一种用于金融犯罪检测的实时分析框架，该框架结合了序列分析和市场行为学习技术

《Decision Analytics Journal》：A real-time analytics framework for financial crime detection using sequential and market behavior learning

　　Md Aktarujjaman | Mohammad Moniruzzaman | Md Shahab Uddin | Ahsan Ahmed | Mumtahina Ahmed | M.F. Mridha | Zeyar Aung
信息技术与管理，韦伯斯特大学，470 E Lockwood Ave，韦伯斯特格罗夫斯，63119，密苏里州，美国

**摘要**
本文提出了一种双分支深度学习框架，通过整合行为交易数据和高频交易（HFT）信号来检测和预防金融犯罪。该模型结合了双向LSTM和注意力机制来建模账户级别的交易序列，以及卷积LSTM流程来捕捉微秒级别的交易异常。在两个真实世界数据集上进行的实验表明，所提出的方法取得了先进的性能：在交易数据集上的AUC为0.939，F1分数为0.861；在HFT数据集上的AUC为0.879，F1分数为0.831。消融研究证实了注意力机制的重要性，而鲁棒性评估显示该模型在噪声和特征漂移下仍能保持稳定性能。该模型的推理延迟低于每个样本3毫秒，并且使用的可训练参数少于80,000个，使其适用于金融监控系统的实时部署。

**1. 引言**
金融市场由于算法交易和全球交易系统的技术进步而变得越来越数字化、复杂和高速。虽然这些发展为金融生态系统带来了效率和流动性，但也为复杂的金融犯罪创造了机会。诸如身份操纵、账户接管、未经授权的交易以及通过高频交易（HFT）技术进行的市场滥用等欺诈行为变得更加普遍且难以检测[1] [2]。这些非法活动不仅导致机构和个人的直接财务损失，还侵蚀了对金融系统和监管机制的信任。
传统的欺诈检测系统通常基于规则或依赖于简单的统计阈值[3] [4]。尽管这些系统在计算上高效且易于解释，但它们无法捕捉现代金融犯罪的复杂性和适应性。欺诈者经常模仿合法行为或在监控下调整策略，使得传统方法越来越无效[5]。同时，高频交易实践如报价填充、欺骗和分层引入了额外的混淆层，可以在几分之一秒内操纵市场价格。这些攻击往往未被设计用于处理较慢的人类规模交易的监控系统所察觉。
最近在机器学习[6] [7] [8]，特别是深度学习方面的进展，为检测复杂和不断演变的欺诈模式开辟了新的途径。基于循环神经网络（RNNs）[9]、注意力机制[10]和序列建模[11]的模型在捕捉金融数据中的时间依赖性和行为模式方面显示出潜力。然而，大多数现有研究仅专注于结构化交易数据或市场数据流中的交易日志。这些模式很少被整合到一个能够同时处理客户级别行为和高频交易动态的统一架构中。
为了弥合这一差距，我们提出了一种新颖的深度学习框架，该框架结合了交易行为分析和实时市场监控，采用双分支架构。第一个分支使用带有注意力机制的双向长短期记忆（BiLSTM）网络来建模序列交易行为，以突出随时间的异常活动。第二个分支使用卷积LSTM架构处理微秒级别的市场数据，以检测与操纵性交易策略相关的模式。通过融合两个分支的潜在表示，该模型学习了一个支持稳健和实时金融犯罪检测的联合嵌入。

我们在两个公开可用的数据集上进行了广泛的评估：（1）包含2512条标记记录的银行交易数据集，其中包含合法和欺诈交易；（2）包含逐笔订单簿数据的高频交易数据集，模拟了真实的市场行为。我们的实验表明，所提出的模型显著优于传统的基线方法（如逻辑回归、支持向量机和随机森林），以及最近的深度学习方法（包括GRUs、Transformers和基于注意力的LSTMs）。该模型在交易数据集上的AUC为0.939，F1分数为0.861；在HFT数据集上的AUC为0.879，F1分数为0.831，表明其在不同金融数据环境中的有效性。
除了预测准确性外，该模型还对噪声和特征漂移具有鲁棒性，这两者在真实世界的金融数据中很常见。我们的噪声注入实验表明，即使在输入特征发生显著扰动的情况下，模型也能保持高水平的性能。漂移模拟进一步证实了系统在数据分布变化下的稳定性，突出了模型的适应性和泛化能力。此外，我们评估了模型的计算效率，该模型在单个GPU上几分钟内即可训练完成，并且每个样本的推理延迟低于3毫秒。这使得该系统适用于实时欺诈检测管道和市场监控系统的部署。该架构保持紧凑，可训练参数少于80,000个，并且分支之间共享层以优化内存和运行时效率。

**本文的主要贡献如下：**
• 我们提出了一种新颖的双分支深度学习架构，将交易数据和高频交易数据整合在一起，用于统一的金融犯罪检测。
• 我们设计了分别针对顺序客户交易和微秒级市场活动的基于LSTM和基于卷积的流程，并加入了注意力机制以增强时间相关性。
• 我们在两个真实世界数据集上进行了广泛的实验，证明了所提出的模型在准确性、F1分数和AUC指标方面达到了先进水平。
• 我们进行了消融研究，验证了每个架构组件的有效性，特别是双重注意力机制。
• 我们评估了模型对高斯噪声和特征漂移的鲁棒性，确认了其在动态金融环境中的稳定性和泛化能力。
• 我们评估了模型的计算效率，证明该模型在最低硬件要求下支持近乎实时的推理，使其适用于实际部署。

