定义：

首先，我们定义一下定向抓取，定向抓取是一种特定的抓取需求，目标站点是已知的，站点的页面是已知的。本文的介绍里面，主要是侧重于如何快速构建一个实时的抓取系统，并不包含通用意义上的比如链接分析，站点发现等等特性。

在本文提到的实例系统里面，主要用到linux+mysql+redis+django+scrapy+webkit，其中scrapy+webkit作为抓取端，redis作为链接库存储，mysql作为网页信息存储，django作为爬虫管理界面，快速实现分布式抓取系统的原型。

名词解析：

1.  抓取环：抓取环指的是spider在存储中获取url，从互联网上下载网页，然后将网页存储到数据库里面，最后在从存储里面获取下一个URL的一个流程。
2.  Linkbase：链接库的存储模块，包含一般的链接信息；是抓取系统的核心，使用redis存储。
3.  XPATH：一门在 XML 文档中查找信息的语言，XPath 可用来在 XML 文档中对元素和属性进行遍历， 是 W3C XSLT 标准的主要元素。使用XPATH以及相关工具lib进行链接抽取和信息抽取。
4.  XPathOnClick：一个chrome的插件，支持点击页面元素，获取XPATH路径，用于编辑配置模板。
5.  Redis：一个开源的KV的内存数据库，具备很好的数据结构的特征和很高的存取性能。用于存储linkbase信息
6.  Django：爬虫管理工具，用于模板配置，系统监控反馈。Django在这里主要是用来管理一个数据库，使用Admin功能。
7.   Pagebase：页面库，主要是存储网页抓取的结果，以及页面抽取的结果，和dump交互，使用mysql实现。
8.    Scrapy：一个开源的机遇twisted框架的python的单机爬虫，该爬虫实际上包含大多数网页抓取的工具包，用于爬虫下载端以及抽取端。
9.     列表页：指的商品页面之外的所有页面
10.    详情页：比如商品B2C的抓取中，特指商品页面，比如：http://item.tmall.com/item.htm?id=10321272374

系统架构

一：存储 redis+mysql

链接库（linkbase）是抓取系统的核心，基于性能和效率的考虑，本文采用基于内存的redis和磁盘的mysql为主，对于linkbase主要是存储抓取必须的链接信息，比如url，anchor，等等；对于mysql，则是存放抓取的网页，便于后续的抽取和处理。

a)      PageBase：使用Mysql分库分表，存放网页，如下图：

b)     Linkbase     使用Redis集群，存储linkbase信息。

几个基本的数据结构：
1：抓取队列 (candidate list)
分为待抓取的url队列和更新的url队列；队列存放urlhash，使用redis的list数据结构，对于新提取的url，push到对应的列表里面，对于spider抓取模块，从list pop得到。对于一个站点而言，抓取队列有两种类型：列表页抓取队列和详情页抓取队列。
2：链接库 (linkbase)
链接库实际上是存储链接信息的DB；Key是urlhash，Value是linkinfo，包含url，purl，anchor，xpath。。。；在redis使用hash存储，直接存放在redis的里面。KV链接库，不区分页面类型。
3：已抓取集合（crawled_set）
已抓取集合指的是当前已经下载的页面的urlhash，存放已经抓取的网页，使用redis的set实现，set的key是urlhash，score是时间戳，已抓取集合主要是用来记录哪一些页面已经抓取和抓取的时间，用于后续的更新页面调度以及抓取信息的统计。同抓取队列一样，每一个站点有两种类型的已抓取集合，详情页和列表页

二：调度模块：

调度模块是抓取系统的关键，调度系统的好坏决定了抓取系统的效率；这块是主要是在redis linkbase之上的数据结构，主要有抓取队列、抓取集合、抓取优先级等等数据结构组成；对于一个抓取循环来说：获取URL，提交到抓取模块的待抓取队列，启动抓取，抓取完成之后对新链接进行抽取，最后进入等待抓取的队列里面。

调度系统的基本配置：
a)     频率（间隔多少秒）
b)     各个抓取列表的选取比例：get_detail，mod_detail，get_list，mod_list
链接抽取：抽取页面的链接，进行除重，对于新的链接，插入到待抓取列表里
内容抽取：按照模块的配置XPATH，抽取页面信息，并写入到pagebase中。
离线调度：按照更新的比例，从crawled_set里面，定期选取url进入Mod队列里面进行刷新。

