CN1110042A

CN1110042A - 资源接入控制系统

Info

Publication number: CN1110042A
Application number: CN94118121A
Authority: CN
Inventors: 亨米执·V·兰杰卡
Original assignee: AT&T Corp
Current assignee: AT&T Corp
Priority date: 1993-11-12
Filing date: 1994-11-10
Publication date: 1995-10-11
Also published as: JPH07212502A; CA2132557A1; US5495521A; SG47397A1; EP0653868A3; CA2132557C; JP3113521B2; EP0653868A2

Abstract

用户接入资源包括第一呼叫数据库存储有关呼叫者正进行呼叫的第一组标记。第二呼叫数据库存储有关该呼叫者进行的先前呼叫历史的第二组标记。规则数据库存储有关确定断开该呼叫、阻塞未来呼叫还是采取其它动作的标记的规则。确定至少一个呼叫数据库的数据是否符合规则数据库的规则，响应该相符，断开该呼叫，阻塞下一个呼叫或者采取其它动作。最好响应与规则数据库的相符更新第二呼叫数据库。

Description

本申请与转让给本申请的相同受让人的未授权的1992年5月29日申请的、序列号07/891347的B.E.McNair的发明申请和1993年10月8日申请的、序列号08/134358的A.MuKherjee的发明申请有关。

本发明涉及防止不正当接入（fraudulent access）资源，特别涉及实时地阻塞或拆断从试图获得不正当接入电话网络的呼叫者来的电话呼叫的方法和装置。

不正当的电话呼叫是电话业务提供者年收入损失的主要原因。由于不正确地发出呼叫导致用户错误地付出长途电话费时还使该用户不满。目前的系统利用对呼叫详情的成批式分析和有时设法检测一些不正当的类型。这种安排要求电话公司与肇事者联系以停止该恶习。这给防止不正当行为的过程中带来了时延。

前面提到的1992年5月29日申请的序号07/891347的美国申请公开了一个接入控制系统，它利用“软”判决来确定一个用户的形态是更象一个有效用户还是更象一个欺骗者（hacker）。它对二者的数据分类并将用户与二者比较以获得不正当接入的统计概率。

本发明的一个目的是克服现有系统的缺陷。

本发明的另一个目的是实时地检测和阻塞或拆断不正当接入的要求。

根据本发明的一个特点，实现这些目的是通过在控制数据库中存储与接入要求源来的接入有关的一组标志（attributes）;保持用以确定正确行动有关标志的规则数据库;确定控制数据库中的数据是否与规则数据库中的规则相符;以及响应控制数据库中的数据和规则数据库中的数据之间的相符，在接入时间期间断开该接入执行正确的行动。

根据本发明的另一个特点，在控制数据库中的存储包括在第一接入数据库中存储有关正进行的接入的第一组标志。

根据本发明的再一个特点，在该控制数据库中的存储包括在第二接入数据库中存储有关由接入要求源进行的先前接入历史的第二组标记;确定接入数据库中的数据是否与规则数据库中的规则相符的步骤包括确定是否断开该接入、阻塞未来的接入或采取其它行动;以及执行正确行动的步骤包括断开该接入、阻塞未来的接入或采取其它的行动。

根据本发明的又一个特点，第二接入数据库在相符的基础上被更新。

本发明的这些特点和其它特点在权利要求书中都已指出。本发明的其它目的和优点将参照以下附图和阅读下面的详细描述就会更加明了。

图1示出体现本发明上述的诸多特点的电话网络，

图2根据本发明的一方面示出图1的网络中控制系统的方框图，

图3和图4根据本发明的一方面示出图1和2所示的网络和系统对于CPE（用户室内设备）欺诈行为的操作规则，

图5和图6根据本发明的一方面示出图1和2所示的网络和控制系统对于CPE欺诈行为的操作的规则，

图7和图8示出根据本发明的一方面有关盗用CPE（用户室内设备）和SDN-NRA（软件定义网络-网络远端接入）的远端接入端口的不正当规则，

图9根据本发明的一方面示出用于检测有关具有相同SDN码或蜂窝式MIN的多个呼叫和远离相同呼叫者的起发地点的连续的蜂窝式呼叫的不正当的规则，

图10至图12根据本发明的一个方面示出经过CPE的有可能是实际不正当呼叫的多个呼叫的规则。

图13根据本发明的一个方面示出用于检测各种其它不正当的规则，

图14示出图1和2所示的系统的操作流程图。

图1示出体现本发明的特点的一种安排。图中，电话交换网络TSN通过两个交换机或中心局（亦即始发动作控制点ACPO和终端动作控制点ACPT）将呼叫者或接入要求源ADS接到被叫方或出口EGR。始发动作控制点ACPO和终端动作控制点ACPT利用呼叫详情记录平台（CDRP）RP1和RP2通信以便在实时的基础上为后者连续地提供呼叫详情记录。动作控制点ACPO和ACPT产生用于计费的这些记录和由CDRP保持的记录。

CDRP RP1和RP2也与控制系统CS1通信，在实时按需的基础上控制系统CS1接入CDRP的RP1和RP2中的事件消息流中。这意味着当呼叫在进行时该数据对于控制系统CS1是可用的。该控制系统CS1分析包含在C DRP的RP1和RP2中、作为不正当事件检测的一部分的信息基元（element）。在本发明的一个实施例中，该控制系统CS1存取在CDRP的RP1和RP2中、作为不正当事件检测的一部分的信息基元（element）。在本发明的一个实施例中，该控制系统CS1存取在CDRP的RP1和RP2中有关所有呼叫的数据。根据优选的实施例，该控制系统CS1从CDRP的RP1和RP2只存取可能产生主要的不正当费用的特定类型的呼叫的数据，即：

