2. 风控基础概念：交易异常的定义、常见欺诈模式与系统架构
在构建实时风控巡检体系之前，必须统一对“交易异常”的认知。本章从定义出发，梳理三类核心欺诈模式，并给出风控系统的分层架构视图，为后续 SQL 与 PSI 监控打下概念基础。
2.1 交易异常的定义
交易异常是指交易行为偏离正常用户或业务统计规律，且该偏离具有潜在资金损失或合规风险。从数据监控视角，异常可分为三个层次：
| 异常层次 | 定义 | 监控指标示例 |
|---|---|---|
| 规则级异常 | 明确违反预设业务规则（如单笔超限、同设备多账号） | 单笔金额 > 阈值、IP 变更频率 |
| 统计级异常 | 偏离历史分布或群体分布（如 PSI > 0.2） | 特征分布偏移、均值突变 |
| 模型级异常 | 被无监督/有监督模型判定为高风险 | 异常评分 > 0.85、孤立森林得分 |
巡检要点：实时风控巡检通常从规则级和统计级入手，因为这两类异常可被 SQL 和 PSI 直接捕获，延迟最低。
2.2 常见欺诈模式
欺诈模式随业务场景演变，但以下三类在支付、电商、金融领域最为高频，也是实时巡检的重点防御对象。
2.2.1 盗刷
攻击者通过窃取用户卡号、密码或会话凭证，冒充真实用户发起交易。典型特征：
- 时空矛盾：短时间内在异地发起多笔交易。
- 小额试探：先发起 0.01~1 元验证卡片有效性。
- 高频重试：同一卡号在 1 分钟内连续失败 3 次以上。
2.2.2 洗钱
利用交易系统将非法资金转化为合法资金，常见于虚拟资产、跨境支付场景。监控特征：
- 金额拆分：大额资金拆分为多笔接近阈值的交易（如每笔 4999 元）。
- 环形交易：资金在多个账户间循环流转后提现。
- 夜间活跃：交易时间集中在凌晨 2:00~5:00。
2.2.3 薅羊毛
利用平台补贴、优惠券、新客奖励等营销活动，通过批量账号或自动化脚本套利。监控特征：
- 设备聚集：大量账号使用同一设备指纹或 IP。
- 行为固化：每个账号的操作路径完全一致（如点击→领券→下单→支付）。
- 收货地址异常：多个账号共用同一收货地址或使用虚拟地址。
案例对照：某电商平台在 PSI 监控中发现“下单时间分布”特征 PSI 从 0.03 突增至 0.31，下钻发现凌晨 3 点有 200 个新账号使用同一 IP 批量领取新人券，判定为薅羊毛攻击。
2.3 风控系统架构概览
一个生产级实时风控系统通常分为四层，每层承担不同的监控与决策职责。下图展示核心组件与数据流向：
2.4 各层与巡检的关系
本课程聚焦于决策层和监控层的实时巡检能力，具体对应关系如下：
| 巡检类型 | 所属层级 | 监控对象 | 典型输出 |
|---|---|---|---|
| SQL 巡检 | 决策层 + 监控层 | 实时交易流水、规则命中率、特征值 | 异常交易明细、高频规则告警 |
| PSI 监控 | 监控层 | 特征分布、模型评分分布、业务指标分布 | PSI > 0.25 告警、分布偏移报告 |
| 阈值巡检 | 决策层 | 规则阈值、模型分数阈值 | 阈值合理性评估、误杀/漏过分析 |
架构避坑：很多团队将 PSI 监控放在离线层，导致发现分布偏移时已滞后数小时。实时风控要求 PSI 计算在分钟级完成，因此存储层必须支持高吞吐写入和低延迟查询（如 Redis + ClickHouse 组合）。