PL 
EnglishDomyślny
Українська💳 Detektor oszustw transakcyjnych — ocena anomalii w czasie rzeczywistym
Obserwuj, jak detektor anomalii w stylu isolation forest ocenia żywy strumień syntetycznych transakcji kartą, izolując wartości odstające według głębokości losowego podziału i oznaczając siatki oszustw w czasie rzeczywistym.
O detektorze oszustw transakcyjnych
Prawdziwe systemy wykrywania oszustw kartowych muszą wychwycić niewielką mniejszość złośliwych transakcji ukrytych w potoku zwykłych wydatków, zwykle bez oznaczonych przykładów najnowszych wzorców oszustw do treningu. Algorytm isolation forest (Liu, Ting i Zhou, 2008) podchodzi do tego jako do problemu geometrycznego, a nie klasyfikacyjnego: zamiast uczyć się, jak wygląda oszustwo, uczy się, jak wygląda norma, wielokrotnie dzieląc przestrzeń cech losowymi podziałami, i traktuje punkty izolowane niezwykle szybko — przy niezwykle małej liczbie losowych cięć — jako anomalie. Ta symulacja buduje prawdziwy zespół takich drzew losowego podziału na kroczącym oknie syntetycznych transakcji, każda niosąca cztery rzeczywiste cechy liczbowe (kwota w skali logarytmicznej, godzina dnia, kategoria sprzedawcy i prędkość karty), i oblicza wynik anomalii każdej nowej transakcji oparty na głębokości izolacji dokładnie tak, jak określa to opublikowany algorytm.
Żywy wykres punktowy rzutuje strumień transakcji na płaszczyznę kwota/prędkość z losowymi podziałami jednego reprezentatywnego drzewa narysowanymi jako linie podziału, podczas gdy przewijający się wykres wyników kreśli wynik anomalii każdej transakcji względem kontrolowanego przez ciebie progu. Transakcje przekraczające próg są oznaczane na czerwono; panel statystyk śledzi prawdziwe pozytywy, fałszywe pozytywy i fałszywe negatywy względem ukrytej prawdziwej etykiety, której sam detektor nigdy nie widzi. Dostosuj liczbę drzew i rozmiar podpróbki, by zobaczyć klasyczny kompromis obciążenia/wariancji zespołowego wykrywania anomalii, lub wstrzyknij syntetyczną siatkę oszustw, by obserwować, jak wybuch skorelowanych anomalii izoluje się niemal natychmiast.
Najczęściej zadawane pytania
Czym jest isolation forest i dlaczego działa przy wykrywaniu oszustw?
Isolation forest to zespół losowych drzew binarnych, które izolują punkty danych, wielokrotnie wybierając losową cechę i losową wartość podziału między zaobserwowanym minimum a maksimum tej cechy, a następnie rekurencyjnie działając na wynikowych podziałach. Anomalie są, niemal z definicji, nieliczne i inne: leżą w rzadko zaludnionych regionach przestrzeni cech, więc losowy podział znacznie częściej oddzieli je od reszty danych w zaledwie kilku cięciach. Normalne, gęsto skupione punkty wymagają znacznie więcej losowych cięć, zanim znajdą się same w swoim podziale. Ta symulacja buduje prawdziwy zespół takich drzew na niedawnych syntetycznych transakcjach kartą i używa średniej liczby cięć potrzebnych do izolacji każdej nowej transakcji jako jej wyniku anomalii, dokładnie tak, jak robi to oryginalny algorytm isolation forest Liu, Ting i Zhou z 2008 roku.
Jak faktycznie oblicza się wynik anomalii z długości ścieżki?
Dla każdego drzewa długość ścieżki h(x) to liczba krawędzi przebytych od korzenia do liścia, który izoluje x. Ponieważ drzewa są zatrzymywane wcześnie, gdy podział zawiera bardzo mało punktów, do każdego liścia dodawana jest poprawka średniej długości ścieżki c(n) — wyprowadzona z oczekiwanej głębokości nieudanego wyszukiwania w drzewie poszukiwań binarnych o n elementach — by uwzględnić punkty, które nie zostały w pełni wyizolowane do rozmiaru jeden. Ostateczny wynik to s(x) = 2^(−E[h(x)] / c(n)), gdzie E[h(x)] to średnia długość ścieżki dla x we wszystkich drzewach lasu. Wyniki zbliżają się do 1 dla punktów izolowanych niezwykle szybko (krótka średnia ścieżka → anomalia), zbliżają się do 0,5 dla punktów o mniej więcej średniej długości ścieżki i spadają w kierunku 0 dla punktów wymagających niezwykle długich ścieżek do izolacji (bardzo normalne, głęboko osadzone punkty).
Jakie cechy ta symulacja podaje do lasu?
Każda syntetyczna transakcja niesie cztery cechy liczbowe: kwotę zakupu w skali logarytmicznej, godzinę dnia, w której nastąpiła, numeryczny kod kategorii sprzedawcy oraz wskaźnik prędkości przybliżający liczbę transakcji, jakie ta sama karta wykonała w niedawnej przeszłości. Prawdziwe systemy wykrywania oszustw kartowych używają dziesiątek do setek wyinżynierowanych cech (skoki geolokalizacji, odciski urządzeń, poziomy ryzyka sprzedawców, odchylenia wzorców wydatków), ale te cztery wystarczają, by zademonstrować rzeczywistą wielowymiarową izolację: transakcja może być doskonale zwyczajna na dowolnej pojedynczej cesze i wciąż zostać szybko wyizolowana, gdy losowe podziały połączą kilka wymiarów.