持续时间很短的（小于10秒）呼叫，因这些呼叫可能是由自由盗用设备产生的，故它们是另人感兴趣的;

持续时间很长（大于20分钟）的呼叫;

国际呼叫;

在商业用户的设备上和在商业通信设备上发出的呼叫，（不正当呼叫费用大多数是对商业用户计费的）。

限制接入这类的呼叫，由该控制系统CS1根据仔细检查消除大量的电话呼叫。这些消除的呼叫是正常的呼叫，它们具有不正当的发生概率很低。当确实发生这种情况时，网络的损失是小的，因为它们往往是持续时间短的近距离的国内呼叫。这个预先滤除，对于从CDRP的RP1和RP2到控制系统CS1的传输来讲只选择对该网络在经济上具有较大不正当费用的呼叫。

根据本发明的一个实施例，CDRP的RP1和RP2执行上述的选择，亦即预先滤除，并且根据另一个实施例该控制系统CS1执行预先滤除。在后一实施例中，CDRP的RP1和RP2累加所有呼叫的预先滤除的记录，这些呼叫正始发并且在小的和方便的间隔如15秒内通过由它服务的区域的所有长途交换机，和发送该组（set）到控制系统CS1。发送到控制系统CS1的预先滤除的呼叫的数据在这里称为X记录。

控制系统CS1还与不正当智能单元（FIU）FI1、电话公司共同安全管理监视器（CSAM）CSA1和其它的控制系统交换数据。不正当智能单元FI1有存储“历史”信息的数据库，该“历史”信息用以作为参考，以确定一个记录的信息基元对于不正当检测是否是重要的。

根据一发明的一个实施例，不正当智能单元FI1的数据库存储以下信息：

PBX ANI（小交换机自动号码识别），

大学的PBX和Centrex（集中式小交换机），

始发号码的可疑的NPA-NXX，

可疑的终端号码，

可疑的国家代码，

禁止的国家代码，

泄露的授权代码，

来自检测的不正当事件的ANI，

来自检测的不正当事件的始发号码，

来自检测的不正当事件的终端号码，

来自检测的不正当事件的授权代码，

由CSAM CSA1人工输入的其它任选文件，

在其它的实施例中，FIU FI1包含其它的信息。

图2示出图1所示的控制系统CS1的方框图。该控制系统CS1最好是以执行其各种功能的单个处理器的形式。图2示出由独立的部分组成的控制系统，即接收记录缓冲器部分RBS1、分析部分AS1、规则部分RS1和不正当抑制部分FC1。但是，每个方框最好代表处理器的一种功能，而不是独立的单元，并且利用相同的硬件可使该处理器可执行所有的功能。然而，根据一发明的一个实施例，任一方框或所有的方框可以是分开的部分或单元。为描述方便起见，该控制系统CS1中的方框称为“部分”。

控制系统CS1从CDRP的RP1及RP2和不正当智能单元FI1存取数据，和使存取的数据与该控制系统存储的一组规则相符。在图3至图13示出规则，该规则规定存在不正当事件的各种等级，例如HHa、HHb、HH、H、M和L。如果该数据符合高等级HHa，则控制系统CS1发信号通知信号传送点STP1断开正进行的呼叫。如果等级是HHb，则它发信号通知信号传送点STP1阻塞从该接入源ADS来的下一个呼叫。

控制系统CS1还把有关检测的不正当事件的信息传送到CSAM CSA1以产生告警信号，以使网络的人员采取适当的人工控制。这种人工操作可超越控制系统CS1并且断开所选择的呼叫或阻塞所选择的呼叫，或者禁止控制系统CS1的阻塞动作的断开。CSAM CSA1还把可新信息输入到不正当智能单元FI1数据库。

在图2中，控制系统CS1从CDRP的RP1和RP2接收记录组并且将它输入到接收的记录缓冲器部分RBS1。分析部分AS1从该缓冲器部分RBS1接收该数据，并使用从不正当智能单元FI1来的数据，以驱动矢量，每个矢量与一个数据基元或图3至图13所示的规则中的特征相符。换句话说，为了使该数据与该规则相符，该数据必须按照每个基元或规则中特征的格式。据此，分析部分AS1确定矢量规定呼叫是否是：

