4、特征工程入门：特征类型、特征构造方法、特征选择与降维
在信贷反欺诈建模中，模型的上限往往不取决于算法本身，而取决于特征的质量与信息密度。特征工程是将原始数据（如申请信息、行为日志、设备指纹、关联网络）转化为可被机器学习算法有效学习的数值表示的过程。对于反欺诈场景，特征工程不仅是提升模型区分度的关键，更是将业务经验、欺诈模式与数据规律进行结构化沉淀的核心手段。本章将系统讲解特征的基本类型、构造方法以及特征选择与降维的实用技术，帮助学员建立从原始数据到高价值特征集的完整方法论。
4.1 特征类型：理解数据的本质形态
在信贷反欺诈场景中，原始数据通常包含多种类型，不同类型的特征需要采用不同的预处理与编码方式。错误地处理特征类型，轻则损失信息，重则引入噪声或偏差。
4.1.1 数值型特征
数值型特征分为连续型（如申请金额、年龄、收入）和离散型（如申请次数、设备关联数、逾期天数）。对于连续型特征，需关注量纲差异、异常值（如申请金额为0或极端大额）以及分布偏态。常用处理方式包括：标准化（Z-score）、归一化（Min-Max）、对数变换（log1p）以压缩长尾分布。对于离散型数值，可直接作为计数特征使用，也可进行分箱（binning）处理以增强鲁棒性。
4.1.2 类别型特征
类别型特征包括职业、学历、渠道来源、设备品牌、运营商等。在反欺诈中，类别特征往往携带强欺诈信号，例如某些高风险渠道或特定设备型号。处理方式包括：独热编码（One-Hot）、标签编码（Label Encoding）、目标编码（Target Encoding）以及频率编码（Frequency Encoding）。其中目标编码需注意防止过拟合，建议使用交叉验证或平滑系数。
4.1.3 时间型特征
时间型特征在反欺诈中极为重要，因为欺诈行为往往具有时间聚集性。常见的时间特征包括：申请时间（小时/星期/月份）、注册与申请的时间间隔、行为事件的时间戳序列。可构造的特征有：申请时段（夜间申请风险更高）、距上次申请的天数、近7天/30天内的申请频次、时间熵（行为时间分布的规律性）等。
4.1.4 文本型特征
文本型特征如公司名称、居住地址、备注信息等。在反欺诈中，文本特征可用于识别虚假地址、异常公司名或重复申请。处理方式包括：TF-IDF向量化、词嵌入（Word2Vec）、以及基于规则的关键词提取（如地址中包含“临时”、“无固定”等风险词）。对于中文文本，需先进行分词处理。
| 特征类型 | 典型示例 | 反欺诈信号 | 常用处理方法 |
|---|---|---|---|
| 数值型 | 申请金额、收入、设备数 | 金额异常、设备聚集 | 标准化、分箱、对数变换 |
| 类别型 | 渠道、职业、设备品牌 | 高风险渠道、伪造职业 | 独热编码、目标编码 |
| 时间型 | 申请时间、间隔天数 | 夜间申请、短时高频 | 周期编码、时间窗口统计 |
| 文本型 | 地址、公司名、备注 | 虚假地址、重复公司 | TF-IDF、关键词规则 |
4.2 特征构造方法：从原始数据到高价值特征
特征构造是特征工程的核心环节，其目标是将原始数据转化为能够刻画用户行为模式、风险倾向和关联关系的特征。在信贷反欺诈中，常用的特征构造方法包括统计聚合、时间窗口、交叉组合和图特征四大类。
4.2.1 统计聚合特征
统计聚合特征是最基础也最有效的构造方法，通过对用户的历史行为数据进行汇总统计，生成如计数、求和、均值、标准差、最大值、最小值等特征。例如：
- 计数特征：近30天申请次数、关联设备数、关联手机号数。
- 金额特征：历史最大借款金额、平均借款金额、金额标准差。
- 比率特征：夜间申请占比、失败申请占比、提前还款率。
聚合特征的构造需注意窗口期的选择（如7天、30天、90天），以及不同窗口期特征的组合（如近7天申请次数/近30天申请次数，反映近期活跃度变化）。
4.2.2 时间窗口与趋势特征
时间窗口特征关注行为在时间维度上的分布与变化趋势。常见构造方式包括：
- 滑动窗口统计：计算最近1天、3天、7天、30天内的行为频次、金额总和等。
- 时间衰减特征：对历史行为按时间距离进行指数衰减加权，越近的行为权重越高。
- 趋势特征：比较不同窗口期的统计量变化，如近7天申请次数与近30天日均申请次数的比值。
