2、异常交易基础概念
2.1 什么是异常交易
异常交易是指偏离用户正常行为模式、不符合业务规则或统计规律的金融交易行为。在风控领域，异常交易通常意味着潜在的资金损失、合规风险或系统滥用。异常交易并不等同于欺诈交易——部分异常交易可能是误报，而部分看似正常的交易可能隐藏欺诈行为。
核心判断维度： 交易金额、交易频率、交易时间、交易地点、交易对手、设备指纹、行为序列。
2.2 常见异常交易类型
金融风控场景中，异常交易主要分为三大类：盗刷、洗钱、薅羊毛。三类异常在行为特征、检测目标和业务影响上存在显著差异。
| 异常类型 | 典型场景 | 核心特征 | 检测目标 |
|---|---|---|---|
| 盗刷 | 信用卡盗刷、账户盗用 | 异地登录、陌生设备、大额整数交易、短时间内多笔失败尝试 | 阻止资金流出，保护用户资产 |
| 洗钱 | 拆分交易、空壳账户、跨境资金转移 | 金额接近阈值、多账户集中转入/分散转出、交易时间间隔规律 | 满足监管合规（AML），避免法律处罚 |
| 薅羊毛 | 新用户红包套利、优惠券批量兑换、秒杀抢购 | 同一IP/设备大量注册、短时高频下单、收货地址异常集中 | 控制营销成本，防止资源被黑产套取 |
实战提示： 在Flink实时风控中，盗刷检测通常依赖滑动窗口聚合（如5分钟内失败次数），洗钱检测依赖图计算（账户间资金流转关系），薅羊毛检测依赖去重计数（设备指纹+IP的联合唯一数）。
2.3 异常交易检测的样本不平衡问题
真实金融交易中，异常交易占比通常极低（0.01%～1%），而正常交易占绝大多数。这种样本不平衡（Imbalanced Data）会严重影响机器学习模型的训练效果，导致模型倾向于将所有样本预测为正常，从而漏掉真正的异常。
2.4 不平衡问题的常用应对策略
在异常交易样本构建阶段，必须提前考虑不平衡问题，否则后续模型训练和评估都会失真。以下是业界常用的三类策略：
- 数据层面： 过采样（SMOTE、ADASYN）、欠采样（随机下采样、NearMiss）、混合采样。
- 算法层面： 使用代价敏感学习（Cost-Sensitive Learning）、集成学习（XGBoost、LightGBM 的 scale_pos_weight 参数）。
- 评估层面： 放弃准确率，改用精确率、召回率、F1-score、AUC-ROC、PR 曲线。
避坑提醒： 在 Flink 实时场景中，不要在数据流上直接做 SMOTE 过采样——这会引入未来信息，造成数据泄露。正确的做法是在离线样本构建阶段完成平衡处理，生成训练集后再部署到 Flink 实时推理。
2.5 异常交易样本构建的核心挑战
构建高质量的异常交易样本集，需要同时解决三个问题：
- 样本稀缺： 真实异常样本太少，需要结合规则挖掘、半自动标注、对抗生成等方式扩充。
- 样本时效性： 欺诈手法不断演变，旧样本无法代表新攻击模式，需要持续更新样本库。
- 样本质量： 人工标注成本高，规则标注存在噪声，需要设计多级校验机制。