在营业时间期间，

在非营业时间期间，

非常长，

国内呼叫，

到限定的拨号NPA＝800，

到一个终端号码＝CPE，

到一个国家代码，

ANI＝CPE（具有用户室内设备的自动号码识别），

使用SDN-NRA（软件定义的网络-网络远端接入），

到一个可疑的国家代码，

使用不好的ANI，

短的持续时间，

使用重复的ANI，

从不经常的呼叫者来的，

到连续的不同的拨号号码。使用可疑的方式拨号，

使用小于PDD（拨号后时延）+e的连接时间差，即迅速地从一个号码到另一个号码，

使用无效的授权代码，

在重复组中呼叫数量大于阈值，

使SDN软件定义的网络（虚拟的专用网），

使用不同的ANI到相同的终端号码，

使用从大于至少一个呼叫继续的另一个地点来的相同授权代码，

具有大于呼叫持续期间的重叠，

具有同时使用的移动号码，

蜂窝式的，

相同MIN的（移动识别单元），

使用（呼叫位置之间的距离）/（过去的时间）大于给定值τ，

从相同的ANI（自动号码识别）来的多个呼叫大于χ，

重复的拨号号码，

终接在一个已知的DISA/RMATS（直接来话交换接入/远端维持接入测试系统维护端口）的号码，

在可疑的NPA-NXX或投币式电话机中始发，

从相同ANI来的多个呼叫，

CPE（用户室内设备）到一个已知的高的不正当的国家，

CPE（用户室内设备）到一个已知的中等的不正当的国家，

非CPE业务类型，

可疑的终端号码，

对相同号码计费的多个呼叫，

超过预置数量的多个800号呼叫。

应该理解，其它矢量也可得出，而且上表决不意味着包含了所有可能的矢量。其它的实施例不使用上述所有矢量。

这些矢量的一部分涉及量值，如呼叫是短还是长。在得出这些矢量中，分析部分AS1将每个量值与阈值相比较，，以产生一个矢量，该矢量指示数量的大或小，如长的呼叫或短的呼叫。该阈值可随着小时、月份的时间或其它的环境人工地或自动地变化，以改变数据的临界值。

规则部分RS1以查找表的形式存储图3至图13所示的规则。图3至图13中的每个水平框示出一个规则。在每个框中，左边列出了矢量相应的基元（element），而每框的右边指明与左边的基元相关的动作优先级。处理器的规则部分RS1扫描特征组或特定呼叫的矢量，并且将所有的矢量与在图3至13的框中的规则比较。它确定呼叫的矢量是否与规则相符。

在图3至13中，每个规则与代表动作优先级的字母符号相关，如HHa、HHb、H、M和L。动作优先级L为低，M为中等，H为高，HHa和HHb为甚高。如果该规则是“真实”，则这符号指明代表控制系统CS1执行的动作类别，它们取决于检测的严肃和确实性。

如果任何矢量组符合规则中的所有基元，则规则部分RS1指明在该规则中所指示的特定动作优选级。各种不同的呼叫可具有满足几个规则的矢量。

HHa和HHb是代表动作类别的最高优选级的类别。在这种情况下，认为检测的事件确定是不正当的事件，并且由该控制系统采取防止该事故的自动动作。如果不正当事件是盗用者试图插入长途网络的事件，则预防动作是通过将它转移到环形忙终端（ring busy terminal）来阻塞他的下一次尝试。这个动作是由动作优先级的HHb表明。如果动作优先级是HHa，则解决方法是断开正在进行的呼叫。

不正当抑制部分FC1响应规则部分RSI，并且发出通知报告到有关所有动作优先级的CSAM CSA1和FIU FI1。如果动作优先级是HHb，则它命令信号传送点STP1和STP2在网络控制点NCP中保持那个信息，该网络控制点NCP进行业务呼叫的呼叫处理。然后后者在规定的时间内阻塞来自相同呼叫者的随后的呼叫。这是通过转移该呼叫到环开忙终端进行的。

如果动作优选级是HHa，则不正当抑制部分FC1命令信号传送点STP1和STP2使始发动作控制点ACPO或终端动作控制点ACPT断开，否则禁止该呼叫，这使该交换机断开该呼叫。据此，不正当的呼叫者被搁置在呼叫的中间。如果来自那个电话机的随后呼叫在预定时段内到达，则那个呼叫被阻塞，如对于动作优先级HHb那样。

动作优先级H对不正当事件进行检测，该不正当事件具有稍低的确实性，但仍需立即注意的。在这种情况下，不正当控制部分FC1要求人们决定执行防止的动作。这样的动作是通过发送特别的命令从共同安全管理监视器CSAM开始的，如上所述的，该特别命令可导致相同的动作。

动作优先级M表明检测的较低确实性的另一等级，而动作处理类似于H的动作处理，除了对采取预防动作的人的决定可能更慎重，而且考虑到从智能导得的该情况的很多其它方面，这是从该机器不能得到的。

动作优先级L是最低类别，预防性的动作也是人为开始的，但是希望预防性动作对于这个类别是很不频繁出现的。

对于所有这些类别，不正当控制部分FC1将来自该呼叫记录的以下信息输入到不正当智能数据库：

始发号码，

拨号号码，

终端号码，

所用的授权代码，

动作优先级。

不正当智能数据库FI1存储用于未来呼叫的这个信息。它将从经验学习的能力给予另外的机械的基于规则的系统。CSAM CS1可固定编辑和监视经人们观察收集的智能以防止检测过程被已废弃信息的无控制增长所中断。

图3和图4所示的规则，在框310至414涉及CPE不正当。这里，框334和410得到HHa动作优先级。

图5和图6所示的规则，在框510至524和610至617涉及蜂窝式不正当或SDN-NRA（软件定义网络-网络远端接入）不正当的可能性。在图中例如，在520的相符中，在正常营业时间期间一个长的SDN-NRA国际呼叫使用不好的ANI和可疑的国家代号而得到HH（更高的H）动作优先级。在框510和514相符得到高的动作优先级，而在框517、524、610、614和617相符得到低的或中等的动作优先级。

