特征分层方法论：分层的目的、原则与架构总览

在KYC与AML实战中，原始特征往往维度高、噪声大、业务含义模糊。特征分层的核心目的是将无序的原始数据按照业务逻辑、行为规律和关系网络进行结构化重组，从而提升模型的解释性、稳定性和可审计性。本节将系统阐述特征分层的目的、三大分层原则以及整体架构。

一、特征分层的目的

特征分层并非简单的数据分类，而是为了应对金融合规场景中的三大核心挑战：

二、分层原则：业务层、行为层、网络层

特征分层遵循三大核心原则，每一层对应不同的数据来源与风险视角：

1. 业务层（Business Layer）

• 定义：客户在开户及持续尽职调查（CDD）过程中提供的静态信息。
• 数据来源：KYC表单、证件信息、工商注册数据、制裁名单。
• 典型特征：客户类型（个人/企业）、注册地、受益所有人、行业代码、注册资本、成立年限。
• 分层价值：构成客户风险画像的基线，是后续行为异常判定的参照系。

2. 行为层（Behavior Layer）

• 定义：客户在账户生命周期内产生的交易与操作行为数据。
• 数据来源：交易流水、登录日志、转账记录、设备指纹。
• 典型特征：日均交易金额、交易频次、夜间交易占比、快进快出比率、交易对手多样性。
• 分层价值：捕捉动态风险信号，识别偏离客户历史画像的异常行为。

3. 网络层（Network Layer）

• 定义：客户与其他实体（账户、IP、设备、法人）之间的关联关系。
• 数据来源：交易对手关系、共享设备、共同法人、资金流向图。
• 典型特征：一度/二度关联节点数、社区聚类系数、资金流入流出中心度、环路检测标识。
• 分层价值：发现团伙作案、循环交易、洗钱网络等单点行为无法识别的风险。

三、分层架构总览

下图展示了特征分层的完整架构，从原始数据输入到最终特征向量输出，每一层都有明确的处理逻辑与输出规范。

四、分层架构的横向对比

为帮助理解三层特征在实际建模中的差异，下表从多个维度进行对比：

五、分层特征的处理流程

每一层特征在进入模型前，都需要经过标准化的处理流程。以下以行为层为例展示典型处理步骤：

# 行为层特征处理伪代码示例
def build_behavior_features(transactions_df, customer_id, window_days=30):
    """
    构建行为层特征：时间窗口聚合
    """
    # 1. 按客户分组，设定滑动窗口
    windowed = transactions_df.groupby(customer_id).rolling(window=f'{window_days}D')
    
    # 2. 聚合统计量
    features = pd.DataFrame({
        'avg_amount': windowed['amount'].mean(),
        'max_amount': windowed['amount'].max(),
        'tx_count': windowed['amount'].count(),
        'night_ratio': windowed['is_night'].mean(),
        'fast_in_out': windowed['is_fast'].sum() / windowed['amount'].count()
    }).reset_index()
    
    # 3. 缺失值处理（新客户用业务层同类客户均值填充）
    features.fillna(group_mean_dict, inplace=True)
    
    # 4. 异常值截断（99%分位数）
    for col in ['avg_amount', 'max_amount']:
        upper = features[col].quantile(0.99)
        features[col] = features[col].clip(upper=upper)
    
    return features

业务层和网络层的处理流程类似，但各有侧重：业务层重点处理缺失值和类别编码；网络层重点处理图构建和社区发现算法。

六、分层架构的实战价值

特征分层方法论在多个金融合规项目中已被验证有效。以下是一个典型应用场景：

• 场景：某支付公司识别“空壳公司洗钱”团伙
• 业务层发现：多家公司注册地址相同、注册资本极低、成立时间不足3个月
• 行为层发现：这些公司账户均呈现“小额测试交易 → 大额快进快出 → 余额归零”的行为模式
• 网络层发现：所有账户共享同一批IP和设备，且资金最终流向同一离岸账户
• 三层融合结果：模型风险评分从单层最高的0.65提升至三层融合后的0.92，准确识别该团伙