来源：2022年第六届农村中小金融机构科技创新优秀案例评选

获奖单位：苏州农商银行

荣获奖项：数智应用创新优秀案例

一、项目背景

伴随着云计算、大数据、社交网络、搜索引擎等技术的快速发展，银行业务的经营发展进入全新的移动互联网化经营模式，银行金融服务不仅突破了时空的限制，更是融于各类场景之中、无处不在，客户可以便捷地享受金融服务。与此同时，传统金融机构业务互联网化和新型互联网金融模式的快速发展，互联网欺诈手段变得越来越多样，银行业务受到欺诈风险也在急剧增加。针对金融场景下数据高质量、高精准性的要求，利用人工智能及大数据技术，提升对用户的精准刻画能力，构建多层次的金融大数据智能风控安全防御体系尤为重要。

在支持金融科技创新方面，2019年银发209号文《金融科技（FinTech）发展规划（2019-2021年）》的重点任务第四节要求，增强金融风险技防能力，正确处理安全与发展的关系，运用金融科技提升跨市场、跨业态、跨区域金融风险的识别、预警和处置能力，加强网络安全风险管控和金融信息保护，做好新技术应用风险防范，坚决守住不发生系统性金融风险的底线。在提升金融业务防范能力方面，要求完善金融业务风险防控体系，运用数据挖掘、机器学习等技术优化风险防控数据指标、分析模型，精准刻画客户风险特征，有效甄别高风险交易，提高金融业务风险识别和处置的准确性。健全风险监测预警和早期干预机制，合理构建动态风险计量评分体系、制定分级分类风控规则，将智能风控嵌入业务流程，实现可疑交易自动化拦截与风险应急处置，提升风险防控的及时性。组织建设统一的金融风险监控平台，引导金融机构加强金融领域APP与门户网站实名制和安全管理，增强网上银行、手机银行、直销银行等业务系统的安全监测防护水平，提升对仿冒APP、钓鱼网站的识别处置能力。构建跨行业、跨部门的风险联防联控机制，加强风险信息披露和共享，加大联合惩戒力度，防止风险交叉传染，实现风险早识别、早预警、早处置，提升金融风险整体防控水平。

二、项目方案

1、项目方案概述

一方面，本项目打破过去各个业务渠道各自独立的风控管理体系，通过整合行内外跨行业、跨渠道、跨场景的数据，收集多层次、多维度的交易特征，打造完整的客户画像、全局名单和评分体系。通过共享名单、标签、预警信息，各产品、各渠道、各业务环节在信息流转与决策互动中实现数据的积累补全和模型策略的优化升级，不断迭代，形成自我完善的风控生态圈。另一方面，本项目依托行内私有的云计算平台，基于分布式微服务架构，采用容器化及双活部署方案，具备动态扩缩容能力和稳定高效的实时决策能力，从而能够更好地实现对风险交易进行有效干预和拦截。

2、业务逻辑架构设计

本项目涉及业务功能模块主要有用户端信息采集模块、渠道对接模块、前置服务模块、风险决策引擎模块、实时指标计算、风险事件、案件管理、风险大盘、数据汇集平台等组成。逻辑架构图如下：

主要业务功能模块功能描述如下：

（1）用户端采集模块主要负责用户行为数据采集及设备环境信息采集。

（2）渠道对接及前置服务模块，主要负责对接行内各业务渠道或产品前置，进行交易信息的补全和整合，实时采集渠道交易信息并实时反馈结果。目前对接的渠道包括但不限于个人及企业手机银行、个人及企业网银、鱼米e金融APP、苏农商微信公众号、苏农贷微信公众号、银联支付、网联支付、二代支付、农信银支付、POS、ATM、柜面、移动展业平台、超柜、数字人民币、一码通收单等交易渠道或产品。

（3）风险决策引擎模块主要包括规则引擎、指标引擎和模型引擎。其中规则引擎是核心，实现基于规则模型对交易风险进行实时侦测评估，并产生出相应的处置策略给渠道。实时指标引擎是提供规则所需要的行为指标进行预计算的功能。模型引擎与行内人工智能平台对接进行模型训练和迭代优化。

（4）风控大脑模块与风险决策引擎模块结合，促进策略配置系统+策略保障系统的能力升级，降低来自内外的风险威胁，针对决策引擎决策结果进行实时跟踪与监控，通过风险感知、风险探查、知识沉淀形成风控策略调优闭环。

