3、特征工程基础：特征的定义、特征的类型（数值型、类别型、时序型）、特征在风控中的作用

在实时风控系统中，特征是描述用户、设备、交易或行为某一维度可量化、可观测的变量。特征工程是将原始数据转化为模型可理解、可学习的信息的过程，是风控策略与模型的核心原材料。没有高质量的特征，再先进的算法也无法准确识别欺诈。

3.1 特征的定义与本质

特征（Feature）是原始数据经过提取、转换后形成的、能够反映业务风险属性的数值或类别表示。在风控场景中，一个特征通常对应一个具体的风险信号，例如：

• 用户维度：注册时长、历史交易次数、设备指纹
• 交易维度：交易金额、交易时间、IP 归属地
• 行为维度：页面停留时长、点击频率、输入速度

3.2 特征的类型与对比

根据数据形态与计算方式，风控特征主要分为三大类：数值型、类别型、时序型。下表从定义、示例、处理方式、风控应用四个维度进行对比：

3.3 三类特征的详细解析

3.3.1 数值型特征

数值型特征是风控中最常见、最直接的特征类型。它们可以直接参与距离计算、阈值比较和统计建模。实时风控中常用的数值特征包括：

• 金额类：交易金额、账户余额、提现金额
• 计数类：过去24小时登录次数、失败交易次数
• 比率类：交易金额/历史平均金额、登录成功率
• 距离类：IP与常用地址的地理距离、设备与账户注册地的偏移

3.3.2 类别型特征

类别型特征表示离散的、无序的类别标签。在风控中，类别特征往往携带重要的风险信号，例如某些高风险国家代码、特定设备型号或支付渠道。常见处理方式：

1. 独热编码（One-Hot Encoding）：将每个类别映射为一个二进制向量，适用于类别数较少的场景。
2. 标签编码（Label Encoding）：将类别映射为整数，适用于树模型，但需注意数值大小可能引入虚假顺序。
3. 频次编码（Frequency Encoding）：用类别出现的频率替代原始标签，能反映稀有类别的风险信号。
4. 目标编码（Target Encoding）：用类别对应的目标变量均值替代，需防止过拟合。

3.3.3 时序型特征

时序型特征关注行为在时间维度上的变化模式，是识别团伙欺诈、设备农场、养号行为的关键。实时风控中常用的时序特征包括：

• 滑动窗口统计：过去5分钟、1小时、24小时内的交易次数、金额总和、标准差
• 变化率：当前值与上一时刻值的差值或比值
• 周期性：是否在非活跃时段发起交易、与历史行为时间模式的偏离度
• 序列模式：操作步骤的先后顺序、点击间隔的规律性

时序特征的计算通常依赖 实时流计算引擎（如 Flink、Spark Streaming），需要维护窗口状态与时间戳对齐。

3.4 特征在风控中的作用

特征在实时风控系统中扮演着 信号放大器 和 风险量化器 的双重角色。具体作用体现在以下五个方面：

1. 风险识别：通过特征值偏离正常范围，快速定位异常交易或行为。例如，交易金额超过历史均值 3 倍标准差，触发金额异常规则。
2. 行为画像：组合多个特征构建用户、设备、IP 的多维画像，实现精准的风险分层。例如，新设备 + 高风险 IP + 大额交易 = 高风险。
3. 模式发现：时序特征帮助发现团伙作案的周期性规律，如凌晨批量登录、同一设备切换多个账号。
4. 模型输入：特征是机器学习模型（如 XGBoost、神经网络）的直接输入，特征质量直接决定模型 AUC、KS 等核心指标。
5. 策略调优：通过特征分布监控，发现数据漂移或策略失效，及时调整规则阈值或模型权重。

3.5 特征工程在实时风控中的挑战

实时风控对特征工程提出了比离线建模更严苛的要求，主要体现在以下方面：