Brevet FR3090960A1 — publié le 20200626

Description Titre de l'invention : APPRENTISSAGE AUTOMATIQUE POUR LA DÉTECTION DE FRAUDE DANS UN SYSTÈME IN- FORMATIQUE DE RÉSERVATION [pool] La présente invention concerne de façon générale l'exploitation des systèmes infor- matiques de réservation, tels que ceux qui sont utilisés pour gérer les réservations dans l'industrie du voyage. En particulier, des modes de réalisation de l'invention visent l'utilisation des technologies d'apprentissage automatique pour la détection automatisée d'activité frauduleuse dans les systèmes informatiques de réservation. [0002] Un système informatique de réservation (CRS) comprend typiquement un ou plusieurs ordinateurs en réseau ou systèmes informatiques configurés pour stocker et récupérer des informations. Dans l'industrie du voyage, un CRS peut être configuré pour faciliter des transactions liées au voyage en avion ou en train, aux hôtels, aux locations de voitures ou à d'autres services. Un CRS qui est capable de réserver et de vendre des billets pour des services offerts par de multiples fournisseurs de services de voyage est connu communément dans l'indusnie sous le nom de système de distribution global (GDS). Typiquement, un GDS inclut, ou à accès à de multiples systèmes et bases de données associés qui stockent l'information relative aux transactions susmentionnées. Ces bases de données peuvent inclure, par exemple, une base de données d'enregistrements de noms de passager (PNR) pour stocker les données d'itinéraires de voyage, une base de données de système de billetterie électronique (ETS) pour stocker les données relatives aux billets, une base de données de système de contrôle des départs (DCS) pour stocker les données d'enregistrement du voyageur et des données d'utilisation de services et une base de données de système d'inventaire pour stocker les données de disponibilité. Ces systèmes peuvent comprendre un système de traitement et de base de données ou appareillage pour vendre et gérer l'utilisation de services liés au voyage. [0003] Un GDS est donc un système complexe qui doit aussi fournir la flexibilité requise par les agents de voyage et les passagers afin de créer et de gérer des réservations liées au voyage. Un itinéraire de voyage peut faire l'objet de nombreuses modifications sur une période étendue comprise entre sa création initiale et le moment auquel le voyage est actuellement réalisé. Ces modifications peuvent être initiées par le passager ou par l'agent (p. ex. des changements de plan, l'ajout et/ou l'annulation de segments de voyage, des surclassements ou des déclassements dans des classes de voyage, la substitution de classe tarifaire pour accomplir divers échanges entre le coût et la flexibilité, et ainsi de suite) ou peut. être le résultat d'événements nécessitant des modifications de 2 programme (p. ex. une réoptimisation du réseau de la compagnie aérienne, des routes et des changements d'appareil, des retards de vol ou d'annulation et ainsi de suite). Pour satisfaire cette flexibilité, la portée des modifications faites aux PNRs pris en charge par un GDS peut être extensive. [0004] La combinaison de la complexité et de la flexibilité peut créer des opportunités pour une activité frauduleuse. Par exemple, l'utilisateur d'un GDS (c.-à-d. un agent. ou un passager) peut chercher à contourner les règles ou les restrictions applicables à une classe tarifaire réduite en faisant une réservation initiale et par la suite en exécutant un nombre de modifications au PNR qui en résulte (c.-à-d. l'itinéraire) qui sont individuellement considérées comme valides, mais qui collectivement contournent les règles, les contrôles et/ou les vérifications d'intégrité des recettes aboutissant à une fraude. De façon plus générale, la fraude dans les PNRs peut être définie comme actions associées avec ou produisant des résultats tels que l'absence d'intention de prendre un vol, le gain d'avantages indus en contournant les règles et/ou un manque à gagner par rapport aux recettes attendues. [0005] Différentes séquences d'actions spécifiques effectuées au cours des réservations peuvent mener à différents modes frauduleux. La variabilité des modes conduisant aux fraudes est très élevée. Cela inclut des modes résultants en différentes typologies de fraude ainsi que d'autres modes dont le résultat commun est frauduleux. [0006] Une approche conventionnelle pour contrer une telle activité est d'appliquer des règles ou des corrections pour identifier et bloquer les modes de comportement frauduleux. Cependant, au vu de la forte volatilité des actions conduisant à ces comportements ou à diverses fraudes, il n'est pas toujours facile de définir des règles efficaces et spécifiques. Par ailleurs, l'ensemble des règles peut devenir tellement complexe qu'éventuellement il est difficilement applicable. [0007] Par conséquent, il existe un besoin de systèmes et de procédés automatisés fournissant une flexibilité dans la détection et la prévention des modes de comportements frauduleux dans les systèmes de réservation informatiques qui ne nécessitent pas la création et l'entretien d'ensembles de règles complexes. De plus, il serait désirable de fournir des systèmes et des procédés automatisés capables non seulement de détecter et de prévenir des modes de comportement frauduleux qui sont les mêmes ou qui sont similaires à des modes connus, mais aussi capables de signaler des modes de comportement précédemment passés inaperçus comme étant potentiellement frauduleux. [0008] Des modes de réalisation de l'invention implémentent une approche pour la détection de fraude dans un CRS basé sur des techniques d'apprentissage automatique (ML). Les comportements connus pour être frauduleux (c.-à-d. des modes frauduleux pareils ou similaires qui ont été identifiés précédemment) peuvent être détectés en utilisant des 3 modèles d'apprentissage automatique supervisés qui peuvent être formés hors connexion en utilisant des ensembles de données labellisés comprenant des modes connus d'activité frauduleuse. Des modes potentiellement frauduleux et précédemment non détectés peuvent être détectés en utilisant des modèles d'apprentissage automatique non supervisés qui peuvent être configurés hors connexion pour identifier des modes de comportements atypiques ou anormaux. Lcs caractéristiques d'entrée pour les modèles d'apprentissage automatique peuvent être dérivées à partir des enregistrements historiques de création et de modifications des réservations au cours de leur cycle de vie complet. L'application de l'apprentissage automatique à la détection de fraude dans un CRS répond au désir de trouver une solution qui est à la fois automatisée et flexible. [0009] Plus particulièrement, dans un aspect, l'invention fournit un procédé implémenté par ordinateur pour détecter une activité frauduleuse associée à un enregistrement de ré- servation dans un système de réservation informatique, le procédé comprenant : la récupération, dans un stock de données, d'une série d'enregistrements historiques effectués sur un enregistrement de réservation au cours d'une période ; le traitement des enregistrements historiques pour déterminer une pluralité de valeurs de caractéristiques comprenant des données caractérisant un mode pour les modifications faites à l'enregistrement de réservation au cours de la période; l'évaluation d'un premier modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une première valeur de classification de fraude, dans laquelle le premier modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage supervisé et est formé pour identifier un ou plusieurs types d'activité frauduleuse identifiés précédemment ; l'évaluation d'un deuxième modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une deuxième valeur de classification de fraude, dans laquelle le deuxième modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage non supervisé et est configuré pour identifier des modes anormaux de valeurs de caractéristiques correspondant à des types d'activité frauduleuse non identifiés précédemment ; et la génération d'une indication d'activité frauduleuse associée à l'enregistrement de réservation qui comprend au moins une de la première valeur de classification de fraude et de la deuxième valeur de classification de fraude. [0010] Par conséquent, les modes de réalisation de l'invention peuvent utiliser des modèles d'apprentissage automatique supervisés et non supervisés en cascade, ce qui permet avantageusement la détection de modes connus de comportements frauduleux, via un modèle supervisé, ainsi que de nouveaux modes potentiels de comportement frauduleux, via un modèle non supervisé. [0011] Dans des modes de réalisation de l'invention, chaque enregistrement historique dans la série enregistre un état de l'enregistrement de réservation à un moment correspondant dans le temps au cours d'une période et le traitement des enregistrements historiques comprend : l'extraction, de chaque enregistrement historique des données de série caractérisant un ou plusieurs éléments de l'enregistrement de réservation au point temporel correspondant; le traitement des données de série pour générer des données agrégées caractérisant un mode de modifications faites à un ou à plusieurs éléments de l'enregistrement de réservation au cours d'une période ; et la détermination de la pluralité des valeurs de caractéristiques sur la hase des données