三：抓取模块：

抓取模块是抓取的必要条件，抓取模块来说，重要的是应付互联网上各式的问题，以及如何实现对对方站点的ip平衡，当然，这块是和调度系统的紧密结合的，对于抓取模块而言，本文主要使用scrapy工具包里面的下载模块。

首先，抓取模块从linkbase获取对应站点的抓取url，进行页面下载，然后将页面信息写回到pipeline中，并完成链接抽取和页面抽取，同时调用调度模块，插入到linkbase和pagebase中。
下载端设计：
IP：每台机器需要配置多个物理公网IP，下载的时候，随机选择一个IP下载
抓取频度调整：读取配置文件，按照配置文件的抓取频率进行选取url

四：配置界面：

配置界面主要是对抓取系统的管理和配置，包括：站点feed、页面模块抽取、报表系统的反馈等等。

类似于通用的抓取架构，本文提到的抓取系统架构如下图：

一个完整的抓取数据流：

1：用户提供种子URL

2：种子URL进入linkbase中新URL队列中

3：调度模块选取url进入到抓取模块的待抓取队列中

4：抓取模块读取站点的配置文件，按照执行的频率进行抓取

5：抓取的结果返回到pipeline接口中，并完成连接的抽取

6：新发现的连接在linkbase里面进行dedup，并push到linkbase的新URL模块里面

7：调度模块选取url进入抓取模块的待抓取队列，goto 4

8：end

系统扩展

本文提到的抓取系统，核心是调度和存储模块；其中，抓取，存储，调度都是通过数据进行交互的，因此，模块之间可以任意平行扩展，对于系统规模来说，只需要平行扩展mysql和redis存储服务集群以及抓取集群即可。当然，简单的扩展会带来一些问题：比如垃圾列表页的泛滥，链接库的膨胀等等问题，这些问题后续在讨论吧。

转自：http://www.searchtb.com/2011/07/%E5%BF%AB%E9%80%9F%E6%9E%84%E5%BB%BA%E5%AE%9E%E6%97%B6%E6%8A%93%E5%8F%96%E9%9B%86%E7%BE%A4.html

大数据量的问题是很多面试笔试中经常出现的问题，比如 google、淘宝、百度、 腾讯 这样的一些涉及到海量数据的公司经常会问到。

下面的方法是我对海量数据的处理方法进行了一个一般性的总结，当然这些方法可能并不能完全覆盖所有的问题，但是这样的一些方法也基本可以处理绝大多数遇到的问题。下面的一些问题基本直接来源于公司的面试笔试题目，方法不一定最优，如果你有更好的处理方法，欢迎与我讨论。

1.Bloom filter

适用范围：可以用来实现数据字典，进行数据的判重，或者集合求交集

基本原理及要点：
对于原理来说很简单，位数组+k个独立hash函数。将hash函数对应的值的位数组置1，查找时如果发现所有hash函数对应位都是1说明存在，很明显这个过程并不保证查找的结果是100%正确的。同时也不支持删除一个已经插入的关键字，因为该关键字对应的位会牵动到其他的关键字。所以一个简单的改进就是 counting Bloom filter，用一个counter数组代替位数组，就可以支持删除了。

还有一个比较重要的问题，如何根据输入元素个数n，确定位数组m的大小及hash函数个数。当hash函数个数k=(ln2)*(m/n)时错误率最小。在错误率不大于E的情况下，m至少要等于n*lg(1/E)才能表示任意n个元素的集合。但m还应该更大些，因为还要保证bit数组里至少一半为0，则m应该>=nlg(1/E)*lge 大概就是nlg(1/E)1.44倍(lg表示以2为底的对数)。

举个例子我们假设错误率为0.01，则此时m应大概是n的13倍。这样k大概是8个。

注意这里m与n的单位不同，m是bit为单位，而n则是以元素个数为单位(准确的说是不同元素的个数)。通常单个元素的长度都是有很多bit的。所以使用bloom filter内存上通常都是节省的。

扩展：
Bloom filter将集合中的元素映射到位数组中，用k（k为哈希函数个数）个映射位是否全1表示元素在不在这个集合中。Counting bloom filter（CBF）将位数组中的每一位扩展为一个counter，从而支持了元素的删除操作。Spectral Bloom Filter（SBF）将其与集合元素的出现次数关联。SBF采用counter中的最小值来近似表示元素的出现频率。

