华卓， 冯健鋆， 高卓

（1.华南农业大学珠江学院经济管理学院， 广东 广州 510900；2.华南农业大学珠江学院信息工程学院，广东 广州 510900；3.华南农业大学珠江学院基础部， 广东 广州 510900)

引言

近年来随着经济的高速发展，商业银行业务徒增，ATM机应用系统扮演着重要角色。相比银行的柜台服务，ATM机具有无人看管，业务量大的特性，因此关于ATM机交易状态的特征分析和异常检验的研究就极具必要性[1]，对ATM机交易的异常数据进行及时、准确的预报和报警是一项十分重要的事情。

商业银行的ATM应用系统包括前端和后端两个部分。前端是部署在银行营业部和各自助服务点的ATM机（系统），后端是总行数据中心的处理系统。前端的主要功能是和客户直接交互，采集客户请求信息，然后通过网络传输到后端，再进行数据和账务处理[2]。持卡人从前端设备提交查询、转账和取现等业务请求的任意一个，到后台处理完毕，并将处理结果返回到前端，通知持卡人业务处理最终状态，我们称这样完整的一个流程为一笔交易[3]。

商业银行总行数据中心监控系统对各分行的交易信息进行汇总统计。汇总信息包括业务量、交易成功率、交易响应时间三个指标。其中，业务量表示每分钟总共发生的交易总笔数；交易成功率表示每分钟交易成功笔数和业务量的比率[4]；交易响应时间表示一分钟内每笔交易在后端处理的平均耗时，ms。

交易数据分布存在以下特征:工作日和非工作日的交易量存在差别；一天内,交易量也存在业务低谷时间段和正常业务时间段。当无交易发生时,交易成功率和交易响应时间指标为空。

1 量化分析

1.1 拉依达准则

商业银行总行数据中心监控系统为了实时掌握全行的业务状态,每分钟就对各分行的交易信息进行汇总统计，所以异常检测也应该一分钟检测一次，这样会使汇总统计更加合理[5]。我们对每一分钟求其置信区间：根据正态分布特性，可以选取±2σ或±3σ作为其置信区间，也就是拉依达准则法，在置信区间外即判断为数据出现异常；如果选取±2σ作为其置信区间，每一个数据落入这个范围的概率只有95%，排除了过多的正常值；如果选取±3σ作为其置信区间，每一个数据落入这个范围的概率有99.7%，相比之下，选择±3σ作为置信区间合理性更高[6]。

拉依达准则：假设把被测量进行等精度测量，独立得到 x1，x2，…，xn，算出其算术平均值及剩余误差 vi=xi-（i=1，2，…，n），并按贝塞尔公式算出标准差σ，若某个测量值Xb的剩余误差vb（1≤b≤n）,满足|vb|=|xb-|＞3σ，则认为xb是含有较大误差值的坏值，应予剔除。

1.2 交易量异常检测

我们利用拉依达准则法剔除异常值的思想来检测异常值，也就是说，在正常情况下，数据都会落在±3σ的范围内，如果有数据落入在这个范围之外，则认为小概率事件发生，在现实生活中，我们认为小概率事件是不会发生，所以把在这个在范围之外的数视为异常值，如果系统检测到这样的数就进行报错。以下图为交易量处理异常值之后的数据直方图，由图1可知，数据基本都在正态分布曲线内，此时均值为597.56，标准差为492.614，由±3σ作为置信区，可知，正常值的范围为（-880.282～2075）。

图1 处理异常值后交易量数据直方图

交易量异常检测代码如下：

图2 处理异常值后成功率数据直方图

1.3 成功率异常检测

对于成功率的异常检测，我们采用的方法和检测交易量的方法一样，图2为成功率直方图，其均值为0.947 3，标准差为0.025 6，对成功率求置信区间。选取±3σ，只求其下限，不考虑上限，成功率越高越好,在其下限外即判定该交易成功率出现异常。

检测代码如下：

1.4 响应时间异常检测

对于响应时间的异常检测，我们采用的方法和检测交易量的方法一样，下图3为响应时间第一次异常数据处理后的直方图，发现还有一小小部分在正态分布曲线之外，于是，我们进行了第二次处理[7]。如图4所示，此时，其均值为109.51，标准差为23.453，对响应时间置信区间。同上选取±3σ，只求其上限，不考虑下限，响应时间越低越好，在其上限外即判定该响应时间出现异常。

图3 第一次处理异常值后响应时间数据直方图

图4 第二次处理异常值后响应时间数据直方图

1.5 做出报警

如果仅有交易量异常，给出蓝色警报；如果是响应时间出现异常，给出黄色报警；如果是成功率出现异常，给出红色报警。

2 进一步研究

商业银行总行数据中心监控系统通过对每家分行的汇总统计信息做数据分析，来捕捉整个前端和后端整体应用系统运行情况以及时发现异常或故障[8]。因此，对交易量，成功率和响应时间这三个量进行异常检测并给以及时预报和报警显得尤为重要，这也为我们后续研究提供了方向。