（5）后台管理模块主要有规则、指标、事件、案件等管理功能，提供给管理人员全生命周期的规则和案件管理功能。

3、基于云计算的技术方案设计

本项目采用SOA设计思想和组件化设计的技术，构建三层软件体系架构，通过分布式处理、分区技术、服务器集群和负载均衡等技术措施，集成行内云计算平台的IaaS和Paas能力，采用容器化和双活部署方案，充分保证应用系统的高性能、高稳定和高扩展性。本项目技术架构图如下：

系统整体上可以分为三层，即接入层、应用层和数据存储层。各层功能描述如下：

（1）接入层。采用渠道直联和ESB间联两套模式进行渠道接入适配，通讯协议采用HTTP。设备指纹模块通讯协议采用HTTPS，加密算法采用国密SM4算法。

（2）应用层。应用层实现业务逻辑处理、权限控制、流式决策引擎、数据解析、数据缓存及持久化等功能，使用多样化的中间件技术，为应对业务系统在大数据量下及高并发的场景提供了性能保障。RPC组件方面，基于行内云计算平台中的JSF组件，采用分布式集群部署，定制化的jsf通讯协议，该协议相比Dubbo及Http协议，提供高可靠的同时带来了更高的TPS，高效的实现了系统间各微服务的发布订阅和调用。反欺诈接入交易事件持久化方面，采用了异步消息队列实现机制。由于反欺诈系统是全行级交易汇聚平台，需要处理高并发的接入请求，本项目使用FMQ分布式缓存组件，实现应用解耦，实现了削峰填谷、高效传输的的分布式数据传递需求。在分布式框架中，需要直观的进行分布式微服务全链路监控，本项目采用SGM组件，跟踪服务链的调用情况，提供微服务链路的熔断、降级、监控等管理功能。

（3）数据存储层。采用关系型、内存型和全文检索型结合使用的混合架构模式。关系数据库方面，本项目使用MySQL作为持久层解决方案，主要用于存储风险统计数据、规则策略定义、流程管理、系统配置等信息。采用主从模式，在系统正常情况下，主节点为应用系统提供服务，从节点监视主节点的运行情况，当主节点出现异常，不能支持应用系统运营时，从节点主动接管主节点的工作，继续支持关键应用服务，保证系统不间断的运行。内存数据库方面，本项目使用AeroSpike（以下简称AS）作为内存数据库解决方案，主要用于存储用于规则实时计算的统计指标。AS是一个以分布式为核心基础，可基于行随机读取内存中索引、数据或SSD存储中数据的数据库，基于AS可以提供海量数据的高并发、毫秒级读取插入能力。AS具备以下特性：可预见的高性能：99%的响应可在1毫秒内实现，99.9%的响应可在5毫秒内实现；混合架构：索引存储在RAM中，而数据存储在闪存/固态硬盘（SSD）上；无热点：使用复杂的哈希函数来确保数据均等的分布到所有可用节点，从而将需求平均分布到各资源上。数据完整性：保持了高度的一致性，允许对跨越多个集群和数据中心的一致性进行调节；线性扩展：能够根据需要安装到多个数据中心内分组为多个集群的多个节点上，添加节点，无需分片，无需人工干预；跨数据中心支持：不同数据中心内的集群能够自动协调，从而实现绝对的可靠性。全文检索数据库方面，本项目使用Elasticsearch（以下简称ES）作为全文检索解决方案，主要用于存储交易事件和告警信息；ES是一个高扩展的分布式全文检索引擎，它可以近乎实时的存储、检索数据；ES具备很好的扩展能力，可以扩展到上百台服务器，处理PB级别的数据。

本项目数据流向设计如下图所示：

（1）业务系统将交易信息上送给风控系统的前置系统；

（2）前置系统将交易信息发送到决策引擎系统；

（3）当需要使用归属地等辅助数据时，前置系统将先从数据平台获取辅助信息；

（4）将辅助数据+交易数据一起上送决策引擎用于风险评估；

（5）决策引擎子系统将交易信息、风险评估结果发送到FMQ待存储；

（6）将风险评估结果返回前置系统；

（7）前置系统将风险评估结果返回业务系统；

（8）Consumer模块将交易数据、风险评估结果数据从FMQ中取出；

（9）Consumer模块将取出的交易信息、风险评估结果数据存储到相应的存储组件中。

4、多级防控体系方案设计

通过本项目可以帮助银行构建交易风险的跨渠道多级防控体系，本项目按照交易参与方及交易全链路进行抽象建模，设置了包括设备、渠道、产品、客户四个层级的呈梯次防御化体系，防控力度层层加码，让风险交易无处遁形。

