PolarDB:金融セクターにおける PolarDB を用いたグラフ分析

統計

• ノードの総数をカウントします。

  SELECT *
  FROM cypher('fraud_graph', $$
      MATCH (n)
      RETURN count(*)
  $$) as (number_of_vertex agtype);

  コマンドは次の結果を返します。

   number_of_vertex
  ----
   1076004

• transaction ノードの数をカウントします。

  SELECT *
  FROM cypher('fraud_graph', $$
      MATCH (n:transaction)
      RETURN count(*)
  $$) as (number_of_transaction agtype);

  コマンドは次の結果を返します。

  number_of_transaction 
  ----
  545591

• 不正と特定されたトランザクションの数をカウントします。

  SELECT *
  FROM cypher('fraud_graph', $$
      MATCH (n:transaction)
      WHERE n.isfraud = 1
      RETURN count(*)
  $$) as (number_of_fraud_transaction agtype);

  コマンドは次の結果を返します。

  number_of_fraud_transaction 
  ----
   18919

• エッジの総数をカウントします。

  SELECT *
  FROM cypher('fraud_graph', $$
      MATCH ()-[r]->()
      RETURN count(*)
  $$) as (number_of_edge agtype);

  コマンドは次の結果を返します。

  number
  ------
   2131254

フィルターおよびソートクエリ

ID が 2988706 のトランザクションと、それに関連するすべての情報をクエリします。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[r]->(v)
    WHERE n.transactionid = 2988706
    RETURN v
$$) as (e agtype);

コマンドは次の結果を返します。

    e
---------
 {"id": 2251799813685249, "label": "addr2", "properties": {"addr2": "87.0"}}::vertex
 {"id": 2533274790395906, "label": "emaildomain", "properties": {"emaildomain": "gmail.com"}}::vertex
 {"id": 2533274790395906, "label": "emaildomain", "properties": {"emaildomain": "gmail.com"}}::vertex
 {"id": 1970324836974595, "label": "addr1", "properties": {"addr1": "325.0"}}::vertex
 {"id": 1125899906844295, "label": "product", "properties": {"productid": 137934}}::vertex

以下は、age-viewer 可視化ツールでの SQL クエリ結果のプレビューです。

中央の transaction ノードは、[:transaction_addr1]、[:transaction_addr2]、[:transaction_emaildomain_p]、[:transaction_emaildomain_r]、[:transaction_product] の 5 つのエッジを介して、addr1、addr2、emaildomain、product の 4 つの関連ノードに接続します。

k 近傍法 (KNN)

k 近傍法 (KNN) は、データノード間の類似性を評価することで、潜在的な不正を特定します。特定のデータノードと最も特徴が類似している K 個の隣接ノードを見つけることで、そのノードが正常かどうかを判断できます。たとえば、あるトランザクションが、金額、場所、時間などの特徴において、隣接するほとんどのトランザクションノードと著しく異なる場合、そのトランザクションは疑わしいとマークされる可能性があります。

トランザクション 2988706 と同じ住所を共有する他のトランザクション (2 ホップ隣接ノード) をクエリして、元のトランザクションが疑わしいかどうかを判断します。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[:transaction_addr1]->(:addr1)<-[:transaction_addr1]-(t:transaction)
    WHERE n.transactionid = 2988706
    RETURN t
$$) as (e agtype);

コマンドは次の結果を返します。

  e
-----
 {"id": 844424930131972, "label": "transaction", "properties": {"isfraud": 0, "transactionid": 2987001}}::vertex
 {"id": 844424930131978, "label": "transaction", "properties": {"isfraud": 0, "transactionid": 2987007}}::vertex
 {"id": 844424930132041, "label": "transaction", "properties": {"isfraud": 0, "transactionid": 2987070}}::vertex
 {"id": 844424930132053, "label": "transaction", "properties": {"isfraud": 0, "transactionid": 2987082}}::vertex
....

age-viewer 可視化ツールで結果をプレビューするには、次の SQL クエリを実行します。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[r:transaction_addr1]->(a:addr1)<-[r2:transaction_addr1]-(t:transaction)
    WHERE n.transactionid = 2988706
    RETURN [n,r,a,r2,t]::path
    LIMIT 50
$$) as (e agtype);

パス検索

不正検知におけるパス検索では、グラフ理論とネットワーク分析を使用して、潜在的な不正行為を特定します。金融ネットワークでは、トランザクションは、ノードがアカウントや顧客を表し、エッジがトランザクション活動を表すグラフと見なすことができます。このグラフの構造を分析することで、異常なパターンや不正な行動を発見できます。トランザクション間のパスを計算することで、疑わしいアカウントから他のアカウントへのトランザクションチェーンを迅速に特定し、一見無関係に見えるアカウント間の隠れたつながりを明らかにすることができます。

