2. AML数据源概览：交易数据、客户信息数据、账户数据、外部黑名单数据、舆情数据
在反洗钱（AML）特征工程中，数据源的质量与广度直接决定了模型的上限。本章系统梳理AML领域五大核心数据源，帮助学员建立对数据生态的全局认知。每一类数据源都对应着不同的特征提取逻辑与样本构建策略。
2.1 五大核心数据源全景
AML特征工程所需的数据并非单一来源，而是由交易、客户、账户、外部黑名单及舆情数据共同构成的多维信息网络。下表从数据内容、更新频率、典型特征维度三个角度进行对比：
| 数据源类型 | 核心数据内容 | 更新频率 | 典型特征维度 |
|---|---|---|---|
| 交易数据 | 交易流水、对手方、金额、时间、渠道、IP、设备指纹 | 实时/准实时 | 交易频次、金额统计、时间模式、地理异常 |
| 客户信息数据 | 身份信息、职业、收入、KYC等级、风险评级 | 低频（开户/变更时） | 客户画像、风险等级、关联关系 |
| 账户数据 | 账户余额、开户时间、账户状态、交易限额 | 日终/准实时 | 余额波动、账户生命周期、资金沉淀 |
| 外部黑名单数据 | 制裁名单、通缉名单、政治人物（PEP）、负面媒体 | 定期更新（日/周） | 命中标记、匹配相似度、名单类型 |
| 舆情数据 | 新闻、社交媒体、司法公告、行业风险报告 | 实时/准实时 | 情感评分、实体识别、风险事件关联 |
实战提示：在特征工程中，交易数据通常贡献80%以上的数值型特征，而客户与账户数据则提供关键的静态标签与分层信息。外部黑名单与舆情数据更多用于构造布尔型或评分型风险信号。
2.2 交易数据：特征工程的主战场
交易数据是AML特征工程中体量最大、维度最丰富的数据源。每一条交易记录都包含时间戳、金额、对手方、渠道、设备指纹等字段。基于交易数据可以构造以下核心特征族：
- 频次特征：单位时间内的交易次数、大额交易次数、夜间交易次数。
- 金额特征：交易金额的均值、标准差、最大/最小值、整额交易占比。
- 时间特征：交易间隔、交易时间熵、工作日/节假日分布。
- 对手方特征：对手方数量、对手方地域分散度、对手方黑名单命中率。
- 渠道特征：渠道切换频率、线上/线下占比、设备指纹重复率。
关键原则：交易数据特征必须同时考虑“统计窗口”（如过去7天、30天、90天）和“滑动窗口”（如最近100笔交易），以捕捉短期异常与长期趋势。
2.3 客户信息数据：构建客户风险画像
客户信息数据（KYC数据）为特征工程提供静态与半静态的标签信息。这些数据虽然更新频率低，但在样本构建中承担着分层与分群的关键角色。
| 客户信息字段 | 特征构造方式 | AML应用场景 |
|---|---|---|
| 职业/行业 | One-Hot编码或行业风险映射 | 高风险行业（如珠宝、虚拟货币）识别 |
| 收入/资产 | 分箱、与交易金额对比 | 收入与交易规模不匹配检测 |
| KYC等级 | 有序编码 | 低KYC等级客户重点监控 |
| 客户关联关系 | 图特征（度、中心性） | 团伙洗钱、循环交易识别 |
| 风险评级 | 作为标签或分层变量 | 模型训练中的样本权重调整 |
2.4 账户数据：资金沉淀与生命周期
账户数据反映了客户在金融机构内的资金行为全貌。与交易数据不同，账户数据更关注“存量”与“状态”。
- 余额特征：日均余额、余额标准差、余额突增/突降、快进快出比例。
- 账户生命周期：开户时长、休眠期、激活时间、销户前交易模式。
- 账户状态：冻结、止付、挂失等状态标记，以及状态变更频率。
- 限额特征：单笔限额、日累计限额、月累计限额的使用率。
避坑提醒：账户数据中的“余额”字段在特征工程中极易被忽视。许多洗钱案例表现为“余额长期极低但交易频繁”，这种模式在仅使用交易数据时难以捕捉。
2.5 外部黑名单数据：风险信号的强标签
外部黑名单数据是AML特征工程中最重要的“强信号”来源。常见的黑名单类型包括：
| 黑名单类型 | 数据来源 | 特征构造方式 |
|---|---|---|
| 制裁名单（SDN） | OFAC、联合国、欧盟 | 精确匹配、模糊匹配得分 |
| 政治人物（PEP） | 政府公开数据、商业数据库 | PEP标记、PEP级别、关联人PEP |
| 负面媒体名单 | 新闻聚合、司法公告 | 实体识别、情感评分、事件类型 |
| 内部黑名单 | 历史可疑交易、已确认洗钱账户 | 关联账户扩散、图传播特征 |
2.6 舆情数据：非结构化风险信号
舆情数据是AML数据源中唯一以非结构化文本为主的数据类型。通过自然语言处理（NLP）技术，可以将舆情数据转化为结构化特征。
- 实体识别：从新闻中提取公司名、人名、地名，与客户/对手方关联。
- 情感评分：对涉及特定实体的新闻进行正面/负面/中性分类。
- 风险事件关联：识别“洗钱”、“欺诈”、“制裁”等关键词，生成事件标签。
- 时效性特征：舆情爆发时间与交易时间的接近程度。
进阶思路：舆情数据在特征工程中常被用作“滞后指标”，即舆情事件发生后，交易特征才出现异常。通过构建舆情-交易时间差特征，可以提升模型的预警能力。
2.7 数据源融合架构
在真实的AML系统中，五大数据源并非孤立使用，而是通过统一的特征存储层进行融合。下图展示了数据源到特征工程的典型架构：
2.8 数据源选择与优先级策略
在实际项目中，并非所有数据源都能同时获取。建议按照以下优先级进行数据源接入：
- 第一优先级：交易数据 + 客户信息数据（基础特征必备）
- 第二优先级：账户数据（补充资金沉淀特征）
- 第三优先级：外部黑名单数据（强信号标签）
- 第四优先级：舆情数据（非结构化信号，需NLP能力）