问题实例：给你A,B两个文件，各存放50亿条URL，每条URL占用64字节，内存限制是4G，让你找出A,B文件共同的URL。如果是三个乃至n个文件呢？

根据这个问题我们来计算下内存的占用，4G=2^32大概是40亿*8大概是340亿，n=50亿，如果按出错率0.01算需要的大概是650亿个bit。现在可用的是340亿，相差并不多，这样可能会使出错率上升些。另外如果这些urlip是一一对应的，就可以转换成ip，则大大简单了。

2.Hashing

适用范围：快速查找，删除的基本数据结构，通常需要总数据量可以放入内存

基本原理及要点：
hash函数选择，针对字符串，整数，排列，具体相应的hash方法。
碰撞处理，一种是open hashing，也称为拉链法；另一种就是closed hashing，也称开地址法，opened addressing。

扩展：
d-left hashing中的d是多个的意思，我们先简化这个问题，看一看2-left hashing。2-left hashing指的是将一个哈希表分成长度相等的两半，分别叫做T1和T2，给T1和T2分别配备一个哈希函数，h1和h2。在存储一个新的key时，同时用两个哈希函数进行计算，得出两个地址h1[key]和h2[key]。这时需要检查T1中的h1[key]位置和T2中的h2[key]位置，哪一个位置已经存储的（有碰撞的）key比较多，然后将新key存储在负载少的位置。如果两边一样多，比如两个位置都为空或者都存储了一个key，就把新key 存储在左边的T1子表中，2-left也由此而来。在查找一个key时，必须进行两次hash，同时查找两个位置。

问题实例：
1).海量日志数据，提取出某日访问百度次数最多的那个IP。

IP的数目还是有限的，最多2^32个，所以可以考虑使用hash将ip直接存入内存，然后进行统计。

3.bit-map

适用范围：可进行数据的快速查找，判重，删除，一般来说数据范围是int的10倍以下

基本原理及要点：使用bit数组来表示某些元素是否存在，比如8位电话号码

扩展：bloom filter可以看做是对bit-map的扩展

问题实例：

1)已知某个文件内包含一些电话号码，每个号码为8位数字，统计不同号码的个数。

8位最多99 999 999，大概需要99m个bit，大概10几m字节的内存即可。

2)2.5亿个整数中找出不重复的整数的个数，内存空间不足以容纳这2.5亿个整数。

将bit-map扩展一下，用2bit表示一个数即可，0表示未出现，1表示出现一次，2表示出现2次及以上。或者我们不用2bit来进行表示，我们用两个bit-map即可模拟实现这个2bit-map。

4.堆

适用范围：海量数据前n大，并且n比较小，堆可以放入内存

基本原理及要点：最大堆求前n小，最小堆求前n大。方法，比如求前n小，我们比较当前元素与最大堆里的最大元素，如果它小于最大元素，则应该替换那个最大元素。这样最后得到的n个元素就是最小的n个。适合大数据量，求前n小，n的大小比较小的情况，这样可以扫描一遍即可得到所有的前n元素，效率很高。

扩展：双堆，一个最大堆与一个最小堆结合，可以用来维护中位数。

问题实例：
1)100w个数中找最大的前100个数。

用一个100个元素大小的最小堆即可。

5.双层桶划分 —-其实本质上就是【分而治之】的思想，重在“分”的技巧上！

适用范围：第k大，中位数，不重复或重复的数字

基本原理及要点：因为元素范围很大，不能利用直接寻址表，所以通过多次划分，逐步确定范围，然后最后在一个可以接受的范围内进行。可以通过多次缩小，双层只是一个例子。

扩展：

问题实例：
1).2.5亿个整数中找出不重复的整数的个数，内存空间不足以容纳这2.5亿个整数。

有点像鸽巢原理，整数个数为2^32,也就是，我们可以将这2^32个数，划分为2^8个区域(比如用单个文件代表一个区域)，然后将数据分离到不同的区域，然后不同的区域在利用bitmap就可以直接解决了。也就是说只要有足够的磁盘空间，就可以很方便的解决。

2).5亿个int找它们的中位数。

这个例子比上面那个更明显。首先我们将int划分为2^16个区域，然后读取数据统计落到各个区域里的数的个数，之后我们根据统计结果就可以判断中位数落到那个区域，同时知道这个区域中的第几大数刚好是中位数。然后第二次扫描我们只统计落在这个区域中的那些数就可以了。

