2. 反欺诈图谱基础：图谱定义、节点与边、图谱在反欺诈中的应用场景
2.1 图谱定义：从关系视角理解欺诈
反欺诈图谱（Fraud Graph）是一种基于图结构的数据模型，用于表达实体（如用户、设备、IP、订单）之间的关联关系。与传统关系型数据库的行列存储不同，图谱将数据视为“节点”与“边”的集合，天然适合描述复杂、多跳的欺诈网络。
核心思想：欺诈行为往往不是孤立事件，而是由多个实体通过某种关系（如共用设备、共用IP、担保关系）连接而成的“团伙网络”。图谱正是捕捉这种网络结构的利器。
| 维度 | 传统关系型数据库 | 反欺诈图谱 |
|---|---|---|
| 数据模型 | 表、行、列、外键 | 节点、边、属性 |
| 关系表达 | 通过 JOIN 操作隐式关联 | 通过边直接显式连接 |
| 多跳查询 | 性能随 JOIN 层数指数下降 | 天然支持深度遍历（如 3~5 跳） |
| 适用场景 | 事务处理、报表统计 | 团伙识别、关联挖掘、PSI 漂移分析 |
2.2 节点与边：图谱的基本构成单元
一个反欺诈图谱由 节点（Vertex） 和 边（Edge） 组成，每个节点和边都可以携带属性（Property）。
2.2.1 节点（Vertex）
节点代表现实世界中的实体对象。在反欺诈场景中，常见的节点类型包括：
- 用户节点： 注册账号、身份证号、手机号、邮箱。
- 设备节点： 设备指纹（IMEI/IDFA）、Cookie、浏览器指纹。
- 网络节点： IP 地址、MAC 地址、WiFi SSID。
- 行为节点： 订单、交易记录、登录事件、申请记录。
- 关系节点： 紧急联系人、担保人、家庭地址。
2.2.2 边（Edge）
边表示节点之间的关联关系，通常带有方向（有向边）或权重。常见边类型：
- 共用关系： 用户 A 与用户 B 共用同一设备（设备指纹相同）。
- 归属关系： 订单属于用户 C。
- 联系关系： 用户 D 填写的紧急联系人与用户 E 相同。
- 交易关系： 用户 F 向用户 G 转账。
- 时空关系： 用户 H 与用户 I 在同一 IP 地址、同一时间段登录。
实战要点：在构建反欺诈图谱时，边的定义比节点更关键。一条“共用设备”边可能直接揭示一个设备农场；而一条“担保关系”边可能暴露一个骗贷团伙。边类型的设计直接影响后续的 PSI 漂移监控粒度。
2.3 图谱在反欺诈中的应用场景
反欺诈图谱在风控全链路中扮演着不可替代的角色，尤其在以下四个核心场景中表现突出：
- 团伙欺诈识别： 通过图算法（如连通分量、社区发现）识别出高度关联的实体群组，发现“羊毛党”、“骗贷团伙”、“刷单团伙”。
- 关联风险传导： 当一个节点被标记为“黑名单”，通过图谱的边可以快速找到与其直接或间接关联的其他节点，实现风险预警与阻断。
- 设备指纹关联： 将设备指纹、IP、Cookie 等节点关联到用户，识别“一人多号”、“一号多设备”、“设备农场”等异常模式。
- PSI 漂移监控： 监控图谱中节点属性分布、边密度、社区结构等统计量随时间的变化，及时发现图谱特征的“漂移”现象，从而预警欺诈手法的演变。
2.4 图谱在反欺诈中的典型应用流程
一个完整的反欺诈图谱应用通常遵循以下流程：
| 步骤 | 环节 | 关键动作 | 输出 |
|---|---|---|---|
| 1 | 数据接入 | 采集用户、设备、IP、订单等原始数据 | 结构化事件表 |
| 2 | 图谱构建 | 定义节点类型、边类型，导入图数据库 | 初始图谱 |
| 3 | 特征工程 | 计算节点度数、PageRank、社区归属等图特征 | 图特征向量 |
| 4 | 模型推理 | 基于图特征进行风险评分或团伙分类 | 风险标签 |
| 5 | PSI 监控 | 监控图特征分布漂移，触发告警 | 漂移报告 |
2.5 图谱特征与 PSI 漂移监控的关联
在反欺诈图谱中，PSI（Population Stability Index）漂移监控的核心对象是 图特征。常见的图特征包括：
- 节点度数分布： 每个节点连接的边数。异常高度数节点可能代表“中心欺诈节点”。
- 社区规模分布： 通过社区发现算法（如 Louvain）划分出的团伙大小分布。社区规模突然增大可能预示团伙扩张。
- 边密度： 图谱中实际边数与可能边数的比值。边密度上升可能意味着关联关系异常密集。
- 节点类型比例： 各类节点（用户、设备、IP）的数量占比变化，反映攻击者资源切换。
- 平均路径长度： 任意两节点之间最短路径的平均值。路径缩短可能暗示网络更加“紧凑”。
注意： 图谱特征的 PSI 漂移监控与单变量特征监控不同。图特征之间存在强相关性（如社区规模与边密度），监控时需要采用多变量联合漂移检测方法，避免误告警。本课程后续章节将专门讲解图特征 PSI 的计算与阈值设定。