首先，不妨将产品中出现的“非期望行为”定义为“异常行为”。
“异常行为”并不一定是坏事，比如某款面向幼儿教育的app，但是有一群未婚年轻女性在使用，倒不是因为这些用户在学习养育知识，而是因为app中的虚拟产品形象看起来“很治愈”，所以原来定义的以“教育”为核心的产品在这些用户中则是“陪伴”。
把用户的行为分为两个部分——行为+目标，那么用户可以分为如下几类：
- ①
行为正常&目标正常，此乃普通用户； - ②
行为异常&目标正常，这类算是文章开头中提到的情况，有可能非目标人群在使用你的产品，但他们并无恶意，也可能是产品设计的用户操作路径并不那么“顺滑”； - ③
行为正常&目标异常，在产品中的行为和普通用户没有明显差异，但是行为目标是异常的，e.g.金融借贷业务，这里的行为是产品内表现的行为，一个用户进来上传四要素、身份认证、打款，整个流程基本都是正常的，但是借款之后就不见踪影了(这就是目标异常)； - ④
行为异常&目标异常，在产品中会搞“骚操作”，比如爬虫、刷单、黄牛党、羊毛党之类。
因为本文主要关注是产品内的异常行为分析，故第①、③类用户在此处不做讨论。
本文主要讨论第②、④两种情况。
行为异常&目标正常
这种情形下发生的异常或变化通常是产品设计有问题，或者用户需求匹配问题。
单一行为
衡量单一行为问题通常关注行为的质量。
- 单次访问sesession的时长，app打开不到3秒退出，是不是兼容性有问题导致闪退？
- 页面访问深度、页面停留时长，是商品不给力还是内容太垃圾？
- 首页推荐是否有点击行为？推荐给用户的商品、内容是用户不感兴趣的
行为序列
此处主要探讨用户在进行“漏斗式”的行为操作中的异常情况。
假设产品设计的完整的用户使用路径如下：
说明：用户每次访问的session都是要从(A)开始的，(D)是最后一步。
从既定的行为序列来看，可能出现的异常情况如下：
- 中断，(A ightarrow B ightarrow C)
- 回退，(A ightarrow B ightarrow C ightarrow B)
- 重复，(A ightarrow B ightarrow B ightarrow C ightarrow D)
- 插队，(B ightarrow C ightarrow D)
- 跳跃，(A ightarrow C ightarrow D)
最后两种情况一般较少出现，除非产品设计有严重的bug或者这样的路径本身在产品定义中是“合法”的(如果是这种情况，那么在进行漏斗分析的时候要注意)。
行为变化
即不同时间段观测到的行为不一致。
- 对于单一行为而言，可能出现用户行为质量或行为频率的下降(甚至消失)，e.g. 以前每天都逛app，现在半个月访问一次，以前某公众号用户一周发文3篇以上，后来基本不更新了；
- 行为指向物发生变化，e.g. 以前账号主要买男装，后来主要是女装，或者Vlog博主先前主要发美妆类视频，后来变成了美食类；
- 行为间的迁移，指多个并列行为(达到同一目的的不同行为方式)间的转移，e.g. 先前用户偏向于使用微信支付订单，后来是支付宝；
- 行为场景的变化，e.g.先前用户主要在PC端下单，现在主要是在小程序下单；
- 不同行为的分布比例变化；
行为异常&目标异常
行为异常&目标正常上一节中提到的异常行为，也可能出现在行为异常&目标异常的场景下，，这种场景下都是有问题的“用户”跑到app里面(或者网页)来“搞事情”。
用户属性
业务的时空匹配
- 登陆地是否和业务覆盖范围有关，e.g. 主要用户分布在北上广深，但是某天突然从某三线城市增加了大量访问；
- 每天的访问量主要集中在早7点~晚10点，某天突然凌晨的流量激增，或者说平时节假日流量很少，但是某天流量异常增多；
用户属性稳定性
- 收货地址有没有变化，环境设备变化？
- 常用登陆地、登陆设备、常用网络是否变化？
- 常购买的品类或者商品单价范围
人和物的关联映射
- 1对多关系，一张银行卡绑定了多个账户，一设备多账户登陆；
- 多对多关系，多账户交叉绑定多张银行卡，多账户多IP等；
生活基本常识
- 是不是主流网络类型，4Gwifi有线网络
- 手机机型、操作系统、浏览器版本、设备、app版本等是不是太久远
个性化配置
有没有进行个性化设置，比如：
- 绑定手机、邮箱
- 修改昵称、密码、头像、签名等；
行为模式
表现突出
通常表现为“行为效率太高”或者“用力过猛”。
e.g.问卷施测的时候，有的被试用时短的不可思议；
e.g.某账户1秒钟访问一个页面，连续访问了100个页面，大概率是爬虫；
规律性强
规律性的背后是“低成本”，尽快搞定，怎么省时间省力气怎么来。
e.g. 刷单留言的规律性，刷的好评大部分文字或者完全重复——这就是很多人会先看差评的原因，而且很多时候好评不说话，差评就是一大堆。
e.g. 有的被试参加调研，选项很多是AAAAA,CCCCC,DDDDD这种；
随机性强
一般行为中随机性太强的时候，就会出现前后不一致的现象。
还是拿问卷调研的情形来举例，有的人就是想乱答题，这样除了问卷答题时间短、可能出现规律性选项外，还会在“侦测题目”中前后回答不一致
另一方面，正常用户都会有行为偏好的，比如会对某个栏目或主题的内容感兴趣，或者对某个行业或职位感兴趣，如果这个“用户”看起来没有明显的偏好还“涉猎广泛”，很可疑呢。
功利性强
用户要么是为钱而来，要么是为了找有价值的信息。
e.g. 用户的优惠订单数比例、优惠金额比例等很高；
e.g. 购买的品类是性价高(价格可能低于其他平台)且容易转手的非个性化商品(没有尺码、颜色、风格等因素)；
e.g. 访问最多的页面是优惠活动页；
不管是爬虫、刷单，还是黄牛什么的，因为背后都是人在操作，不管最终登陆账户的是真人还是程序，都会表现出很强的目的性。
所以通常这类操作都是“不绕弯，不做多余的事，做完就走”，e.g.薅羊毛的时候可能连基本的搜索或浏览等常规的前置操作都没有；
一方面可以从访问的页面特征上检查：
- 从哪个页面着陆(session的第一个页面)，从哪个页面退出；
- 访问页面的热度是否和站内热度能匹配上，也就是说哪些受欢迎的页面在不同人群中都是很受欢迎的，访问的时候页面占比会更高或者停留时间更长
- 是否到达关键页面，有没有发生关键行为，比如付费、互动等
- 页面访问顺序
在页面相关的一些指标上也能体现出来：
- 页面跳出率
- 平均访问深度
- 平均访问时长
- 活跃度、访问间隔异常，平时几个月不来，来的时候就抽风
- 单页面访问次数，通常来说一个用户不大会重复访问同一页面，首页、详情页之类
OK，本文到此结束，文章仅做抛砖引玉之用，欢迎留言交流。