**本文的其余部分结构如下。**
第2节回顾了欺诈检测和HFT异常分析的相关工作。第3节描述了数据集和预处理步骤。第4节详细介绍了所提出的方法论，包括架构组件和训练协议。第5节展示了实验结果和分析。第6节讨论了发现、局限性和未来方向。第7节总结了本文。

**2. 相关工作**
金融犯罪检测一直是学术界和工业界的研究热点[12] [13]。相关文献涵盖了多个领域，包括统计异常检测、基于规则的系统、传统机器学习以及最近的深度学习技术[14] [15] [16]。在本节中，我们将现有工作分为四个关键主题领域：（i）交易欺诈检测；（ii）高频交易（HFT）监控；（iii）金融时间序列中的异常检测；（iv）混合和多模态深度学习架构。这种结构化的回顾有助于比较不同方法的方法论趋势、优势和局限性，并强调了需要能够同时处理行为和市场级别金融数据的统一框架。
早期的欺诈检测系统依赖于领域专家定义的基于规则的方法，这些方法简单但容易产生误报且缺乏适应性。随着数据复杂性的增加，统计和传统机器学习模型（特别是决策树、SVM、KNN和集成方法（XGBoost、LightGBM）变得流行起来，它们利用了来自交易数据的工程化特征[17] [18]。在标记数据有限的场景中，使用了无监督方法（如隔离森林、自动编码器和聚类技术如DBSCAN）来建模正常行为并检测异常[19]。最近，深度学习方法（特别是带有注意力机制的LSTM网络和Transformer模型）出现，有效地捕捉了交易序列中的时间依赖性和动态模式，用于大规模欺诈检测[20]。Vlasselaer等人[21]引入了APATE，这是一种使用基于RFM的特征和网络传播的混合模型来检测信用卡欺诈。然而，他们的方法主要关注静态的顾客-商家图，未能很好地适应高频交易的动态特性。类似地，Xie等人[22]提出了一个带有时间注意力机制的TH-LSTM模型来捕捉交易行为，但他们依赖于顺序依赖性，可能在高频交易环境的超快、异步交易中遇到困难。Huang等人[23]提出了CoDetect，这是一个创新的无监督框架，结合了基于图和基于特征的异常检测；然而，它缺乏对高频、实时金融数据的可扩展性测试，并忽略了欺诈策略的对抗性。Almazroi和Ayub[24]引入了ResNeXt-GRU模型用于在线支付欺诈检测，但他们依赖于合成过采样（SMOTE），可能在高度动态的高频交易环境中导致过拟合。Ashfaq等人[25]将机器学习与区块链结合，但他们的模型主要针对比特币网络，因此在机构级别的高频交易欺诈中适用性较低。

高频交易（HFT）由于其庞大的数据量、速度和细粒度，带来了重大的监控挑战，操纵性策略如欺骗、分层、报价填充和pinging通常在微秒内伪装成合法交易。传统的检测方法采用了时间序列分析、基于规则的系统和事件序列挖掘，利用异常订单取消、订单簿深度的突然变化和短暂的价格变动等指标，通常使用HMM或ARIMA进行建模。机器学习方法（包括随机森林、逻辑回归和SVM）利用了手工制作的特征（如交易不平衡和波动性），但它们通常难以适应时间变化，并需要密集的特征工程。相比之下，深度学习模型（如CNN和LSTM）通过自动从原始tick或订单簿数据中学习显示出潜力。CNN捕捉了突然的微模式，而LSTM则建模了顺序行为。更近期的进展，如扩张时间卷积网络（TCNs）和图神经网络（GNNs），通过扩展内存视野和建模复杂的交易者或订单交互，进一步提高了性能，为检测高频交易环境中的微妙、高速操纵行为提供了更稳健的框架。Dixon等人[26]开发了用于高频交易（HFT）的深度学习模型，强调了使用RNN和LSTM等神经架构的时空建模，但他们的重点主要是价格预测而非犯罪检测或异常识别，限制了其在犯罪预防应用中的相关性。Mansurov等人[27]在基于代理的模拟中引入了使用深度强化学习（DDPG）的自学习代理，提供了对市场动态的宝贵见解；然而，该研究缺乏检测欺诈行为或监管合规性跟踪的具体机制。Rundo等人[28]提出了一个用于外汇趋势预测的混合LSTM-强化学习框架，展示了高准确性和盈利能力，但该模型针对的是套利和利润优化，没有解决潜在的滥用或欺诈模式识别问题。