agrégées. [0012] Avantageusement, l'utilisation d'enregistrements de données de série temporelle permet la génération de valeurs de caractéristiques pour usage dans les modèles d'apprentissage automatique qui capturent des modes de comportement au cours d'une période prolongée comprise entre la création de l'enregistrement de réservation et sa réalisation éventuelle. Des modes de réalisation de l'invention sont particulièrement adaptés au déploiement associé aux systèmes de réservation informatique, tels que les systèmes de réservation de voyage dans lesquels des niveaux élevés de complexité et de flexibilité résultent en variabilité importante des modes de comportements conduisant à des fraudes, en mitigeant le besoin d'identifier des modes frauduleux spécifiques et en appliquant des règles spécifiques ou des corrections pour chaque mode. [0013] Le système de réservation informatique peut être un système de distribution global (GDS), l'enregistrement de réservation peut-être un enregistrement de nom de passager (PNR) et la série des enregistrements historiques peut comprendre un ensemble d'enveloppes, chacune d'elle comprenant un enregistrement d'informations validées du PNR à un point temporel correspondant. [0014] Le premier modèle d'apprentissage automatique peut être formé en utilisant un procédé comprenant : l'apport d'un ensemble de données labellisées comprenant des échantillons d'enregistrements historiques et/ou de valeurs de caractéristiques associées à un ou plusieurs types d'activité frauduleuse précédemment observés ; la division de l'ensemble de données labellisées en ensembles de formation et de test la formation d'au moins un modèle candidat d'apprentissage automatique supervisé en utilisant l'ensemble de formation pour détecter chaque type d'activité frauduleuse observé précédemment ; pour chaque modèle candidat d'apprentissage automatique supervisé formé, le calcul d'une mesure de performance en utilisant l'ensemble de test ; et pour chaque type d'activité frauduleuse observé précédemment, la sélection d'un modèle candidat correspondant d'apprentissage automatique basé sur la mesure de performance. [0015] Dans un autre aspect, l'invention fournit un procédé implémenté par ordinateur pour détecter une activité frauduleuse associée à un enregistrement de réservation dans un système de réservation informatique, le procédé comprenant : la récupération, dans un stock de données, d'une série d'enregistrements historiques, chaque enregistrement historique dans la série enregistrant un état de l'enregistrement de réservation à un point temporel au cours d'une période ; l'extraction, de chaque enregistrement historique des données de série caractérisant un ou plusieurs éléments de l'enregistrement de réservation au point temporel correspondant; le traitement des données de série pour générer des données agrégées caractérisant un mode de modifications faites audit un ou plusieurs éléments de l'enregistrement de réservation au cours d'une période ; l'évaluation d'au moins un modèle d'apprentissage automatique préconfiguré en utilisant les données agrégées pour obtenir une valeur de classification de fraude produite ; et la génération d'une indication d'activité frauduleuse associée à l'enregistrement de réservation sur la base de la valeur de classification de fraude produite. [0016] L'étape d'évaluation d'au moins un modèle d'apprentissage automatique pré- configuré peut comprendre : la détermination d'une pluralité de valeurs de caractéristiques sur la base des données agrégées ; l'évaluation d'un premier modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une première valeur de classification de fraude, dans laquelle le premier modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage supervisé et est formé pour identifier un ou plusieurs types d'activité frauduleuse identifiés précédemment ; l'évaluation d'un deuxième modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une deuxième valeur de classification de fraude, dans laquelle le deuxième modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage non supervisé et est configuré pour identifier des modes anormaux de valeurs de caractéristiques correspondant à des types d'activité frauduleuse non identifiés précédemment ; et la génération de la valeur de classification de fraude produite basée sur au moins une de la première valeur de classification de fraude et de la deuxième valeur de classi- 6 fication de fraude. [0017] Dans un autre aspect, l'invention fournit un système informatique pour détecter unc activité frauduleuse associée à un enregistrement de réservation dans un système de réservation informatique comprenant : un processeur ; au moins un dispositif de mémoire accessible par le processeur; et au moins un stock de données accessible par le processeur dans lequel le dispositif de mémoire contient un corps d'instructions de programme qui lorsqu'il est exécuté par le processeur amène le système informatique à implémenter un procédé comprenant les étapes suivantes : la récupération, dans le stock de données, d'une série d'enregistrements historiques en capturant des modifications faites à l'enregistrement de réservation au cours d'une période; le traitement des enregistrements historiques pour déterminer une pluralité de valeurs de caractéristiques comprenant des données caractérisant un mode des modifications faites à l'enregistrement de réservation au cours de la période ; l'évaluation d'un premier modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir unc première valeur de classification de fraude, dans laquelle le premier modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage supervisé et il est formé pour identifier un ou plusieurs types d'activité frauduleuse identifiés précédemment ; l'évaluation d'un deuxième modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une deuxième valeur de classification de fraude, dans laquelle le deuxième modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage non supervisé et est configuré pour identifier des modes anormaux de valeurs de caractéristiques correspondant à des types d'activité frauduleuse non identifiés précédemment ; et la génération d'une indication d'activité frauduleuse associée à l'enregistrement de réservation qui comprend au moins une de la première valeur de classification de fraude et de la deuxième valeur de classification de fraude. [0018] Le système informatique peut par ailleurs comprendre une interface de réseau. Un système de fichiers distribués accessibles par le processeur via l'interface de réseau peut comprendre le stock de données. Le système peut comprendre un GDS accessible par le processeur via l'interface de réseau, dans lequel le GDS comprend le système de réservation informatique. L'enregistrement de réservation peut-être un PNR et la série des enregistrements historiques peut comprendre un ensemble d'enveloppes, chacune d'elle comprenant un enregistrement d'informations validées du PNR à un moment temporel correspondant. 7 [0019] Le corps des instructions de programme peut amener le système informatique à im- plémenter le traitement des enregistrements historiques par les étapes suivantes : l'extraction, de chaque enregistrement historique des données de série caractérisant un ou plusieurs éléments de l'enregistrement de réservation au point temporel correspondant; le traitement des données de série pour générer des données agrégées caractérisant un mode de modifications faites à un ou à plusieurs éléments de l'enregistrement de réservation au cours d'une période ; et la détermination de la pluralité des valeurs de caractéristiques sur la hase des données agrégées. [0020] Le corps des instructions de programme peut par ailleurs inclure des instructions qui, lorsqu'elles sont exécutées par le processeur, amènent le système informatique à implémenter un procédé de formation du premier modèle d'apprentissage automatique comprenant les étapes suivantes : l'accès à un ensemble de données lahcllisécs comprenant des échantillons d'enregistrements historiques et/ou de valeurs de caractéristiques associés à un ou plusieurs types d'activité frauduleuse précédemment observés ; la division de l'ensemble de données labellisées en ensembles de formation et de test la formation d'au moins un modèle candidat d'apprentissage automatique supervisé en utilisant l'ensemble de formation pour détecter chaque type d'activité frauduleuse observé précédemment ; pour chaque modèle candidat d'apprentissage automatique supervisé formé, le calcul d'une mesure de performance en utilisant l'ensemble de test ; et pour chaque type d'activité frauduleuse observé précédemment, la sélection d'un modèle candidat correspondant d'apprentissage automatique basé sur la mesure de performance. [0021] Dans un autre aspect, l'invention fournit un système informatique pour détecter une activité frauduleuse associée à un enregistrement de réservation dans un système de réservation informatique comprenant : un processeur ; au moins un dispositif de mémoire accessible par le processeur ; et au moins un stock de données accessible par le processeur dans lequel le dispositif de mémoire contient un corps d'instructions de programme qui lorsqu'il est exécuté par le processeur amène le système informatique à implémenter un procédé comprenant les étapes suivantes : la récupération, d'un stock de données, d'une série d'enregistrements historiques, chaque enregistrement historique