Flink反洗钱PSI漂移告警实战课 - 第4节

4.1 反洗钱特征工程：核心特征体系

反洗钱特征工程是将原始交易数据转化为可量化、可监控的数值指标的过程。在实时流处理场景下，特征必须满足低延迟、可增量计算、可回溯三个基本要求。本节聚焦三类最核心的反洗钱特征：交易频次、金额波动与地域偏移。

4.1.1 交易频次特征

交易频次是衡量账户在单位时间内发起交易数量的基础指标。洗钱行为往往通过高频小额交易（Smurfing）或突发性低频大额交易来规避监管阈值。

4.1.2 金额波动特征

金额波动特征刻画交易金额的离散程度与异常偏离。洗钱账户常呈现“金额聚集”或“金额跳跃”两种模式。

• 单笔金额偏离度：(当前金额 - 历史均值) / 历史标准差，用于检测单笔大额异常。
• 金额变异系数（CV）：标准差 / 均值，用于检测金额分布是否过于集中或分散。
• 金额熵值：基于最近 N 笔交易的金额分布计算信息熵，低熵值暗示金额高度重复。
• 整数金额占比：交易金额为整百/整千的比例，异常账户常出现大量整数金额。

4.1.3 地域偏移特征

地域偏移特征追踪交易对手的地理位置变化。洗钱行为常涉及跨地域、跨国家的资金快速转移，或刻意回避高风险地区。

4.2 特征分布漂移的监控需求

特征分布漂移是指模型训练时使用的特征分布与实时生产环境中的特征分布之间出现显著差异。在反洗钱场景中，漂移可能由以下原因触发：

• 洗钱手法演变：犯罪分子调整交易模式以规避现有模型。
• 业务规则变更：银行调整转账限额、手续费或开户政策。
• 季节性因素：节假日、购物季导致正常交易模式变化。
• 数据质量问题：上游系统字段变更、缺失率上升。

4.2.1 漂移监控的核心指标

4.2.2 实时漂移监控架构

在 Flink 流处理中，特征漂移监控需要构建“参考分布”与“实时分布”的双流对比管道。参考分布通常从历史数据中预计算并存入状态后端或外部存储；实时分布通过滑动窗口持续更新。

4.2.3 监控频率与分箱策略

漂移监控的粒度直接影响计算开销与告警时效性。以下为生产环境推荐配置：

// 参考分布（预计算，从状态或外部存储读取）
Map<Integer, Double> refDist = getRefDistribution(featureName);

// 实时分布（滑动窗口聚合结果）
Map<Integer, Long> realCounts = getRealTimeCounts(featureName);
long total = realCounts.values().stream().mapToLong(Long::longValue).sum();
int numBins = refDist.size();

double psi = 0.0;
for (int bin : refDist.keySet()) {
    double p = refDist.get(bin);
    double q = (realCounts.getOrDefault(bin, 0L) + 1.0) / (total + numBins);
    psi += (p - q) * Math.log(p / q);
}

// 判断漂移等级
if (psi > 0.25) {
    emitAlert(featureName, psi, "STRONG_DRIFT");
} else if (psi > 0.1) {
    emitAlert(featureName, psi, "WEAK_DRIFT");
}

4.2.4 漂移告警的降噪策略

直接对每个特征独立计算 PSI 会产生大量误报。生产环境必须引入降噪机制：

• 连续漂移确认：连续 3 个监控周期均触发弱漂移才产生告警，避免单次抖动。
• 特征重要性加权：仅对模型贡献度 Top 20 的特征进行漂移监控，降低计算开销。
• 业务日历对齐：对比参考分布时使用同期数据（如同比上周同日），消除周期性影响。
• 漂移根因定位：当 PSI 告警时，自动输出贡献最大的 Top 3 分箱，辅助人工研判。