**结论**
本文的其余部分结构如下。第2节回顾了欺诈检测和HFT异常分析的相关工作。第3节描述了数据集和预处理步骤。第4节详细介绍了所提出的方法论，包括架构组件和训练协议。第5节展示了实验结果和分析。第6节讨论了发现、局限性和未来方向。第7节总结了本文。Ilango等人[34]提出了一种基于聚类的异常检测方法，该方法结合了EGARCH-M模型来研究印度股市的波动性和风险-回报权衡，提供了对极端事件和市场异常的洞察，但未能整合基于学习的框架，这些框架能够动态适应算法交易中不断变化的欺诈模式。总体而言，这些方法提高了异常检测的能力，但尚未完全弥合通往针对高频交易（HFT）环境中金融犯罪量身定制的预防性和可解释深度学习模型的差距。近年来，人们对集成多种数据模式或架构组件的混合模型越来越感兴趣，这些模型通过独立处理交易数据、客户档案和网络图等不同输入而证明是有效的。从早期融合（特征连接）、中间融合（合并隐藏表示）到晚期融合（基于集成的聚合）的各种融合策略，使得表示学习更加细致。最近的进展包括基于注意力的融合和跨模态变换器，它们可以模拟时间序列、分类属性和文本数据等不同模式之间的复杂依赖关系。尽管有这些发展，但在金融领域，很少有研究成功地将客户级别的行为信号与高频交易模式结合起来，从而错过了检测复杂欺诈方案的机会。此外，大多数模型并未针对实时或低延迟操作进行优化，这限制了它们在需要即时和适应性异常响应的实时金融监控环境中的应用。Alghofaili等人[35]提出了一个基于长短期记忆（LSTM）的金融欺诈检测模型，在信用卡数据上实现了高准确率（99.95%）；然而，它缺乏对实时高频交易环境的适应性，在这种环境中，微秒级的延迟和序列交易上下文至关重要。Talukder等人[36]引入了一个使用IHT-LR和网格搜索的混合集成机器学习模型，在信用卡欺诈检测中表现出色，但该方法没有考虑高频交易市场特有的时间依赖性或对抗性行为模式。Alsubaei等人[37]开发了一个使用ResNeXt-GRU和Jaya优化的混合网络钓鱼检测框架，在网络犯罪取证方面取得了显著成果，但它主要针对网络钓鱼URL，缺乏金融领域的特异性，从而限制了其在高频交易欺诈场景中的相关性。总的来说，这些工作展示了深度学习和混合模型在欺诈检测方面的潜力，但在应对算法交易环境中金融犯罪的超快速、动态特性方面仍存在不足。

深度学习已经革新了许多领域，包括计算机视觉、自然语言处理，以及越来越多的金融领域。在金融安全方面，深度神经网络已被用于风险评估、信用评分、反洗钱（AML）合规性和实时交易监控。基于LSTM的模型已被广泛用于时间序列预测，而自动编码器和GANs则被用于合成欺诈数据生成和异常检测。为了处理一个领域中标记数据稀缺而另一个领域中标记数据丰富的情况，提出了迁移学习和领域适应方法。预训练的语言模型（如BERT）已被适应于金融领域的表格数据和序列分类问题，尽管可解释性仍然是一个挑战。解释性工具（如SHAP（Shapley Additive Explanations）、LIME（Local Interpretable Model-Agnostic Explanations）和注意力热图）越来越多地被用来提高深度模型的透明度，特别是在需要解释性的监管环境中。尽管有这些进展，大多数现有系统仍然专注于单独的检测任务，无论是行为欺诈还是市场操纵，并没有利用结合两者的互补性。这一差距为设计能够从行为和结构特征共同学习以检测协调或特定于上下文的金融犯罪的架构提供了独特的机会。Zhao[38]介绍了一个使用深度学习和语义计算的农村社会保障系统，提供了一个有趣的社会应用，但缺乏金融领域的特异性和对高频交易（HFT）中欺诈检测的相关性。Prabanand和Thanabal[39]提出了一个基于区块链的金融安全模型，该模型结合了自适应深度时间上下文网络（ADTCN）和智能合约，在交易完整性方面表现出色，但主要强调结算和合同验证，而不是预测性犯罪检测或HFT系统中的实时异常检测。Kunger等人[40]提出了一个用于金融压力测试的混合CNN-LSTM模型，提高了对信用和市场不稳定等宏观风险的预测准确性，但该框架仍然关注机构层面的压力，而不是HFT欺诈中典型的微观模式操纵。这三项研究都突显了深度学习和区块链在金融系统中的潜力，但在应对高频市场滥用中特有的超低延迟和对抗性威胁环境方面仍存在不足。

总之，虽然现有研究在金融欺诈检测方面取得了显著进展，但大多数方法仍然局限于交易行为分析或高频市场监控的孤立研究。此外，许多模型缺乏对动态数据分布的鲁棒性，并且没有针对实时或低延迟部署进行优化。这些局限性突显了开发集成、高效和适应性框架的关键研究空白，这些框架能够共同建模异构的金融数据源。受这些挑战的启发，本研究提出了一种双分支深度学习架构，该架构结合了序列交易建模和高频市场分析，以实现更全面和实时的金融犯罪检测。

3. 方法论
本节介绍了所提出的双管道深度学习架构，该架构将行为交易分析与微秒级市场异常检测相结合。该模型由两个并行分支组成：（1）交易行为网络和（2）高频交易事件网络，如图1所示。这两个分支在晚期融合决策模块中汇聚，能够利用粗略和细粒度的时间信号共同推理金融犯罪。

3.1. 数据预处理
在本研究中，我们使用了两个不同的数据集：（1）一个捕获跳动级交易事件的高频交易（HFT）数据集，以及（2）包含客户级别金融行为标记记录的交易银行数据集。由于它们的结构和频率不同，每个数据集都经过了定制的预处理流程，以支持有效的模型训练和检测性能。