dans la série enregistrant un état de l'enregistrement 8 de réservation à un point temporel au cours d'une période ; l'extraction, de chaque enregistrement historique des données de série caractérisant un ou plusieurs éléments de l'enregistrement de réservation au point temporel correspondant; le traitement des données de série pour générer des données agrégées caractérisant un mode de modifications effectuées audit un ou plusieurs éléments de l'enregistrement de réservation au cours d'une période ; l'évaluation d'au moins un modèle d'apprentissage automatique préconfiguré en utilisant les données agrégées pour obtenir une valeur de classification de fraude produite ; et la génération d'une indication d'activité frauduleuse associée à l'enregistrement de réservation sur la hase de la valeur de classification de fraude produite. [0022] Le corps d'instructions de programme peut amener le système informatique à im- plémenter l'évaluation d'au moins un modèle d'apprentissage automatique préconfigure par les étapes suivantes : la détermination d'une pluralité de valeurs de caractéristiques sur la hase des données agrégées ; l'évaluation d'un premier modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une première valeur de classification de fraude, dans laquelle le premier modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage supervisé et est formé pour identifier un ou plusieurs types d'activité frauduleuse identifiés précédemment ; l'évaluation d'un deuxième modèle d'apprentissage automatique en utilisant les valeurs de caractéristiques pour obtenir une deuxième valeur de classification de fraude, dans laquelle le deuxième modèle d'apprentissage automatique est basé sur un algorithme d'apprentissage non supervisé et est configuré pour identifier des modes anormaux de valeurs de caractéristiques correspondant à des types d'activité frauduleuse non identifiés précédemment ; et la génération de la valeur de classification de fraude produite basée sur au moins une de la première valeur de classification de fraude et de la deuxième valeur de classification de fraude. [0023] À partir de la description qui suit, divers modes de réalisation, d'autres aspects, avantages et caractéristiques des modes de réalisation de l'invention seront apparents aux hommes de métier spécialisés dans les domaines pertinents. On notera cependant que l'invention n'est pas limitée aux modes de réalisation décrits qui sont fournis à titre d'illustration des principes de l'invention tels qu'ils sont définis dans les déclarations à venir et pour assister les hommes de métier à mettre en pratique ces principes. 9 [0024] Des modes de réalisation de l'invention seront maintenant décrits par rapport aux dessins qui suivent dans lesquels des numéros référentiels font référence à des caractéristiques similaires et dans lesquels : [0025] [fig.1] est un diagramme bloc illustrant un système exemplaire en réseau qui inclut un système de détection de fraude représentant l'invention ; [0026] [fig.2] est un diagramme schématique illustrant un fichier historique de PNR dans la hase de données de PNR de la Fig. 1 ; [0027] [fig.3] est un organigramme illustrant un procédé de détection d'activité frauduleuse conforme à un mode de réalisation de l'invention ; [0028] [fig.4] est un organigramme illustrant l'extraction de caractéristiques au niveau de l'enveloppe et au niveau du PNR selon un mode de réalisation de l'invention ; et [0029] [fig.5] est un organigramme illustrant un procédé d'identification de fraudes connues et inconnues en utilisant des modèles d'apprentissage automatique en cascade selon un mode de réalisation de l'invention. [0030] La Fig. 1 est un diagramme bloc illustrant un système exemplaire en réseau 100 qui inclut un système de détection de fraude 102 représentant l'invention. En particulier, le système de détection de fraude 102 comprend un système basé sur l'apprentissage automatique (ML) configure pour détecter des comportements frauduleux conformément à un mode de réalisation de l'invention. Afin de concrétiser l'invention, un mode de réalisation de l'invention est décrit pour détecter une activité frauduleuse relative à des réservations de voyage. Cependant, on notera que ceci n'est qu'un exemple pour illustrer le système et le procédé et que les modes de réalisation de l'invention peuvent être appliqués à d'autres types de systèmes de réservation. [0031] Le système de détection de fraude 102 peut comprendre un système informatique ayant une architecture conventionnelle. En particulier, le système de détection de fraude 102, tel qu'il est illustré, comprend un processeur 104. Le processeur 104 est associé de façon fonctionnelle à un dispositif de stockage/mémoire non volatile 106, p. ex. via un ou plusieurs bus de données/achesses 108 tel qu'illustré. Le stockage non volatile 106 peut être un disque dur et/ou peut inclure une mémoire non volatile à état défini, telle qu'une mémoire morte à lecture seule ROM, une mémoire flash, un disque dur électronique (SSD) ou autre stockage similaire. Le processeur 104 sert aussi d'interface avec le stockage volatile 110 tel que la mémoire vive à accès aléatoire RAM qui contient des instructions de programme et des données temporaires relatives au fonctionnement du système de détection de fraude 102. [0032] Dans une configuration conventionnelle, le dispositif de stockage 106 maintient un programme connu et un contenu de données pertinentes avec le fonctionnement normal du système de détection de fraude 102. Par exemple, le dispositif de stockage 106 peut contenir des programmes de système d'exploitation et des données ainsi que d'autres logiciels d'application exécutables nécessaires pour les fonctions voulues du serveur de détection de fraude 102. Le dispositif de stockage 106 contient aussi des instructions de programme qui, lorsqu'elles sont exécutées par le processeur 104, amènent le système de détection de fraude 102 à effectuer des opérations relatives à un mode de réalisation de la présente invention, lesquelles sont décrites de façon plus détaillée ci-dessous en référence à la Fig. 3, à la FIG. 4 et à la Fig. 5 en particulier. En pratique, les instructions et les données stockées sur le dispositif de stockage 106 sont transférées à la mémoire volatile 110 pour une exécution à la demande. [0033] Le processeur 104 est aussi associé fonctionnellement à une interface de commu- nications 112 d'une manière conventionnelle. L'interface de communications 112 facilite l'accès à un réseau étendu de communications de données, tel que l'interna 116. [0034] Dans la pratique, le stockage volatile 110 contient un corps d'instructions de programme correspondant 114 transféré à partir du dispositif de stockage 106 et qui est configure pour effectuer le traitement et d'autres opérations afin de mettre en oeuvre les caractéristiques de la présente invention. Les instructions de programme 114 comprennent une contribution technique à l'art, développée et configurée spécifiquement pour implémenter un mode de réalisation de l'invention qui va au-delà de la routine et des activités conventionnelles bien comprises dans l'art de la détection de fraude et des systèmes d'apprentissage automatique, qui fera par ailleurs l'objet d'une description ci-dessous, particulièrement par référence à la Fig. 3, à la Fig. 4 et à la Fig. 5. [0035] Concernant l'aperçu global du système de détection de fraude 102 et d'autres systèmes de traitement et dispositifs décrits dans cette spécification, les termes tels que processeurs ', ' ordinateur' et ainsi de suite, sauf si le contexte exige autrement, doivent être interprétés comme faisant référence à un éventail d'implémentations possibles des dispositifs, appareils et systèmes comprenant une combinaison de logiciels et de matériel. Cela inclut des dispositifs à processeur unique et à processeurs multiples et un appareil, incluant les dispositifs portables, les ordinateurs de bureau et divers types de systèmes de serveur, incluant du matériel collaboratif et des platefonnes logicielles qui peuvent cohabiter ou être distribuées. Les processeurs physiques peuvent inclure des unités centrales de traitement (CPUs), à usage général, des processeurs de signaux numériques, des unités de traitement graphique (GPUs) et/ ou d'autres dispositifs matériels appropriés pour une exécution efficace des programmes et des algorithmes nécessaires. [0036] Les systèmes informatiques peuvent inclure des architectures conventionnelles d'ordinateur personnel ou d'autres platefonnes matérielles à usage général. Les logiciels peuvent inclure des logiciels de sources libres et/ou des logiciels de systèmes d'exploitation vendus sur le marché en combinaison avec diverses applications et 11 programmes de services. Autrement, les plateformes de traitement ou de calcul peuvent comprendre du matériel et/ou des architectures de logiciel adaptés sur mesure. Pour une extensibilité améliorée, les systèmes de traitement et de calcul peuvent comprendre des plateformes d'informatique en nuage permettant aux ressources matérielles physiques d'être attribuées de façon dynamique en réponse aux demandes de services. Alors que toutes ces variations sont comprises dans la portée de la présente invention, pour faciliter l'explication et la compréhension, les modes de réalisation exemplaires sont décrits dans les présentes avec une référence, à titre illustratif, à des plateformes informatiques