2. 市场行为基础

在构建告警评分与调查优先级体系之前，必须先建立对“市场行为”本身的分类认知。监管科技中的告警并非凭空产生，它来自对交易行为特征的量化识别。本节将市场行为划分为三大类：市场操纵、内幕交易与异常交易，并梳理其特征、监管背景与识别逻辑，为后续评分模型提供语义基础。

一、核心原理：三类行为的本质差异

三类行为的核心差异在于意图、信息优势与价格影响路径。市场操纵是行为人主动制造虚假供需信号，扭曲价格形成机制；内幕交易是利用未公开重大信息的时间差获利或避损；异常交易则是一个更宽泛的观测集合，包含可能由操纵、内幕、错误操作或流动性冲击引发的偏离常态行为。理解这一层次，才能避免把“异常”直接等同于“违规”。

二、市场操纵：类型、特征与监管背景

市场操纵的典型类型包括：虚假申报（幌骗）、连续交易拉抬打压、约定交易、洗售交易、尾市/开盘操纵以及信息型操纵。其共同特征是：行为人在短时间内制造非自然交易活跃度，诱导其他参与者跟进，随后反向操作获利。

• 幌骗：大量挂单后迅速撤单，制造虚假深度，实际成交极少。
• 连续交易：通过多账户对倒或自成交，推高价格后出货。
• 尾市操纵：在收盘前集中交易，影响结算价或基金净值。
• 信息型操纵：配合虚假研报、社交媒体传言，制造信息与交易共振。

监管背景方面，我国《证券法》第五十五条明确禁止操纵市场，交易所《交易规则》与《自律监管指引》进一步细化了异常交易监控标准。国际上，美国《证券交易法》第9(a)条、欧盟《市场滥用条例》（MAR）均将操纵行为列为重点打击对象。监管机构普遍采用行为模式识别+账户关联分析+订单簿重建的技术路径。

三、内幕交易：信息链条与识别难点

内幕交易的核心是未公开重大信息在敏感期内的交易利用。其特征包括：交易时点与信息公告高度吻合、账户在敏感期前集中建仓、公告后迅速反向平仓、关联账户同步操作等。识别难点在于信息传递链条隐蔽，往往需要结合通讯记录、人员关系与资金流向进行交叉验证。

四、异常交易：观测层与告警入口

异常交易是告警系统最直接的输入层。它不预设违规意图，而是通过统计偏离度、订单行为特征与市场影响度进行标记。常见指标包括：撤单率、申报频率、成交占比、价格冲击系数、账户关联度。这些指标构成后续评分模型的原始特征。

异常交易特征示例（伪代码）：
cancel_ratio = 撤单量 / 申报量
trade_impact = |成交均价 - 基准价| / 基准价
order_freq = 申报笔数 / 时间窗口
account_link = 关联账户数 / 总账户数
if cancel_ratio > 0.85 and order_freq > 阈值:
    标记为“频繁撤单型异常”
if trade_impact > 0.03 and 尾市窗口:
    标记为“价格冲击型异常”

五、案例场景：从异常到操纵的判定路径

假设某账户在14:55至15:00期间，以高于市场价连续申报买入某股票，成交占比达当日该股成交量的12%，随后次日开盘集中卖出。系统首先标记“尾市价格冲击型异常”；进一步分析发现该账户与另外两个账户存在同IP、同设备关联，且历史行为中存在多次撤单率超过90%的记录。此时告警评分应显著提升，调查优先级进入“操纵嫌疑”通道。

六、复盘：三类行为的调查优先级差异

复盘时需关注：操纵类告警应优先核查订单簿与账户关联；内幕类告警应优先核查信息敏感期与人员关系；异常类告警应优先核查是否具有合理解释。三者的调查路径不同，但共享同一套评分框架——嫌疑度、影响度、可查性。本节建立的分类认知，将直接支撑后续章节的评分维度设计。

综上，市场操纵、内幕交易与异常交易构成市场行为监控的三层结构：异常是入口，操纵是行为模式，内幕是信息链条。告警评分与调查优先级的设计，必须建立在这一分类认知之上，才能实现精准筛选与高效调查。