3.1.1. 交易数据集
交易数据集包含N=2,512条记录，每条记录代表与一个账户相关联的单个交易。以下步骤被应用于准备此数据集以进行建模：
- 时间戳转换和持续时间计算：`TransactionDate`和`PreviousTransactionDate`中的时间戳被转换为Python datetime对象，并用于计算时间差：`Δti=ti?ti?1`，其中`ti`是第i笔交易的时间戳，`Δti`表示交易间隔时间，作为行为信号。这里，`PreviousTransactionDate`指的是与同一账户相关联的最新前一笔交易的时间戳，从而可以计算交易间隔时间。对于账户的第一笔记录，由于没有之前的交易，该字段是未定义的，通过分配一个默认值或将其从时间差计算中排除来处理。因此，并非所有条目都包含有效的先前交易时间戳，适当的预处理被应用于确保一致性。
- 分类变量的独热编码：包括`TransactionType`、`Location`、`Channel`和`CustomerOccupation`在内的分类字段使用独热编码进行转换：`Xencoded=OneHot(Xcat)`，其中`Xcat`是分类特征矩阵，`Xencoded`是结果二进制编码矩阵。
- 设备和IP映射：我们将每个`DeviceID`和`IP Address`映射到唯一的整数令牌，以保持离散的身份特征而不增加维度：`TokenDevice=f(DeviceIDi),f:S→Z`。
- 所有连续变量都使用最小-最大缩放进行标准化：`xi′=xi?min(x)max(x)?min(x)`，这应用于`TransactionAmount`、`TransactionDuration`、`AccountBalance`和`LoginAttempts`。
- 欺诈行为被编码为二进制分类目标`yi∈{0,1}`，其中`yi=1`表示可疑交易。

3.1.2. 高频交易数据集
HFT数据集提供了微秒级的订单簿更新和执行的交易。预处理包括：
- 时间标准化和排序：所有事件时间都被转换为UNIX时间戳：`tunix,i(datetime.timestamp(ti)`。
- 记录按严格的时间顺序排序。
- 订单簿特征提取：从每个跳动中提取：
- 最佳买卖价格（`Pbid,Pask`）
- 相应的交易量（`Vbid,Vask`
- 中间价：`Pmid=Pbid+Pask2`
- 价差：`Si=Pask?Pbid`
这些被作为时间序列输入，用于建模序列行为和潜在异常。
- 滚动特征：为了建模波动性和微观结构动态，计算固定窗口大小w上的滚动统计量：`μt=1w∑i=t?w+1tPmid,i`，`σt=1w∑i=t?w+1t(Pmid,i?μt)2`。
- 序列批量处理：数据集被转换为固定长度L的重叠序列，以便输入到基于LSTM的架构中：`Xj={xj,xj+1,…,xj+L?1}`。每个序列`Xj`代表可能显示操纵模式的市场行为快照。

3.2. 问题表述
我们将问题定义为监督二元分类任务，其中每个输入实例`xi`都与标签`yi∈{0,1}`相关联，表示观察结果是欺诈性的还是合法的。形式上，设：`Dtxn={(xitxn,yi)}i=1Ntxn`，`Dhft={(xjhft,yj)}j=1Nhft`，其中`xitxn`代表银行交易的特征向量，`xjhft`代表交易事件序列。目标是学习一个决策函数`f:(xitxn,xjhft)→y?∈[0,1]`，该函数可以近似给定两个输入的欺诈后验概率。

3.3. 提出的框架
本节描述了交易行为网络、高频交易事件网络、融合和分类层以及用于优化的训练目标。

3.3.1. 交易行为网络
该分支使用双向LSTM网络在账户级别建模交易序列。每个账户`ak`的输入序列定义为：`X(k)={x1(k),x2(k),…,xT(k)}`。BiLSTM编码过去和未来的上下文：`ht?=LSTM(xt,ht?1?)`，`ht?=LSTM(xt,ht+1?)`。然后我们对编码状态应用注意力机制来识别具有异常模式的时间步骤：`αt=exp(w?ht)∑t′exp(w?ht′)`。加权上下文向量为：`ctxn=∑tαtht`。

3.3.2. 高频交易事件网络
HFT网络处理订单簿状态的序列。每个输入序列是一个长度为L的窗口化段，其中每个元素包括中间价、买卖价差和滚动波动性等特征。序列使用时间卷积进行编码，然后是LSTM：`zt=ReLU(Wconv?xt+b)`，`hthft=LSTM(zt,ht?1hft)`。我们再次应用注意力机制来总结时间序列：`chft=∑tβththft,βt=exp(v?hthft)∑t′exp(v?ht′hft)`。

3.3.3. 融合和决策层
上下文向量`ctxn`和`chft`被连接起来：`c=[ctxn;chft]`。最终分类使用全连接神经网络进行：`z=ReLU(W1c+b1)`，`y?=σ(W2z+b2)`，其中`σ(?)`是Sigmoid激活函数。

3.3.4. 损失函数和优化
使用二元交叉熵损失：`L=?1N∑i=1Nyilog(y?i)+(1?yi)log(1?y?i)`。我们对两个分支都使用了初始学习率为0.001和批量大小为64的Adam优化器。应用了0.3的Dropout正则化。

3.4. 架构细节
所提出的架构由两个并行处理分支组成，如表1所示：一个交易行为网络和一个高频交易事件网络。两个分支独立提取时间特征，然后将它们的输出传递到一个联合融合层进行分类。整个架构使用PyTorch实现，并带有GPU加速。

3.3.1. 交易行为网络
该分支使用双向LSTM网络捕捉用户交易中的序列模式。每个账户`ak`的输入序列定义为：`X(k)={x1(k),x2(k),…,xT(k)}`。BiLSTM编码过去和未来的上下文：`ht?=LSTM(xt,ht?1?)`，`ht?=LSTM(xt,ht+1?)`。然后我们对编码状态应用注意力机制来识别具有异常模式的时间步骤：`αt=exp(w?ht)∑t′exp(w?ht′)`。加权上下文向量为：`ctxn=∑tαtht`。

