3. 反洗钱特征体系：交易特征、客户特征、行为特征、网络特征、时间序列特征

在反洗钱（AML）对照实验中，特征工程的质量直接决定了模型能否有效区分正常交易与可疑交易。一套完整的反洗钱特征体系通常涵盖五个核心维度：交易特征、客户特征、行为特征、网络特征和时间序列特征。每个维度从不同角度刻画洗钱行为的蛛丝马迹，共同构成对照实验的输入空间。

3.1 交易特征

交易特征是反洗钱分析中最基础、最直接的信号来源。它们直接从单笔交易记录中提取，用于识别金额、频率、渠道等方面的异常。

3.2 客户特征

客户特征描述交易主体的静态与半静态属性，用于建立客户的风险画像。这些特征在对照实验中通常作为分层变量或协变量使用。

• 身份属性：客户类型（个人/企业）、国籍、职业、行业、注册地。
• 风险评级：内部风险等级（低/中/高）、监管名单命中情况、历史违规记录。
• 账户属性：开户时长、账户类型（储蓄/对公/投资）、账户状态（正常/冻结/休眠）。
• 关联关系：控股股东、实际受益人、法人代表、授权签字人。

客户特征在对照实验中的常见用法是作为分层随机化的依据。例如，将客户按风险等级分层后，再随机分配到实验组与对照组，从而保证两组在客户风险分布上均衡可比。

3.3 行为特征

行为特征刻画客户在特定时间窗口内的操作模式，反映其与正常行为基线之间的偏离程度。行为特征通常需要滑动窗口计算，对计算时效性要求较高。

# 行为特征计算示例（滑动窗口）
def compute_behavior_features(txns, window='7D'):
    features = {}
    # 交易金额偏离度
    features['amt_mean_dev'] = (txns['amount'] - txns['amount'].rolling(window).mean()) / txns['amount'].rolling(window).std()
    # 交易时间间隔变异系数
    features['interval_cv'] = txns['timestamp'].diff().rolling(window).std() / txns['timestamp'].diff().rolling(window).mean()
    # 夜间交易占比
    features['night_ratio'] = txns['is_night'].rolling(window).mean()
    return features

3.4 网络特征

网络特征将交易关系抽象为图结构，从拓扑角度发现洗钱团伙、资金池、循环交易等复杂模式。这是对照实验中提升模型上限的关键特征组。

网络特征的核心指标包括：

• 节点中心度：度中心度、介数中心度、接近中心度，衡量节点在网络中的重要性。
• 聚类系数：衡量节点邻居之间的紧密程度，洗钱团伙通常具有高聚类系数。
• 社区检测：使用Louvain、标签传播等算法识别潜在洗钱团伙。
• 资金流模式：循环交易检测、资金汇聚/发散比、交易链长度。

3.5 时间序列特征

时间序列特征捕捉交易行为在时间维度上的周期性、趋势性和自相关性。这类特征对于识别“休眠账户突然活跃”、“周期性小额测试交易”等模式尤为有效。

时间序列特征在对照实验中的典型应用场景：

• 趋势偏离检测：当客户交易金额的移动平均线突然突破历史均值±2σ时，触发预警。
• 周期性破坏：正常客户通常有稳定的交易周期（如每月工资入账），洗钱行为会破坏这种周期性。
• 自相关分析：洗钱交易往往具有正自相关性（一笔大额交易后紧跟着多笔小额交易），而正常交易的自相关较弱。

3.6 特征体系对照实验设计建议