数据交易平台的兴起让数据要素作为一种新型资产进入流通市场，但匿名化的交易主体、拆分式的小额转账和复杂的中介链条，也让洗钱风险随之放大。传统的基于固定阈值的反洗钱监测规则，面对高频交易数据往往力不从心。R语言在统计分析、图计算和数据可视化方面生态成熟，非常适合用来搭建一套从数据清洗、特征构建、模型识别到可视化监测的AML合规分析流程。本文将围绕这一目标展开，覆盖规则引擎、机器学习评分与网络图挖掘三大核心模块。
一、数据交易流水的清洗与特征工程
反洗钱分析的第一步永远是数据质量治理。数据交易平台的流水数据通常包含交易时间戳、交易双方标识、金额、资产类型、渠道编号等字段，其中缺失值、异常值和重复记录非常常见。用R语言的dplyr和data.table可以高效完成清洗工作。例如金额字段的缺失不能简单删除，因为缺失本身可能意味着数据被刻意篡改，应作为可疑信号之一保留。
特征工程是决定后续模型效果的关键环节。针对洗钱行为中典型的结构化交易特征，需要构造以下几类衍生变量：一是账户维度的统计特征，如单账户日交易笔数、金额均值与方差；二是时间维度特征，如夜间交易占比、交易间隔的规律性；三是行为特征，如快进快出比例，即资金到账后短时间内转出的比例。这类特征能够有效刻画分层放置阶段的行为模式。
library(dplyr)
# 读取交易流水数据并清洗
tx <- read.csv("transactions.csv", stringsAsFactors = FALSE) %>%
filter(!is.na(account_id), !is.na(counterparty_id)) %>%
distinct(tx_id, .keep_all = TRUE) %>%
mutate(amount = ifelse(amount <= 0, NA, amount),
hour = as.integer(format(tx_time, "%H")))
# 构建账户级特征
features <- tx %>%
group_by(account_id) %>%
summarise(
tx_count = n(),
avg_amount = mean(amount, na.rm = TRUE),
sd_amount = sd(amount, na.rm = TRUE),
night_ratio = mean(hour >= 23 | hour <= 5),
fast_pass_ratio = mean(out_time_diff < 600, na.rm = TRUE)
)
上述代码中fast_pass_ratio统计的是资金到账后十分钟内即转出的比例，这是典型的快进快出指标。值得注意的是，特征构造要结合业务理解，不能盲目堆砌变量，维度过多反而会稀释信号强度，通常每个账户保留10到20个强相关特征即可。
二、规则引擎与机器学习评分的融合方案
纯规则方案误报率高，纯模型方案又难以满足监管的可解释性要求，因此实践中通常采用规则与模型双轨并行、交叉验证的架构。规则层负责捕捉明确命中监管红线的交易，例如单笔金额恰好低于报送阈值、同一对手方短期内高频交易等；模型层则基于历史标注数据计算风险评分，作为排序和优先级参考。
规则引擎在R中可以用case_when灵活实现。以典型的拆分交易识别为例，当某账户当日累计金额接近但未超过大额报送标准，且笔数异常集中时，应触发可疑标记。
# 规则引擎：拆分交易与大额临界识别
rules <- features %>%
mutate(
risk_flag = case_when(
tx_count >= 20 & avg_amount > 45000 & avg_amount < 50000 ~ "拆分交易嫌疑",
night_ratio > 0.6 ~ "夜间异常活跃",
fast_pass_ratio > 0.8 ~ "快进快出嫌疑",
TRUE ~ "正常"
)
)
table(rules$risk_flag)
模型层可以使用xgboost或randomForest训练二分类模型。反洗钱数据的突出问题是正样本极度稀少，正负样本比可能达到万分之一级别，直接训练会导致模型倾向全部预测为负。解决方案包括欠采样、SMOTE过采样或者调整scale_pos_weight参数。评估指标不宜使用准确率，应采用召回率、精确率和AUC，因为漏报的监管代价远高于误报。
library(xgboost) # 处理样本不平衡并训练模型 label <- as.integer(labels$suspicious) dtrain <- xgb.DMatrix(as.matrix(features[, -1]), label = label) model <- xgboost( data = dtrain, nrounds = 300, max_depth = 5, eta = 0.05, objective = "binary:logistic", scale_pos_weight = sum(label == 0) / sum(label == 1) # 平衡正负样本 ) imp <- xgb.importance(model = model) print(imp) # 输出特征重要性，支撑合规解释
融合策略上，可以先由模型输出0到1的风险评分，再叠加规则命中结果形成最终等级。规则命中但模型评分低的案件仍需人工复核，因为新型洗钱手法可能超出历史样本的分布范围，这正是规则层不可替代的价值。
三、基于图网络挖掘隐蔽的资金流转链条
洗钱行为本质上是资金在多个账户之间的网络流转，单账户视角难以识别团伙特征。将交易数据建模为有向图，账户为节点、转账为边、金额为边权重，就能利用图算法发现隐蔽的关联社区。R语言的igraph包功能完善，足以支撑中等规模数据的图分析。
网络分析中最有价值的手段之一是社区发现，通过cluster_louvain或cluster_walktrap识别联系紧密的账户群体。如果一个社区内部呈现资金循环流动的模式，例如A转B、B转C、C又转回A，且时间上首尾衔接，这几乎就是典型的循环转账洗钱结构。
library(igraph)
# 构建交易有向图
edges <- tx %>% select(from = account_id, to = counterparty_id, weight = amount)
g <- graph_from_data_frame(edges, directed = TRUE)
# 社区发现：识别紧密关联的账户团伙
com <- cluster_louvain(as.undirected(g))
members <- membership(com)
# 检测循环转账模式
cycles <- simplify(g, edge.attr.comb = "sum")
cand <- V(g)[degree(g, mode = "in") > 0 & degree(g, mode = "out") > 0]
cat("检测到社区数：", length(com), "\n")
除了社区发现，中心性指标同样重要。page_rank高的账户可能是资金归集的核心节点，betweenness高的账户则可能承担资金中转的白手套角色。结合可视化工具ggraph绘制网络图，可以让风控人员直观看到资金流转的拓扑结构，在提交可疑交易报告前完成证据链梳理。
从合规体系的角度看，图分析结果还可以反哺特征工程，例如将社区编号、节点中心性作为新特征加入评分模型，形成规则、模型与图计算三者闭环。这种多层防御架构既满足监管对可解释性的要求，又能捕捉单点分析无法发现的团伙化洗钱行为，是数据要素流通场景下AML体系建设的务实路径。