图7至13主要涉及多个呼叫事件。这些不正当情况要求包含在很多最近过去的记录中的特征。在本发明的一个实施例中，在这些图中的规则是以对于每个规则的每个阈值实现的。图7和8特别有关涉及盗用CPE（用户室内设备）SDN-NRA（软件定义的网络-网络远端接入）的远端接入端口的不正当。图9中的规则检测涉及多个呼叫以及连续的蜂窝式呼叫的不正当情况，在多个呼叫时可使用相同的SDN授权代码或蜂窝式MIN，在连续的蜂窝式呼叫时始发地点太远而不能由相同的呼叫者始发。

图10至12示出当呼叫很可能是通过CPE（用户室内设备）的真实的不正当呼叫时可用于多个呼叫的规则。图11和12示出用于检测可能由呼叫卖方（call sellers）所犯的真实的不正当呼叫的去话分支的规则。

图13示出用于检测各种其它不下当的规则，如第三方不正当，对方付费电话不正当和电话卡不正当，以便从投币公用电话旁通800号阻塞。

根据本发明的一个实施例，可以明显看出框334、410和510规定动作优选级HHa，它导致不正当抑制部分FC1发信号断开正进行的呼叫，而根据一个实施例，阻塞来自相同呼叫者的紧接着的下一个呼叫。框810、824、830、914、917和924使规则部分RS1经过不正当抑制部分FC1发信号阻塞来自相同呼叫者并具有动作优先级HHb行征的随后的呼叫。

图14是示出图1和图2所示的控制系统CS1的操作流程图。在图14中，在步骤1404，控制系统CS1从CDRP和RP1的RP2以及从不正当智能单元FI1存取新的记录。控制系统CS1中的接收记录缓冲器部分RBS1从CDRP的RP1及RP2和在其它地点的其它控制系统CS1存取和存储预先滤除的记录，如果缓冲器是满的，消去最旧的数据。分析部分存储来自不正当智能单元FI1的数据。

在步骤1407，控制系统CS1中的分析部分AS1从缓冲器部分RBS1中存取下一个顺序的记录，并且通过使用来自不正当智能单元I1的数据矢量化该记录中的数据，例如，矢量化包含采用ANI，如果它是不好的ANI，则询问FIU FI1。如果是这样，则分析部分AS1将它定义为“使用不好的AMNI”，因此将它放置为符合规则部分RS1中的数据基元或特征格式的一种格式，以致该记录可与图3至13的规则中的记录相符。它包括加上合适的阈值，当需要时，查阅到FIU数据库的记录。

在步骤1420，规则部分RS1从分析部分AS1接收该数据，并扫描该矢量，而且将它们与下一个（或者，如果这是第一个，则与第一个）规则比较看看它们是否符合这些规则。

在步骤1424，规则部分RS1询问这个呼叫中的任何矢量的组合是否符合一个规则，即符合所有的数据基元或规则的特征。如果“是”，则规则部分RS1进行步骤1427并且将该规则专用的动作优先级引导到不正当抑制部分FC1。如果“否”，则它返回到步骤1407并存取下一个记录。

一旦收到动作优先级，不正当抑制部分FC1发出一个通知报告给CSAM CS1。在步骤1430，它将动作优先级和呼叫数据加到不正当智能单元FI1和CSAM的数据库。

在步骤1434，不正当抑制部分FC1确定该动作优先级是否为HHa。如果“是”，则不正当抑制部分FC1前进到步骤1437并发送一个信号以断开该呼叫，而且在实施例中，阻塞从那个呼叫者来的紧接的下一个呼叫。它还返回程序到步骤1404。如果在步骤1434的回答是“否”，则在步骤1440中，不正当抑制部分FC1询问这是否为动作优先级HHb。如果“是”，则在步骤1444不正当抑制部分FC1发送一个信号阻塞下一个呼叫并且返回该操作到步骤1404。如果“否”，则它返回该操作到步骤1407。

虽然图14中的各个步骤被认为是由控制系统CS1的各个部分RBS1、AS1、RS1和FC1所引起的，但是这些步骤可以由该系统CS1的任何形式的处理器装置执行。本发明不限于这个部分的装置也不限于这个系列的步骤。系统CS1可执行其组合数据的功能和将它与存储在其中的规则比较，以任何数量的其它方法获得动作优先级。

虽然只有二个动作控制点和CDRP出现在附图中，但是显而易见，其它的动作控制点可以是该网络的部分，而每个动作控制点具有与控制系统CS1通信的CDRP。

根据本发明的一个实施例，控制系统CS1的规定部分RS1在呼叫之间区别，它可从单个呼叫识别为可能的不正当，如在框334和410中所示的，和要求很多呼叫的识别，如盗用。前者称为单个呼叫事件，而后者称为多个呼叫事件。然而，规则部分RS1首先尝试使只使用CDRP来的数据的矢量与具有单个呼叫事件的框相符。此后，它扫描并且使矢量与来自其余框的CDRP和不正当智能单元FI1的数据相符。

在一个实施例中，考虑营业时间以外的呼叫得到图10中的规则的不同型式。在那些规则中，如果呼叫来自可疑的NPA-NXX或投币电话（以ⅱ数字表示），则对于动作优先级H来说该阈值是较低的（单个呼叫）。否则动作优先级至少与用于营业时间的呼叫的规则的优先级一样高。

