2. 反欺诈图谱基础：实体与关系建模、常见欺诈模式的图谱表示
反欺诈图谱的核心思想是将业务中的实体（如用户、设备、IP、订单、银行卡）抽象为节点，将实体之间的关联行为（如登录、交易、绑定、同设备使用）抽象为边。通过这种图结构，欺诈模式不再依赖孤立的规则阈值，而是通过实体间的连接密度、路径长度和子图结构来识别。
2.1 实体与关系建模
实体建模是反欺诈图谱的基石。每个实体节点需要包含唯一标识（ID）和关键属性，边则记录关系类型、时间戳、权重等元信息。下表列出反欺诈场景中最常见的实体类型及其核心属性：
| 实体类型 | 节点标识 | 关键属性（示例） | 典型关系 |
|---|---|---|---|
| 用户（User） | user_id | 注册时间、实名等级、历史逾期次数 | 登录、交易、绑定 |
| 设备（Device） | device_id | 设备型号、操作系统、是否模拟器 | 同设备使用、同IP连接 |
| IP地址（IP） | ip_addr | 地理位置、ASN、是否为代理IP | 同IP登录、同IP交易 |
| 银行卡（Card） | card_hash | 发卡行、卡类型、绑定时间 | 绑定、充值、提现 |
| 订单（Order） | order_id | 金额、商品类型、支付方式 | 下单、支付、退款 |
关系建模需要区分静态关系（如“同设备使用”）和动态关系（如“转账”）。动态关系必须携带时间窗口属性，以便在Flink实时计算中做滑动窗口聚合。例如，边可以定义为：
Edge: (user_id) --[LOGIN]--> (device_id)
属性: login_time, login_ip, is_success, risk_score2.2 常见欺诈模式的图谱表示
将欺诈模式转化为图谱子结构，是反欺诈图谱可解释性的关键。以下三种模式在风控场景中最为典型。
2.2.1 团伙欺诈（Community Fraud）
团伙欺诈表现为多个用户共享少量设备、IP或银行卡，形成高密度的“星型”或“团状”子图。图谱中，团伙节点之间的连接数远高于随机图。检测时通常关注连通分量和模块度指标。
2.2.2 设备关联（Device Linking）
单个设备关联大量用户，或单个用户关联大量设备，是典型的设备农场或养号行为。图谱中表现为设备节点的度（Degree）异常偏高。例如，一台手机在1小时内登录超过50个不同账号，即可判定为设备关联风险。
2.2.3 异常交易链（Anomalous Transaction Chain）
资金在多个账户之间快速流转，形成环形或长链结构，常用于洗钱或套现。图谱中需要检测环检测和路径长度异常。例如，一笔资金在5分钟内经过4个中间账户最终回到发起方，即为典型的循环交易链。
| 欺诈模式 | 图谱结构特征 | 核心检测指标 | 实时计算要点 |
|---|---|---|---|
| 团伙欺诈 | 高密度子图、共享节点多 | 连通分量大小、模块度 | 增量连通分量更新 |
| 设备关联 | 星型结构、中心节点度极高 | 节点度、设备用户比 | 滑动窗口内度计数 |
| 异常交易链 | 环形、长链、资金快速流转 | 环存在性、路径长度 | 有限深度BFS剪枝 |
下图展示了一个包含团伙欺诈和设备关联的混合图谱结构，其中用户节点（蓝色）围绕共享设备（红色）和共享IP（橙色）形成密集连接：
上图清晰展示了：U1、U2、U3、U4共享设备D1，构成一个设备关联团伙；U5和U2共享设备D2，形成跨团伙连接；所有设备通过IP1连接到银行卡C1，呈现典型的资金归集模式。这种多跳关联在传统规则引擎中极难捕获，但在图谱中仅需一次子图查询即可暴露。
2.3 图谱构建的实时计算考量
在Flink实时计算环境中，图谱构建需要处理边的事件流。每条关系事件（如登录、交易）到达时，Flink算子需要执行以下步骤：
- 实体解析：从事件中提取源实体ID、目标实体ID和关系类型。
- 节点状态更新：在Flink Keyed State中维护节点的度、最近活跃时间等统计量。
- 边存储：将边写入可查询的图存储（如JanusGraph或自研内存图），或保留在Flink状态后端用于滑动窗口分析。
- 模式匹配触发：当新边加入导致局部子图结构满足预设欺诈模式时，立即输出告警。
下图展示了Flink实时图谱构建的流水线架构，从事件接入到模式匹配告警的完整链路：