大海捞针：一种用于支付系统异常检测的机器学习框架

在稻草堆中寻找针：一种用于支付系统异常检测的机器学习框架 由Ajit Desai、Anneke Kosse和Jacob Sharples撰写 货币与经济部门 2024年5月 JEL分类：C45, C55, D83, E42. 关键词：支付系统，交易监控异常检测、机器学习。 国际清算银行（BIS）工作论文由货币和经济部门成员撰写。国际清算银行部门，以及其他机构不时提供。经济学家撰写，并由该行出版。论文涉及当务之急的课题。兴趣，且具有技术性特征。其中表达的观点是原作者的个人观点。作者的观点，并不一定是BIS的观点。 本出版物可在国际清算银行（BIS）网站（www.bis.org）上查阅。 © 国际清算银行 2024。版权所有。如需复制或翻译摘要，请注明来源。 ISSN 1020-0959 (印刷版) ISSN 1682-7678 (在线版) 在草堆里寻找针：一个用于支付系统异常检测的机器学习框架* Ajit Desai1,‡安妮克·科塞2和雅各布·夏普莱斯11加拿大银行2国际清算银行 2024年5月13日 摘要 我们提出了一种灵活的机器学习（ML）框架，用于在价值支付系统（HVPS）中进行实时交易监控，HVPS是一个国家金融基础设施的核心部分。该框架可以被系统操作员和监管人员用来检测异常交易，如果这些交易是由网络攻击或操作故障引起的，并且未被检测到，可能会对HVPS、其参与者以及更广泛的金融系统产生严重影响。鉴于每天处理的支付量巨大，以及在HVPS中实际异常交易的稀缺性，检测异常就像是在一堆稻草中寻找一根针。因此，我们的框架采用分层方法。在第一层中，使用监督机器学习算法来识别和区分“典型”支付和“不寻常”支付。在第二层中，仅对“不寻常”支付运行无监督机器学习算法进行异常检测。我们使用加拿大HVPS的经过人工操作的交易和支付数据进行框架测试。第一层中使用的机器学习算法实现了93%的检测率，这比常用的计量经济学模型有显著改进。此外，第二层中使用的机器学习算法将人工操作的交易标记为原始交易的近两倍可疑，证明了其有效性。 关键词：支付系统、交易监控、异常检测、机器学习JEL Codes:C45, C55, D83, E42 1 引言 高价值支付系统（HVPSs），如加拿大的Lynx、美国的Fedwire、英国的Chaps和欧元区的Target2，是司法管辖区金融系统的关键组成部分。通常，这些是实时全额结算（RTGS）系统，负责处理金融机构之间的大额交易，通常需要在特定时间内结算。因此，HVPSs的安全性和效率对金融稳定和经济增长至关重要。如果管理不当，HVPSs可能成为冲击的来源，例如支付欺诈、网络攻击、市场压力或操作问题（）。查普曼等，2015;BIS- 报告 2019;美联储报告 2019;Kotidis and Schreft 2023). 此外，由于高压脉冲电源系统（HVPSs）在其参与金融机构之间建立联系，它们可能成为国内甚至国际金融市场间冲击传递的渠道（。科塞和卢 2022;Kotidis and Schreft 2023). 特别是，网络攻击对金融机构和高速支付系统构成了日益增长的风险。1例如，在2016年，孟加拉国中央银行（CBB）遭遇了一次网络盗窃事件，黑客试图从纽约联邦储备银行（ Federal Reserve Bank of New York）的CBB储备账户中窃取近10亿美元（ 。Bukth and Huda 2017) 同样，2018年对墨西哥的银行间支付网络以及智利银行的网络攻击导致了数百万美元的损失（）。Nish and Naumaan 2019).2最近，科蒂迪斯和施雷夫特(2023) 已记录了对参与Fedwire的银行服务提供商的网络安全攻击的影响，并强调了运营弹性的重要性。此外，基于模拟的研究表明，网络安全攻击，即使针对单个高压脉冲供电系统（HVPS）参与者，也可能对其参与的系统产生重大影响（ 。