à usage général à processeur unique, à des plateformes de système d'exploitation couramment disponibles et/ou à des produits de consommateurs largement disponibles, tels que des ordinateurs de bureau (PCs), des ordinateurs compacts ou ordinateurs portables (PCs), des smartphones, des tablettes informatiques et ainsi de suite. [0037] En particulier, les termes ' unité de traitement' et 'module' sont utilisés dans cette spécification pour faire référence à toute combinaison appropriée de matériel et de logiciels configurés pour effectuer une tâche particulière définie telle que l'accès et le traitement des données en ligne ou hors connexion, la saisie informatique de caractéristiques d'un ou de plusieurs modèles d'apprentissage automatique, l'exécution de la formation et/ou d'autres étapes de configuration d'un ou de plusieurs modèles d'apprentissage automatique, ou l'exécution des étapes d'alerte et de détection de fraude. Une telle unité de traitement peut comprendre un module de code exécutable qui s'exécute à un emplacement unique sur un dispositif de traitement unique ou qui peut comprendre des modules collaboratifs de code exécutable qui s'exécutent à de multiples emplacements et/ou sur de multiples dispositifs de traitement. Par exemple, dans certains modes de réalisation de l'invention les algorithmes de détection de fraude peuvent être implémentés entièrement par un code en exécution sur un seul système, tel que le système de détection de fraude 102, alors que dans d'autres modes de réalisation le traitement correspondant peut être mis en oeuvre d'une manière distribuée sur une pluralité de systèmes. [0038] Les composants logiciels, p. ex. les instructions de programme 114, pour mettre en oeuvre les caractéristiques de l'invention peuvent être développés en utilisant tout langage de programmation approprié, environnement de développement ou combinaisons de langage et d'environnement de développement qui seront familiers aux hommes de métier spécialisés dans l'ingénierie logicielle. Par exemple, des logiciels appropriés peuvent être développés en utilisant le langage de programmation C, le langage de programmation Java, le langage de programmation C++, le langage de programmation Go, le langage de programmation Python, le langage de programmation R et/ou d'autres langages appropriés pour l'implémentation de l'apprentissage au- 12 tomatique et d'autres algorithmes. Le développement de modèles d'apprentissage automatique pour mettre en oeuvre l'invention peut être aidé par l'utilisation de bibliothèques de codes d'apprentissage automatique telles que les bibliothèques TensorFlow, Torch et Keras. Les hommes de métier comprendront cependant que les modes de réalisation de l'invention impliquent l'implémentation de structures logicielles et de code qui ne sont ni bien compris, ni routiniers ou conventionnels dans l'art des systèmes d'apprentissage automatique et que même si des bibliothèques existantes peuvent aider à l'implémentation, elles nécessitent une configuration spécifique et une augmentation substantielle (c.-à-d. le développement de code supplémentaire) afin de réaliser les divers bénéfices et avantages de l'invention et d'implémenter les structures spécifiques, le traitement, les calculs et les algorithmes décrits ci-dessous particulièrement par référence à la Fig. 3, à la Fig. 4 et à la Fig. 5. [0039] Les exemples suivants de langages, d'environnements, et de bibliothèques de codes ne sont pas censés être limitatifs et on comprendra que tous langages, bibliothèques et systèmes de développement appropriés peuvent être utilisés conformément aux exigences du système. Les descriptions, diagrammes bloc, organigrammes et autres qui sont présentés dans cette spécification sont fournis à titre d'exemple pour permettre aux hommes de métier spécialisés dans l'ingénierie logicielle et l'apprentissage automatique de comprendre et d'apprécier les caractéristiques, la nature et la portée de l'invention, et pour mettre un ou plusieurs modes de réalisation de l'invention en pratique par l'implémentation de code logiciel adapté en utilisant tout langage, structure, bibliothèque et système de développement approprié conformément à cette divulgation sans avoir à y apporter une ingéniosité inventive supplémentaire. [0040] Le code de programme mis en oeuvre dans une/un quelconque des applications/ modules décrit(e)s dans les présentes peut être distribué individuellement ou collectivement comme un produit programme d'ordinateur, sous une variété de formes différentes. En particulier, le code de programme peut-être distribué en utilisant un support de stockage lisible par ordinateur ayant des instructions de programme lisibles par ordinateur pour amener un processeur à mettre en oeuvre des aspects des modes de réalisation de l'invention. [0041] Les supports de stockage de données lisibles pal- ordinateur peuvent inclure des médias tangibles volatiles et non volatiles, amovibles et non amovibles, implémentés dans tout procédé ou technologie de stockage de données, tels que des instructions de programme lisibles par ordinateur, des structures de donnée, des modules de programme, ou autres données. Les supports de stockage lisibles par ordinateur peuvent aussi comprendre des mémoires : une mémoire vive à accès aléatoire (RAM), une mémoire morte à lecture seule (ROM), une mémoire à lecture seule programmable et effaçable (EPROM), une mémoire à lecture seule programmable et effaçable élec- 13 triquemcnt (EEPROM), une mémoire flash, ou autre technologie de support solide de mémoire, un disque compact portable doté d'une mémoire à lecture seule (CD-ROM), ou autre stockage optique, cassette magnétique, bande magnétique, disque magnétique ou tout autre support pouvant être utilisé pour stocker l'information désirée et apte à être lu par un ordinateur. Bien qu'un support de stockage lisible par ordinateur ne puisse pas comprendre de signaux transitoires en soi (p. ex. des ondes radio d'autres ondes électromagnétiques se propageant, des ondes électromagnétiques se propageant via un support de transmission tel qu'un guide d'ondes ou des signaux électriques transmis par un fil), les instructions de programme lisibles par ordinateur peuvent être téléchargées via de tels signaux transitoires sur un ordinateur, un autre type d'appareil de traitement de données programmable ou un autre dispositif à partir du support de stockage lisible par ordinateur ou vers un ordinateur externe ou un dispositif de stockage externe via un réseau. [0042] Les instructions de programme lisibles par ordinateur, stockées dut un support lisible par ordinateur, peuvent être utilisées pour instruire un ordinateur, d'autres types d'appareils programmables de traitement ou d'autres dispositifs pour fonctionner d'une façon particulière, de sorte que les instructions stockées sur un support lisible par ordinateur produisent un article de fabrication comprenant les instructions qui implémentent les fonctions, les actions et/ou les opérations spécifiées dans les organigrammes, diagrammes de séquence, et/ou diagrammes blocs. Les instructions de programme informatique peuvent être fournies par un ou plusieurs processeurs sur un ordinateur à usage général, un ordinateur à usage spécial, ou tout autre appareil programmable de traitement de données pour produire une machine telle que les instructions qui s'exécutent par l'intermédiaire d'un ou de plusieurs processeurs provoquent une série de calculs devant être effectués pour implémenter les fonctions, actions et/ou opérations spécifiées dans les organigrammes, diagrammes séquentiels et/ ou diagrammes blocs. [0043] De retour à la description de la Fig. 1, le système en réseau 100 inclut un système de distribution global (GDS) 118 qui inclut un système de réservation (non illustré) et qui est capable d'accéder à une base de données 120 d'enregistrements de noms de passagers (PNR). La base de données de PNR 120 stocke une pluralité de PNRs. Chaque PNR peut comprendre un ou plusieurs enregistrements de réservation, chacun définissant une ou plusieurs réservations faites par un voyageur. Le PNR peut aussi suivre l'usage des services de voyage achetés. Le PNR peut être identifié par un localisateur d'enregistrement unique à ce PNR et peut inclure des enregistrements définissant l'itinéraire de voyage pour un voyage, un service, un passager, ou un groupe de passagers particuliers. L'itinéraire de voyage peut inclure les services de multiples transporteurs (p. ex. des sièges sur un avion un autocar ou des segments de rail), des 14 services auxiliaires d'un ou de plusieurs transporteurs (p. ex. le droit d'enregistrer un bagage supplémentaire, un repas pendant le vol), des services auxiliaires de tiers autres que des transporteurs (p. ex. les réservations d'hôtel ou les réservations de voiture de location) ou tout autre service lié au voyage. [0044] Un système d'inventaire 122 est également montré dans la Fig. 1. Le système d'inventaire 122 peut inclure une base de données d'inventaire (non illustrée). Dans le cas exemplaire du système d'inventaire d'une compagnie aérienne, la hase de données d'inventaire peut stocker l'inventaire de segments et de services fournis par un transporteur, incluant les réservations les comptes et les disponibilités. La hase de données d'inventaire peut aussi entretenir un compte de la disponibilité de chaque service de voyage. Par exemple, le système d'inventaire 122 