实际上，如果不是int是int64，我们可以经过3次这样的划分即可降低到可以接受的程度。即可以先将int64分成2^24个区域，然后确定区域的第几大数，在将该区域分成2^20个子区域，然后确定是子区域的第几大数，然后子区域里的数的个数只有2^20，就可以直接利用direct addr table进行统计了。

6.数据库索引

适用范围：大数据量的增删改查

基本原理及要点：利用数据的设计实现方法，对海量数据的增删改查进行处理。
扩展：
问题实例：

7.倒排索引(Inverted index)

适用范围：搜索引擎，关键字查询

基本原理及要点：为何叫倒排索引？一种索引方法，被用来存储在全文搜索下某个单词在一个文档或者一组文档中的存储位置的映射。

以英文为例，下面是要被索引的文本：
T0 = “it is what it is”
T1 = “what is it”
T2 = “it is a banana”
我们就能得到下面的反向文件索引：
“a”:      {2}
“banana”: {2}
“is”:     {0, 1, 2}
“it”:     {0, 1, 2}
“what”:   {0, 1}
检索的条件”what”, “is” 和 “it” 将对应集合的交集。

正向索引开发出来用来存储每个文档的单词的列表。正向索引的查询往往满足每个文档有序频繁的全文查询和每个单词在校验文档中的验证这样的查询。在正向索引中，文档占据了中心的位置，每个文档指向了一个它所包含的索引项的序列。也就是说文档指向了它包含的那些单词，而反向索引则是单词指向了包含它的文档，很容易看到这个反向的关系。

扩展：

问题实例：文档检索系统，查询那些文件包含了某单词，比如常见的学术论文的关键字搜索。

8.外排序

适用范围：大数据的排序，去重

基本原理及要点：外排序的归并方法，置换选择 败者树原理，最优归并树

扩展：

问题实例：
1).有一个1G大小的一个文件，里面每一行是一个词，词的大小不超过16个字节，内存限制大小是1M。返回频数最高的100个词。

这个数据具有很明显的特点，词的大小为16个字节，但是内存只有1m做hash有些不够，所以可以用来排序。内存可以当输入缓冲区使用。

9.trie树

适用范围：数据量大，重复多，但是数据种类小可以放入内存

基本原理及要点：实现方式，节点孩子的表示方式

扩展：压缩实现。

问题实例：
1).有10个文件，每个文件1G， 每个文件的每一行都存放的是用户的query，每个文件的query都可能重复。要你按照query的频度排序 。

2).1000万字符串，其中有些是相同的(重复),需要把重复的全部去掉，保留没有重复的字符串。请问怎么设计和实现？

3).寻找热门查询：查询串的重复度比较高，虽然总数是1千万，但如果除去重复后，不超过3百万个，每个不超过255字节。

10.分布式处理 mapreduce

适用范围：数据量大，但是数据种类小可以放入内存

基本原理及要点：将数据交给不同的机器去处理，数据划分，结果归约。

扩展：

问题实例：

1).The canonical example application of MapReduce is a process to count the appearances of

each different word in a set of documents:
void map(String name, String document):
// name: document name
// document: document contents
for each word w in document:
EmitIntermediate(w, 1);

void reduce(String word, Iterator partialCounts):
// key: a word
// values: a list of aggregated partial counts
int result = 0;
for each v in partialCounts:
result += ParseInt(v);
Emit(result);
Here, each document is split in words, and each word is counted initially with a “1″ value by

the Map function, using the word as the result key. The framework puts together all the pairs

with the same key and feeds them to the same call to Reduce, thus this function just needs to

sum all of its input values to find the total appearances of that word.

2).海量数据分布在100台电脑中，想个办法高效统计出这批数据的TOP10。

3).一共有N个机器，每个机器上有N个数。每个机器最多存O(N)个数并对它们操作。如何找到N^2个数的中数(median)？

经典问题分析

上千万or亿数据（有重复），统计其中出现次数最多的前N个数据,分两种情况：可一次读入内存，不可一次读入。

可用思路：trie树+堆，数据库索引，划分子集分别统计，hash，分布式计算，近似统计，外排序

所谓的是否能一次读入内存，实际上应该指去除重复后的数据量。如果去重后数据可以放入内存，我们可以为数据建立字典，比如通过 map，hashmap，trie，然后直接进行统计即可。当然在更新每条数据的出现次数的时候，我们可以利用一个堆来维护出现次数最多的前N个数据，当然这样导致维护次数增加，不如完全统计后在求前N大效率高。

