4. 告警评分核心概念
在市场行为监控体系中，告警评分不是简单的“打分排名”，而是一套把海量、异构、噪声极高的交易行为信号，压缩为可比较、可排序、可行动的风险判断机制。理解评分，必须同时理解它的目的、维度、等级划分，以及它与调查优先级之间的映射关系。缺少任何一环，评分都会退化为“看起来科学、用起来混乱”的数字游戏。
一、评分的目的：从信号到行动
市场行为告警每天可能产生数千条，涵盖异常报价、频繁撤单、对倒嫌疑、尾盘拉升、账户关联交易等。调查资源有限，不可能逐条深挖。评分的核心目的可以归纳为三点：
- 降噪与聚焦：把低风险、高重复、已知无害的告警自动降权，让调查人员把注意力放在真正可疑的行为上。
- 可比与可排序：不同来源、不同品种、不同账户的告警，通过统一维度换算成可比较的分数，形成全局优先级队列。
- 可解释与可追溯：评分必须能回答“为什么这条告警分高”，否则调查人员无法信任，监管沟通也无法自证逻辑。
评分不是替代人工判断，而是把人工判断的起点从“随机抽查”提升到“高风险优先”。它的价值在于让调查资源与风险暴露成正比。
二、评分维度：多因子加权模型
一个可落地的告警评分模型通常由四类维度构成：行为严重性、证据强度、主体风险、市场影响。每个维度下再细分因子，并赋予不同权重。权重不是拍脑袋，而是来自历史案件复盘、监管处罚案例和业务专家共识。
| 维度 | 典型因子 | 权重示例 | 说明 |
|---|---|---|---|
| 行为严重性 | 对倒、虚假申报、尾盘操纵、关联账户协同 | 35% | 行为本身是否直接触碰监管红线 |
| 证据强度 | 成交占比、撤单率、时间集中度、IP/MAC重合 | 25% | 数据是否形成完整证据链 |
| 主体风险 | 历史违规记录、账户年龄、关联账户数量 | 20% | 主体是否属于高风险群体 |
| 市场影响 | 价格偏离度、成交量占比、波及品种数 | 20% | 行为对市场秩序的实际扰动 |
实际系统中，评分通常以配置化方式管理，便于随监管重点调整。例如：
{
"rule_id": "ALERT_2024_TAIL",
"dimensions": {
"severity": 0.35,
"evidence": 0.25,
"subject": 0.20,
"impact": 0.20
},
"thresholds": {
"high": 80,
"medium": 60,
"low": 40
}
}三、风险等级划分：分数不是终点
评分结果需要映射为风险等级，常见划分为四级：严重、高、中、低。等级划分的关键不是分数本身，而是每个等级对应的处置动作和响应时限。
- 严重（80–100）：立即冻结相关账户权限，2小时内启动人工调查，同步上报合规负责人。
- 高（60–79）：24小时内完成初步核查，必要时调取逐笔委托与成交明细。
- 中（40–59）：纳入日常监控队列，48小时内完成批量筛查。
- 低（0–39）：自动归档，仅保留统计计数，不占用调查人力。
等级边界应结合业务容忍度动态调整。例如在波动剧烈的交易日，可临时下调“高”等级阈值，以捕捉更多潜在操纵行为。
四、评分与调查优先级的关系
评分与调查优先级之间不是简单的线性映射。高分告警不一定排在最前，因为优先级还要考虑时效性、可调查性、监管关注度三个调节因子。
可以用一个简化的优先级公式表达：
priority = score × urgency × feasibility × regulatory_focus其中：
- urgency：行为是否仍在持续，证据是否随时间快速消失。
- feasibility：数据是否完整、账户是否可定位、跨市场协查是否可行。
- regulatory_focus：当前监管是否对该类行为有专项关注。
因此，一条评分75但证据正在快速灭失的告警，可能优先于评分90但数据已固化、可延后处理的告警。调查优先级是“风险×时效×可操作性”的综合排序，而不是单一分数排序。
五、常见误区与复盘
在实际落地中，评分模型最容易出现以下四类问题：
- 权重固化：模型上线后长期不调整，导致新型操纵行为被系统性低估。应建立季度复盘机制，结合处罚案例重新校准权重。
- 分数崇拜：调查人员只看分数不看维度明细，忽略“高分低证据”或“低分高影响”的特殊情况。评分页面必须展示各维度贡献值。
- 等级与动作脱节：定义了风险等级却没有对应的响应时限和处置权限，导致等级形同虚设。
- 忽略时效衰减：部分告警的证据随时间快速消失（如盘中瞬时撤单），评分模型若不引入时间衰减因子，会严重误判优先级。
评分模型不是一次性的技术项目，而是需要持续运营的风险产品。没有复盘和调参机制，再精细的模型也会在三个月内失效。
复盘时应重点关注：高分告警中实际立案比例、低分告警中漏报比例、各维度权重对最终排序的敏感度。通过持续校准，让评分真正成为调查资源的“导航仪”，而不是“装饰品”。