2. 图与图谱基础
在反欺诈领域，数据天然具有“关联”属性：一个手机号可能绑定多个账户，一个设备可能被多个身份共用，一笔资金会沿着多层账户流转。把这些对象和它们之间的联系抽象成图，才能让后续的子图特征提取与风险传播算法有统一的表达基础。本节从图的基本概念出发，逐步过渡到属性图模型、同构图与异构图的区别，最后落到反欺诈场景中的实体与关系建模方法。
一、核心原理：图的基本概念
图由顶点（Vertex/Node）和边（Edge）构成，记作 G = (V, E)。顶点表示实体，边表示实体之间的关联。与表格数据相比，图结构最本质的差异在于：它显式保留了“谁和谁有关系”这一信息，而关系本身往往就是欺诈识别的关键证据。
- 有向图与无向图：转账、调用、登录等行为具有方向性，适合用有向图；而“共用设备”“同属一个家庭”等对称关系可用无向图。
- 加权图：边可携带权重，如转账金额、通话次数、共现频次，用于衡量关系强度。
- 度（Degree）：顶点连接的边数。在反欺诈中，异常高的度常对应“中介账户”或“养号设备”。
- 路径与连通分量：路径刻画风险传播链路，连通分量则帮助识别孤立团伙与整体社区结构。
- 邻居与k跳子图：以目标节点为中心，向外扩展k跳得到的子图，是子图特征工程的基本操作单元。
二、属性图模型：把特征挂到点和边上
现实中的图不仅要表达“连接关系”，还要表达“对象属性”。属性图模型（Property Graph Model）允许顶点和边都携带键值对属性，是工业界最常用的图数据模型。其典型结构可表示为：
顶点: (id, label, {属性键: 属性值})
边: (src_id, dst_id, type, {属性键: 属性值})
示例:
用户节点: (U1001, "User", {name:"张三", reg_days:120, risk_level:"低"})
设备节点: (D2001, "Device", {imei:"86...", os:"Android", root:true})
登录边: (U1001) -[LOGIN {ts:"2024-05-01 10:22", ip:"1.2.3.4"}]-> (D2001)属性图模型的关键优势在于：结构信息与属性信息统一存储。做子图特征时，既能统计“邻居数量”，也能聚合“邻居的平均注册天数”“边的转账金额总和”。这为后续的图神经网络和规则引擎提供了同一份数据底座。
| 要素 | 含义 | 反欺诈示例 |
|---|---|---|
| 顶点标签 | 实体类型 | User、Device、BankCard、IP |
| 边类型 | 关系语义 | LOGIN、TRANSFER、SHARE_DEVICE |
| 顶点属性 | 实体自身特征 | 注册时长、实名状态、历史逾期数 |
| 边属性 | 关系上下文 | 时间戳、金额、频次、渠道 |
| 方向 | 行为流向 | 资金从A流向B |
三、同构图与异构图：结构表达的分水岭
同构图指所有顶点属于同一类型、所有边属于同一类型。例如只保留“用户—用户”的转账关系，忽略设备、IP等节点。同构图结构简洁，算法成熟，适合快速验证和传统图算法（如PageRank、社区发现）。
异构图则包含多种顶点类型和多种边类型，能更完整地还原业务。反欺诈场景几乎都是异构图：用户、设备、银行卡、IP、商户、订单交织在一起。异构图的信息量更大，但也带来挑战——不同类型节点的特征维度不同，直接聚合会引入噪声，需要按类型分别处理或使用元路径（Meta-path）约束传播方向。
四、反欺诈场景中的实体与关系建模
建模的第一步是确定“哪些对象值得作为顶点”。实践中通常遵循业务可解释、数据可获得、风险可关联三条原则。常见实体与关系如下：
- 实体（顶点）：用户、设备、手机号、银行卡、身份证、IP、商户、订单、收货地址。
- 关系（边）：登录、注册、转账、绑定、共用设备、共用IP、同地址、同联系人。
- 关系方向：资金类关系保留方向；共用类关系通常无向或双向冗余存储。
- 时间维度：边属性中保留时间戳，便于构造“近7天转账次数”等时序子图特征。
建模流程可归纳为四步：
- 实体识别：从业务表中抽取主键，统一ID体系，解决同一实体多ID问题。
- 关系抽取：将外键、日志、事件流转化为边，明确边类型与方向。
- 属性挂载：为顶点和边补充特征字段，注意脱敏与合规。
- 图存储与更新：写入图数据库或图计算平台，设计增量更新策略。
五、误区与复盘
初学者在反欺诈图建模中常犯以下错误：
- 把图当成万能特征库：不加筛选地把所有关系入图，导致图规模爆炸、噪声淹没信号。应按风险相关性裁剪边类型。
- 忽视时间导致标签泄漏：用未来发生的边去预测过去的风险，离线指标虚高，上线后失效。建模时必须保留时间戳并做时序切分。
- 同构图与异构图混用不加说明：同一份分析中既说“用户图”又说“异构网络”，结论无法对齐。应明确每类实验的图定义。
- 顶点ID不统一：同一设备在不同系统中ID不同，导致图断裂，团伙被拆散。需建立实体对齐与ID映射表。
掌握图的基本概念、属性图模型以及同构/异构图的差异，并能在反欺诈场景中正确完成实体与关系建模，是后续子图特征提取与风险传播算法的前提。图建得准，后面的特征和传播才有意义。