4. 反洗钱数据源：交易数据、客户信息数据、账户行为数据、外部黑名单数据、网络图谱数据
反洗钱特征工程的质量直接取决于底层数据的广度、深度与准确性。本章系统梳理 AML 分析中五大核心数据源，明确每种数据源的结构、关键字段、典型用途及采集注意事项，为后续特征样本分层提供坚实的数据底座。
4.1 五大数据源全景
反洗钱数据体系可归纳为以下五类，它们共同构成特征提取与模型训练的原材料池：
| 数据源类别 | 核心内容 | 典型用途 | 更新频率 |
|---|---|---|---|
| 交易数据 | 资金收付、转账、存取现、跨境汇款 | 金额异常检测、交易频率分析、资金链路追踪 | 实时 / T+1 |
| 客户信息数据 | 身份信息、职业、地址、受益所有人 | 客户风险评级、KYC 校验、可疑主体识别 | 开户时 / 定期更新 |
| 账户行为数据 | 登录日志、设备指纹、操作时段、功能使用 | 行为画像、异常登录检测、团伙账户识别 | 实时 |
| 外部黑名单数据 | 制裁名单、通缉名单、负面媒体、政治人物 | 名单匹配、制裁合规、高风险预警 | 每日 / 实时 |
| 网络图谱数据 | 交易对手关系、资金流转图、社交关联 | 团伙挖掘、循环交易检测、资金网络分析 | 离线批量 / 近实时 |
关键原则：单一数据源往往只能提供片面信号，只有将五类数据源交叉关联，才能构建出高区分度的反洗钱特征。例如，仅凭交易金额大并不能判定可疑，但结合客户身份为政治人物、账户行为异常（凌晨登录）、且对手方在黑名单中，则可疑程度急剧上升。
4.2 交易数据：反洗钱分析的基石
交易数据是 AML 特征工程中最核心、最高频使用的数据源。每笔交易记录通常包含以下关键字段：
- 交易标识：交易流水号、渠道编号、终端编号
- 交易主体：付款方账号、收款方账号、客户号
- 交易属性：交易金额、币种、交易时间、交易类型（转账/取现/消费）
- 交易对手：对手方名称、对手方银行、对手方账号
- 地理位置：交易发生地 IP、网点代码、GPS 坐标
基于交易数据可衍生出大量基础特征，例如：
- 单日累计交易金额 / 笔数
- 交易金额的均值、标准差、最大/最小值
- 夜间交易占比（22:00-06:00）
- 跨境交易次数与金额
- 整数金额交易占比（如 10000、50000 等）
实战提示：交易数据清洗时需特别注意重复交易、撤销交易、冲正交易的处理。建议保留原始交易状态字段，避免将无效交易计入特征统计。
4.3 客户信息数据：风险画像的底色
客户信息数据为每个交易主体提供静态背景，是风险分层的基础。核心数据项包括：
| 数据维度 | 关键字段 | AML 特征示例 |
|---|---|---|
| 身份信息 | 姓名、证件类型、证件号、国籍 | 是否来自 FATF 高风险国家 |
| 职业与收入 | 职业类型、年收入、资金来源 | 职业与交易金额是否匹配 |
| 联系方式 | 手机号、邮箱、居住地址 | 联系方式是否频繁变更 |
| 受益所有人 | 实际控制人、股权结构 | 是否涉及多层嵌套空壳公司 |
| 风险等级 | 初始评级、调整记录 | 评级是否与交易行为一致 |
合规红线：客户信息数据涉及个人隐私与数据保护法规（如 GDPR、个人信息保护法）。在特征工程中必须对敏感字段进行脱敏或哈希处理，严禁直接使用原始身份证号、手机号作为模型输入。
4.4 账户行为数据：动态风险的晴雨表
账户行为数据反映客户在金融系统中的操作习惯，是识别账户盗用、团伙操控、自动化交易的关键数据源。常见行为数据包括：
