4. 样本分层实战（二）：基于行为特征的分层方法

在上一节中，我们基于静态属性（如注册时长、历史逾期率）完成了样本的粗粒度分层。本节将深入行为特征维度，利用交易频次、登录时段和设备指纹三个核心指标，构建更精细、更具时效性的分层策略。行为特征能动态反映用户近期的风险偏好与操作习惯，是规则引擎实现“千人千面”策略的关键输入。

4.1 行为特征分层指标体系

行为特征分层并非简单堆砌指标，而是需要构建一个可量化、可交叉验证的指标体系。下表列出了本次实战中使用的核心行为特征及其风险含义：

4.2 交易频次分层模型

交易频次是行为分层中最敏感的指标之一。我们采用滑动窗口 + 分位数分段的方法，避免固定阈值带来的误杀。

1. 窗口计算： 对每个用户，计算过去7天（T-1 至 T-7）的交易笔数 cnt_7d 和交易间隔标准差 std_interval。
2. 层内归一化： 在同一静态层内，对 cnt_7d 和 std_interval 进行 Min-Max 归一化，消除量纲影响。
3. 频次风险评分： 定义 freq_risk_score = 0.6 * (1 - norm_std_interval) + 0.4 * norm_cnt_7d。间隔越均匀、笔数越多，评分越高。
4. 分层阈值： 将评分按 [0, 0.3) 低风险、(0.3, 0.7] 中风险、(0.7, 1.0] 高风险 进行三段划分。

# 交易频次分层核心逻辑（Python伪代码）
def freq_layer(user_id, static_layer):
    cnt_7d = get_transaction_count(user_id, days=7)
    std_interval = get_interval_std(user_id, days=7)
    
    # 获取同静态层用户的统计量
    layer_stats = get_layer_stats(static_layer)
    norm_cnt = (cnt_7d - layer_stats['cnt_min']) / (layer_stats['cnt_max'] - layer_stats['cnt_min'])
    norm_std = (std_interval - layer_stats['std_min']) / (layer_stats['std_max'] - layer_stats['std_min'])
    
    freq_risk = 0.6 * (1 - norm_std) + 0.4 * norm_cnt
    if freq_risk < 0.3:
        return 'freq_low'
    elif freq_risk < 0.7:
        return 'freq_mid'
    else:
        return 'freq_high'

4.3 登录时段分层模型

登录时段特征能有效区分“真人”与“脚本/团伙”。我们引入信息熵和凌晨活跃度两个维度。

• 时段熵值计算： 将一天24小时划分为8个时段（每3小时一段），统计用户近30天在每个时段的登录次数占比 p_i，计算熵值 H = -Σ(p_i * log2(p_i))。熵值越高，时段分布越均匀，越像机器行为。
• 凌晨活跃度： 统计时段 02:00-05:00 的登录次数占总登录次数的比例。
• 分层规则： 采用决策规则组合，而非简单评分。

4.4 设备指纹分层模型

设备指纹是关联用户身份的核心锚点。我们重点考察设备关联账户数和设备环境风险评分。

• 关联账户数： 查询设备指纹在过去90天内关联的唯一账户数量。超过3个即进入高风险区间。
• 环境风险评分： 由设备指纹SDK实时采集，包含模拟器检测、Root检测、VPN/代理检测、时区漂移检测等，综合输出0-100分。
• 分层矩阵： 将两个指标交叉，形成4个设备分层。

设备分层矩阵：
                    环境风险评分 < 70      环境风险评分 ≥ 70
关联账户 ≤ 3        device_clean          device_risky_env
关联账户 > 3        device_multi_user     device_black

4.5 行为特征综合分层架构

将上述三个维度的分层结果进行综合，形成最终的行为特征层。综合策略采用“一票否决 + 加权投票”机制：

• 一票否决： 若设备分层为 device_black，或时段分层为 time_abnormal，则直接归入行为高风险层，不参与后续加权。
• 加权投票： 对于非否决情况，对三个维度的分层结果进行加权映射。权重分配为：设备指纹 0.5，交易频次 0.3，登录时段 0.2。
• 最终分层： 综合得分 < 0.4 为行为低风险层，0.4-0.7 为中风险层，> 0.7 为高风险层。

4.6 分层结果在规则引擎中的映射

完成行为特征分层后，需要将分层结果映射为规则引擎可执行的策略标签。映射关系如下：

规则引擎策略标签映射表：
| 综合行为层       | 规则引擎标签          | 执行动作                     |
|------------------|-----------------------|------------------------------|
| 行为低风险层     | BEHAVIOR_LOW          | 放行，不触发额外校验         |
| 行为中风险层     | BEHAVIOR_MID          | 触发OTP验证 + 交易限额降50%  |
| 行为高风险层     | BEHAVIOR_HIGH         | 直接拒绝，记录设备黑名单     |

4.7 实战案例：异常交易账户识别

某支付平台在实时监控中发现一个账户在凌晨3:00-4:00之间连续发起12笔小额转账，每笔间隔约2秒。通过行为特征分层模型分析：

• 交易频次层： 近7日交易笔数从日均5笔突增至12笔，间隔标准差仅1.8秒，判定为 freq_high。
• 登录时段层： 该账户历史登录时段集中在19:00-23:00，今日凌晨登录占比100%，熵值高达3.7，判定为 time_abnormal。
• 设备指纹层： 设备关联账户数为1，环境风险评分45，判定为 device_clean。

由于时段层触发了 time_abnormal 一票否决，该账户直接被归入行为高风险层。规则引擎匹配到 BEHAVIOR_HIGH 标签后，立即拒绝该笔交易并触发告警。事后调查确认该账户被撞库攻击，自动化脚本正在测试账户有效性。