2. 知识图谱基础：实体、关系、属性的概念，图数据库（Neo4j）简介，图谱在风控中的应用模式
2.1 知识图谱核心三要素：实体、关系、属性
知识图谱本质上是一种用图结构来建模真实世界事物及其关联的语义网络。在反欺诈场景中，它能够将零散的账户、设备、交易等数据点编织成一张可推理的关联网。其核心由以下三个基本元素构成：
| 要素 | 英文 | 定义 | 反欺诈示例 |
|---|---|---|---|
| 实体 | Entity / Node | 客观存在并可相互区分的事物，是图谱中的节点。 | 用户A、手机号138xxxx、设备IMEI:12345、订单ID:6789 |
| 关系 | Relationship / Edge | 实体之间存在的某种语义连接，通常带有方向。 | 用户A —[登录]→ 设备IMEI:12345；用户A —[使用]→ 手机号138xxxx |
| 属性 | Property | 描述实体或关系的特征信息，以键值对形式存储。 | 用户A {姓名:张三, 注册时间:2024-01-01}；关系[登录] {IP:10.0.0.1, 时间戳:2024-06-15 10:30:00} |
关键理解： 实体是“谁/什么”，关系是“做了什么/有什么联系”，属性是“具体细节”。在反欺诈中，我们通过关系将看似孤立的实体连接起来，从而发现隐藏的团伙或异常路径。
2.2 图数据库（Neo4j）简介
传统关系型数据库（如MySQL）在处理多对多、深层次关联查询时性能急剧下降。图数据库专为存储和遍历关联数据而设计，其中Neo4j是目前业界最成熟、社区最活跃的图数据库之一，也是本教程实时反欺诈图谱的核心存储引擎。
2.2.1 Neo4j 核心概念与建模
| Neo4j 概念 | 对应图谱要素 | 说明 |
|---|---|---|
| Node（节点） | 实体 | 用圆表示，可以有一个或多个标签（Label），如 :User、:Device、:Phone |
| Relationship（关系） | 关系 | 用有向箭头表示，必须有一个类型（Type），如 :LOGIN、:USED、:TRANSFER_TO |
| Property（属性） | 属性 | 键值对，附加在节点或关系上，如 {name: '张三', risk_score: 0.85} |
| Label（标签） | 实体类型 | 用于对节点进行分类和索引，一个节点可以有多个标签 |
2.2.2 Cypher 查询语言示例
Cypher 是 Neo4j 的声明式图查询语言，语法直观。以下是一个简单的反欺诈关联查询示例：
// 查询与高风险设备关联的所有用户
MATCH (u:User)-[:LOGIN]->(d:Device {risk_level: 'high'})
RETURN u.id, u.name, d.device_id
// 查询两个用户之间是否存在间接资金流转（2跳以内）
MATCH path = (u1:User {id: 'A'})-[:TRANSFER_TO*1..2]-(u2:User {id: 'B'})
RETURN path
为什么选择 Neo4j？ 在反欺诈场景中，我们需要实时查询一个账户的 3 度甚至 5 度关联关系。Neo4j 的索引自由邻接遍历机制，使得这种深度关联查询的延迟在毫秒级，而传统数据库需要多次 JOIN，性能随深度指数级下降。
2.3 图谱在风控中的应用模式
知识图谱在反欺诈中并非替代规则引擎或机器学习模型，而是提供一种关联分析和可解释性的独特视角。以下是三种核心应用模式：
2.3.1 模式一：团伙欺诈识别（社群发现）
通过图谱发现共享相同设备、IP、手机号等资源的用户群体，识别羊毛党、刷单团伙。
- 典型特征：多个账户共享少量设备/IP；关系图呈现高密度子图。
- 图谱查询：使用社区发现算法（如 Louvain、标签传播）划分社群，对异常小团体进行标注。
2.3.2 模式二：异常路径检测（环路与星型）
分析资金流向或操作链路，发现不符合正常业务逻辑的路径。
- 资金闭环：资金在多个账户间流转后回到起点，常见于洗钱。
- 星型汇聚：多个账户将资金集中转入一个账户，然后分散转出，典型多头借贷或非法集资特征。
2.3.3 模式三：实时风险传导与推理
当一个实体被判定为高风险（如设备已报失、IP 为代理），通过图谱实时传播风险标签给与其关联的所有实体。
- 规则示例：如果用户 A 关联的设备 D 在 5 分钟内关联了超过 10 个不同用户，则判定设备 D 为“猫池设备”，并自动将关联用户的风险等级提升。
- 实时性要求：Flink 消费 Kafka 事件流，实时更新 Neo4j 图谱，并触发 Cypher 查询进行风险传导。
实践注意：图谱不是银弹。在风控中，图谱通常与实时特征计算（Flink CEP）、机器学习模型（如 GNN）结合使用。图谱擅长处理“关系”和“结构”，而模型擅长处理“属性”和“概率”。
2.4 本章小结
- 实体、关系、属性是知识图谱的三大基石，在反欺诈中分别对应参与方、行为/连接、上下文细节。
- Neo4j 作为原生图数据库，通过节点、关系、标签、属性建模，使用 Cypher 语言进行高效关联查询，是实时反欺诈图谱的理想存储选型。
- 图谱在风控中的三种核心应用模式：团伙识别（社群发现）、异常路径（环路/星型检测）、风险传导（实时推理），为后续 Flink 实时计算与图谱联动打下理论基础。