请注意，控制系统CS1连接到不正当智能单元FI1，用于询问该单元数据库的信息，该信号是在不正当检测过程期间要求的。这个连接还由控制系统CS1用于输入和删除在不正当智能单元FI1的数据库中的信息，这是在从检测的事件得到的不正当信息留作以后使用时候。

根据一个实施例，被删除的不正当事件以布尔（Boolean）规则的形式表示。这些规则是逻辑表示，每个表示说明一个特定的不正当情况。这些规则说明不正当事件或不正当矢量的一些基本特征。这些规则在控制系统处理器中以逻辑方式执行，如果规则的输出是“真的”，则相应的不正当事件已被删除。如果规则的输出是“假的”，则没有不正当事件由那个规则删除，处理器前进到应用下一个规则。这个过程继续运行，对每个新的X记录应用控制系统的清单中的全部规则，每个新的X记录是从CDRP RP1和RP2注入该RBS1的。

根据一个实施例，在接收记录缓冲器部分RBS1中，记录以时间顺序方案安排，最后的组在上部和最旧的组从该缓冲器底部取出。接收记录缓冲器部分RBS1保持约4小时有价值的预先滤除的记录（X记录），而且这作为短期历史数据存储的形式。

在图2的实施例中，分析部分AS1在分析过程中使用不正当智能单元FI1的数据库。它首先逐个信息基元地检查从接收记录缓冲器部分RBS1来的X记录，并且确定其不正当的特征。

X记录一般包含定量和定性信息的混合产物。在一个实施例中，后者还以二进制码十进制数字的形式表示，它对质量编码。但是，不正当情形的规则是按照矢量表示的。鉴此，分析部分AS1把X记录的定量信息和编码的定性信息变换为相应的矢量。

在这个实施例中，该方法基于两个分开的程序。在最简单的情况下，定量值与一些阈值（这些阈值方便地安排为可调的）比较，可用等式或不等式表示。例如考虑到称为“呼叫持续时间”的信息基元，它在记录中以秒表示。这需要矢量化为只是两个矢量，即短的和长的，这是按下式进行的，并且是在分析过程期间执行的。

如果呼叫持续时间＜＝t₁，则是短的。

如果呼叫持续时间＞＝t₂，则是长的。

阈值t₁和t₂是可调的，它使短的和长的定义是相对的。

在一个实施例中，分析部分AS1以基于规则的方式使X记录的信息基元还原为矢量。对于一些其它的特别是电话号码，分析部分AS1查阅不正当智能单元FI1数据库，以得出其矢量。例如，分析部分可以考虑在X记录中的一个典型的始发号码。为了确定这是否为PBX号码，它询问FIU这是否在可疑的AN1的表中。它还确定在X记录中的始发号码是否来自可疑的呼叫地区，通过查阅FIU FI1，大量的不正当呼叫从该可疑的呼叫地区发出的。分析部分AS1通过询问不正当智能单元FI1数据库得到这种信息。在这里找到了该信息，因为它事先被输入了。

另外，它确定该始发的号码是否为许多呼叫的重复的始发号码，通过检索缓冲器部分RBS1的记录，这些呼叫已在最后4小时内发出了。它确定这是否“使用重复的ANI”。通过使RBS1中的很多记录的相同始发号码相符，分析部分AS1得到这个矢量。如果出现的数量超过阈值N1，则它正在明显地在重复。进行这个检索和相符得到了矢量，在应用多个呼叫不正当事件的规则之前需要这些矢量。

鉴此，在这个实施例中，通过对X记录的信息基元重复应用这些步骤，分析部分AS1变换这些记录为矢量。除了矢量以外，分析部分AS1使原始的X记录来的一些信息基元保持原样。它们是：

记录ID，

呼叫ID，

长途交换ID，

始发号码，

拨号的号码，

终端号码，

授权号码。

这些号码用在后检测预防动作中和记录保持过程中。除了它们的矢量形式之外，这些都被保持了。所有其它的都只用在它们的矢量形式中。

如上所述，规则部分RS1将不正当事件分为两类，称为单个呼叫事件和多个呼叫事件。单个呼叫事件只要求分析单个呼叫记录中的信息单元。例如，记录可含有以下信息：

国际呼叫，

从PBX发出的呼叫，

长时间的呼叫，

营业时间外的呼叫，

在一个高的不正当的国家终端。

这种情况不需要包含在任何其它记录中的信息表明这个记录代表不正当事件。图3至6叙述单个呼叫不正当事件的许多情况，规则部分包含在其清单中。

多个呼叫不正当事件要求该信息传送一个以上的记录。在规则部分RS1中叙述这样事件的规则包括涉及特征的矢量，这些特征只能从分析和比较几个记录得到。

规则部分RS1通过分析和比较许多记录得到这些特征。图7至12包含这类的不正当情况的例子。一般地讲，这类代表较难检测的不正当事件。RBS1的4小时存储要求是用于检测这类的事件的。这种时间顺序存储的记录允许规则部分RS1在收集的记录中执行所要求的比较来检测这样的事件。但是，也可以使用时间长，如2至8小时的记录。

在图13中所示的规则包括大量的这两类规则，并且使检测系统能够检测在多数通常所做的不正当动作。在该图中，这些规则的矢量用一个表来表示，该表意味着它们全部必须同时出现使该规则“真的”。换句话说，已除去了布尔表示式的“AND”（与）符号。对该规则的增和减可以轻易地进行以便给该过程提供高的灵活性。