Eisenbach et al., 2021;科瑟和卢，2022年;Docherty and Wang 2010). 因此，对HVPSs进行实时交易监控，以便及时检测异常，是增强网络韧性并避免此类冲击产生未预期的系统性后果的一种方法。 为了提高高压直流输电系统的安全性，以及更广泛地限制系统性风险和促进金融稳定，全球已发布多项指南并开展了许多倡议。3例如，在2016年，国际清算银行（BIS）支付和市场基础设施委员会（CPMI）和国际证券委员会组织（IOSCO）发布了指导方针，以加强金融市场基础设施（FMIs）如高速支付系统（HVPSs）的网络安全韧性。4本指南强调FMIs（金融监测机构）保持有效能力监控异常活动的重要性，并概述了它们应采用的工具和流程以检测网络事件。 尽管有这些努力，高压电力系统（HVPSs）中的异常检测实时交易监控面临着多个挑战，其中异常数据的稀缺以及缺乏预先确定的例子是主要障碍。此外，支付频率高、支付网络规模庞大以及参与者之间复杂的战略互动也是重要因素。5并且详细的交易信息有限6进一步复杂化检测过程。因此，仍有改进的空间。例如，具有监控支付流能力的高压脉冲设备（HVPSs） 大多依赖基于规则的和临时的监控方法。这些方法存在延迟，并要求事先假设异常支付的形态。 典型支付行为（Glowka 2019;莱昂 2020;萨贝蒂和海伊曼斯，2021年). 请注意。此类假设可能无法涵盖所有异常形式，因为无法预见所有潜在的情景（。联邦报告 2019;Arjani et al. 2020;Arjani and Heijmans 2020此外，个别系统参与者所使用的异常检测工具仅捕捉与该特定参与者之间的交易，这限制了它们在系统级交易监控方面的效用。 为了减轻这些挑战，本文提出了一种灵活的、集中的、分层的HVPS（高压直流输电）交易监控框架，用于模式识别和异常检测，利用数据驱动和非线性机器学习（ML）工具。在这个框架中，监控在HVPS层面集中进行，利用所有系统参与者的交易数据来理解其支付模式。这种方法与个别参与者的监控工具形成对比，后者仅关注自身的交易。此外，该框架由多个层级组成，以克服由于常规支付规模庞大和预先未识别的异常不可用所带来的挑战。在第一层，使用监督式ML算法根据提交时间对支付进行分类，有效地筛选出典型或常规交易。在第二层，仅对分类错误的（不寻常的）支付通过无监督ML算法进行异常检测。7利用每一层中的非线性机器学习模型，我们能够从大量历史数据中学习复杂的模式，从而消除了对预先确定规则的依赖。此外，我们框架中提出的机器学习模型不要求对数据生成过程或潜在异常结构的先验假设，从而允许更通用的检测过程。进一步来说，我们框架中的两层都是独立的，并且具有灵活的组件，能够集成额外的机器学习模型。因此，它们可以作为检测HVPS内异常的稳健工具。 我们使用操纵交易和加拿大前和现有HVPS（大额转账系统）、LVTS以及Lynx的实际交易数据来测试我们的框架。8结果显示，所提出的框架是HVPSs中交易监控和异常检测的有前景的方法。在第一层使用的基于梯度提升的机器学习模型在性能上优于逻辑回归和其他机器学习模型，其最高提升可达44%，并且在非常规日和人为篡改的交易分类中显示出更高的样本外准确率。9特别是，我们的模型表现出显著的能力，能够正确检测93%的所有人工交易。此外，在第二层中使用的隔离森林（IF）模型成功地给手动修改的异常交易分配了更高的分数——平均而言，是原始对手方的两倍高。此外，我们还进行了各种情景分析，这表明该框架足够灵活，可以应用于不同的支付系统设计，并且可以扩展其他功能以进一步增强其鲁棒性。 为了深入了解驱动我们算法识别出的异常支付的主要特征，我们采用了基于Shapley值的SHAP方法（伦德伯格和李，2017年在两层中使用的机器学习模型的结果进行解释。我们发现，对于特定的HVPS交易，自上一笔传入交易以来的时间以及基本交易特征，如发件人-收件人配对和支付金额，有效地预测了支付提交模式。