2. 规则模型基础：基于阈值的规则引擎设计、常见洗钱场景的规则定义

规则模型是反洗钱监测体系的第一道防线，也是可解释性最强的监测手段。基于阈值的规则引擎通过预设的数值边界、频率条件或组合逻辑，将交易行为与已知洗钱模式进行匹配。本章聚焦规则引擎的核心设计原理与常见洗钱场景的规则定义方法。

2.1 基于阈值的规则引擎架构

规则引擎的核心组件包括：交易数据接入层、规则条件评估层、阈值参数库、命中决策层与告警输出层。下图展示了典型规则引擎的内部处理流程：

2.2 阈值规则设计原则

设计有效的阈值规则需遵循以下核心原则：

原则	说明	示例
业务合理性	阈值需与产品特性、客户群体、地域特征匹配	个人账户单笔大额阈值设为5万元，企业账户设为50万元
统计可量化	基于历史数据分布确定阈值，避免主观臆断	取交易金额的95%分位数作为初始阈值
动态可调整	支持按时间窗口、业务周期进行参数调优	节假日期间临时提高频繁交易频次阈值
组合可叠加	单一规则易产生误报，需支持多条件组合	大额交易 + 跨地域 + 非工作时间 = 高可疑评分
可解释性	规则逻辑清晰，便于合规审查与监管解释	规则命中时输出具体触发的阈值条件

2.3 常见洗钱场景的规则定义

根据FATF建议及国内监管要求，以下为最常见的洗钱场景及其对应的规则定义：

2.3.1 大额交易监测规则

大额交易是洗钱活动最基础的监测维度。规则设计需覆盖单笔大额与累计大额两种模式：

• 单笔大额规则：单笔交易金额超过监管规定阈值（如人民币5万元、外币等值1万美元）时触发告警。
• 累计大额规则：同一客户在指定时间窗口（如1天、7天、30天）内累计交易金额超过阈值时触发。
• 拆分交易规则：检测同一客户在短时间内将大额资金拆分为多笔接近阈值的交易。

2.3.2 频繁交易监测规则

频繁交易通常与洗钱中的“混同”或“分层”阶段相关。规则定义需关注交易频次与交易对手多样性：

规则名称	条件定义	典型阈值	洗钱场景
高频交易	单日交易笔数超过阈值	≥ 10笔/日	资金快速分散
多对手交易	单日交易对手数量超过阈值	≥ 5个不同对手	账户代收代付
夜间交易	非工作时间（22:00-06:00）交易占比过高	夜间交易占比 ≥ 60%	规避人工监控
快速进出	资金入账后短时间内（如1小时内）转出	入账后 ≤ 60分钟转出	过渡账户洗钱

2.3.3 地域与渠道异常规则

结合交易发生的地域与渠道特征，可进一步识别异常行为：

• 跨地域交易规则：客户在短时间内于地理距离较远的多个城市发生交易。
• 高洗钱风险地区规则：交易对手位于FATF公布的高风险及不合作国家/地区。
• 渠道突变规则：客户突然从线下柜台交易转为线上匿名渠道交易。

2.4 规则组合与评分机制

单一规则往往产生较高的误报率。实际生产环境中采用规则组合 + 加权评分机制提升监测精度：

2.5 规则效果评估指标

规则上线后需持续评估其监测效果，核心指标包括：

指标	计算公式	理想范围	说明
告警率	告警交易数 / 总交易数	0.5% ~ 3%	过低可能漏报，过高则增加人工审核负担
确认率	确认可疑数 / 告警总数	≥ 15%	反映规则精准度
误报率	误报数 / 告警总数	≤ 85%	误报率过高需调整阈值或规则组合
覆盖率	规则覆盖的可疑交易数 / 总可疑交易数	≥ 80%	反映规则对洗钱场景的覆盖广度

2.6 规则代码实现示例

以下为基于Python的规则引擎核心逻辑示例，展示大额交易与频繁交易规则的实现：

class ThresholdRuleEngine:
    def __init__(self, config):
        self.config = config  # 阈值参数配置
        self.alerts = []

    def check_large_transaction(self, transaction):
        """单笔大额交易规则"""
        threshold = self.config['large_amount_threshold']
        if transaction['amount'] >= threshold:
            return {
                'rule_id': 'R001',
                'rule_name': '大额交易',
                'severity': 'high',
                'trigger_value': transaction['amount'],
                'threshold': threshold
            }
        return None

    def check_frequent_transaction(self, transactions, time_window='1D'):
        """频繁交易规则（时间窗口内交易笔数）"""
        threshold = self.config['frequent_count_threshold']
        if len(transactions) >= threshold:
            return {
                'rule_id': 'R002',
                'rule_name': '频繁交易',
                'severity': 'medium',
                'trigger_value': len(transactions),
                'threshold': threshold
            }
        return None

    def evaluate(self, transaction, history):
        """组合规则评估"""
        score = 0.0
        rules_hit = []

        # 规则A: 大额交易
        result_a = self.check_large_transaction(transaction)
        if result_a:
            score += 0.4  # 权重0.4
            rules_hit.append(result_a)

        # 规则B: 频繁交易
        result_b = self.check_frequent_transaction(history)
        if result_b:
            score += 0.3  # 权重0.3
            rules_hit.append(result_b)

        # 规则C: 夜间交易
        if self._is_night_time(transaction['timestamp']):
            score += 0.2
            rules_hit.append({'rule_id': 'R003', 'rule_name': '夜间交易'})

        return {
            'total_score': score,
            'rules_hit': rules_hit,
            'alert_level': 'high' if score >= 0.7 else ('medium' if score >= 0.4 else 'low')
        }

2.7 规则迭代优化策略

规则模型需要持续迭代以适应洗钱手法的演变。推荐以下优化路径：

1. 基于误报分析调参：定期分析误报案例，调整阈值参数或增加排除条件。
2. 规则生命周期管理：对长期无命中或确认率过低的规则进行下架或重构。
3. 引入时间衰减因子：对历史交易赋予递减权重，避免陈旧数据影响当前判断。
4. 规则与模型协同：将规则输出作为机器学习模型的特征输入，实现规则+模型的混合监测架构。