为了断开呼叫，不正当抑制部分FC1响应从规则部分RS1来的动作优先级，向信号发送点STP1和STP2发送消息。该部分FC1给出交换机的识别符和在该交换机始发的呼叫，连同使该交换机工作的命令，好像该呼叫已由被叫方终止。这使该交换机断开该呼叫和通过所有的正常过程，随后终止呼叫。这样不正当的呼叫者在呼叫的中间被挂断。如果从那个电话机发出第二个呼叫，则那个呼叫作为HHb的情况通过阻塞得到处理。

在交换网络TSN中，信号传送点STP响应不正当控制部分操作始发和终端动作控制点ACPO和ACPT，动作控制点ACPO和ACPT将来自接入需求源ADS并到达出口EGR的呼叫断开。在该交换网络TSN中，信号传送点STP与网络控制点NCP共同动作来操作始发和终端动作控制点ACPO和ACPT，这两个控制点阻塞来自接入需求源ADS并到达出口EGR的呼叫。呼叫数据可以直接在始发接入控制点ACPO与ACPT和不正当智能单元FI1之间传送。

所采用的检测过程的基本特性是一个专门系统的基本特性，该专门系统采用对被检测的现象的各种单个特性的识别。它是基于规则和自然的渐进，与基于统计参数和多维表示法的数字方法相反。本发明的渐进法可以非常灵活地适用，而且不是基于不正当事件的统计研究。有几百万年发展结果的自然神经系统是基于类似的渐进策略，其中输入信息被滤除以得到有限的特征组并根据它们建立更复杂的组合，它们起着用于相符和最后检测的样板的作用。

短的呼叫直到终止以后都不能被检测。在终止之后，CDRP立即发送短的呼叫到控制系统CS1。

在一个实施例中，不正当智能单元包括一个处理器，它组织数据库来处理询问和来自控制系统CS1的响应。

到FIU FI1的信息在先前不正当情况的基础上人工地开始输入。为了给不正当智能单元FUI提供进一步的起始信息，在控制系统CS1被完全应用之前，该控制系统CS1设定为“训练方式”。在这个方式下，从执行任何预防动作禁止该控制系统，但是自由地检测不正当事件。在这个方式下，通过将重要的智能数据注入不正当智能单元FI1的数据库中，它加到开始的人工输入。当完全应用时，这个数据可被仔细地监视并用于检测。当完全应用时，该控制系统CS1以在新不正当事件中的信息更新不正当智能单元FI1的数据库。

为了增加检测过程的灵活性，被认为有助于增加检测的确定性的任何信息可存储在不正当智能单元FI1数据库中并且在分析的时间可被查阅。不需要应用基于数字一致性的限制。

根据电话交换网络TSN的经济性和性能要求，控制系统CS1可聚中地放置或以分布方式放置，每个交换机放一个控制系统。在任一情况下，它被方便地放置，以便从电话交换网TSN的所有长途交换机收集呼叫详情记录。

在图1的实施例中，安排呼叫详情记录是从交换机ACPO和ACPT经过它们的CDRP的RP1和RP2收集的。这些记录被实时地收集，这意味着在呼叫仍在进行时就可在控制系统CS1得到有关呼叫的数据。连续经过的时间数据对在进行中的呼叫是可用的。在很短的呼叫的情况下，有关该呼叫数据在此后立即被收集。

从很高等级的观点看，控制系统CS1的主要功能是：

（1）通过分析呼叫记录检测不正当事件，

（2）按照动作优先级的指示执行动作，和

（3）根据需要，与CDRP、不正当智能单元FI1的数据库和共同安全管理监视器CASM通信。

控制系统CS1的实时操作系统以循环的方式执行前两个功能，而第三个功能按照要求或需要的基础上执行。检测动作的执行和提供信息给共同安全管理监视器CSAM以循环的方式进行，而CDRP的RP1与RP2和共同安全管理监视器CSAM用作根据业务需要中断控制系统CS1。在检测过程期间，根据包含在呼叫记录中的呼叫详情信息的分析中的要求，控制系统CS1将询问不正当智能单元FI1的数据库。

在图3至13中，该规则以金字塔形的方式安排，从最一般的情况到越来越确定和限定的情况。情况越限定，检测事件是不正当的肯定性越高。

在一个实施例中，为了阻塞呼叫，不正当抑制部分FC1响应来自规则部分RS1的动作优先级并发送特别的消息到信号传送点STP1。该消息包含用于阻塞从规定的ANI来的下一个呼叫的命令。该STP信号传送点STP1把这个命令分配到正确的网络控制点NCP，它处理所有商用业务呼叫的呼叫处理。然后网络控制点NCP转移该呼叫到振铃区终端，这将阻止该呼叫者尝试使用该网络。

在步骤1437，不正当抑制部分FC1动作以断开该呼叫者并且阻塞从该呼叫者来的下一个呼叫。根据本发明的一个实施例，下一个呼叫不被阻塞。

根据本发明的一个实施例，FIU FI1包含一个处理器，它执行与从分析部分AS1来的数据相符的功能。

虽然已经详细地叙述了本发明的实施例，本领域的技术人员很清楚，本发明可在不脱离其精神和范围的情况下被实现。

Claims

1、一种控制用户接入资源的方法，其特征在于，包括：

在一个控制数据库中存储有关从一个接入要求源接入的一组标记；

保持有关确定正确的动作的标记的规则的规则数据库；

确定控制数据库中的数据是否符合规则数据库中的规则；和

响应控制数据库中的数据和规则数据库中的数据之间的相符，在接入时间期间通过断开该接入执行正确的动作。

2、根据权利要求1的方法，其特征在于，在控制数据库中的存储包括在第一接入数据库中存储有关正在进行的接入的第一组标记。

3、根据权利要求2的方法，其特征在于，在控制数据库中的存储包括在第二接入数据库中存储第二组标记，该第二组标记有关由接入要求源进行的先前接入的历史;

