4. 特征工程入门：特征分类、构造思路、特征重要性初探

特征工程是连接原始数据与机器学习模型的桥梁。在支付风控场景中，好的特征能显著提升模型对欺诈、盗刷、套现等风险的识别能力。本章将系统梳理特征的分类体系、构造方法论以及如何初步评估特征的价值。

4.1 特征分类：从数据源到业务语义

支付风控特征可以从多个维度进行分类。理解分类有助于我们在构造特征时避免遗漏关键信息，并合理组织特征工程的工作流。

4.2 特征构造思路：从原始数据到高价值特征

特征构造的核心是将原始日志、交易流水、用户档案等信息转化为模型可理解的数值表示。以下是支付风控中最常用的四类构造方法。

4.2.1 聚合统计特征

基于时间窗口（如5分钟、1小时、1天、7天）对交易行为进行统计，是风控特征的基石。

• 计数类： 近1小时内交易次数、近24小时不同IP数。
• 金额类： 近7天累计交易金额、近30天最大单笔金额。
• 比率类： 近24小时失败交易占比、近7天大额交易占比。
• 趋势类： 当前小时交易量 vs 过去3小时平均交易量的比值。

4.2.2 时序与滑窗特征

捕捉行为在时间轴上的变化模式，对识别账户被盗后的行为突变非常有效。

• 差分特征： 当前交易金额 - 上一笔交易金额。
• 滑窗统计： 过去N笔交易的标准差、偏度、最大值。
• 时间间隔： 距离上一笔交易的时间差（秒）。

4.2.3 关系网络特征

通过图结构挖掘实体之间的关联，用于识别团伙欺诈和设备农场。

• 度数特征： 当前IP关联了多少个不同的用户ID。
• 聚集系数： 当前设备关联的账户之间是否存在交易关系。
• PageRank： 在用户-设备-IP异构图中计算节点重要性。

4.2.4 文本与序列特征

对非结构化数据进行特征提取。

• 地址相似度： 收货地址与历史地址的编辑距离。
• 设备指纹熵： 设备属性组合的多样性。
• 行为序列编码： 将用户操作序列（如点击、跳转）用N-gram或Embedding表示。

4.3 特征重要性初探：快速定位高价值特征

构造出大量特征后，我们需要快速筛选出对风险区分最有帮助的特征。以下是三种最常用的初探方法。

4.3.1 单变量分析

通过计算每个特征与目标变量（是否欺诈）之间的统计量，快速评估其区分能力。

• IV值（Information Value）： 衡量特征对好坏样本的区分能力。IV > 0.3 表示强预测力。
• 卡方检验： 适用于类别型特征，检验特征与目标是否独立。
• KS统计量： 计算好坏样本累计分布的最大差异。

4.3.2 模型内置重要性

使用树模型（如随机森林、XGBoost）训练一次，直接输出特征重要性排序。

• Gain（增益）： 特征被选为分裂点时带来的平均信息增益。
• Cover（覆盖度）： 特征分裂点覆盖的样本数量。
• Frequency（频率）： 特征被用于分裂的次数。

4.3.3 置换重要性（Permutation Importance）

不依赖特定模型，通过打乱特征值观察模型性能下降程度来评估特征重要性。

• 优点： 模型无关，可解释性强。
• 缺点： 计算成本较高，需要多次评估。

4.4 实战要点：特征工程中的常见陷阱