2. 告警阈值基础：阈值定义、阈值类型与设定原则

告警阈值是实时交易风控系统的“触发开关”。一个错误的阈值可能导致每天数万条无效告警（误报），或让真正的高风险交易悄然通过（漏报）。本章从定义、分类到设定原则，建立阈值设计的系统认知。

2.1 阈值定义与核心要素

在风控上下文中，告警阈值是一个预设的数值边界或条件表达式，当实时交易的特征指标（如金额、频率、IP 变更次数）越过该边界时，系统生成告警事件。

2.2 阈值类型：固定、动态与百分比

根据业务场景和数据分布特征，阈值可分为三种基本类型。实际风控规则集往往是三者的混合。

2.2.1 固定阈值

固定阈值是最直接的告警方式，阈值在规则部署时确定，不随业务量或时间自动调整。适用于监管红线（如单笔跨境交易超过等值 5,000 美元）、硬性限额（如单日累计提现 20 万元）等场景。

2.2.2 动态阈值

动态阈值基于历史数据的统计分布自动计算，通常使用滑动窗口（如最近 7 天、30 天）的均值、标准差或分位数。典型算法包括：

• 均值 ± N 倍标准差：适用于近似正态分布的指标（如交易金额对数化后）。
• 百分位数法：P95 / P99 作为上限，P01 / P05 作为下限，适用于偏态分布。
• 移动平均 + 带宽：对时间序列指标（如每分钟交易笔数）使用 EWMA（指数加权移动平均）。

-- 动态阈值计算示例（基于最近 7 天交易金额的 P99）
WITH daily_stats AS (
  SELECT
    DATE(trans_time) AS dt,
    APPROX_PERCENTILE(amount, 0.99) AS p99_amount
  FROM transaction_log
  WHERE trans_time >= NOW() - INTERVAL '7' DAY
  GROUP BY DATE(trans_time)
)
SELECT AVG(p99_amount) AS dynamic_threshold
FROM daily_stats;

2.2.3 百分比阈值

百分比阈值关注指标的相对变化率，而非绝对值。例如“交易成功率较前一日下降超过 30%”或“某渠道交易量突增 200%”。这种阈值对量纲不敏感，特别适合跨商户、跨渠道的横向对比。

2.3 阈值设定原则

阈值设定不是一次性的“拍脑袋”，而是一个持续迭代的工程过程。以下五项原则是业界最佳实践的总结。

2.3.1 数据驱动

阈值必须基于真实交易数据的统计分布，而非主观经验。建议至少采集 30 天以上的正常交易数据，剔除已知的欺诈样本后，计算 P50、P90、P95、P99 等关键分位数作为候选阈值。

2.3.2 业务可解释

阈值需要能被风控运营人员理解和解释。例如“单笔交易金额超过 50,000 元”比“金额超过均值加 3 倍标准差”更直观。在监管审计场景下，固定阈值比动态阈值更容易通过合规审查。

2.3.3 分层分级

不同用户群体、不同渠道、不同产品应使用差异化的阈值。例如：

• 用户分层：VIP 客户单笔限额 100 万，普通客户 10 万。
• 渠道分层：线上快捷支付阈值低于线下 POS 刷卡。
• 时段分层：凌晨 0:00-6:00 的交易阈值应比白天更严格。

2.3.4 可观测性

每个阈值上线后必须配套监控指标：告警量、告警率（告警量/总交易量）、误报率（人工复核后确认为正常的比例）、漏报率（事后发现的欺诈中未被告警的比例）。当误报率超过 30% 或漏报率超过 5% 时，应触发阈值调优流程。

2.3.5 持续迭代

阈值不是“一劳永逸”的。业务模式、用户行为、监管政策都在变化。建议建立月度或季度阈值回顾机制，使用巡检 SQL 定期检查阈值命中率分布，识别“僵尸规则”（长期无告警）和“过度告警规则”。

-- 阈值告警率巡检：按天统计告警占比
SELECT
  DATE(alert_time) AS dt,
  COUNT(*) AS alert_count,
  ROUND(COUNT(*) * 100.0 / NULLIF(
    (SELECT COUNT(*) FROM transaction_log
     WHERE trans_time >= DATE(alert_time)
       AND trans_time < DATE(alert_time) + INTERVAL '1' DAY), 0), 2
  ) AS alert_rate_pct
FROM alert_log
WHERE rule_id = 'R001'
  AND alert_time >= NOW() - INTERVAL '7' DAY
GROUP BY DATE(alert_time)
ORDER BY dt;

2.4 阈值类型选择决策矩阵

在实际风控规则设计时，可参考以下矩阵快速选择阈值类型：