确定接入数据库中的数据是否符合规定数据库中的规则的步骤包括确定是断开该接入、阻塞未来的接入或者是采取其它动作。

4、根据权利要求2的方法，其特征在于，在所述的第一接入数据库中的所述存储包括存储一个或几个以下标记：

请求的用户，

请求时间，

使用的持续时间，

所请求的目的地，

用户授权的代码，

使用请求是否是蜂窝式的。

5、根据权利要求3的方法，其特征在于，在所述的第二接入数据库中的所述的存储数据的步骤包括存储下列之一：

PBX ANI（小交换机自动号码识别），

大学PBX和集中小交换机，

始发号码的可疑NPA-NXX，

可疑的终端号码，

已知的不好的AN1，

可疑的国家代码，

禁止的国家代码，

泄露的授权代码，

来自检测的不正当事件的ANI，

来自检测的不正当事件的始发号码，

来自检测的不正当事件的终端号码，

来自检测的不正当事件的授权代码，

由CSAM（电话公司安全管理监视器）要求的其它文件。

6、根据权利要求5的方法，其特征在于，在所述第一接入数据库中的所述存储包括存储一个或几个以下标记：

请求的用户，

请求时间，

使用的持续时间，

所请求的目的地，

用户授权代码，

使用请求是否是蜂窝式的。

7、根据权利要求1的方法，其特征在于，在所述的规则数据库中的数据包括以下接入要求方式：

在营业时间期间，

在非营业时间期间，

非常长，

国内接入，

到一个限定的拨号MPA＝800，

到一个终端号码＝CPE，

到一个国家代码，

ANS＝CPE（具有用户室内设备的自动号码识别），

使用SDN-NRA（软件定义的网络-网络远端接入），

到可疑的国家代码，

使用不好的ANI，

短的持续时间，

使用重复的ANI，

来自不经常的接入者，

到连续不同的拨号号码，使用可疑的方式拨号，

使用无效的授权代码，

在重复组中具有的接入数量大于阈值，

使用SDN软件定义的网络（虚拟专用网），

使用不同的ANI到相同的终端号码，

使用从大于至少一个接入继续的另一地点来的相同的授权代码，

具有大于接入持续时间的重叠，

具有同时使用的移动号码，

蜂窝式的，

相一MIN的，

使用接入地点之间的距离/过去的时间大于一个给定值τ，

从相同ANI（自动号码识别）来的多个接入大于X，

重复的拨号号码，

终止在一个已知的DISA/RMATS（直接向内交换接入/远端保持接入测试系统保持的端口）的号码，

在可疑的MPA-NXX或投币电话机中始发，

从相同的ANI来的多个接入，

CPE（用户室内设备）到一个已知的高的不正当的国家，

CPE（用户室内设备）到已知的中等的不正当的国家，

非CPE业务类型，

可疑的终端号码，

对相同号码计费的多个接入，

超过预置数量的多个800号接入。

8、根据权利要求3的方法，其特征在于，在第二接入数据库中存储的步骤包括用以在确定步骤中具有相符的接入来的数据更新第二接入数据库。

9、根据权利要求5的方法，其特征在于，在第二接入数据库中存储的步骤包括用从在确定步骤中具有相符的接入来的数据更新第二接入数据库。

10、根据权利要求3的方法，其特征在于，在所术规则数据库中的数据包括以下接入要求方式：

在营业时间期间，

在非营业时间期间，

非常长，

国内接入，

到限定的拨号MPA＝800，

到一个终端号码＝CPE，

到一个国家代码，

ANI＝CPE（具有用户室内设备的自动号码识别），

使用SDN-NRA（软件定义的网络-网格远端接入），

到一个可疑的国家代码，

使用不好的ANI，

短的持续时间，

使用重复的ANI，

来自不经常的接入者，

到连续不同的拨号号码，使用可疑的方式拨号，

使用无效的授权代码，

在重复组中具有接入数量大于阈值，

使用SDN软件定义的网络（虚拟专用网），

使用不同的ANI到相同的终端号码，

使用从大于至少一个接入继续的另一个地点来的相同的授权代码，

具有大于接入持续时间的重叠，

具有同时使用的移动号码，

蜂窝式的，

相同的MIN，

使用接入地点之间的距离/过去的时间大于给定值τ，

从相同ANI（自动号码识别）来的多个接入大于X，

重复的拨号号码，

终止在是一个已知的DISA/RMATS（直接向内交换接入/远端保持接入测试系统保持的端口）的号码，

在可疑的MPA-NXX或投币式电话机中始发，

从相同的ANI来的多个接入，

CPE（用户室内设备）到一个已知的高的不正当的国家，

CPE（用户室内设备）到已知的中等的不正当的国家，

非CPE业务类型，

可疑的终端号码，

对相同号码计费的多个接入，

超过预置数量的多个800号接入。

11、一个控制用户接入资源的系统，其特征在于，包括;

