2. 异常交易数据理解：常见异常交易类型、数据特征工程基础、标签定义与不平衡问题
在构建异常交易检测模型之前，必须深入理解业务数据本身。本章将系统梳理三类核心异常交易类型、特征工程的基本方法，以及标签定义与样本不平衡这一关键挑战。
2.1 常见异常交易类型
金融风控领域最常见的异常交易可归纳为三大类：盗刷、洗钱与套现。三类行为在交易模式、资金流向和风险特征上存在显著差异。
| 异常类型 | 核心行为 | 典型交易特征 | 风控关注点 |
|---|---|---|---|
| 盗刷 | 账户被他人非法使用 | 异地登录、小额试探、高频短时交易、设备指纹异常 | 身份冒用、账户安全 |
| 洗钱 | 将非法所得合法化 | 大额拆分、多账户归集、快进快出、结构化交易 | 资金链路、交易网络 |
| 套现 | 虚假交易获取现金 | 整数金额、固定商户、夜间高频、循环交易 | 商户关联、交易真实性 |
业务提示： 三类异常往往相互交织。例如，盗刷账户可能被用于洗钱，套现商户也可能成为洗钱通道。特征工程阶段需考虑跨类型交叉特征。
2.2 数据特征工程基础
特征工程是将原始交易日志转化为模型可理解数值向量的过程。对于异常交易检测，特征通常分为以下四类：
- 基础交易特征： 交易金额、交易时间、交易类型、商户类别码（MCC）、渠道来源。
- 用户行为特征： 历史交易频次、平均金额、常用设备、常用IP、常用地理位置。
- 时序统计特征： 过去1小时/24小时/7天内的交易次数、金额总和、金额标准差、最大单笔金额。
- 关系网络特征： 设备关联账户数、IP关联账户数、商户关联用户数、资金流入流出比。
特征工程核心原则： 特征必须具有业务可解释性，且与异常行为模式存在逻辑关联。避免盲目堆砌特征导致过拟合。
2.3 标签定义与不平衡问题
2.3.1 标签定义策略
标签是监督学习的核心。在异常交易场景中，标签通常来源于：
- 业务规则标签： 基于专家规则（如单笔超限、异地登录）直接标记。
- 历史工单标签： 由风控审核人员确认的已核实异常交易。
- 事后确认标签： 通过客户投诉、资金追回等事后流程确认的欺诈交易。
标签质量警告： 标签噪声是模型性能的天花板。务必确保标签来源可靠，并定期进行标签一致性校验。建议保留至少10%的样本用于人工复核标签准确性。
2.3.2 样本不平衡问题
异常交易样本通常只占全部交易的 0.1% ~ 2%，属于典型的极度不平衡分类问题。若不处理，模型会倾向于将所有样本预测为正常，导致召回率极低。
常见处理策略包括：
| 策略类别 | 具体方法 | 适用场景 | 注意事项 |
|---|---|---|---|
| 数据层面 | 随机欠采样、SMOTE过采样、ADASYN、混合采样 | 样本量充足时优先使用 | 欠采样可能丢失重要信息；过采样易导致过拟合 |
| 算法层面 | 代价敏感学习、集成学习（如XGBoost scale_pos_weight） | 样本量有限或特征维度高时 | 需合理设置权重比例 |
| 评估层面 | 使用Precision-Recall曲线、F1-score、AUC-PR替代准确率 | 所有场景均需采用 | 准确率在不平衡场景下完全失效 |
2.4 实战要点总结
本章核心要点：
1. 盗刷、洗钱、套现三类异常的交易模式差异巨大，特征设计需针对性区分。
2. 特征工程应覆盖基础交易、用户行为、时序统计和关系网络四个维度。
3. 标签定义必须严谨，建议结合业务规则与人工审核双重确认。
4. 样本不平衡是异常检测的固有挑战，需从数据、算法、评估三个层面综合应对。
1. 盗刷、洗钱、套现三类异常的交易模式差异巨大，特征设计需针对性区分。
2. 特征工程应覆盖基础交易、用户行为、时序统计和关系网络四个维度。
3. 标签定义必须严谨，建议结合业务规则与人工审核双重确认。
4. 样本不平衡是异常检测的固有挑战，需从数据、算法、评估三个层面综合应对。