（1）设备层级

设备层级是交易链路的发起端点，蕴含的环境信息对交易风险的识别具有至关重要的作用。本项目在交易发起设备中首先进行设备环境信息的采集和准备，利用设备的名称、型号、设备参数等要素，为每一个交易设备建立一个全球唯一的设备指纹，实现交易设备的身份认证。通过设备指纹对设备进行标识，实现设备黑名单、设备异常标签、信任档案等欺诈防控数据库，粗分好人和坏人，防批量欺诈攻击，实现第一级防控。

（2）渠道层级

渠道层级是交易信息的流入和提取层，本项目通过整合全行全渠道交易数据、行内大数据分析平台数据、同业共享的外部数据以及监管下发的行业数据，对外通过统一接口采集渠道的交易信息，对内提取加工，构建全面的交易及客户视图，实现第二级防控。

（3）产品层级

产品层级是交易信息的汇聚和分析层，以产品为视角，融合分析产品特征和风险点，跨渠道进行指标累计和规则模型发布。产品层级防控体系补齐了单独渠道的单一视角，汇聚产品各渠道的数据，进行存储、建模和计算，可以进行更加全面的风险提取和分析，实现第三级防控。

（4）客户层级

客户层级是站在客户视角，对客户行为、客户习惯等历史数据进行归纳分析，整合行内外跨渠道的多维度用户行为特征，通过对交易数据的整合，实现了跨产品、跨业务的用户行为追踪，综合评估用户行为风险。全局与各业务环节场景在信息与决策的互动中实现数据的不断积累补全和模型策略的不断优化升级，形成自我完善的反欺诈生态圈。实现第四级防控。

三、项目创新点

（1）传统的渠道级反欺诈专注于单一渠道防控，风险防控能力较弱，不能满足针对产品及客户级别的联防联控需求； ——本项目打破过去各个业务渠道各自独立的风控管理体系，通过整合行内外跨行业、跨渠道、跨场景的数据，收集多层次、多维度的交易特征，打造完整的客户画像、全局名单和评分体系。通过本项目可以帮助银行构建交易风险的跨渠道多级防控体系。

（2）单体集中式系统架构无法动态扩容，不能满足动态扩缩容需求；——本项目依托行内私有云计算平台，采用分布式微服务架构，对系统进行改造适配，提供了弹性扩缩容及灰度发布能力。

（3）传统消息中间件存在一定的缺点，比如Kafka无法兼顾高可靠、高吞吐以及低延迟要求，RocketMQ可运维性差，缺少监控和告警功能，RabbitMQ吞吐量低，高可靠模式使用复杂。——为了在可靠性、吞吐量以及低延迟等方面获得平衡，本项目使用本行云计算平台的FMQ消息中间件，基于高可用分布式集群技术来实现大量的反欺诈接入事件流水的持久化处理。

（4）传统的反欺诈信息补全手段难以平衡性能和实时性及大数据量的要求。在原有反欺诈系统中执行名单规则的流程是Api（决策引擎）应用通过RPC接口调用River（名单服务）应用判断名单是否命中。当规则中含有大量名单规则时候，会产生大量的RPC远程调用严重增加规则引擎服务的响应时间。并且大量调用中只有少部分名单会命中规则，多数是不在名单列表内的。——本项目为了减少这些名单不会命中的调用，缩短规则引擎整体响应时间，需要在反欺诈系统名单调用逻辑上加上布隆过滤器，在每次调用前通过布隆过滤器判断名单是否在过滤器中，如果不在过滤器中则必定不会命中名单规则，即可减少绝大多数的RPC远程调用。

四、技术特点及优势

针对传统的反欺诈信息补全手段难以平衡性能和实时性及大数据量的要求，本项目设计的基于布隆过滤器的名单规则引擎技术特点及优势详述如下：

（1）整体设计

在原有调用逻辑中添加布隆过滤器可以分为构建和使用两个部分实现。其中Api（决策引擎）服务器只负责使用过滤器，而无需关心过滤器数据的维护；而Syncfile（名单同步）应用负责过滤器数据的维护，当进行过滤器重构等大量操作时候也不会影响到决策引擎的执行。整体方案为syncfile应用将维护好的布隆过滤器数据写入到Aerospike缓存中，而Api应用定时从Aerospike中读取过滤器数据，并在本地缓存中构建布隆过滤器实例。

在设计方案时考虑到以下问题，并对方案细节做优化：

①因为Aerospike对单个记录大小有限制（默认最大1M）且考虑到Api应用中如果构建的过滤器实例较大，多次更新后会频繁导致Full GC影响正常业务。所以将过滤器拆分多个小的过滤器（单个内存大小为526Kb，预存数据量30w，错误率0.1%），名单数据通过哈希算法散列到这些小的过滤器中。

②因为布隆过滤器只能增加数据，不能删除数据，所以长时间使用会导致过滤器的错误率上升，最终导致过滤器效果甚微，所以需要对过滤器进行定期重构，每次根据当前所有的名单数据重构过滤器。

