3. 告警系统概述
市场行为告警系统是交易监控体系中的“神经末梢”，它把分散在行情、订单、账户、资讯等来源的原始数据，转化为可被调查人员理解和处置的告警事件。理解告警的生成机制、数据来源、类型划分与生命周期，是后续进行告警评分和调查优先级排序的前提。本节将系统梳理告警系统的整体运作逻辑，并介绍常见告警平台的能力边界。
一、告警生成机制：规则、模型与阈值
告警并非凭空产生，其生成机制通常由三类引擎驱动。第一类是规则引擎，基于专家经验设定明确的逻辑条件，例如“同一账户在1分钟内撤单次数超过20次”。第二类是统计与阈值引擎，对指标进行滚动计算，当偏离历史基线达到设定倍数时触发，例如成交量突增3倍标准差。第三类是机器学习模型，通过聚类、异常检测或分类模型识别复杂模式，如关联账户间的对倒行为。
三类机制各有取舍：规则可解释性强但易被规避；统计方法灵敏但误报较多；模型能捕捉隐蔽模式，却需要持续训练和特征维护。实际系统往往采用分层组合，先由规则和统计做粗筛，再由模型做精排。
二、数据来源：告警的原料构成
告警质量高度依赖数据来源的完整性与时效性。市场行为告警常见的数据来源包括：
- 行情数据：逐笔成交、盘口快照、K线、涨跌幅、换手率等，用于识别价格与成交量的异常波动。
- 订单与成交数据：委托、撤单、成交回报，包含账户、证券、价格、数量、时间戳，是识别操纵和异常交易的核心。
- 账户与客户数据：开户信息、风险等级、关联关系、资金流水，用于判断主体身份和团伙特征。
- 资讯与公告数据：新闻、研报、公司公告，用于关联事件驱动型异动。
- 系统与日志数据：登录IP、设备指纹、API调用记录，用于识别技术性异常或账号盗用。
这些数据在进入告警引擎前，通常需要经过清洗、对齐和特征加工。时间戳精度不一致、账户标识不统一、行情与订单时钟偏差，都是导致漏报和误报的常见原因。
三、告警类型与生命周期
按业务语义，市场行为告警可分为价格类、成交类、订单类、账户类、跨市场类等。按严重程度，又可分为提示、关注、警告、严重四级。不同类型对应不同的调查路径和响应时限。
| 告警类型 | 典型触发条件 | 常见调查方向 | 建议响应时限 |
|---|---|---|---|
| 价格异常 | 短时涨跌幅超阈值 | 是否存在拉抬、打压 | 30分钟 |
| 成交异常 | 成交量突增、对倒嫌疑 | 关联账户、资金流向 | 1小时 |
| 订单异常 | 频繁撤单、大额挂撤 | 虚假申报、诱导 | 2小时 |
| 账户异常 | 多账户同IP、同设备 | 团伙操控、账户出借 | 4小时 |
| 跨市场异常 | 期现联动偏离 | 套利、操纵传导 | 4小时 |
告警的生命周期一般包括六个阶段：生成 → 聚合 → 分派 → 调查 → 处置 → 归档。生成阶段确定告警内容；聚合阶段将同一主体或同一时段的相似告警合并，避免重复劳动；分派阶段按规则或负载均衡指派给调查人员；调查阶段核实真伪并收集证据；处置阶段采取限制交易、上报或关闭；归档阶段沉淀结论，用于模型反馈和规则优化。
四、常见告警平台与选型要点
告警平台负责承载生成、聚合、分派和可视化。常见方案包括：
- Splunk：擅长日志检索与关联分析，适合规则型告警和事后调查，但实时流处理成本较高。
- ELK Stack：Elasticsearch + Logstash + Kibana，开源灵活，适合中小规模日志告警，需自行维护集群。
- Apache Flink：流式计算引擎，适合低时延、高吞吐的实时告警，常与规则引擎或模型服务配合。
- 自研平台：大型机构常基于Flink或Spark自建，集成行情、订单、账户多源数据，实现定制化评分与工单流转。
选型时应重点关注四项能力：数据接入的广度、告警生成的时延、聚合去重的智能程度、以及与调查工单系统的集成深度。平台再强大，若数据源缺失或时间对齐错误，告警也会失去价值。
五、误区与复盘：告警系统常见的四个陷阱
- 阈值一刀切：对所有证券使用同一阈值，导致小盘股频繁误报、大盘股漏报。应按流动性、波动率分层设定。
- 忽视聚合：同一账户的数十条相似告警分别派单，调查人员重复劳动。应按主体和时间窗口聚合。
- 只关注生成不关注反馈：调查结论未回流至规则和模型，导致误报长期存在。应建立闭环反馈机制。
- 数据时延被忽略：行情与订单时钟不同步，导致“先成交后挂单”的荒谬告警。应统一时间基准并监控时延。
综上，告警系统概述为后续的评分与优先级排序提供了对象基础。只有清楚告警从何而来、经过哪些状态、由什么平台承载，才能在评分时合理分配权重，在调查时快速定位关键证据。