可疑交易甄别为什么误报多？图数据库能补上哪一环

风控部门每季度要开一次阈值评审会。这次议题很简单：把可疑交易的金额阈值从 5 万提到 8 万。理由也充分——上季度人工复核队列积压 1.7 万条，单条平均处置 6 分钟，两个人全职干不完。调完之后报送量掉了四成，会开得挺顺。会议室里没人提另一件事：这套规则逐笔看账户，而图数据库擅长的恰恰是账户之间的关系。

纪要第三页有一行小字没人追问：阈值上调后新增的漏报，抽样复核结果是多少。不是不想算，是算不出来。漏报没有队列、没有工单、没有人在事后去捞那些本该报却没报的交易。误报看得见，漏报看不见，于是每一次调参都朝同一个方向走：阈值越来越高，队列越来越短，模型越来越安静。

真正的问题不在阈值的位置。一笔 4.8 万的分拆转账，和一笔 4.8 万的连锁门店日结，在规则引擎眼里是同一个东西——金额、时间、对手方三个字段凑出来的一个分数。它们唯一的区别在于所处的关系结构，而这个维度在逐笔评分里根本不存在。这正是图数据库要补的那一环。

一、误报的根源：一个团伙被拆成两百多笔孤立打分

传统甄别链路的输入单位是“一笔交易”。规则读金额、时点、频次、名单；模型读同一组字段再加一点历史行为；输出的是一条告警和一个置信度。整条链路里，没有任何一个环节回答过“这笔钱的主人，和上一笔告警的主人是不是同一个人”。

某股份行内部复盘过一个跑分团伙：4 天内把 460 万分拆到 18 个账户，每笔 2 万上下。规则侧的表现几乎是完美的“沉默”——单笔 5 万的大额阈值不触发，单账户日累计 20 万的阈值不触发（每户日均远低于此），唯一命中是“夜间时段 + 对手方开户不足 30 天”这条弱规则，置信度 0.58，低于 0.7 的自动报送线，全部落到人工复核。

230 条告警，单条 6 分钟，合计 23 小时，三个复核员一天半的产能。而真正有价值的结论只有一句：这 18 个账户属于同一个操作团伙。这句话埋在第 187 条告警后面——等复核员翻到那里，当天队列已经排到第二天上午。

误报的成本不只是人力。更隐蔽的代价是排序：真正该报的那一条，和被误报淹没的两百多条，在同一个队列里按时间先后排队，没有优先级。队列一旦排满，风险就从“没被发现”变成“来不及发现”。

维度	规则逐笔判定	模型逐笔评分	结构归并 + 逐笔评分
评估单位	一笔交易	一笔交易	一个连通组（含若干笔明细）
主要输入	金额、时点、对手方、频次	同上，加历史行为	同上，加度数、社群、闭环、共享标识
18 账户团伙产生的告警	230 条	180~230 条，视分数切分	1 组，附 230 笔明细
人工处置工作量	约 23 小时	约 18~23 小时	约 0.7 小时（组级复核）
主要失效方式	阈值上下都能绕	分布漂移后召回骤降	图不完整时归并失效

二、五类高误报模式，指向同一个缺失维度

把近两年的复核结论归堆，误报并不均匀分布，而是集中在五种形态上。它们的共同点不是“金额没调好”，而是判断时缺了关系这一维。

形态	规则为什么报	关系视角下怎么判	误报密度
分拆转账（多户小额）	单笔贴合阈值下沿	组内共享设备或 IP、7 日内闭环则升级；无共享标识则降级	高
商业集中结算（门店日结、平台二清）	固定时点、整齐金额、集中转入	转出方为同一集团主体、金额与门店流水匹配、无闭环则排除	极高
代发工资与批量报销	一对多、金额整齐	付款方为用人单位、收款方历史稳定、按月重复则排除	极高
跨境贸易多对手方	对手方分散、金额不整	有合同、报关、物流三条链对应则排除；缺链且资金回流则升级	中
亲属代持与借名账户	户主与实际操作人分离	登录设备与户主不一致、资金最终归集到同一节点则升级	中

循环转账最能说明问题。A 转 B、B 转 C、C 转 A，逐笔看是三笔正常个人转账，金额都不大，都发生在工作时段，渠道也没异常。只有把三笔连起来，闭环才浮出来。反过来，一条真实供应链的结算在图上可能是一棵很深的树，但没有任何环——环的有无，是最便宜也最有效的判别信号之一。

同一台设备登录 37 个账户、每户每天只转 2 万，这个形态在逐笔视角下 37 笔全部正常，在关系视角下它是一个标准的星形结构。规则看不出星形，因为它一次只盯一个点。资金链路排查的工程细节可参考银行反洗钱资金链路深度排查，本篇关注的是告警的口径而不是链路的深度。

三、把告警的单位从笔换成组

建图不必从全量开始。有效的做法是从告警出发反向建图：以告警涉及的账户为种子，向外扩两跳，把共享标识（设备、IP、手机号、银行卡）、交易对手、受益所有人一并拉进来，形成局部子图。种子有多少，图就有多大，增量更新只跟着新告警走。这套建模在关联网络场景里已经比较成熟，基于图数据库的客户关联网络风险洞察给过一套银行侧的落地口径，本篇只借用其中的归并部分。

点分成三类：主体（账户、客户、商户）、标识（设备指纹、IP、手机号、卡号）、关系人（受益所有人、经办人）。边带方向与时间：转账带金额和渠道，登录带设备与时刻，绑定带生效区间，任职与控股带持股比例。资金流向必须是有向边，“谁给谁钱”和“谁和谁有往来”在甄别里是两件事。