- 周期性特征：提取申请时间的小时、星期、是否为节假日等周期性信息。
4.2.3 交叉组合特征
交叉组合特征是将两个或多个原始特征进行组合，以捕捉单一特征无法表达的交互信息。例如：
- 渠道 × 设备类型：某些渠道与特定设备组合可能对应特定欺诈团伙。
- 申请金额 × 收入水平：高额申请但低收入可能暗示欺诈意图。
- IP归属地 × 居住地址：两者不一致可能提示身份伪造。
交叉特征的构造需要业务经验驱动，同时可借助决策树模型自动发现高价值的交叉组合。
4.2.4 图特征
在团伙欺诈识别中，图特征至关重要。基于用户、设备、IP、手机号等实体构建关系图，可提取以下特征：
- 节点度：关联设备数、关联用户数、关联IP数。
- 介数中心性：节点在图中作为桥梁的程度，高介数节点可能为团伙核心。
- 聚类系数：节点的邻居之间相互连接的程度，高聚类系数可能对应紧密团伙。
- 社区标签：通过社区发现算法（如Louvain）为每个节点分配社区ID，同一社区内的用户共享风险标签。
4.3 特征选择与降维：提升模型效率与稳定性
特征构造完成后，特征维度可能达到数百甚至数千维。高维特征不仅增加计算开销，还可能导致过拟合和模型解释性下降。特征选择与降维的目标是在保留有效信息的前提下，降低特征维度，提升模型的泛化能力。
4.3.1 特征选择方法
特征选择分为过滤式、包裹式和嵌入式三类：
| 方法类别 | 核心原理 | 常用算法 | 优缺点 |
|---|---|---|---|
| 过滤式 | 独立于模型，基于统计指标评估特征与目标的相关性 | 卡方检验、互信息、方差阈值、相关系数 | 计算快，但忽略特征间交互 |
| 包裹式 | 以模型性能为评价标准，搜索最优特征子集 | 递归特征消除（RFE）、前向/后向选择 | 效果好，但计算开销大 |
| 嵌入式 | 在模型训练过程中自动进行特征选择 | Lasso（L1正则）、决策树特征重要性、XGBoost重要性 | 效率与效果平衡，适合大规模特征 |
4.3.2 降维技术
降维技术将原始高维特征映射到低维空间，同时尽量保留数据的主要结构。常用方法包括：
- 主成分分析（PCA）：线性降维，通过正交变换将特征投影到方差最大的方向。适用于特征间存在较强线性相关性的场景。
- 线性判别分析（LDA）：有监督降维，最大化类间距离与类内距离的比值。适合分类问题。
- UMAP/t-SNE：非线性降维，主要用于可视化，也可作为特征输入。
- 自编码器（Autoencoder）：基于神经网络的非线性降维，可捕捉复杂非线性关系。
4.3.3 特征选择实操流程
- 初步筛选：删除缺失率超过80%的特征、方差接近0的常数特征。
- 相关性分析：计算特征间的相关系数，删除相关性超过0.95的冗余特征（保留与目标相关性更高者）。
- 模型重要性排序：使用XGBoost或LightGBM训练模型，获取特征重要性分数，保留累计重要性达到95%的前N个特征。
- 递归特征消除（RFE）：在保留特征集上使用RFE进一步精筛，结合交叉验证确定最优特征数量。
- 业务复核：由业务专家对筛选后的特征进行复核，确保特征含义清晰、逻辑合理。
4.4 常见误区与总结复盘
在特征工程实践中，以下误区需要特别警惕：
- 误区一：特征越多越好。高维特征不仅增加计算成本，还容易引入噪声，导致过拟合。应遵循“少而精”的原则。
- 误区二：忽视时间窗口的选择。不同业务场景下，欺诈行为的时效性不同。例如，设备聚集特征可能需要在7天窗口内才有区分度，而账户历史行为可能需要90天窗口。
- 误区三：目标编码过拟合。目标编码（用目标变量均值编码类别特征）容易导致过拟合，需使用交叉验证或添加平滑项。
- 误区四：降维后忽视可解释性。在反欺诈场景中，模型的可解释性对于风控审核和监管合规至关重要。过度依赖PCA等无监督降维可能损害业务信任。
- 误区五：特征构造与业务脱节。特征工程应紧密围绕业务逻辑展开，例如针对团伙欺诈，必须构造关联图特征；针对身份冒用，需构造设备与身份一致性特征。
本章系统介绍了特征类型、构造方法以及选择与降维技术。在实际项目中，特征工程是一个迭代过程，需要数据科学家、业务专家和风控人员紧密协作，不断从数据中挖掘新的欺诈信号，持续优化特征体系，从而构建更加精准、稳健的反欺诈模型。