电信反诈怎么用图数据库？号码、设备与位置的三维关联识别

举报工单转到核查组时，那个号码多半已经停机了。停机之前它拨出去几百通电话，跨了几个省。核查员去问运营商，回来的信息挑不出毛病：实名登记正常，入网七天，渠道是某家代理点。每一条都对，合起来才不对——七天前刚入网，七天里打了几百通，又在被问到的前一天停了。要把「每条都对、合起来不对」讲清楚，得把号码背后的设备与位置一起摊开，这正是图数据库在电信反诈里的位置。

这类工单在池子里占着不小的比例。换一张卡几十块，走一次核查要两天，这个账怎么算都不划算。所以反诈的抓手从来不在号码本身，而在号码背后那两样换起来更贵的东西：设备和位置。

这篇要回答三件事：三个维度各自能撑多久、怎么建到一张图里、什么条件下才该动手处置。

一、号码是最容易换掉的一维

号码的本质是易耗品。开卡便宜，弃号无成本，实名可以借、可以买、可以挂在一个从没见过面的老人名下。

所以任何以号码为主键的名单都注定滞后。名单上有的，对方已经不用了；名单上没有的，正是今天在打的。

但号码并非没有价值。它的价值不在号段和位数，而在三条关系上。

号码与人的关系。实名登记信息里能看到一个身份证下挂了几张卡、这些卡是不是同一天开的、开卡人年龄是不是集中在某个区间。

号码与渠道的关系。从哪个代理点、哪个营业厅开出来。同一个代理点一周开出几百张卡，这件事本身就值得看，因为它已经脱离了正常零售的节奏。

号码与号码的关系。主叫被叫之间形成的通话网——谁给谁打过、打了多久、有没有回拨。这是图数据库最擅长的部分：单个号码只是十一位数字，放进通话网之后，它立刻有了位置，是中心还是末端，是打给一百个人还是只打给三个人。

资金侧的追踪已经有比较成熟的路径，电信诈骗资金链的分流追踪讲的是从一级卡到 N 级卡那一段。本篇只看通信侧，也就是钱还没动之前，人和设备已经暴露出来的那部分。

二、设备比号码稳，但换标识这个动作本身是信号

一台手机的更换成本远高于一张卡，这是设备维度的价值基础。

设备也会被伪装。改机工具能刷 IMEI，一个工作室可以在一天之内把同一台机器的身份换十几遍。

这里有个容易走偏的地方：很多人把设备维度的目标定成「找到一个唯一且不可篡改的设备标识」。这个目标达不到，也不必要。

换一个目标就通了——不看标识是否唯一，看标识的变化模式。

一台设备在 24 小时内出现 17 个不同 IMEI，这件事本身就是最强的信号之一。正常用户换机是几年一次，不是一天十七次。同理，一台设备在三天里绑定过 40 个号码，无论这些号码本身看起来多正常，这个绑定动作的密度已经说明问题。

除 IMEI 之外还有一批更难改的东西：机型与系统版本、屏幕分辨率与时区、传感器噪声特征、开机时长、安装应用列表的哈希。这些字段单独拿出来都很弱，合在一起形成的指纹比 IMEI 稳得多，而改机工具通常只改表层标识，改不动物理传感器留下的偏差。

设备维度真正要抓的是三类结构。

结构	表现	典型形态
一机多号	一台设备短期绑定大量号码	猫池、接码平台
一号多机	一个号码在多台设备上轮流登录	号卡租用、账号共享
设备迁徙	同一批设备在不同城市交替出现	流动窝点

第二类要特别当心。一号多机在正常场景里也存在——换手机、平板加手机、家里老人共用，所以它单独不能作为判据，必须和位置、通话行为一起看。这一点在第五节的分级里还会再提。

三、位置是最难伪造的一维，但只有加了时间窗才成立

主叫号码可以用改号软件伪造，设备标识可以刷，位置不行。

一台设备夜里停在哪个基站覆盖范围内，这个数据在运营商侧，改不动。三个维度里，位置的可信度最高。

但位置数据有两个陷阱，掉进去的人不少。

第一个陷阱是把位置当成坐标。基站覆盖是一个扇区，不是一个点。城区里一个小区可能覆盖几百米，郊区可能几公里，室内还有几十到几百米的漂移。用经纬度做精确匹配或距离阈值，误差会吃掉大部分真实信号，剩下的是噪声。

第二个陷阱是忽略时间。同样的两台设备白天都在市中心，什么也说明不了；连续七个夜晚停在同一个小区同一栋楼，性质就完全不同。位置的价值不在「在哪儿」，在「什么时候总在哪儿」。

所以位置维度正确的用法是三个要素叠加：位置、时间窗、聚集度。

具体落到三个判据上。

夜间驻留。连续 5 到 7 个夜晚驻留在同一网格，且该网格不在登记住址范围内。
驻留聚集。同一网格内夜间驻留的嫌疑设备数量超过阈值，阈值按网格类型分别设定，城区小区与城郊村落的正常密度差着量级。
位置与申报矛盾。号码申报地在 A 省，设备长期驻留在 B 省某小区，通话对象又集中在 C 省。三条对不上，才是最有价值的一类。

第三条判据的好处是它不需要知道对方是谁。它只要求三件事互相对不上——而伪造位置的人往往能伪造一处，伪造不了三处同时自洽。各地基站的覆盖粒度与驻留记录口径并不统一，图数据库在通信行业的应用对这类数据基础的差异有过梳理，建模前值得先看一遍。