3.3.2. 高频交易事件网络
HFT网络处理订单簿状态的序列。每个输入序列是一个长度为L的窗口化段，其中每个元素包括中间价、买卖价差和滚动波动性等特征。序列使用时间卷积进行编码，然后是LSTM：`zt=ReLU(Wconv?xt+b)`，`hthft=LSTM(zt,ht?1hft)`。我们再次应用注意力机制来总结时间序列：`chft=∑tβththft,βt=exp(v?hthft)∑t′exp(v?ht′hft)`。

3.3.3. 融合和决策层
上下文向量`ctxn`和`chft`被连接起来：`c=[ctxn;chft]`。最终分类使用全连接神经网络进行：`z=ReLU(W1c+b1)`，`y?=σ(W2z+b2)`，其中`σ(?)`是Sigmoid激活函数。

3.3.4. 损失函数和优化
使用二元交叉熵损失：`L=?1N∑i=1Nyilog(y?i)+(1?yi)log(1?y?i)`。我们对两个分支都使用了初始学习率为0.001和批量大小为64的Adam优化器。应用了0.3的Dropout正则化。

3.4. 架构细节
所提出的架构由两个并行处理分支组成，如表1所示：一个交易行为网络和一个高频交易事件网络。两个分支独立提取时间特征，然后将它们的输出传递到一个联合融合层进行分类。整个架构使用PyTorch实现，并带有GPU加速。

3.3.1. 交易行为网络
该分支使用双向LSTM网络在账户级别建模交易序列。每个账户`ak`的输入序列定义为：`X(k)={x1(k),x2(k),…,xT(k)}`。BiLSTM编码过去和未来的上下文：`ht?=LSTM(xt,ht?1?)`，`ht?=LSTM(xt,ht+1?)`。然后我们对编码状态应用注意力机制来识别具有异常模式的时间步骤：`αt=exp(w?ht)∑t′exp(w?ht′)`。首先，我们应用了加权二元交叉熵损失函数，其中对少数类（欺诈）赋予了更高的权重，以更严厉地惩罚误分类。修改后的损失函数表示为：(27)L=?1/N∑i=1Nw1yilog(y?i)+w0(1?yi)log(1?y?i)，其中w1>w0反映了欺诈样本和合法样本之间的不平衡比例。此外，我们在训练过程中确保了小批量采样的平衡，以防止模型偏向多数类。性能评估还采用了对不平衡敏感的指标，如F1分数和AUC-ROC，而不仅仅是准确性。这些综合策略使得所提出的模型在保持高欺诈检测灵敏度的同时，能够控制误报率，尤其是在高度偏斜的金融数据集中。

表1. 所提出架构的总结。

模块 层类型 单元/大小 输入维度 可训练参数
Transaction Network BiLSTM（2层） 64个单元/层 3633,280 空
Empty Cell Attention Layer 64个权重 128 8192 空
HFT Network Conv1D层 32个滤波器，大小310 992 空
Empty Cell LSTM（1层） 64个单元 32 25,088 空
Attention Layer 64个权重 64 4096 空
Fusion Layer Concatenation 128 – – 空
Dense (ReLU) 64 128 8256 空
Dense (Sigmoid) 164 65 空

总可训练参数：79,979

3. 模型概述：算法总结
算法1结合了两个输入序列——一个代表用户交易行为，另一个捕捉高频交易事件——通过独立的神经分支进行处理。交易数据使用双向LSTM进行编码，然后通过注意力机制提取突出相关行为的上下文向量。同时，交易数据经过卷积处理以捕捉短期模式，再通过LSTM和注意力层总结市场活动。这两个上下文向量被连接起来，通过Sigmoid激活函数产生一个单一的欺诈概率输出。这种结构使得模型能够联合考虑行为和市场层面的异常情况。

我们使用GPU加速硬件对模型进行了50个时代的训练，并根据验证AUC进行了提前停止。HFT和交易分支通过共享相同的损失函数在多任务环境中共同训练。所有输入序列都被填充或截断以确保长度一致。

4. 结果
我们在交易和高频交易数据集上评估了所提出的模型。为了衡量其有效性，我们将其与几种基线模型进行了比较，包括传统的机器学习分类器和流行的深度学习架构。

4.1. 数据集描述
本研究使用了两个公开可用的数据集来评估所提出的模型：一个用于欺诈检测的标记银行交易数据集，另一个用于市场层面异常检测的高频交易（HFT）数据集。第一个数据集名为“Bank Transaction Dataset for Fraud Detection”，包含2512个样本，每个样本代表一个金融交易，涵盖了多种交易类型，包括在线支付、销售点（POS）购买、资金转账、取款和存款，反映了典型的零售银行业务活动，特征包括交易ID、金额、日期、类型（信用/借记）、客户人口统计信息（年龄、职业）、账户元数据、设备和IP地址、位置、登录尝试次数、商家ID、交易时长以及交易后的账户余额。这些特征有助于建模行为序列和用户特定模式，这对于识别欺诈行为至关重要，欺诈实例可能对应于未经授权的交易、账户接管、身份滥用、异常交易频率或与用户行为不符的异常大额转账等场景。该数据集包含指示欺诈或合法交易的二进制标签，适用于监督学习。它可以在https://www.kaggle.com/datasets/valakhorasani/bank-transaction-dataset-for-fraud-detection?resource=download获取。第二个数据集名为“High-Frequency Trading Dataset”，包含微秒级别的交易数据，捕捉逐笔市场活动，包括交易时间戳、买卖报价、订单簿状态和各种金融工具，潜在的操纵行为包括欺骗（放置大量订单但无意执行）、分层（制造人为价格压力）和报价填充（提交过多订单以扰乱市场活动）。它通过详细分析订单流和价格变动来检测市场操纵策略，如欺骗和分层。该数据集适用于实时交易环境中的事件序列建模和异常检测，可在https://www.kaggle.com/datasets/mahmoudshaheen1134/trades-dataset/data获取。

