📚 课程目录第4章实体识别与建模

4. 实体识别与建模

构建用户设备IP多实体关联图谱，第一步不是画关系，而是把“谁是谁”定义清楚。实体识别与建模决定了图谱的节点边界、属性承载和后续关联质量。若实体定义模糊，后续的共现分析、团伙发现和风险传播都会失真。本节围绕六类核心实体、属性设计与唯一标识策略展开，给出可直接落地的建模方法。

一、核心原理：实体是图谱的锚点

在多实体关联场景中，实体是具备独立身份、可被持续追踪的对象。用户、设备、IP、账号、应用分别代表不同层面的身份载体：用户是自然人主体，设备是物理或虚拟终端，IP是网络接入地址，账号是业务系统身份，应用是行为发生的服务入口。它们之间通过登录、绑定、访问、安装等行为产生边。

实体建模的核心原则有三条：边界清晰，即每个实体只承载自身固有属性，不把行为属性混入；可扩展，即属性设计预留业务扩展字段；可唯一，即每个实体有稳定标识，避免同一对象被拆成多个节点。实体识别不是一次性工作，而是随数据接入持续迭代的过程。

实体建模的产出物通常包括：实体类型清单、属性字典、唯一标识规则、实体合并与拆分策略。这四者共同构成图谱的“骨架”。

二、六类实体与属性设计

六类实体并非孤立存在，而是围绕“人—设备—网络—账号—应用”的行为链路组织。属性设计要区分固有属性与行为属性：固有属性描述实体本身，如设备型号、IP归属地；行为属性描述实体间交互，如登录时间、访问频次，通常放在边上而非节点上。

实体类型	核心属性示例	唯一标识建议	常见误区
用户实体	用户ID、姓名、证件号哈希、注册时间、状态	内部用户ID + 证件号哈希	用手机号作唯一键，换号即断链
设备实体	设备指纹、IMEI、MAC、型号、系统版本	设备指纹 + 硬件序列号	仅用MAC，易被篡改或虚拟化
IP实体	IP地址、归属地、运营商、ASN、类型	IP地址 + 时间片	把动态IP当固定身份
账号实体	账号ID、平台、昵称、绑定关系、状态	平台 + 账号ID	跨平台账号直接合并
应用实体	应用ID、包名、版本、渠道、类别	包名 + 版本号	忽略版本差异导致行为混淆

属性设计还需考虑时效性。例如IP归属地会变化，设备系统版本会升级，账号状态会冻结。建议为每个属性标注更新频率和可信度，便于图谱推理时加权。

三、实体唯一标识策略

唯一标识是实体识别的关键。策略上分为三类：强标识，如证件号哈希、设备硬件序列号，稳定性高但覆盖有限；弱标识，如手机号、邮箱、昵称，易变但可辅助关联；组合标识，如“平台+账号ID”“设备指纹+时间窗”，用于提升区分度。

推荐采用“主键+候选键”双层设计：主键用于图谱内部节点ID，保证全局唯一；候选键用于实体对齐，当主键缺失时通过多属性相似度匹配。例如设备实体主键可用设备指纹，候选键包括IMEI、MAC、型号组合。

实体唯一标识配置示例（YAML）：
entity:
  user:
    primary_key: "uid"
    candidate_keys: ["id_card_hash", "phone_hash", "email_hash"]
  device:
    primary_key: "device_fingerprint"
    candidate_keys: ["imei", "mac", "serial_no"]
  ip:
    primary_key: "ip_addr"
    candidate_keys: ["ip_addr+asn", "ip_addr+carrier"]
  account:
    primary_key: "platform_account_id"
    candidate_keys: ["platform+nickname", "platform+email"]
  app:
    primary_key: "package_name"
    candidate_keys: ["package_name+version", "app_id"]

当候选键冲突时，不要立即合并。建议先进入“疑似同一实体”队列，结合时间、行为共现和人工审核再决定合并或拆分。

四、案例场景：一次登录行为的实体拆解

假设某用户通过手机App登录，日志包含：用户ID、设备指纹、IP、账号、应用包名、登录时间。建模时，应拆解为五个实体节点和四条边：用户—账号（绑定）、账号—应用（登录）、设备—应用（安装）、IP—设备（接入）。每条边携带时间、频次、结果等属性。

登录日志片段：
{
  "uid": "U10086",
  "account_id": "A_8899",
  "device_fp": "DF_7a3c9e",
  "ip": "203.0.113.45",
  "app_pkg": "com.example.app",
  "app_version": "5.2.1",
  "login_time": "2025-03-18T09:12:33Z",
  "result": "success"
}

该场景中，IP是动态的，不能作为用户唯一标识；设备指纹相对稳定，但可能被模拟器伪造；账号是业务身份，跨平台不可直接合并。因此，实体识别要结合多源证据，而非依赖单一字段。

五、误区与复盘

误区一：把IP当用户。 动态IP、NAT和代理会导致大量用户共享同一IP，直接以IP聚合会制造虚假团伙。
误区二：设备指纹一劳永逸。 系统升级、应用重装、隐私策略变化都会改变指纹，需定期重新识别。
误区三：账号跨平台强合并。 同一昵称或头像不代表同一人，应通过绑定关系和行为共现逐步对齐。
误区四：属性全放节点。 行为属性放节点会导致节点膨胀且难以更新，应优先放边。

实体合并是不可逆操作。建议保留合并历史与置信度，支持回滚和拆分，避免错误合并污染整张图谱。

综上，实体识别与建模是多实体关联图谱的地基。明确六类实体的边界，设计固有属性与行为属性的分层结构，采用主键加候选键的唯一标识策略，并在实践中持续复盘合并规则，才能为后续的关联分析和风险挖掘提供可靠支撑。