3. 异常交易定义：特征分类与典型场景

异常交易是指偏离用户正常行为基线、不符合业务逻辑或触发风控规则的交易行为。在实时风控巡检中，准确识别异常交易的前提是建立清晰的特征分类体系。本章将异常交易归纳为四大特征维度：金额异常、频次异常、行为异常和地域异常，并结合典型场景说明其识别逻辑。

3.1 异常交易特征分类

下表从定义、核心指标、常见阈值参考三个维度对比四类异常特征，帮助风控巡检人员快速建立分类认知。

3.2 金额异常

金额异常是最直观的异常信号，通常表现为“突增”或“突减”。在实时风控巡检中，金额异常需要结合用户历史画像和业务场景动态判断。

• 单笔金额突增： 用户历史单笔交易均值 200 元，突然出现一笔 20,000 元的交易，触发金额异常告警。
• 累计金额超限： 短时间内累计交易金额超过用户月均消费总额的 50%，常见于盗刷后快速转移资金。
• 金额整数特征： 异常交易金额常呈现整数（如 10,000、50,000）或接近单日限额（如 4,999），与正常消费的零散金额分布不同。

3.3 频次异常

频次异常反映交易节奏的突变，是识别自动化脚本攻击、撞库、批量盗刷等行为的关键特征。

• 高频交易： 同一账户在 1 秒内发起 3 笔以上交易，明显超出人工操作速度。
• 短间隔重复： 交易间隔时间极短且规律，如每 0.5 秒一笔，持续 10 笔以上。
• 并发请求： 同一 IP 或设备同时发起多笔交易，常见于分布式攻击。

频次异常巡检通常使用滑动窗口计数法，窗口大小根据业务场景设定（如 1 分钟、5 分钟、1 小时）。

# 频次异常检测伪代码
window_size = 60  # 滑动窗口大小（秒）
threshold = 5     # 窗口内最大允许交易次数

def check_frequency_anomaly(user_id, current_time):
    recent_txns = get_transactions_in_window(user_id, current_time - window_size, current_time)
    if len(recent_txns) > threshold:
        return True  # 触发频次异常告警
    return False

3.4 行为异常

行为异常关注交易背后的操作模式，包括设备、网络、操作习惯等维度。行为异常往往难以通过单一规则捕获，需要结合设备指纹、生物特征等多源数据。

3.5 地域异常

地域异常通过交易发起位置与用户常用位置的偏差来识别风险。在实时风控中，地域异常常与时间窗口结合，判断“不可能三角”场景。

• IP 归属地突变： 用户常驻北京，突然从境外 IP 发起交易，且无出行记录。
• GPS 与 IP 不一致： 手机 GPS 显示在上海，但交易 IP 归属地为广州，可能存在 IP 代理或 GPS 伪造。
• 多地同时交易： 同一账户在 10 分钟内先后从北京、上海、深圳发起交易，物理上不可能实现。

3.6 典型异常场景

将四类特征组合到具体业务场景中，可以更直观地理解异常交易的全貌。以下是实时风控巡检中常见的六类典型场景。

3.7 异常交易识别的核心原则

在实时风控巡检中，定义异常交易需要遵循以下原则，避免过度告警或漏报。

• 动态基线优先： 使用用户历史行为动态计算阈值，而非固定值。例如，高消费用户的“大额”定义应高于普通用户。
• 多特征交叉验证： 单一特征触发告警时，应结合其他特征进行二次确认。例如，金额异常 + 新设备登录的告警优先级高于仅金额异常。
• 业务场景适配： 不同业务线（支付、转账、充值、提现）的异常定义不同，需分别配置巡检规则。
• 降噪与白名单： 对已知合法场景（如大客户采购、系统自动对账）设置白名单，减少误报。