4.2. 评估指标
我们使用标准的二元分类指标来评估模型性能：准确性、精确度、召回率、F1分数和AUC-ROC。
设TP、TN、FP和FN分别代表真正例、真负例、假正例和假负例。
(28) 准确性 = (TP + TN) / (TP + TN + FP + FN)
(29) 精确度 = TP / (TP + FP)
(30) F1分数 = 2 × 精确度 × 召回率
AUC-ROC表示通过绘制所有阈值的真正例率与假正例率形成的曲线下的面积：
(31) TPR = TP / (TP + FN), FPR = FP / (FP + TN)
这些指标涵盖了整体性能、欺诈检测灵敏度以及误报和漏检之间的平衡。

鉴于欺诈检测数据集固有的类别不平衡，我们强调使用F1分数和AUC-ROC作为主要评估指标，因为它们比准确性提供了更可靠的少数类检测性能评估。

4.3. 与基线模型的比较
表2展示了在交易和高频交易（HFT）数据集上模型性能的比较分析。传统的机器学习模型，如逻辑回归、SVM和随机森林作为基线，以及深度学习架构，包括MLP、LSTM、GRU和Transformer。对于交易数据集，所提出的模型在所有指标上均取得了最高分数，准确率为0.917，F1分数为0.861，AUC为0.939，优于传统模型和神经网络。同样，对于HFT数据集，所提出的方法也以0.886的准确率、0.831的F1分数和0.879的AUC领先，超过了基于注意力的LSTM和时间卷积网络。这些结果证明了双分支架构在捕捉行为和市场层面的时间模式方面的有效性。

表2. 交易和HFT数据集上的性能比较。

模型 交易数据集 HFT数据集
准确性 F1分数 AUC
Logistic Regression 0.846 0.781 0.869 – –
SVM – 0.771 0.722 0.781
Random Forest 0.882 0.813 0.897 0.802 0.745
XGBoost 0.889 0.821 0.904 – –
MLP（2层） 0.873 0.809 0.891 – –
GRU（1层） – 0.828 0.769 0.826
TCN（膨胀CNN） – 0.842 0.781 0.838
LSTM（1层） 0.891 0.825 0.908 – –
LSTM（Seq2Seq） – 0.855 0.793 0.847
Transformer Encoder 0.898 0.831 0.916 – –
Attention-LSTM – 0.869 0.806 0.861
所提出的模型 0.917 0.861 0.939 0.886 0.831

4.4. 与现有研究的比较
表3展示了所提出的模型与文献中报道的最近欺诈检测方法之间的比较。选定的研究代表了在金融交易数据集上评估的各种机器学习和集成方法。最近的研究表明，如随机森林、SVM和基于集成的方法在欺诈检测任务中表现出色，特别是当与数据平衡技术结合使用时[41]。如表3所示，使用SMOTE的集成方法报告的AUC值约为0.95–0.96，而混合集成模型在信用卡欺诈检测场景中的准确率超过了99%[43]。

表3. 与现有研究的比较。
研究 方法 数据集 报告的指标
Wang等人（2025）[41] 集成 + SMOTE 信用卡 AUC ≈ 0.96
Hu等人（2025）[42] RF + GBM 混合 金融交易 AUC ≈ 0.95
Talukder等人（2024）[43] 混合集成 信用卡 准确率 ≈ 99%

然而，这些结果通常是在单一领域的交易数据集上获得的，并且在受控的实验设置下进行评估的。模型在欺诈检测中的性能高度依赖于数据集特征、预处理策略和评估协议，因此直接在研究之间进行数值比较具有挑战性。相比之下，所提出的模型在两个异构数据源上进行了评估，将交易行为与高频交易信号结合在一个统一的框架中。尽管在更复杂和现实的设置中运行，模型仍取得了0.939的AUC和一致的高F1分数，证明了其在多种金融数据模式上的泛化能力，并突出了其相对于依赖单一数据源的现有方法的优势。

4.5. 分类报告和混淆矩阵
为了提供模型性能的详细视图，我们报告了每个类别的分类指标，并为两个数据集呈现了混淆矩阵。这些结果基于最佳性能的超参数配置和最终测试集预测。

4.5.1. 交易数据集
图2显示了交易数据集的分类报告。模型展示了强大的欺诈和合法交易检测能力，精确度和召回率都很平衡。
图3中的混淆矩阵显示模型实现了较低的假负率，这在欺诈检测中至关重要。

图4显示了高频交易数据集的分类指标。尽管数据集波动性更大，模型仍然保持了对欺诈案例的强召回率。
图4中的混淆矩阵显示了在检测欺诈和最小化误报之间的良好平衡，这在实时市场监控中至关重要。