如果数据无法放入内存。一方面我们可以考虑上面的字典方法能否被改进以适应这种情形，可以做的改变就是将字典存放到硬盘上，而不是内存，这可以参考数据库的存储方法。

当然还有更好的方法，就是可以采用分布式计算，基本上就是map-reduce过程，首先可以根据数据值或者把数据hash(md5)后的值，将数据按照范围划分到不同的机子，最好可以让数据划分后可以一次读入内存，这样不同的机子负责处理各种的数值范围，实际上就是map。得到结果后，各个机子只需拿出各自的出现次数最多的前N个数据，然后汇总，选出所有的数据中出现次数最多的前N个数据，这实际上就是reduce过程。

实际上可能想直接将数据均分到不同的机子上进行处理，这样是无法得到正确的解的。因为一个数据可能被均分到不同的机子上，而另一个则可能完全聚集到一个机子上，同时还可能存在具有相同数目的数据。比如我们要找出现次数最多的前100个，我们将1000万的数据分布到10台机器上，找到每台出现次数最多的前 100个，归并之后这样不能保证找到真正的第100个，因为比如出现次数最多的第100个可能有1万个，但是它被分到了10台机子，这样在每台上只有1千个，假设这些机子排名在1000个之前的那些都是单独分布在一台机子上的，比如有1001个，这样本来具有1万个的这个就会被淘汰，即使我们让每台机子选出出现次数最多的1000个再归并，仍然会出错，因为可能存在大量个数为1001个的发生聚集。因此不能将数据随便均分到不同机子上，而是要根据hash 后的值将它们映射到不同的机子上处理，让不同的机器处理一个数值范围。

而外排序的方法会消耗大量的IO，效率不会很高。而上面的分布式方法，也可以用于单机版本，也就是将总的数据根据值的范围，划分成多个不同的子文件，然后逐个处理。处理完毕之后再对这些单词的及其出现频率进行一个归并。实际上就可以利用一个外排序的归并过程。

另外还可以考虑近似计算，也就是我们可以通过结合自然语言属性，只将那些真正实际中出现最多的那些词作为一个字典，使得这个规模可以放入内存。

转载请注明出处：http://bbs.xjtu.edu.cn
作者phylips@bmy

参考文献：
http://blog.csdn.net/jiaomeng/archive/2007/03/08/1523940.aspx       d-Left Hashing

http://blog.csdn.net/jiaomeng/archive/2007/01/27/1495500.aspx

http://en.wikipedia.org/wiki/Bloom_filter

http://hi.baidu.com/xdzhang_china/blog/item/2847777e83fb020229388a15.html 应用Bloom Filter的几个小技巧

http://zh.wikipedia.org/wiki/%E5%80%92%E6%8E%92%E7%B4%A2%E5%BC%95

转自：yiihsia[互联网后端技术]

随着电子商务的快速发展，淘宝的规模也逐渐壮大，淘宝在业界的影响力也越来越大。目前，淘宝网的日独立访问数已逾4000万，而注册的用户数现在已经达 到1.63亿，中国网民也就3.3亿，在所有的中国网民中，几乎有一半都是淘宝的用户。现在每天独立访问淘宝的用户数，已达到2000+w，可以说，中国 互联网网民，每天近9%左右的人会上淘宝，而他们上淘宝的目的也很明确，就是消费。这个规模，这个市场，这样优质的消费流量，同样也受到很多“不法分子” 的觊觎和青睐。

“不法分子”们在淘宝上也看到强大的商机，那就是垃圾账号的注册器的研发。随着每天用户注册数的剧增，每天的垃圾小号也在不断飙升，所谓垃圾小号，是指 不符常理的，都是乱七八糟的中文会员、英文会员、数字组合会员和邮箱前缀，其中重点高危的邮箱有：@tom、@126、@hao240、 @yahoo.cn、@sogou、@不知名的但大量注册的邮箱、也包括大量注册不符常理的知名邮箱，或者是存在关联的中文或英文会员，如金鼠报春01、 金鼠报春02…… ;a789887865、a786645565……，这些垃圾小号一般通过注册机自动或半自动完成用户的注册和激活，他们通常的在淘宝上的活动就是用小号 发布旺旺垃圾消息，在淘宝邮箱发送垃圾邮件，或用小号进行信誉炒作，严重影响淘宝上的用户体验和交易安全。而现在每天的注册量中，垃圾小号基本过半，在这 样的数量级上，通过人工审核和排查机制来降低垃圾小号数量已是浮云了。

