事务监控系统的工作原理

交易监控系统（TMS）跟踪存款，收款，转移和相关事件，以及时检测AML风险，财务风险和操作异常。在iGaming中，它是货币保护的核心：在入口处是支付和行为数据，在出口处是排名异常值，用于调查的案例和监管报告。

---

1）数据流： 我们收集的确切内容

付款和付款："授权/captured/refunded/chargeback"，金额，货币，方法，银行/PSP，佣金。

钱包：'wallet。debit/credit'，资产负债表，取消，等效性（"txn_id"，"Idempotency-Key"）。

KYC/AML信号：年龄/地址，生活，制裁/RER，广告媒体，SoF/SoW（在EDD下）。

行为：会议频率，"追逐"，投注速度，夜间活动。

网络和设备：设备指纹、IP/ASN 、代理/VPN、地理漂移。

链接：通用卡/钱包/设备，推荐图。

提供商的webhooks：由HMAC签名，带有反复制（"timestamp"，nonce）。

---

2） TMS体系结构（层）

1.Ingest和规范化：将PSP状态转换为通用模式、重复数据消除、货币/和验证。

2.功能商店：在线/离线特征（velocity，地理稳定性，chargeback历史，图链接）。

3.规则和模型：确定性阈值+ML/异常+图形检测器。

4.评分和解决方案编排：单一风险，行动策略（跳过/限制/保留/EDD/块）。

5.Alerting和案例管理：队列，优先级，支票单，SLA。

6.报告和审计：dashbords，STR/SAR，WORM归档，出口到监管机构。

---

3）第一级规则（快速检测器）

Velocity：X分钟内的N存款/收款；取消爆发/退款。

地理/方法：地图国家/地区与IP不匹配；罕见的PSP/钱包。

通过：主要存款→最低活动→快速提取。

结构：在KYC/AML阈值附近粉碎金额。

行为触发器：通过设备/IP进行多场比赛，夜间高峰。

每个规则都具有窗口，阈值，重量和动作（软极限，保存，手动咆哮）。

---

4）二级模型

异常："非标准"交易模式的隔离森林/自动编码器。

主管：在标记的故事（chargeback/确认的 frod）上进行梯度增强/对齐。

图：用于集团，常见道具，"mu子"的link prediction/Node2Vec/GNN。

切断校准：TPR/FPR在业务目标上的平衡，季节性稳定性。

---

5）评分和决策（决定）

我们收集汇总风险scor（0-1或Low/Med/High）。

政客：

• 低→跳过/软限制；
• Med → step-up KYC/EDD，延迟输出；
• High → hold/block和立即调查。
• 信号组合（高ML scor+图标）在队列中给出优先级。

---

6）案件管理和调查

上下文自动采样：付款，KYC，IP/ASN，图链接，chargeback历史。

检查表：向客户（地址/SoF）询问何时升级（koshelyok↔PSP）。

结果：清除/限制/EDD/STR/SAR；所有操作都在WORM归档中编写。

SLA：反应时间和桉件严重程度关闭，alerta"燃烧时"。

---

7） STR/SAR和合规性

有洗钱/资助恐怖主义迹象的案例→形成STR/SAR报告（事实，金额，参与者联系，时间线）。

时机和格式-按管辖范围；禁止打勾。

材料存储在不变的存储中，访问严格按照角色进行。

---

8）安全性和隐私在TMS

加密：TLS 1。2+/1.3"在路上"，AES-GCM"在存储中"，KMS/HSM中的密钥，旋转。

别名："player_ref"而不是PII；与PII的通信是单独的，带有现场加密。

访问：RBAC/ABAC，敏感案例的JIT权利，读/导出审核。

Webhooks/外部：HMAC签名，反复制，等效后退。

---

9）事件方案（例如"付款"。captured`)

json
{
"event_id": "evt_9ab…",  "occurred_at": "2025-10-17T10:15:22.512Z",  "trace_id": "trc_41c…",  "txn_id": "txn_dep_784…",  "player_ref": "plr_0f2…",  "method": "card",  "amount": 150.00,  "currency": "EUR",  "psp": "acq_X",  "geo": {"ip":"203.0.113.5","country":"DE","asn":"AS12345"},  "device": {"fp":"dfp_a18…","platform":"ios"},  "risk": {"velocity_5m":3,"asn_reputation":"medium"},  "integrity": {"signature":"base64:…"}
}

类似的方案适用于'wallet。credit`, `payout.settled`, `kyc.verified`, `graph.linked`.

---

10） TMS质量指标

Precision/Recall，TPR/FPR，用于警报和案例。

警告到案件率和TTR/MTTR调查。

SAR速率和监管机构确认的病例。

Chargeback/Fraud-loss%和ROI过滤器。

Customer friction：平均输出时间,%的"净"客户登录验证。

稳定性：后期得分，时差，可用性。

---

11）调谐和漂移控制

背景测试：在故事上运行规则/模型，与基准进行比较。

冠军/挑战者：销售中的并行模型。

数据漂移：PSI/KS测试，方法组合/地质变化时的异常值。

Retrening：合成团队定期窗口+手动标记"黄金"。

---

12）操作： 可观察性和SLO

Dashbords：每小时Alerts/cases，p95的潜在得分，taymout的份额，调查队列，通过率。

SLO："得分≤150 msp95"，"TTR High-Case ≤ 24小时"，FPR的"预算错误"。

端到端跟踪（"trace_id"）-从付款到根本原因的快速驱动。

---

13）典型错误

仅投注规则，反之亦然，仅投注ML。我们需要一个组成。

没有金钱的相等性。Webhook重播→重复操作和虚假异常。

PSP状态正常化较差。"灰色"状态打破了焊接。

缺乏图形分析。集团和"农场"仍然不可见。

模型中没有反馈。错误不会转化为学习--质量停滞不前。

事件中PII的混合。最小化中断和额外的GDPR风险。

---

14）实施表（保存）

• 单一事件总线,PSP状态正常化
• 直通键：'trace_id'、'txn_id'、'player_ref'
• 功能商店（在线/离线）和特征目录
• 组成：规则+异常+supervised+图形
• 实时得分≤150 ms+Fallback解决方桉
• 桉例管理：队列、检查表、SLA、WORM存档
• STR/SAR流程和报告模板
• 隐私/加密（TLS/KMS/HSM）, RBAC/ABAC, JIT访问
• 可观察性：dashbords，trace，alert
• Backtesting, Champion/Challenger,漂移监控
• 自动验证koshelyok↔PSP，差异调查
• 文档：政治家，札幌花花公子，分析师培训

---

15） Mini-FAQ

TMS=反氟化物？重叠，但目标更宽：AML/监管机构，STR/SAR，报告。

可以在不损失TPR的情况下降低FPR吗?是的：图信号和+ML规则级联,再加上精细的阈值校准。

为什么真正的时间很重要？延迟="不良"结论和不可挽回的损失。

需要外部提供商吗?通常是肯定的（制裁/RER，KYC，ASN/设备的行为声誉）。

怎么不要"扼杀"诚实的球员？步进措施：软限制→步进KYC →仅在高风险情况下保持。

---

工作交易监控系统是一个一致的管道：规范化事件、单一特征、规则和模型级联、图形分析、快速评分和调查纪律。这样的TMS同时减少损失，满足监管机构的要求，并保持良好的UX"干净"的玩家。