トランザクション 2987000 とトランザクション 2987172 の間のパスを不正なトランザクションを通じてクエリし、それらを結ぶすべての不正チェーンを見つけます。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[r]->(v)<-[r1]-(t:transaction)-[r2]->(v2)<-[r3]-(k:transaction)
    WHERE n.transactionid = 2987000 
        and k.transactionid=2987172
        and t.isfraud = 1
    RETURN t 
$$) as (e agtype);

コマンドは次の結果を返します。

 e
----
 {"id": 844424930618281, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3473312}}::vertex
 {"id": 844424930626886, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3481917}}::vertex
 {"id": 844424930649640, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3504671}}::vertex
 {"id": 844424930631805, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3486836}}::vertex
 {"id": 844424930641980, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3497011}}::vertex
 {"id": 844424930644942, "label": "transaction", "properties": {"isfraud": 1, "transactionid": 3499973}}::vertex

age-viewer 可視化ツールで結果をプレビューするには、次の SQL クエリを実行します。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[r]->(v)<-[r1]-(t:transaction)-[r2]->(v2)<-[r3]-(k:transaction)
    WHERE n.transactionid = 2987000 
        and k.transactionid=2987172
        and t.isfraud = 1
    RETURN [n,r,v,r1,t,r2,v2,r3,k]::path
    LIMIT 50
$$) as (e agtype);

共通隣接ノード

不正検知において、共通隣接分析は、ソーシャルネットワークまたはトランザクションネットワークを分析することで、考えられる不正行為を特定するグラフベースの手法です。このメソッドは主にグラフ理論に依存して、トランザクション参加者間の関係ネットワークを分析し、疑わしいトランザクションパターンを見つけます。2 つのトランザクションが、異常な行動 (高頻度取引や異常な金額など) を示す複数の共通隣接ノードを共有している場合、これら 2 つの取引者間のトランザクションは、より高い不正リスクを伴う可能性があります。

トランザクションレコード 2987000 と 2987172 の共通隣接ノードをクエリして、住所やデバイスなど、同じ属性を持つトランザクションを見つけます。

SELECT *
FROM cypher('fraud_graph', $$
    MATCH (n:transaction)-[]->(v)<-[]-(t:transaction)
    WHERE n.transactionid = 2987000 and t.transactionid=2987172
    RETURN v
$$) as (e agtype);

コマンドは次の結果を返します。

  e
-----
 {"id": 2251799813685249, "label": "addr2", "properties": {"addr2": "87.0"}}::vertex
 {"id": 1970324836974594, "label": "addr1", "properties": {"addr1": "315.0"}}::vertex

以下は、age-viewer 可視化ツールでの SQL クエリ結果のプレビューです。

ジャカード類似度

ジャカード類似度は、2 つの集合間の類似性を測定します。数式は次のとおりです。

$$J(A,B)=\frac{|A\cap B|}{|A\cup B|}$$

ここで：

• J(A,B) は、集合 A と B のジャカード類似度です。

• ∣A∩B∣ は、集合 A と B の積集合です。

• ∣A∪B∣ は、集合 A と B の和集合です。

不正検知において、ジャカード類似度にはいくつかのアプリケーションがあります。

• パターン認識：ユーザーのトランザクションや行動のジャカード類似度を計算することで、類似したパターンを特定し、潜在的な不正を示すことができます。

• 顧客グループ分析：顧客の行動を分析する際に、ジャカード類似度を使用して顧客間の類似性を比較できます。類似度スコアが高い顧客は、類似したリスクプロファイルを共有している可能性があります。

この例では、関連する住所、メール、その他の情報に基づいて、2 つのトランザクション間のジャカード類似度を計算できます。この情報の重複度が高いほど、トランザクション間の類似度が高いことを示します。

1. 必要な関数を作成します。

   • 特定のトランザクションに関連するすべてのノードを取得し、それらの ID の配列を返す関数を作成します。

     CREATE OR REPLACE FUNCTION find_ids(transactionid integer)
     RETURNS bigint[]
     LANGUAGE plpgsql
     AS $function$
     DECLARE 
         sql VARCHAR;
         ids bigint[];
     BEGIN
       sql := 'SELECT array_agg(cast(e as bigint)) FROM (
     SELECT *
     FROM cypher(''fraud_graph'', $$
     MATCH (n:transaction)-[]->(v)
         WHERE n.transactionid = ' || text($1) || 
     'RETURN id(v) 
     $$) as (e agtype)) as t;';
         EXECUTE sql INTO ids;
         return ids;
     END
     $function$;