peut suivre le nomhre de sièges disponibles à la vente pour un transporteur à tout moment donné pour un quelconque vol donné, une cartographie des sièges avec des numéros de sièges et un nomhre de services spéciaux réservés et les quotas correspondants. Le GDS 118 peut interroger le système d'inventaire 122 pour déterminer la disponibilité des services de voyage avant de tarifer ou de réserver le service. En réponse à la réservation du service, le GDS 118 peut transmettre un message au système d'inventaire 122 pour actualiser la hase de données de l'inventaire afin de refléter la vente. Bien qu'un seul système d'inventaire 122 soit montré dans la Fig. 1 à titre d'illustration, on comprendra que l'industrie du voyage est complexe et extrêmement concurrentielle et, qu'en pratique, le GDS 118 est capable d'accéder à un inventaire et d'effectuer des réservations pour un grand nombre de fournisseurs de services de voyage, chacun d'eux pouvant avoir son propre système d'inventaire. [0045] Les clients qui peuvent être des particuliers, des agents de réservation ou toute autre personne morale ou physique, accèdent aux services de réservation du GDS 118 via le réseau 116, p. ex. via les terminaux clients 124 qui exécutent un logiciel de réservation correspondant. Le logiciel de réservation qui s'exécute sur les terminaux clients 124 peut être géré pour créer de nouveaux itinéraires, résultant en création de nouveaux PNRs dans la base de données de PNR 120 et/ou pour modifier des itinéraires et des PNRs existants. Certaines séquences de ces opérations peuvent être exécutées dans le but d'escroquer les fournisseurs de services de voyage, p. ex. en contournant les règles ou les restrictions applicables, ou pour obtenir des réductions, des surclassements et/ou d'autres bénéfices non autorisés. [0046] La Fig. 2 est un diagramme schématique illustrant un fichier historique de PNR 200 (ou une portion de celui-ci) dans la base de données de PNR 120. Chaque PNR dans la base de données de PNR 120 peut être associé à un fichier historique, p. ex. 200. Le fichier historique 200 peut comprendre un enregistrement de la création du PNR et de toutes modifications subséquentes faites au PNR. Le fichier historique peut fournir des données qui permettent au système de déterminer si et quand un élément du PNR a été modifié ainsi que les détails de la modification. Le fichier historique 200 comprend une pluralité d'enregistrements, p. ex. 202, 204, 206 désignés sous le ternie enveloppes'. Chaque fois que le PNR est actualisé, une enveloppe supplémentaire peut être créée et rattachée au fichier historique. Le PNR a un identifiant unique 208, connu sous le nom de localisateur d'enregistrement ou Recloc' qui ne modifie pas la mise à jour du PNR. Chaque enveloppe peut inclure un identifiant (non illustré) tel qu'un numéro séquentiel. Pour les identifiants comprenant des numéros séquentiels, le numéro d'enveloppe le plus bas (p. ex. l'enveloppe 000) peut correspondre à l'enveloppe associée à la création du PNR. Chaque enveloppe peut inclure des données définissant une modification faite au PNR, un état du PNR avant ou après la modification, une heure et une date à laquelle la modification a été faite où l'état du PNR existait, l'information relative aux agents de réservation ou le système automatisé faisant la modification, le nom de la personne qui a demandé la modification et/ou toute autre information pertinente relative au PNR. [0047] Plus précisément, dans des modes de réalisation de l'invention une enveloppe de PNR, p. ex. 202, 204, 206, comprend un enregistrement des informations validées d'un PNR à un moment spécifique dans le temps. Chaque fois qu'une modification ou un groupe de modifications est effectué dans un PNR, suivi par un événement de «fin de transaction » (EOT), le résultat de la modification(s) est validé et une nouvelle enveloppe de PNR est créée et rattachée au fichier historique 200. Les modifications ou les actions non validées qui ne modifient pas le PNR ne sont pas enregistrées dans la nouvelle enveloppe. Chaque enveloppe est identifiable de façon unique par le Recloc du PNR et le numéro séquentiel de l'enveloppe. [0048] À titre d'exemple, l'enveloppe 202 peut représenter un état initial X d'un PNR avant une modification. L'itinéraire de voyage défini par l'enveloppe décrite 202 inclut un vol entre Nice et Séoul comprenant un segment de Nice Côte d'Azur à Londres Heathrow le 30 juin (6X111 30JUN NCELHR) et un autre segment de Londres Heathrow à Séoul Incheon le 30 juin (6X112 30JUN LHRICN). Par la suite, le PNR est modifié reflétant un changement au segment connectant Nice et Londres. Cela peut être dû un événement tel qu'une annulation du segment ou à un changement volontaire effectué par le passager. Il en résulte un changement de l'état du PNR, de l'état X à l'état X+1. Lorsque ce changement est validé, l'enveloppe 204 est créée et ajoutée au fichier historique 200 pour représenter l'état actualisé X+1 du PNR. Ainsi qu'illustré dans l'enveloppe 204, les codes d'état des segments de vol initial ont été changés de HK à UN pour indiquer que les segments ne sont plus actifs et deux segments de remplacement 6X211 C 30J-UN 1 NCELHR et 6X212 C 30JUN 1 LHRICN ont été ajoutés. 16 [0049] L'enveloppe 206 représente un état actuel du PNR par exemple l'état X+n, où n re- présente un certain nombre d'états du PNR depuis l'état initial X. Dans l'exemple décrit par l'enveloppe 206, le vol comprenant les segments de remplacement 6X211 C 30JUN 1 NCELHR et 6X212 C 30JUN 1 LHRICN ont été supprimés de l'itinéraire de voyage. Ce changement peut refléter une annulation manuelle par un agent de voyage ou peut être dû à des événements survenant qui résultent en réaménagement (c.-à-d. des modifications de l'itinéraire de voyage pour prendre en compte les changements d'horaires). Ainsi le fichier historique peut être configure de sorte qu'il est possible de récupérer l'état du PNR correspondant à une quelconque enveloppe stockée dans l'historique du PNR. [0050] Les hommes de métier comprendront que les enveloppes 202, 204, 206 sont décrites uniquement à titre d'exemple. En particulier, un but de ces exemples est d'illustrer, pour l'homme de métier, comment des modifications validées pour un PNR dans le temps peuvent être enregistrées dans un fichier historique associé dans la base de données de PNR 120. Les modes de réalisation de la présente invention peuvent donc être configurés, par unc programmation spécifique conforme aux procédés décrits ci-dessous, par référence aux Figs. 3 à 5 en particulier, dans le but de sélectionner des enveloppes d'un fichier historique 200, d'extraire et/ou de calculer des caractéristiques de niveau enveloppe et pour agréger et/ou calculer des caractéristiques de niveau PNR, pour usage avec les modèles d'apprentissage automatique configurés pour détecter unc activité frauduleuse perpétuée via le GDS 118. [0051] La Fig. 3 est un organigramme 300 illustrant un procédé de détection d'activité frauduleuse selon un mode de réalisation de l'invention. Les enveloppes de PNR validées 302 sont transmises au fur et à mesure qu'elles sont générées, en temps réel, au système de détection de fraude 102 et elles sont sauvegardées dans un stock de données 304. Dans certains modes de réalisation de l'invention, le stock de données 304 comprend un système de fichiers distribués fournissant un accès extrêmement performant à de larges volumes de données. Par exemple, le stock de données 304 peut comprendre un système de fichiers distribués Hadoo?(HDFS). Dans ces modes de réalisation, le système de détection de fraude 102 comprendra typiquement un ou plusieurs groupements de noeuds de traitement, c.-à-d. que le système 102 représente ainsi juste un noeud d'un tel système distribué. Dans chaque noeud 102, les données correspondant aux enveloppes validées 302 peuvent être stockées dans le stock de données 304 sur un dispositif de stockage physique, p. ex. 106. Les enveloppes de PNR validées 302 sauvegardées dans le stock de données 304 peuvent comprendre des copies supplémentaires, séparées des enveloppes, p. ex. 202, 204, 206, contenues dans les fichiers historiques 200 de la base de données de PNR 120. Dans un mode de réalisation exemplaire, les enveloppes de PNR 17 validées 302 sont stockées dans le stock de données 304 dans des dossiers organisés par année, mois, jour et heure, conformément à l'horaire de validation associé à chaque enveloppe. [0052] À l'étape 306, les séquences d'enveloppes associées à un ou à plusieurs PNRs sé- lectionnés sont récupérées dans le stock de données 304. Chaque PNR peut être identifié en utilisant son identifiant unique associé (Recloc) et la séquence d'enveloppe correspondante comprend alors les enveloppes associées à l'identifiant de PNR, chacune ayant un numéro de séquence unique contextuel. À l'étape 308, les caractéristiques de niveau enveloppe sont extraites de chaque enveloppe. Les caractéristiques de niveau enveloppe sont des valeurs numériques et/ou catégoriques associées aux données stockées dans une seule enveloppe. À l'étape 310, les caractéristiques agrégées de niveau PNR sont déterminées pour chaque PNR. Les caractéristiques de niveau PNR sont des valeurs numériques et/ou catégoriques déterminées sur la hase des caractéristiques de niveau enveloppe extraites de toutes les enveloppes disponibles 302 associées à un PNR. D'autres détails de l'extraction et