2. 特征分布基础：定义、常见类型与描述统计量
在支付风控中，特征分布是描述某一变量（如交易金额、用户年龄、设备评分）所有可能取值及其出现频率的数学映射。理解特征分布是检测批次偏移、重构风控策略的前提——只有知道“正常”分布的样子，才能识别“异常”突变。
2.1 特征分布的定义
特征分布（Feature Distribution）刻画了随机变量取值的概率规律。在支付场景中，一个特征可以看作一个随机变量，其分布函数 F(x) = P(X ≤ x) 描述了特征值不超过某个阈值的概率。分布的核心要素包括：
- 取值空间：特征可能的取值范围，如交易金额 ∈ [0.01, 1000000]。
- 概率密度/质量：连续特征用概率密度函数（PDF），离散特征用概率质量函数（PMF）。
- 累积分布：从负无穷到某点的累积概率，常用于计算分位数。
风控视角： 特征分布是策略规则的“锚点”。例如，若历史交易金额分布显示 95% 的交易在 5000 元以下，则突然出现大量 50000 元交易即构成分布偏移，需触发策略重构。
2.2 常见分布类型
支付风控中常见的特征分布有三种基本形态，每种形态对应不同的数据生成机制和风控含义。
| 分布类型 | 形态特征 | 典型支付特征 | 偏移敏感点 |
|---|---|---|---|
| 正态分布 | 对称钟形，均值=中位数=众数 | 用户年龄、设备评分（标准化后） | 均值漂移、方差膨胀 |
| 偏态分布 | 不对称，长尾拖向一侧 | 交易金额（右偏）、登录次数（左偏） | 偏度变化、尾部厚度 |
| 长尾分布 | 尾部缓慢衰减，极端值概率不可忽略 | 单笔交易金额、IP 关联设备数 | 尾部指数变化、帕累托参数 |
2.3 分布描述统计量
定量描述分布需要一组统计量，它们从集中趋势、离散程度、形状三个维度刻画特征的全貌。
2.3.1 集中趋势
- 均值（Mean）：算术平均，对极端值敏感。
- 中位数（Median）：第 50 百分位数，稳健。
- 众数（Mode）：出现频率最高的值，适用于离散特征。
2.3.2 离散程度
- 方差/标准差：衡量数据围绕均值的波动。
- 四分位距（IQR）：Q3 - Q1，稳健的离散度量。
- 变异系数（CV）：标准差/均值，无量纲比较。
2.3.3 形状参数
- 偏度（Skewness）：对称性度量。偏度=0 对称；偏度>0 右偏；偏度<0 左偏。
- 峰度（Kurtosis）：尾部厚度度量。峰度>3 厚尾（极端值多）；峰度<3 薄尾。
批次偏移检测要点： 当监控到特征的均值、标准差、偏度或峰度在短时间内发生超过 2 个标准差的波动时，应视为分布突变预警，立即启动策略重构流程。
2.4 分布类型与统计量关系图
下图展示了三种常见分布及其关键统计量的对应关系，帮助直观理解分布形态与数值指标之间的映射。
2.5 支付场景中的分布实例
以支付批次数据为例，下表展示了三个真实特征在正常批次与偏移批次中的分布统计量对比，直观体现分布突变的表现形式。
| 特征 | 统计量 | 正常批次 | 偏移批次 | 变化幅度 |
|---|---|---|---|---|
| 交易金额（元） | 均值 | 320.5 | 1,245.8 | +289% |
| 偏度 | 2.1 | 5.8 | +176% | |
| P95 分位数 | 1,200 | 8,500 | +608% | |
| 设备评分 | 均值 | 72.3 | 45.1 | -38% |
| 标准差 | 8.5 | 22.3 | +162% | |
| 峰度 | 2.8 | 6.4 | +129% | |
| IP 关联设备数 | 均值 | 1.2 | 4.7 | +292% |
| 中位数 | 1 | 3 | +200% | |
| IQR | 0 | 5 | — |
注意： 上表中“IP 关联设备数”在正常批次中 IQR=0（Q1=Q3=1），说明绝大多数交易 IP 只关联 1 台设备；偏移批次中 IQR=5，表明出现了大量 IP 关联多台设备的异常行为，这是典型的团伙欺诈信号。
2.6 分布描述在策略重构中的作用
特征分布描述统计量是策略重构的量化基础，具体应用包括：
- 阈值调整：根据分布分位数（如 P95、P99）重新设定规则阈值。
- 特征工程：基于偏度和峰度判断是否需要做对数变换或 Box-Cox 变换以稳定分布。
- 异常检测：利用均值±kσ 或 IQR 规则识别分布尾部的新增异常点。
- 模型监控：比较训练集与实时批次的分布统计量，计算 PSI（群体稳定性指标）。