4. 反欺诈数据模型：欺诈事件的数据结构、实体与关系建模
在反欺诈图数据血缘体系中，数据模型是核心骨架。本章将定义欺诈事件的标准数据结构，并对关键实体（用户、设备、IP、订单）及其关系（转账、登录、注册）进行图建模。该模型将作为后续 Kafka 回放链路中图构建与血缘追踪的基础。
4.1 欺诈事件的数据结构
欺诈事件是图数据中的“边”载体，每条事件记录必须包含时间戳、主体、客体、行为类型及上下文特征。标准事件结构如下：
| 字段 | 类型 | 说明 | 示例 |
|---|---|---|---|
| event_id | String | 全局唯一事件ID | evt_20250321_001 |
| event_type | Enum | 行为类型：转账/登录/注册 | transfer |
| timestamp | Long | 事件发生Unix毫秒时间戳 | 1742544000000 |
| source_id | String | 主体实体ID（用户/设备） | user_1001 |
| target_id | String | 客体实体ID（用户/订单/IP） | order_5001 |
| source_type | Enum | 主体实体类型 | user |
| target_type | Enum | 客体实体类型 | order |
| features | Map | 上下文特征（金额、IP、设备指纹等） | {"amount": 5000, "ip": "192.168.1.1"} |
| risk_score | Double | 实时风险评分（0-1） | 0.87 |
设计要点： features 字段采用 Map 结构，支持动态扩展反欺诈特征，避免频繁修改 schema。在 Kafka 消息中，建议使用 Avro 或 Protobuf 序列化以保持兼容性。
4.2 核心实体建模
图数据库中的实体（节点）代表反欺诈分析的基本对象。我们定义以下四类核心实体：
- 用户（User）：账户ID、注册时间、实名等级、历史风险标签。
- 设备（Device）：设备指纹、操作系统、浏览器UA、首次出现时间。
- IP地址（IP）：IP值、地理位置、运营商、ASN号、历史恶意标记。
- 订单（Order）：订单ID、金额、商品类型、支付方式、状态。
| 实体类型 | 主键标识 | 关键属性（示例） | 生命周期 |
|---|---|---|---|
| User | user_id | register_time, level, risk_tag | 长期 |
| Device | device_fingerprint | os, browser, first_seen | 中期（设备更换） |
| IP | ip_address | geo, isp, asn, malicious_flag | 动态（DHCP/代理） |
| Order | order_id | amount, category, pay_method, status | 短期（交易完成） |
4.3 关系建模：转账、登录、注册
关系（边）将实体连接成图，每种关系类型对应一种欺诈行为模式：
- 转账（TRANSFER）：从用户到订单，属性包含金额、时间、渠道。
- 登录（LOGIN）：从用户到设备或IP，属性包含登录时间、是否成功、设备指纹。
- 注册（REGISTER）：从用户到设备或IP，属性包含注册时间、邀请码、渠道来源。
反欺诈视角： 同一设备关联多个用户注册 → 设备农场风险；同一IP在短时间内关联大量转账 → 洗钱团伙模式。
4.4 图数据模型总览
下图展示了实体与关系的完整图结构，包含用户、设备、IP、订单四类节点，以及转账、登录、注册三类关系：
4.5 关系属性与方向性
每条关系边必须携带属性以支持时间序列分析和风险计算。以下为三种关系的属性模板：
| 关系类型 | 方向 | 必选属性 | 可选属性 |
|---|---|---|---|
| TRANSFER | User → Order | amount, timestamp, channel | pay_method, currency, risk_reason |
| LOGIN | User → Device/IP | timestamp, success_flag, device_fingerprint | location, user_agent, session_id |
| REGISTER | User → Device/IP | timestamp, invite_code, source_channel | referrer, campaign_id |
注意： 关系方向不可逆。例如，转账只能从用户指向订单，不能反向。在图查询中，方向性直接影响路径遍历效率，建模时需严格约定。
4.6 图模型在反欺诈中的应用
基于上述模型，可以快速构建以下反欺诈检测场景：
- 团伙检测：多个用户共享同一设备或IP → 通过 REGISTER/LOGIN 关系发现设备农场。
- 资金链路追踪：从可疑用户出发，沿 TRANSFER 关系遍历订单，识别洗钱网络。
- 异常登录检测：同一用户短时间内从不同IP登录 → 通过 LOGIN 关系的时间属性判断。
- 注册风险评分：新用户关联的IP若存在恶意标记，则提升注册风险等级。