4. 监控场景体系总览

在真实的市场操纵监控项目中，单点规则往往只能解决“看得见”的问题，而真正决定监控有效性的，是能否把场景、数据、指标、告警四者组织成一个可扩展、可解释、可运营的整体。本节不讨论某一条具体规则怎么写，而是从体系设计角度，说明监控场景体系应该如何分层、如何选数据源、如何定义指标、如何设计告警逻辑，从而让后续每一类操纵行为都能被“挂”到统一框架中。

一、核心原理：四层解耦，避免“规则堆叠”

监控场景体系的核心原理是分层解耦。很多团队初期会把所有规则写在一个引擎里，结果规则数量一多，维护成本急剧上升，误报无法归因，新增场景也不敢动老规则。合理的体系应分为四层：

• 场景层：回答“监控什么操纵行为”，如虚假申报、对倒、尾盘拉抬、开盘集合竞价操纵等。
• 数据层：回答“用什么数据看”，包括逐笔委托、逐笔成交、行情快照、账户信息、资金流水等。
• 指标层：回答“用什么量化特征判断”，如撤单率、成交占比、价格偏离度、账户关联度等。
• 告警层：回答“什么条件下触发、触发后怎么分级”，包括阈值、时间窗口、聚合方式和告警等级。

四层之间通过标准接口衔接：场景层引用指标，指标层绑定数据源，告警层消费指标结果。这样新增一个操纵场景时，只需组合已有指标或新增少量指标，而不必重写整个引擎。

二、方法流程：从场景到告警的落地步骤

体系设计不是画完架构图就结束，必须落到可执行的流程。建议按以下步骤推进：

1. 场景拆解：把监管关注或历史案例中的操纵行为，拆成可观测的行为片段。例如“尾盘拉抬”可拆为“尾盘时段”“大额买入”“价格快速抬升”“成交占比异常”。
2. 数据映射：为每个行为片段指定数据源和字段。例如“大额买入”映射到逐笔成交的成交量与买卖方向。
3. 指标定义：把行为片段量化为指标，明确计算口径、时间窗口和更新频率。
4. 告警编排：设定阈值、组合条件、告警等级和抑制策略，形成可执行的告警规则。
5. 回测与调优：用历史数据回测，观察命中率、误报率和漏报情况，迭代阈值和窗口。

三、案例/场景：以“虚假申报”为例的体系映射

假设我们要监控“虚假申报”中的“频繁撤单诱多”行为。按照四层体系，可以这样映射：

这个映射过程说明：同一个场景可以复用多个指标，同一个指标也可以被多个场景引用。体系的价值就在于指标复用、场景组合、告警统一。

四、误区与复盘：常见设计陷阱

复盘时建议关注三个问题：告警是否可解释？误报是否可归因？新增场景是否只需组合已有指标？如果答案都是肯定的，说明体系设计基本到位。

五、告警逻辑的整体设计要点

告警逻辑不是简单“超过阈值就报”，而应包含以下要素：

• 触发条件：单指标阈值、多指标组合、时序条件（如先挂后撤）。
• 时间窗口：滚动窗口、固定窗口或事件窗口，需与操纵行为的时间特征匹配。
• 聚合与去重：同一账户、同一股票、同一时段的多条告警应合并，避免重复推送。
• 分级策略：按可疑程度分为提示、关注、预警、严重等等级，匹配不同处置流程。
• 抑制与恢复：对已知正常行为（如做市商报价）设置白名单或抑制规则，同时保留恢复机制。

告警规则示例（伪配置）：
scene: 频繁撤单诱多
data_source: tick_order, tick_trade
indicators:
  - cancel_ratio: 撤单量 / 委托量
  - order_life: 委托存活时长（秒）
  - large_order_count: 大额委托笔数
condition:
  window: 5m
  cancel_ratio > 0.8
  and large_order_count >= 3
  and order_life < 10
level: 2
action: 推送人工复核

通过这样的整体设计，监控场景体系不再是零散规则的集合，而是一个可扩展、可解释、可运营的有机整体。后续每一类操纵行为，都可以按照“场景—数据—指标—告警”的路径快速接入，并在统一框架下持续调优。