1. 反洗钱特征概述
1.1 反洗钱基本概念
洗钱（Money Laundering）是指将非法所得通过一系列金融交易手段，使其在形式上“合法化”的过程。反洗钱（Anti-Money Laundering, AML）则是金融机构、监管机构及执法部门为预防、监测和打击洗钱活动而采取的法律、制度与技术措施的总称。
洗钱活动通常遵循三个核心阶段：
| 阶段 | 英文名称 | 核心行为 | 典型特征 |
|---|---|---|---|
| 处置 | Placement | 将非法现金存入金融体系 | 大额现金存款、频繁换汇、现金密集型交易 |
| 离析 | Layering | 通过多层复杂交易掩盖资金来源 | 资金快进快出、跨账户转账、多层级交易 |
| 融合 | Integration | 将“洗净”资金以合法形式回流 | 购买资产、投资理财、虚假贸易 |
核心原则：反洗钱工作的本质是从海量正常交易中发现异常行为模式。特征工程是将原始交易数据转化为可量化、可计算、可比较的数值特征的过程，是构建反洗钱监测模型的基础。
1.2 特征工程在反洗钱中的作用
在反洗钱领域，原始交易数据通常包含账户ID、交易时间、交易金额、交易对手、交易渠道等字段。这些原始字段无法直接用于模型判断，必须通过特征工程进行加工和提炼。特征工程在反洗钱中的三大核心作用如下：
- 降维与抽象：将高维、稀疏的原始交易记录转化为低维、密集的特征向量，降低模型计算复杂度。
- 模式发现：通过统计聚合、时序分析、图计算等方法，挖掘人工难以直接观察的异常模式（如资金快进快出、分散转入集中转出）。
- 样本分层：基于特征分布对客户和交易进行分层，区分正常行为基线（Baseline）与异常偏离（Anomaly），为后续SQL样本提取和模型训练提供结构化数据基础。
实践要点：在SQL层面，特征工程通常表现为对交易明细表进行GROUP BY聚合、窗口函数排序、自关联计算等操作。本课程后续章节将逐一演示这些SQL实现。
1.3 常见反洗钱特征类型
反洗钱特征可以从数据维度和业务含义两个角度进行分类。本课程将特征分为三大类型：交易特征、行为特征和关联特征。下表展示了每种特征类型的定义、典型指标及SQL实现思路：
| 特征类型 | 定义 | 典型指标 | SQL实现思路 |
|---|---|---|---|
| 交易特征 | 基于单笔或多笔交易金额、频次、时间、渠道等直接属性计算的特征 | 单笔最大金额、日累计交易额、交易频次、夜间交易占比、现金交易比例 | GROUP BY + 聚合函数（SUM/AVG/MAX/COUNT）+ CASE WHEN 条件统计 |
| 行为特征 | 反映客户交易习惯、偏好及偏离程度的特征，通常需要与历史基线对比 | 交易金额标准差、交易时间间隔均值、渠道偏好偏离度、账户余额波动率 | 窗口函数（LAG/LEAD/AVG OVER）+ 自关联 + 标准差计算 |
| 关联特征 | 基于客户之间、账户之间、交易对手之间的网络关系计算的特征 | 交易对手数量、资金流入/流出集中度、二度关联节点数、环状交易检测 | 自关联JOIN + 图遍历（递归CTE）+ 网络指标聚合 |
注意：三种特征类型并非相互独立。在实际反洗钱监测中，交易特征往往是行为特征和关联特征的计算基础。例如，计算“交易金额标准差”（行为特征）需要先通过交易特征聚合得到每笔交易的金额序列。本课程在后续章节中将分别深入讲解每种特征的SQL实现，并在最后一章进行综合实战。
1.4 特征样本分层与SQL实践的关系
特征样本分层是连接特征工程与模型训练的关键桥梁。在SQL实践中，分层通常包含以下步骤：
- 步骤1：基于交易明细表，通过SQL聚合生成每个客户/账户的特征向量（交易特征）。
- 步骤2：利用窗口函数和自关联，计算行为偏离度指标（行为特征）。
- 步骤3：通过递归CTE或多表JOIN，提取网络关联指标（关联特征）。
- 步骤4：根据特征值分布，使用CASE WHEN或分位数函数对样本进行分层标记（正常/关注/可疑/高风险）。
- 步骤5：将分层结果写入特征样本表，供后续模型训练或规则引擎调用。