归并规则可以写得很朴素：7 日内共享设备、或两跳内存在资金闭环、或受益所有人相同的告警，归入同一连通分量；每个分量生成一个组级案件，附全部明细与关系截图。复核对象从“这一笔为什么可疑”变成“这一组是不是一个团伙”，判断难度下降，处置效率上升。组级复核通常 40 分钟出结论，同样的信息量逐笔复核要 23 小时。

考核指标也随之改变。不再只看单笔告警准确率，而看组级命中率与每组平均告警数。后一个数字很说明问题：平均每组 1.2 条，说明归并没生效；平均每组 30 条以上，多半是把一个正常商圈误连成了一团。两个极端都指向同一件事——图建得不对。

四、结构特征怎么进模型：给规则装一个上下文开关

结构特征不是替换规则，而是给规则加一个“看上下文”的开关。同一笔 4.8 万，落在什么结构里，结论完全相反。

特征	计算方式	业务含义	模型里的用法
度数	一度邻居计数	账户活跃广度	孤立点降权，超高连接升权
二跳规模	两跳内去重账户数	风险波及半径	超阈值触发组级复核
社群规模与密度	Louvain 社区发现	是否成团、团有多大	团内告警密度高则升级
闭环数量	3~6 跳环检测	资金是否回流	存在闭环直接升权
路径长度分布	最短路径统计	资金过了几层	层数多且金额递减，疑似分层转移
共享标识数	设备、IP、手机号交集	是否同一操作人	达 3 个以上视为同组
时间节律同步性	组内交易时间方差	是否脚本化操作	方差极小，疑似程序控制

有一条判据可以直接写进制度，不必等模型上线：同组账户共享 3 个以上标识、组内 7 日内存在闭环、组内交易时间方差低于 5 分钟——三项中两项成立，即升级为组级案件。用这条口径回测历史样本，误报剔除率通常能到一半以上，同时不牺牲召回。

图算法在这里各司其职。Louvain 把资金网络切成团，连通子图把分拆合并成一案，环检测负责找回流，PageRank 与节点重要度负责找归集账户——团伙里那个总闸往往度数不高，中心性却极高，因为所有支流都从它这里过。这些算法在悦数图数据库里是内置的，不必把子图导出到外部计算框架再算一遍；导出这一步本身就是实时甄别里最贵的一环。

五、悦数图数据库的核心能力支撑

实时甄别要求结构特征必须在线算。悦数图数据库采用存算分离与 Shared-Nothing 架构，在千亿点万亿边规模下，点边精确查询 1 秒内返回、5 度关系查询 5 秒内返回，动态 Schema 支持不停机新增设备指纹、受益所有人等点边类型，业务迭代不必等排期；内置 Louvain、连通子图、最短路径等图算法，配合 Text2nGQL 让风控人员用自然语言直接生成查询；原生多模融合检索把图、向量、全文放在同一引擎，便于交易结构与文本线索一起召回。产品 100% 自主可控。

六、从告警出发反向建图：四阶段与两个误区

阶段	目标	核心工作	参考周期
一、告警归并	处置单位从笔变组	接入告警源与账户、设备、IP 映射，按 7 日窗口跑连通分量，并行运行不改原有流程	3~4 周
二、结构特征入库	特征可在线取	把度数、二跳规模、闭环数、共享标识数落成可查特征，接现有模型做影子打分	4~6 周
三、组级模型与阈值	组级命中率可考核	用已结案样本回标，定下三项判据的阈值，替换单笔阈值考核	6~8 周
四、反馈闭环	结论回流图谱	复核结论作为标签写回关系边，形成可迭代的监督信号	持续

第一个误区是先建全量图谱、再谈甄别。图谱建设周期以季度计，而误报是每天都在发生的成本。从告警出发反向建图，第一周就能拿到归并结果，图的边界随告警自然生长，反而更容易覆盖真正有风险的区域。

第二个误区是把图当特征库用，只取度数。只看一度邻居，等于把团伙问题降级成“这个账户往来多不多”。一个 12 人的团伙，每个人的度数可能都只有 3，靠度数永远排不进前列；靠社群与闭环，它们才成形。

可疑交易甄别的准确率上限，不取决于模型多复杂，而取决于告警的单位是笔还是组。把这个问题换掉，阈值才有讨论的意义。

相关阅读

常见问题（FAQ）

Q1：悦数图数据库是一款什么样的产品？

A：悦数图数据库是杭州悦数科技自主研发的分布式图数据库，面向千亿点万亿边规模的关系数据存储与查询，采用存算分离与 Shared-Nothing 架构，支持动态 Schema、内置图算法与原生多模融合检索，产品 100% 自主可控，已获 60 余项国家发明专利。

Q2：可疑交易甄别与悦数图数据库是什么关系？

A：图数据库承担的是甄别链路里“关系”这一层：把账户、设备、受益所有人连成图，让告警按连通分量归并成组，把度数、社群、闭环等结构特征实时供给评分模型。悦数在千亿点万亿边规模下做到点边精确查询 1 秒内、5 度关系 5 秒内，是这一层能在线跑的前提。

Q3：金融客户对部署形态与权限控制有硬要求，悦数图数据库怎么满足？

A：支持公有云、私有化与一体机多种部署形态，提供多租户隔离、加密通信与细粒度权限控制，并已完成统信、麒麟、中科可控等国产化适配。按 IDC 2024 年中国图数据库市场份额报告，悦数位列第二，并连续两年入选信通院图数据库“领航者”。