3. 反洗钱数据源：交易数据、客户信息数据、外部黑名单数据、行为日志数据、网络图谱数据
反洗钱（AML）风控系统的根基在于数据。不同数据源提供了从不同维度刻画客户与交易行为的原始信息，是后续特征工程与模型训练的原材料。本章系统梳理五大核心数据源的结构、关键字段、典型用途及在特征选择中的角色。
3.1 五大数据源全景概览
下表从数据内容、更新频率、数据量级、主要用途四个维度对比五大数据源，帮助建立全局认知。
| 数据源 | 核心内容 | 更新频率 | 数据量级 | 主要用途 |
|---|---|---|---|---|
| 交易数据 | 交易流水、金额、对手方、渠道、时间 | 实时/准实时 | 极高（亿级/日） | 异常交易检测、金额/频次特征 |
| 客户信息数据 | 身份信息、职业、地址、KYC等级 | 低频（日/周） | 中等（百万级） | 客户画像、风险评级、准入规则 |
| 外部黑名单数据 | 制裁名单、通缉名单、负面媒体 | 按需/每日 | 低（万级） | 命中检测、名单匹配、合规筛查 |
| 行为日志数据 | 登录、点击、页面停留、设备指纹 | 实时 | 极高（十亿级/日） | 行为异常检测、设备关联、团伙识别 |
| 网络图谱数据 | 账户间转账关系、共用设备、共用IP | 离线/准实时 | 高（边数十亿） | 团伙挖掘、资金链路追踪、社区发现 |
关键认知：单一数据源往往只能提供局部视角。洗钱行为通常涉及多个环节，跨数据源的特征组合（如“交易金额异常 + 客户信息不匹配 + 行为日志中的设备聚集”）才是高价值特征的主要来源。
3.2 交易数据：反洗钱的核心血液
交易数据是AML分析中最基础、最核心的数据源。每一笔交易都包含时间、金额、对手方、渠道、交易类型等关键要素。
3.2.1 关键字段与特征衍生方向
- 交易金额：单笔金额、累计金额、平均金额、最大/最小金额、金额标准差。
- 交易频次：日交易笔数、小时交易笔数、夜间交易占比、节假日交易占比。
- 对手方特征：对手方数量、对手方地域分布、对手方风险等级、对手方是否为黑名单。
- 渠道特征：渠道类型（网银/手机/柜台）、渠道切换频率、渠道异常登录。
- 时间特征：交易间隔、交易时间分布、凌晨交易占比、工作日/周末分布。
3.2.2 典型洗钱模式对应的交易特征
| 洗钱模式 | 典型交易特征 | 特征示例 |
|---|---|---|
| 拆分交易（Smurfing） | 多笔小额、接近阈值、时间集中 | 单日交易笔数 > 10，单笔金额 < 5万，累计金额接近报告阈值 |
| 快速进出（Rapid Layering） | 资金快进快出、多账户流转 | 入账后30分钟内转出，转出账户数 > 5 |
| 结构化存款 | 定期定额、规避大额报告 | 连续多日存入金额均低于报告阈值100元以内 |
| 跨境资金转移 | 高频跨境、金额波动大、对手方分散 | 跨境交易占比 > 60%，对手方涉及3个以上国家 |
3.3 客户信息数据：身份与风险画像
客户信息数据（KYC数据）是AML风控的第一道防线。客户身份的真实性、完整性、合理性直接影响后续所有分析的有效性。
3.3.1 核心字段分类
- 身份信息：姓名、证件类型、证件号码、国籍、出生日期、性别。
- 联系信息：手机号、邮箱、居住地址、工作单位。
- 职业与收入：职业类型、行业、年收入、资金来源。
- KYC等级：客户风险等级（低/中/高）、KYC完成度、证件有效期。
- 关联信息：开户机构、开户时间、客户经理、推荐人。
3.3.2 客户信息异常检测特征
- 信息冲突：年龄与职业不匹配、收入与交易金额不匹配、地址与交易IP地域不匹配。
- 信息缺失：关键字段缺失率、KYC完成度低于阈值。
- 信息聚集：多个客户共用同一手机号、同一地址、同一IP。
- 信息变更：近期频繁修改手机号、地址、证件信息。
实践建议：客户信息数据通常更新频率较低，但一旦发生变更，往往是洗钱团伙准备“弃号”或“换壳”的信号。建议将“近30天内信息变更次数”作为基础特征纳入模型。
3.4 外部黑名单数据：合规底线
外部黑名单数据是AML合规的刚性要求。任何命中黑名单的客户或交易都必须触发强制报告和冻结流程。
3.4.1 常见黑名单类型
| 黑名单类型 | 来源 | 更新频率 | 匹配方式 |
|---|---|---|---|
| 制裁名单（SDN） | OFAC、联合国、欧盟 | 每日 | 精确匹配 + 模糊匹配 |
