4、多特征PSI聚合：多维度特征PSI加权平均、最大PSI选取策略、整体稳定性评估

在团伙识别场景中，单一特征的PSI漂移往往只能反映局部变化，无法全面刻画团伙行为模式的整体迁移。当监控体系覆盖数十个甚至上百个特征时，我们需要一套多特征聚合策略，将分散的PSI信号融合为可决策的整体稳定性指标。本节将系统讲解三种核心聚合方法：加权平均、最大PSI选取以及整体稳定性评估框架。

4.1 多特征PSI聚合的必要性

团伙识别模型通常依赖多维特征（如设备指纹、社交图谱密度、交易频次、IP关联度等）。单一特征的PSI波动可能由以下原因引起：

• 自然周期性波动：如节假日交易量上升导致的特征分布偏移。
• 数据采集异常：某个数据源短暂中断造成的特征缺失。
• 真实团伙行为迁移：黑产团伙整体切换设备或调整攻击策略。

仅依赖单一特征容易触发误报或漏报。多特征聚合能够：

• 平滑偶发噪声，提升监控鲁棒性。
• 突出全局性漂移，降低局部异常干扰。
• 为模型迭代提供量化依据，明确是否需要重新训练。

4.2 加权平均策略

加权平均是最直观的聚合方式，核心思想是根据每个特征对团伙识别的重要性赋予不同权重，计算加权后的综合PSI值。

4.2.1 权重设计原则

4.2.2 加权平均计算公式

PSI_weighted = Σ (w_i × PSI_i) / Σ w_i

其中：
- w_i：第 i 个特征的权重
- PSI_i：第 i 个特征的PSI值
- Σ w_i：权重总和（通常归一化为1）

示例（Python实现）：
import numpy as np

def weighted_psi(psi_values, weights):
    """
    psi_values: list of PSI values
    weights: list of corresponding weights
    """
    psi_array = np.array(psi_values)
    weight_array = np.array(weights)
    return np.average(psi_array, weights=weight_array)

# 示例：设备指纹PSI=0.08(权重0.4)，社交密度PSI=0.12(权重0.35)，交易频次PSI=0.05(权重0.25)
result = weighted_psi([0.08, 0.12, 0.05], [0.4, 0.35, 0.25])
print(f"加权平均PSI: {result:.4f}")  # 输出: 0.0855

4.3 最大PSI选取策略

最大PSI选取策略关注的是最不稳定的特征。在团伙识别中，黑产往往只针对少数关键特征进行突破（如批量更换设备指纹），此时加权平均可能被大量稳定特征稀释，而最大PSI策略能及时捕获这种局部突变。

4.3.1 策略定义

PSI_max = max(PSI_1, PSI_2, ..., PSI_n)

即：取所有监控特征中PSI值最大的那个作为聚合指标。

4.3.2 适用场景对比

4.3.3 组合使用建议

在实际工程中，推荐将两种策略并行监控：

• 当 PSI_max > 0.30 且 PSI_weighted < 0.10 时，提示“局部特征突变，需排查单维度异常”。
• 当 PSI_weighted > 0.20 且 PSI_max > 0.25 时，提示“全局漂移，建议模型重训”。
• 当两者均低于阈值时，判定为“整体稳定”。

4.4 整体稳定性评估框架

整体稳定性评估是将加权平均和最大PSI策略融合，形成一套完整的决策逻辑。以下SVG图展示了多特征PSI聚合的整体流程。

4.5 整体稳定性评估报告输出

综合两种策略后，最终输出一份结构化的稳定性评估报告。报告应包含以下核心字段：

4.5.1 评估等级判定逻辑

def evaluate_stability(psi_weighted, psi_max):
    """
    综合判定整体稳定性等级
    返回: (level, suggestion)
    """
    if psi_weighted < 0.10 and psi_max < 0.15:
        return ("稳定", "继续常规监控")
    elif psi_weighted < 0.10 and psi_max >= 0.15:
        return ("关注", "单特征异常，排查数据质量或局部攻击")
    elif psi_weighted >= 0.10 and psi_weighted < 0.25 and psi_max < 0.30:
        return ("关注", "整体轻度漂移，加强监控频率")
    elif psi_weighted >= 0.25 or psi_max >= 0.30:
        return ("告警", "严重漂移，建议立即排查并考虑模型重训")
    else:
        return ("告警", "异常组合，人工介入研判")

# 示例
print(evaluate_stability(0.08, 0.32))  # ('关注', '单特征异常，排查数据质量或局部攻击')
print(evaluate_stability(0.28, 0.35))  # ('告警', '严重漂移，建议立即排查并考虑模型重训')

4.6 多特征PSI聚合的团伙识别案例

某金融科技公司在监控团伙识别模型时，发现以下特征PSI分布：

计算过程：

PSI_weighted = (0.32×0.35 + 0.06×0.25 + 0.04×0.20 + 0.07×0.12 + 0.03×0.08) / (0.35+0.25+0.20+0.12+0.08)
            = (0.1120 + 0.0150 + 0.0080 + 0.0084 + 0.0024) / 1.00
            = 0.1458

PSI_max = max(0.32, 0.06, 0.04, 0.07, 0.03) = 0.32

判定结果：PSI_weighted=0.1458（关注区间），PSI_max=0.32（告警区间）。综合判定为“告警”，建议立即排查设备指纹哈希特征。经人工核实，发现黑产团伙批量更换了设备指纹模拟器，触发单特征剧烈漂移。由于加权平均被其他稳定特征稀释，仅看加权平均会漏报，而最大PSI策略成功捕获了这次攻击。