3. 大额挂单的界定标准

在挂单快速撤回事件的检测中，第一个必须回答的问题不是“撤得多快”，而是“多大的挂单才值得被纳入统计”。如果阈值定得过低，盘口上正常的报价调整、小额试单、做市商的高频刷新都会被误判为异常撤回，告警噪声会淹没真正的风险信号；如果阈值定得过高，则真正具有诱导意图的大额挂单反而被漏掉。因此，大额挂单的界定本质上是一个分层过滤问题，需要同时从绝对规模、相对占比和动态分布三个角度建立判定规则。

一、绝对数量标准：最直观的第一道门槛

绝对数量标准直接以挂单的委托数量或委托金额作为判据，例如“单笔挂单数量 ≥ 500 手”或“单笔挂单金额 ≥ 200 万元”。它的优点是计算简单、口径稳定、易于跨日比较，适合作为系统的第一道粗筛。在实际工程中，绝对阈值通常按品种分别设定：流动性好的主力合约可以设得高一些，冷门合约则相应下调，否则会出现某些合约全天无任何挂单入选的情况。

绝对标准的局限也很明显。同一笔 500 手的挂单，在一个日均成交 50 万手的活跃合约上只占千分之一，几乎不可能影响价格；而在一个日均成交仅 2000 手的合约上，它已经足以在盘口形成明显的“墙”。因此绝对阈值只能回答“这笔单子本身够不够大”，无法回答“它相对于当前市场够不够大”。

二、相对占比标准：把挂单放回盘口环境中衡量

相对占比标准用挂单规模与某个参照量的比值来判定，常用的参照量有三类：一是与同侧盘口前 N 档挂单总量之比，二是与当日同时段平均单笔挂单量之比，三是与近期成交量之比。例如规则可写为“单笔挂单量 ≥ 同侧前五档挂单总量的 30%”，或“单笔挂单金额 ≥ 近 20 分钟成交金额的 5%”。

相对占比能自动适应不同合约的流动性差异，也能捕捉到“绝对量不大但在薄盘口上形成主导”的情形。但它对参照窗口敏感：窗口太短，占比会随盘口瞬时变化剧烈跳动；窗口太长，又会把市场状态变化抹平。工程上通常取 5～20 分钟的滚动窗口，并对分母设置一个下限保护，避免在成交极清淡时比值被放大到失真。

三、动态分位数标准：让阈值随市场状态自适应

动态分位数标准不预设固定数值，而是对历史挂单规模样本计算分位数，取高分位点作为当日阈值。典型做法是：对某合约过去 20 个交易日的逐笔挂单规模建立样本集，取 99% 分位数作为大额线，并每日滚动更新。这样在行情整体放量、挂单普遍变大时阈值自动上移，在市场清淡时自动下移，兼顾了稳定性与适应性。

分位数法的关键在于样本口径必须与检测口径一致：如果检测针对的是“单笔新增挂单”，样本就应取逐笔新增挂单而非盘口快照存量；如果检测针对“单档挂单存量”，样本则应取快照。口径不一致会导致分位数系统性偏移。此外，分位数对极端值不敏感是其优点，但也意味着当市场出现结构性变化时，阈值调整会滞后，通常需要配合人工复核或设置阈值变动幅度上限。

四、案例：同一笔 600 手挂单为何结论不同

假设某日某品种三个合约同时出现一笔 600 手的新增挂单，系统按上述三级规则依次判定。第一级绝对门槛设为 500 手，三笔全部通过。第二级相对占比要求达到同侧前五档总量的 30%：活跃主力合约前五档合计约 7500 手，该笔仅占 8%，被淘汰；清淡远月合约前五档合计约 1300 手，占比 45%，通过；极端清淡合约前五档合计约 950 手，占比 62%，通过。第三级动态分位数要求不低于近 20 日 P99：主力合约 P99 约为 1800 手，未通过；远月合约 P99 约为 420 手，通过；极端清淡合约 P99 约为 380 手，通过。

最终只有后两个合约被判定为大额挂单。但极端清淡合约的样本量往往很小，P99 的统计稳定性差，容易把偶发的正常报价误判为异常，因此工程上通常对这类合约追加一条“样本量不足时降级为观察级告警”的规则，而不是直接进入高优先级事件队列。这个案例说明：阈值不是一组固定数字，而是一套随合约流动性、样本充分性和市场状态联动的判定逻辑。

五、阈值选择与参数落地

实际配置时，建议把三级规则写成可调参数表，并明确每一级的淘汰语义。绝对门槛按品种维护，相对占比的参照窗口与分母下限单独配置，动态分位数则需指定样本天数、分位点、更新频率和最小样本量。下面是一份可直接参考的参数配置示例（数值为教学示例，需按实际品种回测校准）：

large_order_rule:
  absolute:
    min_volume: 500          # 手
    min_amount: 2000000      # 元
    by_product: {rb: 800, ag: 300, ...}
  relative:
    ref: same_side_top5      # 参照：同侧前五档总量
    ratio: 0.30
    window_min: 20           # 成交额参照窗口
    denom_floor: 200         # 分母下限，防止薄盘口比值失真
  quantile:
    sample_days: 20
    percentile: 0.99
    min_samples: 200         # 样本不足则降级为观察级
    max_shift: 0.20          # 单日阈值变动幅度上限
  combine: AND               # 三级同时满足才判定为大额

参数上线后不能只看告警数量，还要做两类校验。其一是回溯校验：用历史数据重放，统计被判定为大额的挂单中，后续在极短时间内被撤回的比例，若该比例与人工标注的异常样本吻合度低，说明阈值偏松或偏紧。其二是稳定性校验：观察连续多日阈值曲线的波动，若某合约的 P99 在相邻两日之间跳变超过设定上限，应触发人工复核，排查是否存在数据口径变化或极端行情干扰。

综上，大额挂单的界定应当以绝对数量完成粗筛、以相对占比完成环境校准、以动态分位数完成尾部识别，三者串联使用，并配套样本量保护、阈值变动上限和回溯校验机制。只有先把“什么算大额”定义清楚，后续对撤回速度、撤回比例和挂单存续时长的检测才有可靠的统计基础。