   • 配列に対して Union (和集合) と Intersection (積集合) の操作を実行する 2 つの関数を作成します。

     CREATE OR REPLACE FUNCTION array_union(anyarray, anyarray)
     RETURNS anyarray 
     LANGUAGE sql immutable 
     AS $$
     SELECT array_agg(a ORDER BY a)
     FROM (
         SELECT DISTINCT unnest($1 || $2) AS a
     ) s;
     $$;
     CREATE OR REPLACE FUNCTION array_intersection(anyarray, anyarray)
     RETURNS anyarray 
     LANGUAGE sql immutable 
     AS $$
     SELECT array_agg(e)
     FROM (
         SELECT unnest($1)
         INTERSECT
         SELECT unnest($2)
     ) AS dt(e)
     $$;

   • 2 つのトランザクション間のジャカード類似度を計算する関数を作成します。

     CREATE OR REPLACE FUNCTION jaccardSimilarity(tid1 integer, tid2 integer)
     RETURNS float8
     LANGUAGE plpgsql
     AS $function$
     DECLARE 
         sql VARCHAR;
         ids1 bigint[];
         ids2 bigint[];
         union_list bigint[];
         intersection_list bigint[];
     BEGIN
       ids1 = find_ids($1);
       ids2 = find_ids($2);
       union_list = array_union(ids1, ids2); -- union
       intersection_list = array_intersection(ids1, ids2); -- intersection
       RETURN 
         CASE 
             WHEN array_length(union_list,1) = 0 THEN 0
             ELSE array_length(intersection_list,1) * 1.0/ array_length(union_list,1) 
         END AS jaccardSimilarity;
     END
     $function$;

2. 関数を実行してジャカード類似度を計算します。

   • 2 つの特定のトランザクション ID 間の類似性を比較します。

     SELECT jaccardSimilarity(2987000, 2987172);

     コマンドは次の結果を返します。

     jaccardsimilarity 
     ----
      0.4

3. すべてのトランザクションにわたって類似性を比較するには、PolarDB のストアドプロシージャ機能を使用して、より複雑な計算を実行できます。

   たとえば、次の SQL ステートメントを使用して、トランザクション 2987002 と同じ主要住所、副次住所、およびメールドメインを共有するすべてのトランザクションを検索できます。結果はジャカード類似度でソートされ、最も類似した 50 件のトランザクションが特定されます。

   WITH tmp AS
   (SELECT cast(e as integer) as transactionid
   FROM cypher('fraud_graph', $$
       MATCH (n:transaction)-[:transaction_addr2]->(:addr2)<-[:transaction_addr2]-(t:transaction)
       WHERE n.transactionid = 2987002
       MATCH (n:transaction)-[:transaction_addr1]->(:addr1)<-[:transaction_addr1]-(t:transaction)
       WHERE n.transactionid = 2987002 
       MATCH (n:transaction)-[:transaction_emaildomain_p]->(:emaildomain)<-[:transaction_emaildomain_p]-(t:transaction)
       WHERE n.transactionid = 2987002 
       RETURN t.transactionid
   $$) as (e agtype) )
   SELECT transactionid, jaccardSimilarity(2987002, transactionid) as jaccardSimilarity
   FROM tmp
   ORDER by jaccardSimilarity DESC
   LIMIT 50;

   コマンドは次の結果を返します。

    transactionid | jaccardsimilarity 
   ---------------+-------------------
          3323911 |               0.6
          3328911 |               0.6
          3009043 |               0.6
          3039416 |               0.6
          3039425 |               0.6
          2993652 |               0.6
          3045027 |               0.6
          3037644 |               0.6
          3045041 |               0.6
   ...

   age-viewer 可視化ツールで結果をプレビューするには、次の SQL クエリを実行します。クエリ内のトランザクション ID は、前の計算の上位 10 件の結果です。このリストは必要に応じて調整できます。

   SELECT * 
   FROM cypher('fraud_graph', $$
       MATCH (n:transaction)-[r]->(v)<-[r2]-(t:transaction)
       WHERE n.transactionid = 2987002
           AND t.transactionid IN [3323911, 3328911,3009043,3039416,3039425,2993652,3045027,3037644,3045041,3045049,3045279]
       RETURN [n,r,v,r2,t]::path
   $$) as (e agtype);