于是查杀垃圾小号的需求也就应运而生。

查杀垃圾小号其实与垃圾邮件的查杀原理一致，只是垃圾邮件包含的信息比垃圾小号更加丰富一些。其基本原理是相通的，换汤不换药。在所有反垃圾邮件的技术 中，最简单、有效而且在实际应用中较成功的分类器就属贝叶斯了，根据2003年5月BBC专题报道称，贝叶斯应用在垃圾邮件的识别上，其识别率可以达到 99.7％的，同时误判率极低。是目前最有效的反垃圾邮件技术。

下面花小点时间介绍下贝叶斯相关的基础知识，Thomas Bayes, 托马斯·贝叶斯是一位英国牧师数学家，他发表了贝叶斯统计理论，即根据已经发生的事件来预测事件发生的可能性，贝叶斯理论假设：如果事件的 结果不确定，那么量化它的唯一方法就是事件的发生概率。如果过去试验中事件的出现率已知，那么根据数学的方法可以计算出未来试验中事件出现的概率。贝叶斯 定理可以用一个数学公式表达，那就是贝叶斯公式。说起贝叶斯公式，大家可能都不会很陌生，大学的必修课，概率论与数理统计这门课程，没记错的话，教材的第 一章讲述的是随机事件及其概率，其中在介绍条件概率时，就有详细介绍贝叶斯公式和全概率公式。

贝叶斯决策理论方法是统计模型决策中的一个基本方法，其基本思想是：

1、已知类条件概率密度参数表达式和先验概率。

2、利用贝叶斯公式转换成后验概率。

3、根据后验概率大小进行决策分类。

他对统计推理的主要贡献是使用了”逆概率”这个概念，并把它作为一种普遍的推理方法提出来。假定B1,B2,……是某个过程的若干可能的前提，则 P(Bi)是人们事先对各前提条件出现可能性大小的估计，称之为先验概率。如果这个过程得到了一个结果A，那么贝叶斯公式提供了我们根据A的出现而对前提 条件做出新评价的方法。P(Bi∣A)既是对以A为前提下Bi的出现概率的重新认识，称 P(Bi∣A)为后验概率。

朴素贝叶斯（Naïve Bayes）是以贝叶斯定理为理论基础的一种在已知先验概率与条件概率的情况下得到后验概率的模式识别方法，用这种方法可以确定一个给定样本属于一个特定类的概率。应用朴素贝叶斯分类器时，训练时，对于n个类别，计算每个特征在类别的先验概率。测试时，对于一个由m个特征组合成特征向量，使后验概率最大的类作为分类结果。

朴素贝叶斯分类是基于特征之间的独立性假设的基础上的，即给定一个实例的类标签，实例中每个属性的出现独立于实例中其它属性的出现，也就是说特征之间是 相互独立的。尽管这种假设在一定程度上限制了朴素贝叶斯模型的适用范围，然而从目前的许多研究看，即使在违背这种假设的条件下，朴素贝叶斯分类方法也能得 到很好的效果。由于后验概率是文档在某一个类别上的概率，因此可以设定当后验概率满足某一阈值就划分为该类，这样就满足了多类标注的要求。

再回到淘宝查杀垃圾小号上来，其实查杀垃圾小号是一件具有相当难度的事情，垃圾小号每天都在增加和变化。而且现在的垃圾小号注册器变得更加狡猾，之前采用 静态查杀垃圾小号技术也很难防范。注册器的研发者们只要简单的研究一下现在采用了哪些静态查杀小号规则，然后相应的改变一下注册内容，就可以逃避查杀了。 因此，必须采用一种新的方法来克服静态查杀的弱点，于是我们选用了贝叶斯过滤技术。将贝叶斯理论（即根据已经发生的事件可以预测未来事件发生的可能性）运 用到查杀垃圾小号上：若已知某些字词的组合，注册行为，或邮件后缀等等，经常出现在垃圾小号的行为中，却很少出现在正常用户的行为中，那么若一个会员符合 这个特征时，那么他是垃圾小号的可能性就很大。

