1. 反欺诈图谱基础：图论基础概念、节点与边的定义、反欺诈场景下的图谱构建逻辑
1.1 图论基础概念
图（Graph）是反欺诈图谱的数学骨架。一个图由两个核心集合构成：顶点集 V 和 边集 E，记作 G = (V, E)。在反欺诈场景中，图结构天然适合表达实体之间的关联关系，例如用户与设备、设备与 IP、用户与联系人之间的交互网络。
| 概念 | 符号 | 反欺诈含义 |
|---|---|---|
| 顶点（Node/Vertex） | V | 用户、手机号、设备 ID、IP 地址、银行卡号 |
| 边（Edge） | E | 登录关系、交易关系、通讯关系、设备指纹关联 |
| 有向图 | → | 转账方向（A→B）、授权关系（用户→设备） |
| 无向图 | — | 同设备登录、同 IP 登录、共享联系人 |
| 属性图 | — | 节点带特征（注册时间、设备型号），边带权重（交易频次） |
关键认知： 反欺诈图谱通常使用属性有向图，因为欺诈行为往往具有方向性（资金流向、授权链），且节点和边都需要携带多维特征用于下游模型。
1.2 节点与边的定义
在反欺诈图谱中，节点和边的定义直接决定图谱的表达能力。定义不当会导致信息丢失或噪声引入。以下是标准定义框架：
节点定义
- 用户节点（User）：唯一标识符（UID），属性包括注册时间、实名等级、历史订单数、被举报次数。
- 设备节点（Device）：设备指纹（IDFA/IMEI/OAID），属性包括设备型号、系统版本、是否越狱、首次出现时间。
- IP 节点（IP）：IP 地址，属性包括地理位置、运营商、ASN 号、历史关联用户数。
- 手机号节点（Phone）：手机号码，属性包括运营商、归属地、是否虚拟运营商、注册时间。
- 银行卡节点（Card）：银行卡号（脱敏），属性包括发卡行、卡类型、开户时间、历史交易金额。
边定义
- 登录边（Login）：用户→设备，属性包括登录时间、登录 IP、登录结果（成功/失败）。
- 交易边（Transaction）：用户→用户，属性包括交易金额、交易时间、交易类型、风控结果。
- 通讯边（Contact）：用户→手机号，属性包括通讯频次、通讯时长、首次通讯时间。
- 设备关联边（DeviceLink）：设备→IP，属性包括连接时间、连接时长、IP 类型（WiFi/4G）。
实践建议： 边属性中务必包含时间戳和置信度。时间戳用于时序分析，置信度用于区分强关联（如设备指纹）和弱关联（如同 IP 登录）。
1.3 反欺诈场景下的图谱构建逻辑
图谱构建不是简单的数据堆砌，而是基于欺诈风险假设进行的有向设计。构建逻辑遵循以下步骤：
- 风险场景定义：明确要检测的欺诈类型（如注册欺诈、交易欺诈、团伙欺诈），确定核心实体和关联路径。
- 数据源接入：整合用户注册数据、交易流水、设备指纹日志、IP 解析数据、外部黑名单等。
- 实体对齐：将不同数据源中的同一实体（如用户 ID 与设备指纹中的用户标识）进行统一 ID 映射。
- 边构建：根据业务规则生成边，例如“同一设备 24 小时内登录超过 3 个不同用户”生成设备共享边。
- 属性注入：为节点和边添加统计特征（如度中心性、聚类系数）和业务特征（如历史欺诈标签）。
- 子图采样：对于大规模图谱，使用随机游走或邻居采样策略生成训练子图，用于 GraphSAGE 模型。
常见陷阱： 不要将所有关联都加入图谱。例如“同 IP 登录”在代理 IP 场景下会产生大量噪声边，导致图谱密度过高、模型性能下降。建议设置边置信度阈值（如 IP 关联仅保留 7 天内出现次数 ≥ 3 的边）。
1.4 图谱构建的工程化考量
| 维度 | 推荐方案 | 反欺诈场景说明 |
|---|---|---|
| 图存储 | Neo4j / JanusGraph | 支持属性图模型，适合反欺诈的实时查询和子图遍历 |
| 图计算引擎 | Spark GraphX / DGL | 大规模图谱的离线特征计算和 GraphSAGE 训练 |
| 边更新频率 | 实时流（Kafka）+ 微批（Spark Streaming） | 欺诈行为具有时效性，分钟级延迟可接受，秒级更优 |
| 节点去重策略 | 基于设备指纹 + 用户 ID 的双重校验 | 防止同一用户多账号导致的节点冗余 |
| 冷启动处理 | 基于规则图谱 + 预训练 GraphSAGE 模型 | 新用户/新设备无历史关联时，使用规则兜底 |
核心原则： 反欺诈图谱的构建是业务驱动的。图谱的规模、密度、特征维度都需要根据实际欺诈检出率和误杀率进行动态调整。GraphSAGE 模型的效果上限，取决于图谱构建的质量下限。