2. 反洗钱基础
在进入告警去重、合并与实体聚合的工程实现之前，必须先建立对反洗钱业务本身的准确认知。告警不是凭空产生的噪声，它背后对应着监管制度、犯罪手法与机构风控策略三者的交汇。理解这一层，才能判断哪些告警应当合并、哪些实体应当聚合，以及去重后的结果是否仍然满足可疑交易报告的要求。
一、洗钱三阶段：处置、离析、融合
洗钱通常被拆解为三个前后衔接、但并非严格线性的阶段。它们决定了资金在时间、账户、地域和形态上的分布特征，也直接决定了告警的形态。
- 处置（Placement）：将非法所得注入金融体系。典型动作是现金拆分存入、多账户小额入账、通过POS或第三方支付套现。此阶段告警往往表现为“短时间多笔接近申报阈值”“同一网点多账户集中存入”。
- 离析（Layering）：通过复杂交易掩盖资金来源。典型动作是跨行多层转账、买卖理财与外汇、虚拟资产兑换、关联账户对倒。此阶段告警数量最多、噪声最大，也是去重与合并的主战场。
- 融合（Integration）：资金以合法外观回流。典型动作是购房、投资入股、偿还贷款、购买高价值消费品。此阶段告警常与正常高净值客户行为重叠，需要结合客户身份与资产背景判断。
工程提示：三阶段并非顺序发生。同一客户可能同时处于处置与离析阶段，因此告警合并时不能简单按时间窗口切割，而应结合交易对手、账户与设备等实体关系。
二、常见洗钱手法与告警特征
不同手法在数据上留下的痕迹不同，识别这些痕迹是设计去重规则的前提。下表列出常见手法及其典型告警特征。
| 洗钱手法 | 典型行为 | 告警特征 |
|---|---|---|
| 现金拆分 | 多笔低于申报阈值的现金存取 | 同一客户短时多笔、金额接近阈值 |
| 账户对倒 | 两个或多个账户循环转账 | 资金闭环、进出金额高度对称 |
| 地下钱庄 | 境内外资金对冲、集中收付 | 多对多转账、对手方高度集中 |
| 虚拟资产洗钱 | 法币与虚拟币频繁兑换 | 与交易所账户高频交互、金额碎片化 |
| 贸易洗钱 | 虚高或虚低报关、关联交易 | 跨境收付与货物单据不匹配 |
可以看到，同一手法往往触发多条规则，产生多条告警。若不去重，调查人员会在同一资金链条上反复看到相似告警，效率极低。
三、可疑交易报告制度与告警生成逻辑
可疑交易报告制度要求金融机构在发现疑似洗钱行为时，按规定格式向监管报送。告警是内部筛查的产物，可疑交易报告是对外报送的结果。二者之间隔着分析、确认与排除环节。
告警生成通常遵循“规则或模型命中—生成告警—进入调查队列”的流程。规则可基于阈值、频率、对手方、地域等维度。例如：
规则示例：
规则ID: R001
名称: 单日现金存入接近阈值
条件: 单日现金存入笔数 >= 3 且 单笔金额在 [阈值*0.8, 阈值)
输出: 生成告警，风险等级=中
当同一客户在短时间内命中多条规则时，系统会产生多条独立告警。这些告警可能指向同一笔可疑资金，也可能指向不同阶段的行为。去重与合并的目标，是在保留完整证据链的前提下，减少重复调查。
注意：去重不等于删除。被合并的告警必须保留原始记录与关联关系，否则可疑交易报告的证据完整性会受损，监管检查时无法还原判断过程。
四、典型场景与复盘：从告警洪流到实体聚合
假设某客户在三天内触发以下告警：
- 多笔现金存入接近阈值；
- 与同一对手方频繁转账；
- 夜间登录并操作多个账户；
- 与虚拟资产交易所账户发生小额多笔交易。
若按规则逐条展示，调查人员会看到四条互不关联的告警。但通过实体聚合，可以发现这些告警共享同一客户、同一设备、同一对手方或同一资金链条。聚合后的实体视图能直接呈现“处置—离析”的连续行为，显著提升调查效率。
常见误区有三类：一是把去重做成简单的时间窗口截断，导致跨窗口的关联告警被拆散；二是只按客户号合并，忽略设备、IP、对手方等实体，漏掉团伙作案；三是合并后丢失原始告警ID，导致后续报送无法追溯。
复盘结论：告警去重、合并与实体聚合的核心不是减少数量，而是在保留证据链的前提下，把分散的告警还原为可解释的洗钱行为链条。这要求工程实现同时理解业务阶段、规则语义与实体关系。