所以基于这个理论，首先，把注册用户分成2个类别：垃圾小号和正常用户。

其次，利用注册信息将用户映射到上面两个类别。

再次，分析用户的活动和行为，分别映射到两个类别；

最后，用naïve Bayes模型进行分类。

如从以下几个字段提取信息：

昵称           e-mail             ip        注册时段    xxx

98524w7gz8b3  xiacharu@163.com 123.8.220.253     14    ……

从上述几个简单的字段信息，便可抽取到10几个静态的特征如：昵称的长度，nick中英文字母数，汉字的个数，数字的个数，nick中文字的 bigram，注册的时段，email前缀的长度，email中name英文个数，汉字个数，数字个数，以及文字的 bigram，email后缀是否为 常用的垃圾邮箱后缀等等特征，简写如下：

f1.   nick-name长度，

f2.  nick-name中汉字个数，

f3.  nick-name英文字母个数，

f4.  nick-name标点字符个数，

f5.   nick-name数字个数，

f6.   e-mail中所含id长度，

f7.   email的服务商(yahoo.cn, 163.com…..),

f8.   email-id 中汉字个数，

f9.   email-id 英文字母个数，

f10.  email-id 标点字符个数，

f11.  email-id 数字个数，

f12.  注册时段

f13.   Nick-name中文字的bigram, eg. piaoxue -> bigrams.  pi, ia,ao,ox,xu,ue

f14.  Email-id的bigram                   eg. piaoxue@taobao.com, email-id   piaoxue -> bigrams.  pi, ia,ao,ox,xu,ue

通过选取正样本（正常用户，淘宝上正常的活动用户）和负样本（垃圾小号，Alisoft通过事后行为，即已经发生垃圾旺旺消息发送被查杀的垃圾账号）， 把样本的信息转换到一组一组的feature list上。 贝叶斯的分类器就会统计出每个feature在垃圾小号中出现的概率以及在正常用户中出现的概率，然后根据公式计算出当会员的特征包含某些 feature时则为垃圾小号的概率。

例如：

121686195  hfdz3wm   f3qi8a3@163.com 124.229.24.4    12 ……

其feature list为：

nick-name长度： uid_7

nick-name中Bigrams:  hf fd dz z3 3w wm

email-id长度： email_7

email中bigrams:  f3 3q qi i8 8a a3

email服务商：163.com

ip：124.22.9.24

注册时段：hour_12

nick-name汉字个数：unc_0

nick-name英文字母个数：une_6

nick-name数字个数：und_1

nick-name字符标点个数： unnt_0

email汉字 个数：unc_0

email英文字母个数：une_4

email数字个数：und_3

email字符标点个数： unnt_0

根据训练集上数据，统计各个特征在正常用户和非正常用户概率(eg.  wm在正常账号数据出现2次，在垃圾小号数据出现8次，则p(wm)是正常账号概率为0.2,垃圾小号0.8.)，  然后计算上述特征在正常用户联合概率 和垃圾小号的联合概率。

在正常账号的联合概率：P(f1)*P(f2)……*P(f14)……*P(fn)

和垃圾小号上面联合概率：P(f1)*P(f2)……*P(f14) ……*P(fn)

联合概率取对数 ，在正常用户类别      -181.639

联合概率取对数，在垃圾小号类别       -177.095

故其被判断为垃圾小号 。

使用贝叶斯过滤的优点在于：

1、 贝叶斯过滤技术基于样本的内容进行分析，不仅仅是其中的某些关键词；

2、 贝叶斯过滤技术具备自适应功能――通过学习新的垃圾小号及正常用户样本，贝叶斯将能查杀最新的垃圾小号；

3、 贝叶斯过滤技术支持多语种或者说与编码无关。对于贝叶斯而言，他分析的是字串，无论他是字、词、符号、还是别的什么，当然更与语言无关。

如何才能训练出一个好的贝叶斯分类器呢？贝叶斯的样本数并不是越多越好，但一般需要超过一定的数量才能工作，只有达到一定的量级才具有一定的统计意义。要训练出一个比较好的贝叶斯，有如下建议：

1、  不要过多的重复某种分类或某一类特征，以免概率失真（失衡），最好是分批分时间多次进行，这样样本分布广泛和均匀。

2、  对会员的类别归类一定要认真，不能让分类器学习到错误的知识。

3、  如果存在有垃圾小号，但是跟正常会员很接近，最好不要分类。

4、在追求precision的应用需求上，应采用不同的决策规则。