相比之下，更复杂的日内特征，例如自特定类型传入和传出交易以来经过的时间，在识别和隔离异常中扮演了重要角色。我们还表明，SHAP方法可以帮助系统操作员评估异常的性质和严重程度，从而实现及时干预和迅速行动。 论文的剩余部分结构如下。在第二部分我们进一步提供背景信息并解释我们论文的关键贡献。第三章本文概述了我们提出的分类和识别异常的框架，包括每个层次中使用的机器学习模型。接下来，第四章通过描述用于分析的数据和交易特征。结果和影响在以下内容中呈现。第五章在以下内容中，针对不同支付系统设计的框架适应性进行了情景分析并呈现：第六节. 我们结论为第7节. 2 背景及对现有文献的贡献 历史上海上高压脉冲交易的时间模式变化已被研究，以了解如2008年全球金融危机等经济冲击的影响。贝奇和加勒特2012;Massarenti et al. 2012;亚历山德罗娃-卡巴杰娃等人，2015年;张，2015年)，并调查高压脉冲电源（HVPS）参与者面临的市场流动性和延迟交易权衡问题（。贝奇和加勒特，2003年;McAndrews and Rajan 2000;马丁和麦克安德鲁斯 2008 年;Castro 等人，2021年;麦坎等人，2022).然而，考虑到高压脉冲电源（HVPS）对于整个金融系统可用性和顺畅运行的重要性，以及随着时间推移网络威胁的增长，在操作风险（如网络事件和运营事故）背景下，对HVPS交易进行监控具有较强的必要性（）。查普曼等，2015;艾森巴赫等。2021年;Kotidis and Schreft 2023). 最近，由于网络威胁风险和运营中断日益增加，研究人员才开始开发用于监控交易的工具。鉴于在高速支付系统中结账的支付频次很高，这项工作主要依赖于基于机器学习的先进分析工具。例如：Glowka(2019) 在Target2数据上应用聚类技术以识别银行的支付档案Ar´evalo et al.(2022使用机器学习模型来识别萨尔瓦多支付系统中的异常支付集群。人工神经网络（ANN）模型也越来越多地被用于识别参与者之间的异常支付流动。例如，Triepels et al.(2017采用自动编码器，一种能够识别复杂模式的无监督人工神经网络方法，并Le´onet 等人(2020使用人工神经网络模型来识别参与者支付行为中的模式。类似的模型已经建立。鲁比奥等人。(2020) 和萨贝蒂和海伊曼斯(2021）分别用于分类和识别厄瓜多尔高速支付系统（HVPS）中的异常支付以及加拿大零售支付系统中的异常支付。 在这个研究领域迄今为止面临的两个常见挑战是已知异常的罕见性和支付网络的大规模及复杂性。在我们的论文中，我们开发了一个用于异常检测的框架，以解决这两个挑战。通常，高速支付系统（HVPS）在未系统地监控异常的情况下结算数千笔交易，导致可学习的预先识别的异常有限或没有。此外，这些交易的时机受多种因素驱动，如业务需求、流动性限制、时间敏感性和参与者之间复杂的双边和多边商业关系。例如，基于聚类方法的研究工作需要识别最佳聚类数量，这在高维数据和异常值情况下可能特别具有挑战性。这反过来又导致在大型数据集上使用时训练过程缓慢。同样，人工神经网络（ANN）模型的主要局限性在于它们难以在交易级别数据进行训练，需要手动聚合，且难以解释。相比之下，本文提出的框架在处理大量交易级别数据时更容易训练。通过使用多层和监督与非监督的基于树的机器学习模型组合，我们减轻了由于异常罕见和支付量庞大带来的挑战。此外，我们的框架提供了用于解释结果的工具，以深入了解驱动HVPS参与者正常和异常支付行为的影响因素。 在金融欺诈检测和金融稳定性监测方面。处理大量数据以及识别罕见异常事件的相关挑战不仅适用于监控高价值支付系统（HVPS）交易，而且也适用于识别信用卡欺诈、非法交易活动、财务报表欺诈和系统性金融不稳定（）。Ngai et al. 2011;Flood等人，2016年;Ryman-Tubb等人，2018年;詹姆斯