③过滤器在Aerospike中的数据分为主备两个set，Api应用固定从主set中读取过滤器数据。而syncfile重构时首先将数据写入到备用set，当重构完成且无异常后切换主备set。其他增量更新的数据，则直接由syncfile更新主set中对应的过滤器。

（2）布隆过滤器的构建与数据维护

（a）构建与重构

布隆过滤器的构建与重构逻辑相同，即每次开始之前增加分布式锁保证同时间内只有单节点执行任务。重构首先在本地缓存生成10个布隆过滤器，然后扫描Aerospike中所有名单数据，根据哈希算法依次将名单数据打入对应的过滤器中。之后将本地构建好过滤器写入到备用set中，如果过程无异常则修改主备信息，否则删除本次在备用set重构的数据。

（b）数据维护

在syncfile提供添加过滤器RPC服务，以便在所有途径名单添加都能调用该接口添加到过滤器。该服务接收到添加过滤器数据后首先将数据发送到FMQ（消息队列）中，然后syncfile自身订阅FMQ对应主题，批量消费需要添加过滤器数据。每次消费时先从Aerospike中读出对应过滤器数据，然后将名单数据打入后，再写入Aerospike中的主set里。如果消费过程中出现写入失败，则抛出异常告知FMQ本次消费失败，以便数据不会丢失，待下次进行重试。

（3）布隆过滤器的使用

Api应用定时读取主set的布隆过滤器，生成对应过滤器实例。当进行名单调用时，首先根据名单的哈希值选取对应的过滤器实例，判断名单是否在过滤器中。如果不在过滤器中，则直接返回不命中；否则通过RPC调用名单服务判断名单是否命中。增加布隆过滤器可以显著减少RPC远程调用，加快系统响应。

五、项目过程管理

项目按照统筹设计、面向全行、分步实施的策略进行推进实施，成立了涉及金融科技部、网络金融部、运营管理部、交易银行部、风险管理部、金融同业部等跨部门的项目团队。在完成顶层设计的基础上，然后按照渠道、系统或产品等不同维度进行迭代接入，并同步建设了涉及各分支行、客服中心以及总行各职能部门的运营管理体系，有效支撑本行的系统的运行。

六、运营情况及项目成效

（1）伴随着业务发展，系统不断迭代，经过一期和二期的建设已完成27个渠道及产品对接，重点业务场景覆盖了线上和线下、对私和对公、存款和贷款等多个维度。目前平台日均接入事件70万笔左右，部署规则1500+条，拒绝率0.06%，响应时间小于100毫秒。

（2）系统开发的典型模型举例：异常登录及转账模型、涉案账户模型（提前自动拉黑12户，其中4户后续确认涉案）、贴现资金流向监控模型、个贷资金流向监控模型等。

（3）系统投产后，不断发挥交易反欺诈平台的能力优势，为已接入渠道业务控制及风险防控提供强有力的支持。针对票据资金流向监控、信贷资金流向监控、涉案账户监控等业务关注的业务场景，进行规则提炼优化。其中信贷资金流向监模型自四月底正式上线以来，已成功阻断了2100多笔疑似违规用信的交易，降低了个人贷款违规用信数量。涉案账户监控模型提前自动拉黑12户，其中4户后续确认涉案。

（4）在渠道接入的过程中，同步建设了涉及各分支行、客服中心以及总行各职能部门的运营管理办法及体系，按照管理办法完成了典型场景的设计和系统优化工作，为平台发挥效力奠定基础。基于该平台，有力支撑了行内线上II、III类户等创新业务场景的拓展，助力开展打击治理电信网络新型违法犯罪“百日会战”，实现了全行、全渠道、全天候、实时的交易风险防控，进一步完善了自身风险防范体系。

七、经验总结

（1）该平台依托行内私有云平台，采用容器化部署，为系统性能的弹性伸缩奠定了基础。

（2）基于大数据及时间窗口可移动的动态数据分布处理技术，对风险特征进行多维度分析，智能识别欺诈风险，实现对风险交易进行有效干预和拦截。

（3）基于该平台，助力开展打击治理电信网络新型违法犯罪“百日会战”，实现了全行、全渠道、全天候、实时的交易风险防控，进一步完善了自身风险防范体系。

（4）在业务赋能方面，基于全渠道的顶层设计，为进一步放大设备指纹、跨渠道指标控制等方面提供了能力优势，赋能各业务渠道实现定制化的风控需求。

更多金融科技案例和金融数据智能优秀解决方案，请登录数字金融创新知识服务平台-金科创新社案例库、选型库查看。