de la détermination au niveau de l'enveloppe et au niveau du PNR sont fournis dans la discussion ci-dessous faisant référence à la Fig. 4. [0053] À l'étape 312, des procédés d'apprentissage automatique sont employés pour détecter des cas potentiels d'activité frauduleuse connue et/ou inconnue. Les modèles d'apprentissage automatique employés a l'étape de détection de fraude 312 s'exécutent en ligne, en temps réel. La fomiation 314 de ces modèles est réalisée hors connexion, et les données de configuration des modèles formés sont ensuite transférées au système en ligne. D'autres détails du procédé d'apprentissage automatique employé à l'étape 312 sont fournis dans la discussion ci-dessous faisant référence à la Fig 5. [0054] Les résultats du procédé de détection de fraude, p. ex. une classification des activités selon quelles sont ou non potentiellement frauduleuses, est ensuite stockée aux 316 dans une autre base de données 318. La base de données 318 peut être accédée par d'autres processus et systèmes (non illustrés dans le dessin), tels que des générateurs d'alarme et/des applications d'utilisateur final pour faciliter la notification, l'identification, l'investigation et les mesures relatives aux'activités frauduleuses potentielles et aux modes de comportement. [0055] La Fig. 4 est un organigramme 400 illustrant d'autres détails de l'extraction de carac- téristiques aux niveaux enveloppe et PNR conformément à un mode de réalisation de l'invention en développant les étapes 306, 308 et 310 discutées ci-dessus par référence à la Fig. 3. À l'étape 306, une séquence d'enveloppe validée 402 est sélectionnée dans le stock de données 304, p. ex. sur la base d'un identifiant unique de PNR (Recloc). La séquence 402 qui en résulte comprend des enveloppes ayant un identifiant de PNR commun et une série de numéros séquentiels ordonnée qui peut être utilisée pour 18 récupérer les enveloppes dans l'ordre des modifications validées correspondantes. [0056] La boucle comprenant les étapes 404, 406, 408 et 410 implémentent le processus 308 d'extraction de caractéristiques de niveau enveloppe pour le PNR sélectionné. À l'étape 404, la prochaine enveloppe dans la séquence 402 est récupérée. Ensuite, à l'étape 406 les caractéristiques de niveau enveloppe sont extraites de cette enveloppe individuelle. À l'étape 408, les données actuelles relatives à la génération de caractéristiques agrégées de niveau PNR peuvent être mises à jour si nécessaire. Dans le cas de caractéristiques numériques de niveau enveloppe, les caractéristiques agrégées qui peuvent inclure des quantités, telles que la moyenne, la somme, la différence, le maximum et/ou le minimum, et des variables utilisées pour calculer ces quantités telles que des comptes, des totaux cumulatifs, un maximum actuel et/ou un minimum actuel, peuvent être actualisées à l'étape 406. Dans le cas de caractéristiques catégoriques de niveau enveloppe, les caractéristiques agrégées peuvent inclure des listes ou des ensembles de valeurs et les variables contenant les valeurs observées peuvent être actualisées à l'étape 406. Une vérification 408 est ensuite effectuée pour déterminer s'il existe d'autres enveloppes non traitées dans la séquence 402 et, le cas échéant, le contrôle revient à l'étape 404 pour la récupération de l'enveloppe suivante. Sinon, le contrôle passe à étape 310 où les valeurs des caractéristiques agrégées de niveau PNR sont calculées ou finalisées. [0057] Pour faciliter l'explication, la description de l'organigramme 400 ci-dessus concerne le traitement d'une séquence d'enveloppes associées à un seul PNR. Cependant, on comprendra que cette approche peut être adaptée pour le traitement d'enveloppes associées à de multiples PNRs sélectionnés à l'étape 306. Par exemple, des enregistrements de caractéristiques d'enveloppes extraites à l'étape 308 et/ou les données agrégées actuelles générées à l'étape 406, pour une pluralité de PNRs auxquels sont associées différentes enveloppes, peuvent être conservés pour de multiples PNRs. Lors de l'achèvement du traitement de toutes les enveloppes disponibles associées à un des PNRs sélectionné, ainsi que déterminé à l'étape de décision 408, les caractéristiques de niveau PNR associées à ce PNR peuvent être calculées et/ou finalisées à l'étape 310, alors qu'un autre traitement des enveloppes restantes, associées aux autres PNRs sélectionnés via les étapes 404, 308 et 406, continue. [0058] La récupération et le traitement d'une série chronologique d'enveloppes validées en- registrant une séquence de modifications dans un PNR survenant à des points temporels particuliers et l'extraction correspondante des caractéristiques de niveau enveloppe et des caractéristiques agrégées de niveau PNR pour usage dans la détection de fraude via des procédés d'apprentissage automatique exemplifiés par l'algorithme illustré par l'organigramme 400 de la Fig. 4 et décrit ci-dessus, comprennent une contribution technique particulière à l'art. Cet algorithme implémenté dans un mode de 19 réalisation exemplaire via les instructions de programmes 114 s'exécutant sur le système de détection de fraude 102 a été développé et configure spécifiquement pour réaliser l'invention, en fournissant une contribution qui va bien au-delà de l'activité conventionnelle et de la routine bien comprises de l'art de la détection de fraude dans les systèmes de réservation informatique. Les caractéristiques agrégées de niveau PNR capturent des données détaillées relatives à des modes de comportements pendant toute la durée de vie d'un PNR, de la création jusqu'au moment actuel, et fournissent ainsi une source riche en informations résumant l'activité sur une période de temps prolongée. Un mode de réalisation de l'algorithme représenté par l'organigramme 400 représente donc une technologie facilitant l'apport d'améliorations dans la détection de fraude, par exemple lorsqu'elle est couplée à des modèles d'apprentissage automatique en cascade qui vont maintenant être décrits en faisant référence à la Fig. 5. [0059] La Fig. 5 est un organigramme 500 illustrant un procédé d'identification de fraudes connues et inconnues en utilisant des modèles d'apprentissage automatique en cascade selon un mode de réalisation de l'invention. [0060] À l'étape 502, les caractéristiques agrégées de niveau PNR et les identifiants de PNR associés (Recloc) sont reçus. Ces caractéristiques et identifiants sont dérivés en temps réel de l'alimentation d'enveloppes validées 302, via le stock de données 304 et elles comprennent les entrées faites à l'étape de détection d'apprentissage supervisé 504. Lc produit de l'étape d'apprentissage supervisé 504 comprend un label associé à chaque PNR indiquant soit qu'aucune fraude connue n'a été détectée, ou dans le cas d'une détection de fraude, un identifiant associé à une fraude spécifique connue et détectée. [0061] L'étape de détection d'apprentissage supervisé 504 est implémentée via un module d'apprentissage automatique supervisé comprenant le code 114 qui s'exécute sur le serveur de détection de fraude 102 représentant un ensemble d'un ou de plusieurs algorithmes d'apprentissage automatique supervisé formés pour détecter des modes frauduleux spécifiques. La formation est effectuée via un processus hors connexion 506 en utilisant un ensemble de données labellisées 508 comprenant des échantillons de séquences d'enveloppe et/ou de caractéristiques de niveau PNR correspondant à des types spécifiques d'activité frauduleuse précédemment observés et identifiés. [0062] La formation 506 comprend la division de l'ensemble de données 508 en ensembles de formation et de tests. L'ensemble de formation est utilisé pour former un ou plusieurs modèles d'apprentissage automatique supervisé basés sur des algorithmes différents afin de détecter chaque type de fraude connu. Les modes de formation résultants sont testés par rapport à l'ensemble de test et sont comparés sur la base au moins d'une mesure de performance. Dans un mode de réalisation exemplaire, la précision et le rappel sont utilisés comme des mesures de performance. Ces deux pa- ramètres fournissent une évaluation quantitative de la précision de la phase de formation qui est utilisée pour choisir le meilleur algorithme pour chaque type de fraude identifié. [0063] Pour identifier de multiples types de fraude, des modes de réalisation de l'invention utilisent deux approches alternatives. Dans une première approche, un algorithme dédié peut être sélectionné et un modèle peut être formé pour chaque type de fraude. Dans cc cas, la détection de multiples types de fraude peut être effectuée en parallèle. Dans une deuxième approche, un seul algorithme peut être sélectionné et un modèle peut être formé pour de multiples types de fraude, p. ex. en utilisant une stratégie un envers tous. Des modes de réalisation de l'invention peuvent combiner ces deux approches à la fois. [0064] Dans un mode de réalisation particulier employant un groupement de noeuds de calcul (dans lequel chaque noeud peut être similaire au noeud exemplaire 102 décrit précédemment) la structure distribuée de calcul de groupements à usage général Apache Spark est déployée pour implémenter le module d'apprentissage automatique. Un éventail d'algorithmes peut être employé pour les modèles d'apprentissage automatique supervisé en fonction de la performance de formation/test décrite ci-dessus, en incluant des arbres de décisions, des forêts