具有一组标记的控制数据库，这些标记是有关从一个接入要求源来的正在进行的接入;

具有有关确定正确动作的标记的规则的规则数据库;

用于确定控制数据库中的数据是否符合规则数据库中的规则的装置;和

响应在该控制数据库中的数据与在该规则数据库中的数据之间的相符、在接入时间期间通过断开该接入执行正确动作的装置。

12、根据权利要求11的系统，其特征在于，所述控制数据库包括具有有关正在进行的接入的第一组标记的第一数据库。

13、根据权利要求12的系统，其特征在于，该控制数据库包括具有第二组标记的第二接入数据库，第二组标记有关由接入要求源进行的先前接入的历史;

用于确定该接入数据库中的数据是否符合该规则数据库中的规则的该装置包括用于确定是否断开该接入、阻塞未来的接入或采取其它的动作的装置;和

执行正确动作的该装置包括用于断开该接入、阻塞未来接入或采取其它动作的装置。

14、根据权利要求12的系统，其中所述第一接入数据库包括有关一个或几个以下标记的数据：

请求的用户，

请求时间，

使用的时长，

所请求的目的地，

用户授权代码，

使用请求是否为蜂窝式。

15、根据权利要求3的方法，其特征在于，所述第二接入数据库包括有关下列之一的数据：

PBX ANI（小交换机自动号码识别），

大学的PBX和集中式小交换机，

对于始发号码是可疑的NPA-NXX，

可疑的终端号码，

已知的不好的ANI，

可疑的国家代码，

禁止的国家代码，

泄露的授权代码，

来自检测的不正当事件的ANI，

来自检测的不正当事件的始发号码，

来自检测的不正当事件的终端号码，

来自检测的不正当事件的授权代码，

根据CSAM（电话公司安全管理监视器）要求的其它文件。

16、根据权利要求5的系统，其特征在于，在所述第一接入数据库中的所述存储包括存储一个或几个下列标记：

请求的用户，

请求时间，

使用的时长，

所请求的目的地，

用户授权代码，

使用请求是否为蜂窝式。

17、根据权利要求6的系统，其特征在于，在所述规则数据库中的数据包括有关下列接入类型之一的数据：

在营业时间期间，

在非常营业时间期间，

非常长，

国内接入，

到限定的拨号MPA＝800号，

到终端号码＝CPE，

到一个国家代码，

ANI＝CPE（具有用户室内设备的自动号码识别），

使用SDN-NRA（软件定义的网络-网络远端接入），

到一个可疑的国家代码，

使用一个不好的ANI，

短的持续时间，

使用重复的ANI，

来自不经常的接入者，

到连续不同的拨号号码，使用可疑的方式拨号，

使用无效的授权代码，

在重复组中具有的接入数量大于阈值，

使用SDN软件定义的网络（虚拟专用网），

使用不同的ANI到相同的终端号码，

具有大于接入持续时间的重叠，

具有同时使用的移动号码，

蜂窝式的，

相一MIN的，

使用接入地点之间的距离/过去的时间大于给定的τ，

从相同的ANI（自动号码识别）来的多个接入大于X，

重复的拨号号码，

终止在是一个已知的DISA/RMAS（直接向内交换接入/远端保持接入测试系统保持的端口）的号码，

在可疑的MPA-NXX或投币电话机中始发，

从相同的ANI来的多个接入，

CPE（用户室内设备）到一个已知的高的不正当的国家，

CPE（用户室内设备）到已知的中等的不正当的国家，

非CPE业务类型，

可疑的终端号码，

对相同的号码计费的多个接入，

超过预置数量的多个800号接入。

18、根据权利要求13的系统，其特征在于，该控制数据库包括以在确定装置中具有的符合的接入来的数据更新第二接入数据库的装置。

19、根据权利要求15的系统，其特征在于，该控制数据库包括以在确定装置中具有相符的接入来的数据更新第二接入数据库的装置。

20、根据权利要求13的系统，其特征在于，规则数据库包括以下接入要求的存储：

在营业时间期间，

在非营业的时间期间，

非常长，

国内接入，

到限定的拨号MPA＝800号，

到终端号码-CPE，

到一个国家代码，

ANI＝CPE（具有用户室内设备的自动号码识别），

使用SDN-NRA（软件定义的网络-网络远端接入），

到一个可疑的国家代码，

使用一个不好的ANI，

短的持续时间，

使用重复的ANI，

来自不经常的接入者，

到连续不同的拨号号码，

使用可疑的方式拨号，

使用小于PDD（拨号后时延）+e的连接时间差，即迅速地从一个号码到另一个号码。

使用无效的授权代码，

在重复组中具有的接入数量大于阈值，

使用SDN软件定义的网络（虚专用网），

使用不同的ANI到相同的终端号码，

具有大于接入持续时间的重叠，

具有同时使用的移动号码，

蜂窝式的，

相一MIN的，

使用接入地点之间的距离/过去的时间大于给定值τ，

从相同的ANI（自动号码识别）来的多个接入大于X，

重复的拨号号码，

在可疑的MPA-NXX或投币式电话机中始发，

从相同的ANI来的多个接入，

CPE（用户室内设备）到一个已知的高不正当的国家，

CPE（用户室内设备）到已知的中等不正当的国家，

非CPE业务类型，

可疑的终端号码，

对相同的号码计费的多个接入，

超过预置数量的多个800号接入。