1. 课程导入

在金融风控、反欺诈、反洗钱、量化投研与知识图谱等场景中，图模型已经成为承载复杂关系的重要基础设施。账户、企业、个人、设备、IP、交易、担保、股权、舆情事件等实体，通过转账、持股、担保、共同联系人、同设备登录等关系连接起来，形成一张持续变化的金融关系网络。相比传统宽表，图模型能够更自然地表达多跳关联、资金链路、团伙结构和风险传播路径，因此在贷前审核、贷中监控、贷后预警、可疑交易识别中具有不可替代的价值。

但金融图模型的价值并不来自“一次性建好”，而来自“持续可用”。真实业务中，每天都有新账户注册、新交易发生、新企业变更、新黑名单命中，图结构和节点特征都在不断变化。如果模型长期不更新，就会逐渐偏离当前业务分布，出现“昨天有效、今天失效”的问题。因此，本课程围绕两个核心能力展开：增量更新与漂移监控。前者解决“如何高效、稳定地把新数据并入图模型”，后者解决“如何及时发现模型或数据分布已经变化，并触发治理动作”。

一、金融图模型的应用价值：关系即风险，结构即信号

金融业务中的风险往往不是孤立存在的。一个账户本身可能看起来正常，但如果它与多个已知欺诈账户存在二跳内的资金往来，或者与黑名单企业共享同一设备、同一联系人，其风险等级就会显著上升。图模型的核心优势，正是把这种“关系信号”显式建模，并通过图算法转化为可计算、可解释、可落地的风险指标。

• 团伙识别：通过社区发现、连通分量、密集子图等算法，识别资金闭环、互转团伙、批量注册群体。
• 资金链路追踪：沿交易边进行多跳追溯，定位资金从入金到出金的关键路径与中间账户。
• 风险传播：基于标签传播、图神经网络，将已知风险节点的标签扩散到潜在风险节点。
• 关联授信与反欺诈：利用股权、担保、共同联系人关系，识别隐形关联方与多头借贷风险。
• 知识增强：将企业工商、司法、舆情等外部知识接入图结构，提升事件驱动风控能力。

这些能力的共同前提是：图必须与业务同步演化。静态图只能回答“过去发生了什么”，而增量更新后的图才能回答“现在正在发生什么”。

二、为什么必须做增量更新与漂移监控

很多团队在项目初期会采用全量重建的方式更新图模型：每天凌晨把全部数据重新导入图数据库，重新计算特征和嵌入。这种方式在数据量较小时可行，但随着节点和边规模增长，全量重建的时间成本、资源成本和业务延迟都会迅速上升。更重要的是，全量重建无法满足准实时风控的需求，也无法稳定支撑在线推理。

增量更新要解决的是“变化如何进入模型”的问题。它通常包括：新增节点与边的插入、已有节点属性的更新、过期关系的删除或失效、图特征与嵌入的局部重算，以及模型参数的增量调整。漂移监控要解决的是“变化是否已经影响模型有效性”的问题，包括数据漂移、概念漂移、标签漂移和图结构漂移。两者一个负责“更新”，一个负责“判断更新是否足够、是否有效”，缺一不可。

三、核心原理：增量更新与漂移监控的闭环

增量更新的核心思想是“只处理变化的部分”。对于图模型而言，变化可以分为结构变化、属性变化和语义变化。结构变化指节点和边的增删；属性变化指节点特征、边权重的更新；语义变化指关系含义或业务规则的变化。增量更新引擎需要捕获这些变化，并决定哪些子图需要重算、哪些嵌入需要刷新、哪些模型参数需要微调。

漂移监控的核心思想是“用统计指标和业务指标持续对比”。常见方法包括：监控节点度分布、边类型比例、社区数量、特征均值方差、嵌入向量分布、模型预测分数分布、AUC/KS等效果指标。当指标超过阈值或发生显著突变时，触发告警、回滚、重训或人工复核。

四、方法流程：从数据到决策的六个环节

一个可落地的金融图模型增量更新与漂移监控系统，通常包含以下六个环节。它们不是线性的一次性流程，而是持续循环的闭环。

1. 变更捕获：通过CDC、消息队列或批处理，捕获节点、边、属性的新增与变更。
2. 图更新：将变更写入图存储，维护索引、分区和版本，保证读写一致性。
3. 特征与嵌入刷新：对受影响子图重新计算图特征、节点嵌入或边权重。
4. 模型更新：根据新数据对模型进行增量训练、微调或触发全量重训。
5. 漂移检测：对比历史分布与当前分布，计算统计指标与业务指标。
6. 决策与治理：根据漂移程度决定是否告警、回滚、重训或人工介入。

监控维度	典型指标	异常信号	建议动作
数据漂移	节点度分布、边类型比例、特征均值方差	分布显著偏移、缺失率上升	检查数据源、补全字段、触发重算
概念漂移	模型AUC、KS、召回率、误报率	效果指标持续下降	增量微调或全量重训
标签漂移	正负样本比例、标签延迟、标签噪声	标签分布突变、延迟增大	复核标注流程、调整采样策略
结构漂移	社区数量、连通分量、密集子图规模	团伙结构突变、异常聚集	启动团伙排查、更新规则

五、案例场景：某银行反欺诈图的增量更新实践

某银行在反欺诈场景中构建了账户-设备-IP-交易关系图。初期采用每日全量重建，随着节点规模达到千万级，重建耗时超过4小时，无法满足准实时拦截需求。改造后，系统采用CDC捕获交易流水与账户变更，通过消息队列写入图数据库，仅对受影响子图进行嵌入刷新。同时，漂移监控模块每小时计算一次节点度分布、社区数量和模型评分分布。当某日发现“同设备多账户”边比例突增时，系统自动触发告警，风控团队在30分钟内定位到一批批量注册账户，并完成拦截。

# 漂移监控配置示例
monitor:
  interval: 1h
  metrics:
    - node_degree_distribution
    - edge_type_ratio
    - community_count
    - model_auc
  thresholds:
    node_degree_kl: 0.15
    edge_type_ratio_delta: 0.20
    model_auc_drop: 0.05
  actions:
    - alert
    - trigger_incremental_update
    - trigger_retrain

这个案例说明，增量更新解决效率问题，漂移监控解决有效性问题，二者结合才能形成可运营的图模型系统。

六、整体学习路线图

本课程共30章，整体分为五个模块。第一模块建立认知与基础，包括图模型价值、增量更新原理、漂移监控概念。第二模块深入增量更新技术，包括变更捕获、图存储更新、子图重算、嵌入刷新与增量训练。第三模块聚焦漂移监控，包括数据漂移、概念漂移、结构漂移的检测方法与阈值设计。第四模块进入工程实战，包括流批一体架构、图数据库选型、性能优化与线上部署。第五模块通过综合案例与复盘，把前四模块串联成完整闭环。