2. 告警阈值概念

2.1 什么是告警阈值

告警阈值（Alert Threshold）是反欺诈系统中用于判定交易或行为是否触发告警的数值边界。在反欺诈图谱分析中，阈值通常定义在节点属性、边权重或子图评分之上，当实时计算出的风险指标超过（或低于）预设的临界值时，系统即产生告警。

从数学角度看，告警阈值可表示为：

if risk_score(transaction, graph_context) >= threshold:
    trigger_alert()
else:
    pass_through()

阈值并非单一固定值，而是多维度的参数集合。在反欺诈图谱场景中，常见的阈值类型包括：

2.2 阈值在反欺诈中的重要性

告警阈值是反欺诈系统的"守门员"，直接决定了哪些交易会被拦截、哪些会被放行。一个合理的阈值体系能够：

• 精准捕获风险： 在欺诈团伙利用图谱关联进行批量攻击时，阈值能识别出异常的子图模式，如星型结构、环形转账等。
• 控制告警量： 避免因阈值过低导致海量告警淹没运营团队，造成"狼来了"效应。
• 平衡资源消耗： 图谱计算成本较高，合理的阈值可减少不必要的深度查询，降低系统负载。
• 适应业务变化： 不同业务线（如支付、信贷、营销）的风险特征不同，阈值需要差异化配置。

2.3 阈值与误报/漏报的关系

误报（False Positive, FP）和漏报（False Negative, FN）是衡量阈值质量的核心指标，二者与阈值设置存在直接的权衡关系：

• 误报： 正常交易被错误告警。阈值越低，误报率越高，运营团队需要处理大量无效工单。
• 漏报： 欺诈交易未被发现。阈值越高，漏报率越高，直接导致资金损失。

在反欺诈图谱场景中，误报和漏报的代价往往不对称。例如，一笔 100 万元的欺诈漏报可能造成直接经济损失，而 1000 个误报工单仅消耗运营人力。因此，阈值调优需要引入代价敏感学习的思想。

2.4 图谱场景下的特殊考量

与传统单笔交易规则不同，反欺诈图谱中的阈值调优面临以下独特挑战：

1. 阈值传播效应： 一个节点的阈值判定会通过边传播到相邻节点，导致连锁告警。例如，对某个高风险设备的阈值调整可能影响其关联的数百个账号。
2. 子图级阈值 vs 节点级阈值： 同一节点在不同子图结构中的风险含义不同。孤立的高风险设备可能只是误报，但处于密集子图中的高风险设备则极可能是团伙成员。
3. 时间动态性： 欺诈团伙会主动探测阈值边界，通过小规模试探来规避检测。阈值需要具备自适应调整能力。