4.6. 注意力机制可视化
为了提高可解释性，我们在图5中提供了交易和HFT分支学习的注意力分布的代表性可视化。在交易分支中，较高的注意力权重被分配给与异常行为模式相关的时间步骤，例如交易金额、时间或频率的突然变化。在HFT分支中，注意力机制集中在表现出异常价格变动、价差波动或订单簿不稳定的短时间间隔上，这些是潜在市场操纵行为的迹象。这些可视化展示了所提出框架如何识别行为和市场层面序列中最有信息量的时间段，从而支持欺诈检测过程的可解释性。

4.7. 跨数据集的超参数调整
我们进行了全面的网格搜索，以调整两个数据集的关键超参数，包括学习率、丢弃率和批量大小。搜索空间基于深度序列模型中常见的有效范围，确保了稳定性和泛化能力。图6展示了结果，显示了每种配置如何影响交易和HFT数据集的AUC和F1分数。值得注意的是，最佳配置在两个数据集中是一致的，学习率为0.001，丢弃率为0.3，批量大小为64。这种一致性表明所选超参数并不是针对特定数据集过度调整的，而是能够捕捉适用于多种金融数据分布的通用训练动态。

4.8. 额外实验
4.8.1. 消融研究
表5展示了一个消融研究，评估了所提出模型中不同组件中注意力机制的影响。从交易或HFT分支中移除注意力会导致性能下降，当两个注意力层都被移除时，结果最差。仅在其中一个分支中加入注意力可以带来适度的改进，而在两个分支中分别应用注意力则优于无注意力的配置。共享注意力变体通过启用联合上下文学习进一步提高了分数。具有每个分支独立注意力机制的完整模型实现了最高的准确率（0.917）、F1分数（0.861）和AUC（0.939），证实了注意力在学习行为和市场信号的时间相关性方面起着关键作用。

4.8.2. 对噪声和漂移的鲁棒性
表6评估了所提出模型在输入特征中添加不同水平高斯噪声时的鲁棒性。随着噪声的标准差从0.0增加到0.6，准确率、F1分数和AUC逐渐且一致地下降。模型在无噪声条件下表现最佳，准确率为0.917，F1分数为0.861，AUC为0.939。尽管性能随着噪声水平的提高而下降，但下降幅度保持平稳且可控，表明模型即使在特征扰动较大的情况下也能保留有意义的信号和分类能力。表7展示了模型在模拟特征漂移增加的情况下在HFT数据集上的性能。随着漂移率从0%增加到60%，准确率、F1分数和AUC逐渐下降，反映了模型对输入特征分布变化的敏感性。即使在30%的漂移率下，该模型仍保持合理的有效性，但当漂移率超过40%时，性能下降更为明显，这表明在市场条件变化的情况下，模型的泛化能力存在局限性。这些结果强调了在动态交易环境中定期重新训练或适应的重要性，以维持模型的准确性。

表6. 对高斯噪声的鲁棒性（Txn数据集）。
噪声水平（标准差） 准确率 F1分数 AUC
0.0 0.917 0.861 0.939
0.1 0.912 0.854 0.931
0.2 0.901 0.845 0.918
0.3 0.888 0.832 0.903
0.4 0.872 0.814 0.887
0.5 0.861 0.802 0.873
0.6 0.847 0.789 0.859

表7. 对特征漂移的鲁棒性（HFT数据集）。
漂移率 准确率 F1分数 AUC
0% 0.886 0.831 0.879
10% 0.877 0.821 0.871
20% 0.861 0.809 0.858
30% 0.843 0.791 0.841
40% 0.827 0.776 0.823
50% 0.808 0.761 0.804
60% 0.791 0.743 0.887

4.3. 计算效率
我们从训练时间、推理延迟和内存使用方面评估了所提出模型的计算效率。所有实验都在配备24 GB VRAM的NVIDIA RTX 3090 GPU上进行，使用了PyTorch 2.0和CUDA 11.8。表8总结了我们的框架在两个数据集上的性能。结果是基于5次运行的平均值，以确保一致性。由于输入维度和序列较短，交易数据集模型的训练速度更快。HFT分支虽然计算强度稍高，但仍保持高效，适用于实时或接近实时的应用。两个分支在融合模块中共享参数，从而使得模型体积紧凑。每个样本的推理时间不到3毫秒，支持其在欺诈监控和市场操纵检测中的实际部署，包括在吞吐量要求适中的环境中。

表8. 所提出框架的计算效率。
指标 交易数据集 HFT数据集
备注
每个epoch的训练时间（秒） 3.4 5.2
批量大小 = 64 64
总训练时间（50个epoch） 170 260
大约在第45个epoch时提前停止
每个样本的推理时间（毫秒） 1.1 2.3
包括两个分支 是 是
峰值GPU内存使用（MB） 142 186
反向传播期间 是 是
模型大小（MB） 7.6 7.6
适用情况下共享权重 是 是
参数数量 79,979 79,979
架构相同 是 是

