3. 反欺诈业务建模：常见欺诈场景、评分卡模型与实时决策需求
反欺诈实时评分管道的核心在于将业务理解转化为可计算的模型。本章聚焦三大高频欺诈场景、经典评分卡建模方法，以及实时决策对技术架构提出的关键需求。
3.1 常见欺诈场景与行为特征
根据行业统计，超过 85% 的线上欺诈集中在以下三类场景。每类场景的行为模式、时间窗口和特征维度差异显著，需要分别建模。
| 欺诈场景 | 典型行为 | 关键特征维度 | 时间敏感度 |
|---|---|---|---|
| 交易欺诈 | 盗用卡号进行非本人授权支付；小额试探后大额转移 | 交易金额、IP 地理位置、设备指纹、商户类别码 | 高（秒级拦截） |
| 账户盗用 | 通过撞库或社工获取登录凭证，修改绑定信息 | 登录频率、设备变更、操作路径异常、密码重置次数 | 中（分钟级） |
| 薅羊毛 | 批量注册新账号，利用新人优惠、红包、满减套利 | 注册 IP 聚合度、设备关联数、收货地址相似度 | 低（小时级/天级） |
建模提示： 交易欺诈通常使用 滑动窗口聚合（如过去 5 分钟同 IP 交易笔数）；账户盗用侧重 序列异常检测（如登录→改密→转账的路径偏离）；薅羊毛依赖 图关联分析（同一设备关联多个账号）。
3.2 评分卡模型：从规则到概率
反欺诈评分卡（Scorecard）是一种将多个特征加权求和后映射为风险分数的线性模型。其优势在于可解释性强、部署成本低，适合实时管道。
3.2.1 评分卡建模流程
- 特征分箱：将连续变量（如交易金额）划分为若干区间，每个区间赋予一个 WOE（Weight of Evidence）值。
- 单变量筛选：通过 IV（Information Value）衡量每个特征对欺诈的区分能力，IV > 0.1 的特征保留。
- 逻辑回归拟合：以 WOE 编码后的特征作为输入，拟合 P(欺诈|特征) 的概率。
- 分数映射：将概率转换为整数分数，通常设定基准分 600，每增加 20 分风险翻倍。
# 评分卡分数映射公式（伪代码）
score = base_score + round(
sum( feature_woe_i * coefficient_i ) * factor + offset
)
# 示例：base_score=600, factor=20/log(2), offset=0
3.2.2 评分卡 vs 复杂模型
| 对比维度 | 评分卡（逻辑回归） | 树模型 / 深度学习 |
|---|---|---|
| 可解释性 | 高（每个特征贡献可追溯） | 低（需 SHAP/LIME 辅助） |
| 实时推理延迟 | < 1 ms（纯线性计算） | 5–50 ms（依赖树遍历或矩阵运算） |
| 模型更新成本 | 低（仅更新系数表） | 高（需重新训练并验证） |
| 适用场景 | 强监管、需解释拒绝原因 | 高召回优先、可接受黑盒 |
架构决策： 在实时评分管道中，评分卡常作为 第一层过滤器，快速拦截明显欺诈；复杂模型作为 第二层精排，处理边界案例。这种级联结构兼顾延迟与准确率。
3.3 实时决策需求与技术约束
反欺诈评分管道必须在毫秒级完成特征计算、模型推理和决策输出。以下四项需求直接决定技术选型。
- 端到端延迟 < 100 ms：从事件到达 Kafka 到返回决策结果，超过 200 ms 会导致用户流失或交易超时。
- 特征新鲜度 < 5 s：滑动窗口聚合（如过去 1 分钟同设备交易数）必须基于最新数据，依赖 Spark Structured Streaming 的微批次或 Flink 的纯流处理。
- 模型热加载：评分卡系数或规则配置变更时，不能重启服务；需支持从 Redis/配置中心动态拉取最新版本。
- 可审计回溯：每条决策记录需保存特征快照、模型版本、分数明细，用于事后分析和监管合规。
常见陷阱： 实时管道中特征计算与模型推理容易耦合过紧。建议将特征工程封装为独立的 UDF 或微服务，评分卡推理使用 PMML/ONNX 格式部署，避免 Spark 作业升级导致整个管道阻塞。
3.4 场景与模型匹配矩阵
不同欺诈场景对模型类型和实时性要求不同。以下矩阵帮助架构师快速匹配。
| 欺诈场景 | 推荐模型 | 实时等级 | 特征存储 | 决策动作 |
|---|---|---|---|---|
| 交易欺诈 | 评分卡 + 规则引擎 | 毫秒级 | Redis（TTL 5 min） | 直接拒绝 |
| 账户盗用 | 评分卡 + 序列模型 | 秒级 | Redis + HBase | 二次验证 |
| 薅羊毛 | 图模型 + 评分卡 | 分钟级 | Neo4j / JanusGraph | 限制权益 |