- 登录行为：登录时间、IP 地址、设备型号、浏览器指纹
- 功能使用：转账限额修改、密码重置、绑定手机变更
- 操作模式：单笔操作时长、操作间隔、点击路径
- 异常事件：多次输错密码、异地登录告警、设备更换频率
基于行为数据可构建以下特征：
- 近 7 天登录 IP 数量（分散度）
- 近 30 天设备更换次数
- 平均每次登录操作时长（秒）
- 敏感功能（如修改限额）触发次数
- 行为时间熵（衡量操作时间规律性）
4.5 外部黑名单数据：合规底线与预警信号
外部黑名单数据是反洗钱合规的刚性要求，也是特征工程中权重最高的信号源之一。主要数据来源包括：
| 黑名单类型 | 数据来源 | 匹配方式 |
|---|---|---|
| 制裁名单 | UN、OFAC、EU 制裁清单 | 精确匹配 + 模糊匹配 |
| 通缉/犯罪名单 | 国际刑警、公安部、FBI | 姓名 + 证件号交叉校验 |
| 政治人物 (PEP) | 政府公开数据、商业数据库 | 姓名 + 职务 + 国家 |
| 负面媒体 | 新闻、司法文书、举报平台 | NLP 实体识别 + 关联分析 |
| 内部黑名单 | 历史可疑账户、已关闭账户 | 精确匹配 |
特征工程要点：黑名单匹配结果通常作为布尔型特征（是否命中）或评分型特征（匹配相似度）。需注意模糊匹配的阈值设置，避免因拼写差异导致漏报或误报。
4.6 网络图谱数据：资金链路与团伙关系
网络图谱数据将交易主体抽象为节点，交易关系抽象为边，从而揭示资金流转路径与账户关联结构。这是识别洗钱团伙、循环交易、结构化拆分的高级数据源。
核心图谱特征包括：
- 节点特征：出入度、中介中心性、PageRank 值
- 边特征：交易频次、交易金额、交易方向
- 子图特征：环检测、社区发现、星型结构
- 路径特征：最短路径长度、资金流转深度
实战提示：网络图谱数据通常数据量巨大（百万级节点、千万级边），建议使用图数据库（如 Neo4j）或分布式图计算框架（如 GraphX）进行特征提取。在特征样本分层时，图谱特征往往具有最强的区分能力，但计算成本也最高。
4.7 数据源整合策略
在实际 AML 系统中，五大数据源并非孤立存在，而是通过统一客户标识（如客户号、身份证哈希）进行关联整合。推荐的数据整合流程如下：
- 数据接入层：通过 API、消息队列、批量导入等方式采集原始数据
- 数据清洗层：去重、格式标准化、异常值处理、敏感信息脱敏
- 数据关联层：以客户 ID 为主键，关联交易、行为、黑名单、图谱数据
- 特征计算层：基于关联后的宽表，按时间窗口计算统计特征与图谱特征
- 特征存储层：将计算好的特征存入特征仓库，供模型训练与实时推理使用
常见陷阱：不同数据源的时间戳精度可能不一致（交易数据精确到秒，行为数据精确到毫秒），在特征计算时需统一时间粒度，避免因时间错位导致特征失真。
4.8 数据质量评估指标
数据源的质量直接影响特征有效性。建议在特征工程前对每个数据源进行质量评估：
| 评估维度 | 指标 | 合格标准 |
|---|---|---|
| 完整性 | 关键字段缺失率 | < 5% |
| 准确性 | 与业务系统核对一致率 | > 99% |
| 时效性 | 数据延迟时间 | < 1 小时（实时场景） |
| 一致性 | 跨系统字段值匹配率 | > 95% |
| 唯一性 | 重复记录占比 | < 1% |
最佳实践：建立数据质量监控看板，每日自动扫描各数据源的质量指标，当某项指标低于阈值时触发告警，确保特征工程始终基于高质量数据运行。