2. 反欺诈图谱基础：图谱数据结构与反欺诈应用场景
反欺诈图谱（Fraud Knowledge Graph）将实体（如用户、设备、IP、订单）及其关联关系组织为图结构，使欺诈团伙的隐蔽关联从“孤岛”变为“网络”，从而被量化、追踪和预警。本章从数据结构与业务场景两个维度建立图谱基础认知。
2.1 图谱数据结构：节点、边、属性
图谱由 节点（Vertex）、边（Edge） 和 属性（Property） 三要素构成。下表对比了三者在反欺诈语境下的定义与示例：
| 要素 | 定义 | 反欺诈示例 | 存储要点 |
|---|---|---|---|
| 节点 | 表示一个独立实体，通常带有唯一 ID 和类型标签 | 用户（User）、手机设备（Device）、IP 地址、银行卡号、订单 | 按类型分区存储，便于子图查询 |
| 边 | 表示两个节点之间的有向或无向关系，可携带权重 | “登录于”、“转账至”、“共享设备”、“同 IP” | 边方向决定图遍历路径；权重用于风险传播 |
| 属性 | 节点或边的附加特征，用于过滤、聚合或计算 | 用户注册时间、设备型号、IP 地理位置、交易金额 | 属性索引加速 PSI 漂移分析中的维度切片 |
关键概念： 图谱的“密度”由边数决定。在反欺诈中，共享边（如多用户共用同一设备）是发现团伙的核心线索，也是 PSI 漂移分析的重点监控对象。
2.2 图谱在反欺诈中的应用场景
图谱技术覆盖欺诈检测的多个阶段，从实时拦截到离线团伙挖掘。以下列出四个核心场景：
- 团伙识别（Community Detection）
通过连通子图、标签传播或 Louvain 算法，将共享设备、共用 IP、循环转账的节点聚合成团伙。图谱结构越密集，团伙嫌疑越高。 - 风险传播与关联推理
已知黑样本节点（如欺诈手机号），沿“同设备”、“同联系人”等边传播风险分数，发现潜在黑产成员。常用算法：PageRank、图神经网络（GNN）。 - 实时决策图谱查询
在交易或登录环节，实时查询当前实体 1~3 跳内的关联节点。若发现关联节点命中黑名单或存在异常聚集，则触发增强验证或拒绝。 - 特征工程与 PSI 漂移监控
从图谱中提取节点度、聚类系数、社区大小、边密度等图特征，作为模型入参。当这些图特征的 PSI 发生漂移时，往往意味着欺诈模式或团伙行为发生结构性变化。
实战提示： 在 PSI 漂移分析中，节点度分布和共享边比例是最敏感的图特征。例如，某风控模型上线后，若“设备共享度”的 PSI 从 0.05 跳升至 0.25，通常预示黑产正在批量换设备或集中登录。
2.3 反欺诈图谱基础架构
下图展示了一个典型的反欺诈图谱数据模型，包含核心实体类型及其关系。该结构是后续 PSI 漂移分析中特征提取的底层骨架。
2.4 图谱特征与 PSI 漂移的关联
在反欺诈模型中，图谱特征通常作为高阶变量输入。下表列出常用图特征及其对 PSI 漂移的敏感性：
| 图特征 | 计算方式 | 漂移含义 | 监控优先级 |
|---|---|---|---|
| 节点度（Degree） | 某节点关联的边数 | 度突增 → 可能为黑产 hub 节点 | 高 |
| 聚类系数 | 节点邻居间的实际边数 / 最大可能边数 | 系数下降 → 团伙结构松散化或伪装 | 中 |
| 社区大小 | 连通子图中的节点总数 | 社区膨胀 → 团伙扩张或误聚合 | 高 |
| 共享设备比例 | 共用同一设备的用户数 / 总用户数 | 比例上升 → 设备农场或批量注册 | 极高 |
| 边密度 | 实际边数 / 完全图边数 | 密度突变 → 关系模式结构性改变 | 高 |
⚠️ 常见误区： 仅监控单节点特征（如用户注册时间）而忽略图结构特征，会导致 PSI 漂移分析遗漏团伙层面的模式迁移。例如，黑产可能保持单用户特征不变，但通过改变设备共享关系来绕过检测。务必在图谱层建立独立的 PSI 监控通道。
2.5 图谱构建流程（反欺诈视角）
从原始数据到可分析的图谱，通常经过以下步骤。每一步都可能引入数据分布变化，进而影响 PSI 基线：
- 实体抽取：从日志、交易表、设备指纹中提取用户 ID、设备 ID、IP、银行卡号等实体，并去重对齐。
- 关系定义：根据业务逻辑建立边规则，如“同一设备登录的不同用户”、“同一 IP 发起的订单”、“同一银行卡绑定的用户”。
- 属性关联：为节点和边附加时间戳、金额、地理位置等属性，用于后续切片分析。
- 图存储与索引：选用图数据库（如 Neo4j、JanusGraph）或图计算引擎（如 Spark GraphX），建立节点标签索引和边方向索引。
- 特征计算：周期性（如 T+1）计算节点度、社区归属、共享边比例等图特征，写入特征宽表供模型使用。