| 通缉名单 | 国际刑警、公安部 | 按需 | 精确匹配 |
| 负面媒体名单 | 新闻、司法公告 | 每日 | NLP实体识别 + 模糊匹配 |
| 内部黑名单 | 历史已确认洗钱账户 | 实时 | 精确匹配 |
3.4.2 黑名单匹配特征
- 命中标记：是否命中黑名单、命中名单类型、命中次数。
- 相似度分数：模糊匹配的相似度得分（如Levenshtein距离、Jaro-Winkler分数）。
- 关联命中：交易对手方是否命中黑名单、关联账户是否命中黑名单。
- 时间衰减：命中黑名单的时间距今天数，近期命中权重更高。
3.5 行为日志数据：看不见的指纹
行为日志数据记录了客户在数字渠道上的每一次操作，是识别“人机行为”、“团伙操作”、“账户盗用”的关键数据源。
3.5.1 行为日志核心维度
- 登录行为：登录时间、登录IP、登录设备、登录频率、登录失败次数。
- 操作行为：页面点击、页面停留时间、功能使用顺序、转账操作时长。
- 设备指纹：设备ID、操作系统、浏览器版本、屏幕分辨率、时区。
- 网络信息：IP地址、IP归属地、代理/VPN检测、WiFi SSID。
3.5.2 行为异常特征示例
| 异常类型 | 行为特征 | 洗钱关联 |
|---|---|---|
| 非人类操作 | 操作间隔固定、无鼠标移动、页面停留时间极短 | 自动化脚本批量转账 |
| 设备聚集 | 多个账户在同一设备上登录 | 团伙共用设备操作 |
| IP异常 | 登录IP与开户地跨省/跨国、使用代理/VPN | 隐藏真实位置 |
| 时间异常 | 凌晨2-5点高频操作、节假日异常活跃 | 规避人工监控时段 |
3.6 网络图谱数据：关系与链路
网络图谱数据将账户、设备、IP、手机号等实体作为节点，将交易、登录、共用关系作为边，构建出完整的关联网络。这是识别洗钱团伙和资金链路的最强工具。
3.6.1 图谱数据核心要素
- 节点：账户、设备ID、IP地址、手机号、邮箱、地址。
- 边：转账关系、共用设备关系、共用IP关系、共用手机号关系。
- 属性：交易金额、交易频次、关系建立时间、关系强度。
3.6.2 图谱特征衍生
| 特征类别 | 特征名称 | 计算方式 |
|---|---|---|
| 中心性 | 度中心性、介数中心性、接近中心性 | 衡量节点在网络中的重要性 |
| 社区 | 社区大小、社区密度、社区内交易占比 | Louvain/标签传播算法 |
| 路径 | 最短路径长度、资金流转深度 | BFS/DFS遍历 |
| 聚集 | 聚类系数、三角形计数 | 衡量局部紧密程度 |
| 相似性 | Jaccard相似度、共同邻居数 | 衡量节点间关联强度 |
注意：网络图谱数据的数据量极大（边数十亿级），特征计算需要分布式图计算引擎（如GraphX、Neo4j + Spark）。在特征选择阶段，建议优先选择计算成本较低的中心性特征和社区特征，再逐步引入路径和聚集特征。
3.7 五大数据源融合特征架构
下图展示了五大数据源如何融合生成最终的特征向量，用于AML模型训练。
3.8 数据源质量对特征选择的影响
数据源的质量直接决定了特征的有效性。在特征选择之前，必须对数据源进行质量评估。
| 质量维度 | 评估指标 | 对特征选择的影响 |
|---|---|---|
| 完整性 | 字段缺失率、记录缺失率 | 缺失率高的字段衍生出的特征不可靠，应优先剔除 |
| 准确性 | 数据错误率、异常值比例 | 错误数据会导致特征分布偏移，需先清洗再选择 |
| 一致性 | 跨系统字段一致性、时间戳对齐 | 不一致的数据源无法进行有效的交叉特征衍生 |
| 时效性 | 数据延迟时间、更新频率 | 延迟高的数据源不适合实时特征，只能用于离线特征 |
| 覆盖度 | 数据覆盖客户比例、覆盖交易比例 | 覆盖度低的数据源衍生的特征对大部分样本无效 |
实践要点：在特征选择阶段，建议先对每个数据源进行质量评分，将评分低于阈值的数据源标记为“低质量源”，其衍生的特征在后续对照实验中作为“待验证特征”处理，避免低质量数据污染模型。
3.9 本章小结
五大数据源各有侧重，互为补充：
- 交易数据提供金额与频次维度的核心特征；
- 客户信息数据提供身份与画像维度的基础特征；
- 外部黑名单数据提供合规维度的刚性特征；
- 行为日志数据提供操作与设备维度的行为特征；
- 网络图谱数据提供关系与链路维度的团伙特征。