3. 异常交易检测基础：定义异常交易类型与检测思路
异常交易检测是风控系统的第一道防线。本章从两类核心问题入手：异常交易的类型定义（欺诈、盗刷、洗钱）与检测思路（基于规则 vs. 基于统计）。只有清晰定义异常行为，才能设计出有效的告警阈值与检测逻辑。
3.1 异常交易三大类型
根据业务场景与风险动机，异常交易通常分为以下三类。每类在行为特征、时间窗口、金额分布上均有显著差异。
| 类型 | 核心动机 | 典型行为特征 | 常见场景 |
|---|---|---|---|
| 欺诈交易 | 骗取商品/资金，不归还 | 新账户、短时高频、收货地址异常、设备指纹聚集 | 电商下单不付款、虚假退货、信贷申请欺诈 |
| 盗刷交易 | 窃取他人支付凭证进行消费 | 异地登录、小额试探、大额突增、非本人设备 | 信用卡盗刷、账户被盗后批量下单 |
| 洗钱交易 | 将非法资金通过交易合法化 | 金额接近阈值、多对一转账、快进快出、结构化拆分 | 赌博资金回笼、虚拟币场外交易、空壳公司转账 |
风控提示：同一笔交易可能同时属于多个类型。例如，盗刷后立即购买虚拟商品，既是盗刷也是洗钱通道。检测时建议按风险优先级打标，避免重复告警。
3.2 基于规则的检测思路
规则检测是风控系统最成熟、最直观的方法。它依赖专家经验将异常模式转化为可执行的逻辑判断。
3.2.1 规则构成要素
- 条件（Condition）：交易金额 > 5000 且 账户注册时间 < 24 小时
- 阈值（Threshold）：单日同一设备登录账户数 > 5
- 动作（Action）：拦截、人工审核、增强验证
- 时效（TTL）：规则生效时间窗口（如 1 小时内）
3.2.2 常见规则模板
| 规则名称 | 检测逻辑 | 适用类型 |
|---|---|---|
| 新账户大额规则 | 注册 < 1 天 且 单笔金额 > 10000 | 欺诈 |
| 异地登录规则 | IP 归属地与常用城市不一致 且 交易金额 > 2000 | 盗刷 |
| 结构化拆分规则 | 同一收款方在 10 分钟内收到 > 3 笔金额接近 5000 的转账 | 洗钱 |
| 设备聚集规则 | 同一设备在 1 小时内关联 > 5 个不同账户 | 欺诈/盗刷 |
规则检测优点：解释性强、延迟低、易于快速上线。
规则检测缺点：依赖人工维护、难以发现未知模式、阈值固定容易漏报或误报。
规则检测缺点：依赖人工维护、难以发现未知模式、阈值固定容易漏报或误报。
3.3 基于统计的检测思路
统计方法不依赖固定阈值，而是通过历史数据分布判断当前交易是否“异常”。适合发现规则无法覆盖的隐蔽行为。
3.3.1 核心统计方法
- Z-Score 方法：计算交易金额偏离均值的标准差倍数。Z > 3 视为异常。
- 移动平均 + 标准差：对时间序列滑动窗口计算均值与标准差，实时判断当前值是否超出动态阈值。
- 分位数法（箱线图）：以 Q3 + 1.5×IQR 为上界，低于 Q1 - 1.5×IQR 为下界。
- 孤立森林（Isolation Forest）：无监督算法，通过随机切割特征空间识别稀疏点。
3.3.2 统计检测 vs. 规则检测
| 对比维度 | 规则检测 | 统计检测 |
|---|---|---|
| 阈值设定 | 固定值，人工指定 | 动态计算，自适应 |
| 对新模式的发现 | 弱，需人工添加 | 强，可发现未知异常 |
| 解释性 | 高，逻辑清晰 | 中，需结合特征分析 |
| 计算开销 | 低，实时性好 | 中高，需历史数据 |
| 误报率 | 较高（阈值固定） | 较低（动态适应） |
注意：统计检测对数据质量要求高。如果历史数据本身包含大量异常，统计基线会被污染，导致检测失效。建议先清洗历史数据，或使用稳健统计量（如中位数、MAD）。
3.4 异常交易检测流程总览
下图展示了从交易接入到最终决策的完整检测流程，规则与统计两条路径并行，最终通过决策引擎合并打分。
3.5 规则与统计的协同策略
在实际生产环境中，规则与统计并非二选一，而是分层协同。推荐采用“规则前置 + 统计兜底”的架构：
- 第一层（规则层）：拦截已知的高危模式，延迟低，命中即告警。
- 第二层（统计层）：对规则放过但统计偏离度高的交易进行二次打分。
- 第三层（人工复核）：对两层均标记为“可疑”的交易进入人工队列。
最佳实践：规则阈值建议每季度校准一次；统计基线建议每日自动更新，并设置“漂移告警”当分布发生显著变化时通知风控团队。
3.6 本章小结
- 异常交易分为欺诈、盗刷、洗钱三类，每类有独特的特征与检测重点。
- 基于规则的方法适合已知模式，解释性强，但维护成本高。
- 基于统计的方法适合未知异常，自适应能力强，但需要高质量历史数据。
- 生产环境推荐规则 + 统计协同，实现低延迟与高覆盖的平衡。