5. 讨论
前一节中呈现的结果证明了所提出的双分支深度学习框架在交易和高频交易背景下检测金融犯罪的有效性和鲁棒性。本节对这些发现进行了解释，讨论了所提出架构的新颖贡献，并概述了局限性和未来的研究方向。
所提出模型的主要创新之处在于其双分支架构，它整合了两种根本不同但互补的数据源：结构化的交易记录和非结构化的、微秒级的高频交易事件。以往的研究通常分别关注账户级别的行为异常或市场级别的操纵。相比之下，我们的模型通过专门的子网络处理每种模式——用于序列交易行为的LSTM和用于市场事件的卷积-LSTM管道——并在分类之前融合它们的潜在表示。这种设计使模型能够捕捉到长期的行为欺诈模式和经常被单一来源系统忽略的短期、高速的操纵信号。
实证结果验证了这种方法的有效性。该模型在两个数据集上的所有关键指标上都达到了最先进的性能，包括交易数据集的AUC为0.939和F1分数为0.861，以及HFT数据集的AUC为0.879和F1分数为0.831。这些优势超过了传统的分类器和最近的深度学习模型，突显了在欺诈检测任务中联合特征学习和序列感知架构的重要性。值得注意的是，该模型在两个类别中都保持了高召回率，表明其在检测欺诈活动时不会产生过多的误报——这是金融监控系统中的一个关键要求。
与以往的研究相比，所提出的模型在联合建模异构金融数据源方面表现出明显的优势。传统方法如APATE [21]和TH-LSTM [22]主要关注交易序列，并没有结合高频市场动态，限制了它们检测跨领域欺诈模式的能力。同样，应用于HFT数据的深度学习模型 [26] 通常用于价格预测或市场预测，而不是明确的欺诈检测。相比之下，所提出的双分支架构在一个统一的框架内整合了行为和市场级别的信号，从而实现了更全面的复杂金融犯罪检测。这种整合有助于在两个数据集中观察到性能的提升，特别是在F1分数和AUC方面，这对于不平衡的欺诈检测任务至关重要。
消融研究进一步证实了双注意力机制的价值。移除注意力层显著降低了模型性能，而共享和双注意力配置恢复了或超过了基线性能。这些结果表明，注意力不仅改善了序列表示，还有助于模型在嘈杂和不规则的事件流中专注于最相关的时间步骤。
在高斯噪声和特征漂移条件下的鲁棒性评估展示了模型的稳定性。在现实世界中，由于日志记录不一致、延迟或客户或市场行为的动态变化，金融数据往往存在噪声。尽管有这些干扰，所提出的模型仍然能够保持可用性能，即使在大量噪声（高达0.6标准差）和漂移（高达60%）的情况下也是如此。这种韧性增强了模型在实时环境中的实际部署能力，因为在这些环境中数据分布可能会随时间意外变化。
在计算效率方面，该模型保持轻量化和快速。在单个GPU上几分钟内完成训练，推理时间接近实时，每个样本的延迟不到3毫秒。这些特性对于必须处理大量交易或持续监控快速移动市场的生产系统至关重要。该架构的参数共享策略和紧凑、高效的层的使用进一步支持了可扩展性和操作可行性。
尽管有这些优势，但也有一些局限性值得注意。首先，虽然当前模型在提供的数据集上表现良好，但它假设来自交易和高频交易源的输入是同步且时间对齐的。在现实世界的部署中，由于数据可用性、延迟或系统间的访问限制，这种同步可能并不总是可行的。这种对对齐的多源数据的依赖可能会限制模型在其中一个模式延迟、缺失或异步更新的情况下的适用性。解决这一限制需要整合异步学习机制或跨模态对齐策略，以处理部分或时间不一致的输入。
其次，该模型在静态训练范式下运行，并不天生适应不断变化的金融环境。实际上，由于对抗性适应和经济条件的变化，欺诈模式和市场行为会随时间变化。因此，需要定期重新训练或增量学习来保持检测性能并防止模型在概念漂移下的退化。虽然我们的鲁棒性实验在受控的噪声和漂移条件下展示了稳定性，但实际部署将从结合在线学习或持续适应策略中受益。
第三，尽管通过注意力机制部分解决了模型的可解释性问题，但还可以进一步增强。金融和合规领域的利益相关者通常需要明确解释为什么某个交易被标记。将SHAP或LIME等可解释性框架集成到流程中可以支持事后分析和监管透明度。
另一个局限性是缺乏针对实际欺诈案例或生产系统中使用的专有数据集的外部验证。尽管所提出的模型在公共数据集上泛化能力良好，但在特定机构或匿名真实数据上的进一步测试将有助于确认其在操作环境中的有效性。
未来的工作可以在几个方向上进行扩展。一个有前景的扩展是在线学习或持续适应，即随着新数据的到来，模型逐步更新。这将有助于应对不断变化的欺诈模式和概念漂移。此外，扩展架构以包括第三个分支（如用户网络图或位置序列）可以通过多视图学习进一步提高检测能力。最后，对抗性鲁棒性仍然是一个开放的研究领域，特别是在高频领域，攻击者可能会通过精心设计的交易或账户尝试逃避检测。
最后，所提出的双分支深度学习架构通过桥接账户级别行为和市场级别动态，在金融犯罪检测方面代表了重大进展。它提供了强大的实证性能、实际的可部署性和概念上的新颖性。经过进一步改进，它有潜力成为金融领域下一代监控和欺诈预防系统的基础模型。

6. 结论
本研究提出了一种新颖的双分支深度学习框架，通过联合建模交易行为和高频交易模式来预测和预防金融犯罪。通过整合用于用户级别交易序列的双向LSTM和用于微秒级交易数据的卷积-LSTM架构，该模型有效地捕捉了长期的行为异常和快速的操纵性交易活动。在两个不同的数据集上的实验结果表明，所提出的架构在多个性能指标上优于传统的分类器和最近的神经模型，包括AUC和F1分数。消融研究证实了注意力机制的贡献，鲁棒性测试显示了对噪声和漂移的抵抗力。该模型还证明了计算效率，支持实时推理。虽然很有前景，但未来的工作应该探索跨领域泛化、可解释性和持续学习，以进一步适应动态的金融环境。