aléatoires, la classification [baht] Bayes, la régression logistique, le voisin le plus proche et des modèles de réseaux neuraux tels que perceptron multicouches. Cette liste n'est pas censée être limitative et d'autres algorithmes d'apprentissage supervisé peuvent être utilisés dans d'autres modes de réalisation de l'invention. [0065] À l'étape de décision 510, si l'étape de détection d'apprentissage supervisé 504 a classé le PNR entré comme étant frauduleux, l'algorithme 500 prend fin avec pour résultat le type de fraude identifié. Sinon l'exécution se poursuit à l'étape 512 de détection d'apprentissage non supervisé. [0066] Les entrées à l'étape 512 de détection d'apprentissage non supervisé comprennent les identifiants (Reclocs) et les caractéristiques agrégées de niveau PNR associées qui n'ont pas été catégorisées comme fraudes connues par le module d'apprentissage automatique à l'étape 504. Ces entrées sont fournies en temps réel, faisant suite à l'étape de décision 510. Le produit comprend un label associé à chaque PNR indiquant soit que l'activité associée semble normale, soit qu'elle représente un cas atypique (ou anormal) indiquant potentiellement un comportement frauduleux. [0067] L'étape d'apprentissage non supervisé 512 est implémentée via un module d'apprentissage automatique non supervisé comprenant le code 114 qui s'exécute sur le serveur de détection de fraude 102, représentant un ensemble d'un ou de plusieurs algorithmes d'apprentissage automatique non supervisé, configurés pour identifier automatiquement les statistiques et les tendances générales et en conséquence pour 21 mettre en évidence les modes anormaux ou atypiques dans les caractéristiques agrégées de niveau PNR. Un cas atypique, dans ce contexte, comprend un échantillon d'entrées qui se distinguent de la majorité des données considérées comme normales' ou non frauduleuses. Le module d'apprentissage non supervisé peut comprendre un ou plusieurs algorithmes. Les produits de multiples algorithmes peuvent être combinés via une moyenne pondérée afin d'affiner la détection de cas atypiques. Dans des modes de réalisation de l'invention, le résultat est une notation représentant un degré de distinction de l'échantillon d'entrée (c.-à-d. atypique ou anormal) par rapport à la masse des échantillons 'normaux'. Un seuil, ou autre critère de décision peut être appliqué à la notation, ou pour attribuer un label ' normal ' ou atypique' . [0068] La configuration 514 du module d'apprentissage non supervisé peut comprendre l'évaluation de la performance d'une pluralité d'algorithmes candidats etiou de paramètres associés en utilisant l'ensemble de données 508 pour identifier ceux qui sont le plus efficaces pour classer correctement des échantillons correspondant aux activités frauduleuses comme étant atypiques (vrais positifs) tout en minimisant les cas de classification erronée d'échantillons normaux comme étant atypiques (faux positifs) et des échantillons frauduleux comme étant normaux (faux négatifs). Dans un mode de réalisation de l'invention, l'algorithme d'apprentissage non supervisé implémenté en utilisant la technologie Apache Spark inclut la détection d'anomalies gaussiennes, le score z et dès modèles de combinaisons gaussiennes. Cette liste n'est pas censée être limitative et d'autres algorithmes d'apprentissage supervisé peuvent être utilisés dans d'autres modes de réalisation de l'invention. [0069] À l'étape de décision 516, si l'étape de détection 504 d'apprentissage non supervisé a identifié le PNR entré comme étant atypique et donc potentiellement frauduleux, l'algorithme produit une indication atypique' et prend fin. Autrement, l'algorithme produit une indication 'normal' (c.-à-d. non frauduleuse) avant de terminer. [0070] Le déploiement de modèles d'apprentissage automatique en cascade (c.-à-d. d'apprentissage supervisé à l'étape 504 et d'apprentissage non supervisé à l'étape 508, exemplifié par l'algorithme illustré par l'organigramme 500 de la Fig. 5 et décrit ci-dessus) comprend une autre contribution technique particulière à l'art. Cet algorithme implémenté dans un mode de réalisation exemplaire via les instructions de programmes 114 s'exécutant sur le système de détection de fraude 102 a été développé et configuré spécifiquement pour que l'invention soit réalisée, en fournissant une contribution qui va bien au-delà de l'activité conventionnelle et de la routine bien comprise de l'art de la détection de fraude dans les systèmes de réservation informatique. Le module d'apprentissage supervisé exemplaire comprenant un ou plusieurs modèles formés à l'étape 516 et exécutés à l'étape 504 est configuré pour apprendre, détecter et classifier des modes frauduleux connus. Le module d'apprentissage non supervisé exemplaire comprenant un plusieurs modèles formés à l'étape 518 et exécutés à l'étape 508 est configure pour identifier des anomalies ou des cas atypiques représentant des modes potentiellement frauduleux inconnus. Des modes de réalisation de l'invention sont donc capables de fournir une flexibilité dans la détection et la prévention à la fois de modes de comportement frauduleux connus et inconnus, précédemment indétectés, dans des systèmes de réservation informatiques, sans nécessiter la création et la maintenance d'ensembles de règles complexes. [0071] Sans limiter la portée de l'invention, un nombre d'éléments de données exemplaires de niveau enveloppe disponibles pour l'extraction de caractéristiques au niveau de l'enveloppe sont définis dans le tableau suivant 1 ainsi que les caractéristiques agrégées associées de niveau PNR qui peuvent être calculées à partir des caractéristiques de niveau enveloppe. Ces caractéristiques ont été conçues par les présents inventeurs pour une utilisation dans un mode de réalisation de l'invention basée sur l'expérience, l'intuition, les essais et l'expérimentation afin d'atteindre une bonne performance dans la détection de fraude automatisée dans un système de réservation de voyage concret. La conception et l'ingénierie des caractéristiques efficaces dans le but de former des modèles d'apprentissage automatique et d'exécuter les modèles formés pour une détection efficace des activités frauduleuses se sont révélées être une contribution substantielle à la performance des modes de réalisation de l'invention pour atteindre l'objectif technique d'une détection de fraude automatisée réussie. Par souci de facilité et de clarté, les données et les caractéristiques correspondantes sont groupées selon un élément de l'enveloppe et du PNR auquel elles sont liées. Les codes d'état et de terminologie concernent en particulier le système GDS Amadeus, cependant on comprendra que des données similaires et/ou équivalentes sont disponibles dans d'autres systèmes de réservation informatique et que les caractéristiques listées dans le tableau 1 peuvent être adaptées en conséquence et ne se limitent pas à un seul système. [0072] 23 [Tableaux[Tableaux 1]] Element Caractéristique-élément de niveau Enveloppe Caractéristiques agrégées de niveau PNR Enveloppe Date et heure de création Temps total écoulé entre la création de la première et de la dernière enveloppe dans l'historique du PNR Addition 'd'élément ES' Nombre total d'éléments ES ajoutés à l'historique du PNR (structure de donnée créée lors de l'attribution de droits au PNR à un autre service) Division du PNR (dans lequel un PNR est divisé, avec des passagers et des éléments liés répartis entre des divisions correspondantes de PNRs et des informations communes copiées à partir de PNRs originaux dans de nouveaux PNRs) Nombre total de divisions dans l'historique du PNR Réplication de PNR (dans lequel un nouveau PNR est créé, Mi- tialement identique au PNR original, pour qu'il soit associé à de nouveaux passagers) Nombre total de réplications dans l'historique du PNR Passager Nombre de passagers dans le PNR Nombre final de passagers à la fin de l'historique du PNR Addition de passager Nombre total d'ajouts dans l'historique du PNR Modification de nom de passager Nombre total de modifications de noms dans l'historique du PNR Suppression de passager Nombre total de suppressions dans l'historique du PNR 24 Point de vente Propriétaire du PNR Propriétaire à la fin de l'historique du PNR Créateur du PNR Créateur à la fin de l'historique du PNR Utilisateur auteur d'une mise à jour Dernier utilisateur auteur d'une mise à jour à la fin de l'historique du PNR Liste des utilisateurs ayant effectué une mise àjour dans l'historique du PNR Heure de la mise àjour Liste d'horodatages de mises à jour dans l'historique du PNR Organisme effectuant la mise à jour Liste des organismes ayant effectué une mise à jour dans l'historique du PNR Segment Nombre de segments dans le PNR Nombre final de segments à la fin de l'historique du PNR (segment de vol uniquement) Ajout de segments Nombre total d'ajouts dans l'historique du PNR Modification de segments Nombre total de modifications dans l'historique du PNR Annulation de segments Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) Temps écoulé entre le départ d'un vol ajouté et l'heure de création d'une enveloppe Temps minimum dans l'historique du PNR Ratio du nombre final de segments par rapport au nombre total d'ajouts (fixé à 1.0 s'il n'y a pas d'ajout). Ratio du nombre total de modifications aux segments « non productifs » par rapport au nombre total d'ajouts (fixé à 0.0 s'il n'y a pas d'ajout) Segments