3、人群切片定义
在实时交易风控中，人群切片是指将全量交易流量按照一个或多个维度拆分为若干逻辑子集，每个子集称为一个“切片”。切片的核心目的是将宏观的、混杂的全局数据，分解为微观的、可独立评估的单元，从而精准定位风险分布、评估策略效果、发现异常模式。
核心公式： 人群切片 = 全量交易 × 维度组合 → 可独立分析的风险子集
3.1 切片维度
切片维度是定义人群切片的“坐标轴”。在实时交易风控中，最常用的切片维度包括以下四类：
| 维度类别 | 典型字段 | 切片粒度示例 | 风控意义 |
|---|---|---|---|
| 用户ID | user_id, account_id | 单用户、用户群组（如VIP、新客） | 识别个体异常行为、黑名单用户、高频交易账户 |
| 设备 | device_id, device_fingerprint | 单设备、设备型号、操作系统版本 | 发现设备农场、模拟器攻击、设备篡改 |
| IP | client_ip, proxy_ip | 单IP、IP段、ASN、国家/地区 | 识别代理IP、爬虫、地域聚集攻击 |
| 金额区间 | transaction_amount | 小额(0-100)、中额(100-1000)、大额(1000+) | 区分试探性交易、正常消费、大额盗刷 |
实战建议： 切片维度并非越多越好。每增加一个维度，切片数量呈指数级增长，可能导致部分切片数据稀疏、统计意义丧失。建议从业务风险最敏感的2-3个维度开始，逐步扩展。
3.2 切片粒度选择
切片粒度决定了每个切片的“粗细”程度。粒度选择直接影响分析效率和风险发现能力：
- 粗粒度（如按国家、按设备品牌）：数据量大、统计稳定，但容易掩盖局部异常。
- 细粒度（如按单用户、按单设备）：定位精准，但切片数量多、噪声大，容易触发“零样本”问题。
- 最佳实践：采用“先粗后细、逐层下钻”的策略，在粗粒度切片发现异常后，再下钻到细粒度定位具体对象。
以下表格展示了不同粒度选择的适用场景：
| 粒度级别 | 示例 | 适用场景 | 风险 |
|---|---|---|---|
| 超粗 | 全部交易、按渠道 | 全局趋势监控、宏观报告 | 无法发现局部攻击 |
| 粗 | 按国家、按设备品牌 | 地域性攻击、设备类型异常 | 可能漏掉小范围攻击 |
| 中 | 按IP段、按金额区间 | 代理IP检测、金额模式分析 | 需要结合其他维度 |
| 细 | 按单用户、按单设备 | 黑名单命中、个体行为分析 | 数据稀疏、统计不稳定 |
3.3 人群切片结构图
下图展示了从全量交易到人群切片的完整分解过程，以及各维度之间的组合关系：
3.4 切片组合与下钻路径
实际风控复盘时，通常不会只使用单一维度，而是通过多维度组合形成更精准的切片。以下是一个典型的下钻路径示例：
- 全局层：全量交易 → 发现整体拒绝率异常升高
- 粗粒度层：按IP国家切片 → 发现某国拒绝率是平均值的3倍
- 中粒度层：按IP国家 + 金额区间切片 → 发现该国大额交易拒绝率极高
- 细粒度层：按IP国家 + 金额区间 + 设备指纹切片 → 定位到特定设备集群
避坑提示： 切片下钻时，务必关注每个切片的样本量。当切片交易量小于100笔时，统计指标（如拒绝率、通过率）的置信度急剧下降，容易产生误判。建议设置最小切片阈值（如≥50笔），低于阈值的切片标记为“样本不足”并合并处理。
3.5 切片定义最佳实践清单
| 步骤 | 操作 | 说明 |
|---|---|---|
| 1 | 确定业务目标 | 是发现盗刷、识别代理、还是评估策略效果？ |
| 2 | 选择核心维度 | 从用户ID、设备、IP、金额区间中选2-3个 |
| 3 | 定义粒度 | 粗粒度用于快速扫描，细粒度用于精准定位 |
| 4 | 设置最小样本阈值 | 建议≥50笔，避免统计噪声 |
| 5 | 建立下钻路径 | 先粗后细，逐层深入 |
| 6 | 记录切片定义 | 保存为可复用的切片模板，便于后续复盘 |