confirmés (segments de vol uniquement, état des segments dans HK, TK, KK, RR) Nombre de segments confirmés dans le PNR Nombre final de segments confirmés à la fin de l'historique du PNR Ajout de segments confirmés Nombre total d'ajouts dans l'historique du PNR Modification de segment confirmé Nombre total de modifications dans l'historique du PNR Annulation de segment confirmé Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) 26 Segments en suspens (segments de vol uniquement, état des segments dans HN, TN, PN) Nombre de segments en suspens dans le PNR Nombre final de segments en suspens à la fin de l'historique du PNR Ajout de segment en suspens Nombre total d'ajouts dans l'historique du PNR Modification de segment en suspens Nombre total de modifications dans l'historique du PNR Annulation de segment en suspens Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) Segments fantômes (segments de vol uniquement, état des segments dans GIC, GN, GL) Nombre total de segments fantômes dans le PNR Nombre final de segments fantômes à la fin de l'historique du PNR Ajout de segment fantôme Nombre total d'ajouts dans l'historique du PNR Modification de segment fantôme Nombre total de modifications dans l'historique du PNR Annulation de segment fantôme Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) Segments en liste d'attente (segments de vol uniquement, état des segments dans HL, TL, UU, US) Nombre total de segments en liste d'attente dans le PNR Nombre final de segments en liste d'attente à la fin de l'historique du PNR Ajout de segment en liste d'attente Nombre total d'ajouts dans l'historique du PNR Modification de segment en liste d'attente Nombre total de modifications dans l'historique du PNR Annulation de segment en liste d'attente Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) 27 Segments passifs (segments de vol uniquement, état des segments dans PK, PL) Nombre de segments passifs dans le PNR Nombre final de segments passifs à la fin de l'historique du PNR Ajout de segments confirmés Nombre total d'ajouts dans l'historique du PNR Modification de segment confirmé Nombre total de modifications dans l'historique du PNR Annulation de segment confirmé Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) Union (c.-à-d. des segments qui sont couplés et vendus ensemble) Nombre de segments unis Nombre final de segments unis à la fin de l'historique du PNR Horaire limite pour l'émission de billet du segment (l'heure d'expiration est fixée lorsqu'un élément facturable est réservé ; la ré- servation est annulée si l'heure limite est atteinte ; l'heure d'expiration peut être réactivée ou annulée) Liste des lDs de compagnies aériennes et valeurs d'expiration Ajout d'une heure limite Nombre total d'ajouts dans l'historique du PNR Modification de l'heure limite Nombre total de modifications dans l'historique du PNR Heure limite d'annulation Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) Nombre maximum de fois où la valeur de l'heure limite d'une compagnie aérienne augmente dans l'historique du PNR Nombre de fois où l'heure limite la plus proche (minimum) augmente Nombre de fois où l'heure limite la plus récente (maximum) augmente 28 Émission de billets de segment Nombre de billets de segments dans le PNR Nombre final de billets de segments à la fin de l'historique du PNR Ajout de billet de segment Nombre total d'ajouts dans l'historique du PNR Modification de billet de segment Nombre total de modifications dans l'historique du PNR Modification d'associations de billets de segment Nombre total de modifications dans l'historique du PNR Annulation de billet de segment Nombre total d'annulations dans l'historique du PNR Ratio du nombre final de billets de segments par rapport au nombre d'ajouts (fixé à 1.0 s'il n'y a pas d'ajouts) Ratio du nombre total d'ajouts par rapport au nombre final de passagers (fixé à 0.0 s'il n'y a pas de passagers) Service (SSR) (services SSR facturables uniquement) Nombre de SSRs dans le PNR Nombre final de SSRs à la fin de l'historique du PNR Ajout de SSR Nombre total d'ajouts dans l'historique du PNR Modification de SSR Nombre total de modifications dans l'historique (lu PNR Annulation de SSR Nombre total d'annulations dans l'historique du PNR Carte de fidélité (loyauté) de Nombre de SSR FQTV dans le PNR Nombre final de SSR FQTV à la fin de l'historique du PNR membres (SSR FQTV) Ajout e SSR FQTV Nombre total d'ajouts dans l'historique du PNR A' t d Suppression de SSR FQTV Nombre total de suppressions dans l'historique du PNR 29 Émission de billet de service Nombre de billets émis pour des services dans le PNR Nombre final de billets émis pour des services à la fin de l'historique du PNR Ajout de billet de service Nombre total d'ajouts dans l'historique du PNR Modification de billets de service Nombre total de modifications dans l'historique du PNR Annulation de billets de service Nombre total d'annulations dans l'historique du PNR Forme de paiement (p. ex. espèce, carte de Nombre de paiements pour chaque forme Nombre(s) final de paiements pour chaque forme à la fin de l'historique du PNR crédit, etc. ,- des comptes sont tenus pour chaque forme de paiement) Ajout de forme de paiement Nombre(s) total d'ajouts dans l'historique du PNR Modification de forme de paiement Nombre(s) total de modifications dans l'historique du PNR Annulation de forme de paiement Nombre(s) d'annulations dans l'historique du PNR Forme de paiement ne né- cessitant pas de vérifications (p. ex. espèces, chèque, Nombre de paiements pour chaque forme Nombre(s) final de paiements pour chaque forme à la fin de l'historique du PNR factures, etc. ; comptes tenus pour chaque forme de paiement) Ajout de forme de paiement Nombre(s) total d'ajouts dans l'historique du PNR Modification de forme de paiement Nombre(s) total de modifications dans l'historique du PNR Annulation de forme de paiement Nombre(s) total d'annulations dans l'historique du PNR Séquence d'actions du PNR Liste des activités, ou chaque activité comprend : un type d'action (p. ex. ajout, annulation, modification...) ; un type d'éléments (p. ex. passagers, segment, billets, services...) et un sous-type optionnel Liste d'activités agrégées, séparées par des actions EOT Autre type de segment de voyage (p. ex. train, hôtel, voiture; comptes tenus pour chaque type de segment) Nombre de segments pour chaque type dans le PNR Nombre(s) final de segments pour chaque type à la fin de l'historique du PNR Ajout de segment Nombre(s) total d'ajouts dans l'historique du PNR Modification de segment Nombre(s) total de modifications dans l'historique du PNR Annulation de segments Nombre total d'annulations dans l'historique du PNR (utilisé uniquement si différent de zéro) [0073] On notera que bien que des modes de réalisation particuliers et des variations de l'invention ont été décrits dans les présentes, d'autres modifications et alternatives seront apparentes aux hommes de métier spécialisés dans les arts pertinents. En particulier, les exemples sont offerts dans le but d'illustrer les principes de l'invention et pour fournir un nombre de procédés et d'arrangements spécifiques pour mettre en oeuvre ces principes. De façon générale, les modes de réalisation de l'invention reposent sur l'apport d'aménagements techniques par lesquels les caractéristiques sont extraites et/ou calculées à partir de séquences historiques d'actions enregistrées en association aux enregistrements de réservations dans un système de réservations informatique (p. ex. les caractéristiques de niveau PNR dérivées des caractéristiques de niveau enveloppe dans un GDS) et employées pour la formation et l'évaluation de modèles d'apprentissage automatique supervisé et non supervisé afin de détecter à la fois des cas de types d'activité frauduleuse connus (c.-à-d. identifiés précédemment) ou des types d'activité frauduleuse inconnus. Les modifications et variations des modes de réalisation de l'invention peuvent donc inclure l'addition et/ou la substitution d'autres caractéristiques, au niveau des actions individuelles ainsi qu'au niveau agrégé et/ou l'utilisation d'algorithmes d'apprentissage automatique supervisé supplémentaires ou alternatifs et d'algorithmes d'apprentissage automatique non supervisé, à ceux qui sont divulgués dans les présentes. [0074] Les résultats des agencements techniques mettant en oeuvre l'invention, c.-à-d. les résultats du processus de détection de fraude, peuvent être utilisés dans un éventail de processus et de systèmes techniques associés tels que la génération d'alarmes automatiques et/ou l'écran d'interface du logiciel d'application, afin de faciliter la notification, l'identification, l'investigation et les mesures prises relatives à des modes de comportements et d'activités frauduleuses potentielles. Cependant, on comprendra par la description précédente que les modes de réalisation de l'invention visent à améliorer 31 la détection automatisée d'activité frauduleuse et non des usages subséquents en aval de l'information qui en résulte et par conséquent que ces applications ne sont pas exhaustives quant à l'usage potentiel de l'invention. [0075] Les modes de réalisation décrits doivent être compris comme étant fournis à titre exemplaire dans le but d'enseigner les caractéristiques et les principes généraux de l'invention, mais ne doivent pas être interprétés comme limitant la portée de l' invention. 32 [Revendication 1] [Revendication 2]