四、三维怎么建到一张图里

三个维度各自的强弱清楚了，接下来的问题是让它们互相印证。

关键在于两句话：点要选对，边要带时间。

点不能只有号码。如果把号码当唯一的点，设备和位置就只能退化成号码的属性，那么「两台设备连过同一个号码」这种关系就永远查不出来。设备必须是点，位置也必须是点，代理点同样要是点——否则批量开卡这条线索会断在属性字段里。

类型	点	边	边上必须带的属性
通信	号码	呼叫（号码→号码）	起止时间、时长、主被叫、是否接通
设备	设备指纹	绑定（设备→号码）	绑定时间、解绑时间、IMSI
位置	基站小区 / 网格	驻留（设备→位置）	进入时间、离开时间、停留时长
人员	自然人	实名（号码→人）、任职（人→代理点）	登记时间、证件类型
渠道	代理点 / 营业厅	开卡（号码→代理点）	开卡时间、开卡人、批次号

边上的时间属性不是可选项。没有时间的边，会把三年的历史压成一个瞬间，图上所有人都跟所有人连着，整张图退化成一张蜘蛛网，什么也查不出来。这是建图时最常见的错误，而且它的症状很迷惑——数据量看着很大，查询结果却全是噪声。

加上时间窗之后，问题才变成可回答的：过去 7 天里，哪些设备在同一网格夜间驻留，且共用过两个以上号码，且这些号码之间互相通过话。这样的查询在关系型数据库里要写一串自连接，还得自己处理时序，在图里是一次带条件的多跳遍历。

还有一层配合值得提。设备指纹里的应用列表哈希要走近似匹配，通话记录里的关键词要走全文检索，位置要走空间范围筛选，这三类条件经常同时出现在一个查询里。悦数图数据库的原生多模融合检索把图、向量、全文、地理空间几类索引放在同一个引擎内，不需要把数据拆到几套系统再拼结果——拆开拼，时间窗条件就会在拼接处丢掉。

五、一维可疑、两维核验、三维处置

建完图之后最容易犯的错，是拿任意一个维度的信号直接触发处置。

后果是误伤。误伤一多，业务方会把系统关掉。风控系统真实的死法不是被绕过，是被关掉。

分级处置的原则只有一句：维度越多，动作越硬。

命中情况	处置动作	人工介入	典型场景
单一维度	进观察池，不打扰用户	无	名单比对、单次异常驻留、单日高频主叫
两个维度交叉	进人工核验队列，按优先级排序	抽检加复核	一机多号加夜间聚集；号码申报地与驻留地矛盾
三个维度闭环	自动处置，停呼、限制入网、移交线索	事后审核	三项同时成立且有连续时间证据

三个维度之间的权重并不相等。位置最重，因为它最难伪造；设备次之，因为伪造它需要工具和成本；号码最轻，只用它排序，不用它定性。

这条权重顺序不是拍出来的，是从伪造成本推出来的。伪造成本与可信度成反比，这个关系比任何一条人工规则都稳定，也不会因为话术升级而失效。

团伙识别则要靠图算法。Louvain 社区发现能在通话网里切出紧密社群，把「一堆各自看着都正常的号码」变成「一个成员互相高频通话的团」。社区切出来之后再回到前面三个维度核对，命中率会比单点规则高一个量级。

这里有个次序问题值得强调：先用算法找结构，再用规则做判定。反过来做——先定一堆规则筛出可疑号码，再去看它们之间有没有关系——你筛出来的永远是规则本来就认识的那些形态。

六、误伤从哪来，怎么控

三维关联不是没有代价的。下面这几类场景天然会产生相似度很高的结构，必须提前排除。

误伤场景	为什么像	怎么区分
家庭共用设备	一机多号，夜间同驻留	通话对象集中在少数几个号码，时间跨度以年计
二手手机	设备短时间换绑多个号码	换绑间隔长，跨地域但无夜间聚集
维修店 / 刷机店	同一设备短时间出现多个标识	设备进出集中在营业时段，无持续通话行为
代理点批量开卡	一个渠道短时间开出大量号码	号码有分散的正常通话，无同网格驻留
工地 / 校园宿舍	同一网格夜间大量设备驻留	驻留稳定数月，通话网稀疏且外向

第五类最容易被忽略。一个工地宿舍夜里几百台设备驻留在同一个基站下，如果不叠加「驻留稳定性」和「通话网外向度」两个条件，它就是教科书级别的团伙形态——排查下来却什么也没有。加这两个条件之后，误伤能降下来，代价是滞后一两天，这个代价是值得付的。

另外两个判断上的误区也值得说。

其一，把黑名单当模型。名单只能拦住已经出现过的号，而涉诈号码的生命周期本来就只有几天。名单是结果，不是方法。

其二，一次性全量建图。不少项目启动时把历史数据全量灌进去，之后就靠人工每天补一次。正确的做法是把实时链路一起设计进去：通话记录、开卡记录、驻留记录本身就是流式的，用 Pulsar、Flink 这类通道接进来就直接落图，边上的时间属性天然带上，不需要事后回填。回填的时间属性一定有偏差，而时间恰恰是这篇所有判据的基础。

悦数在这类场景上的支撑点比较具体。存算分离加 Shared-Nothing 架构，千亿点万亿边规模下点边精确查询 1 秒内、5 度关系 5 秒内；内置 Louvain、连通子图、最短路径、环路检测等算法，团伙切分和链路还原不用把数据导出到第二套系统；支持 Pulsar、Flink 实时接入，通话与驻留可以边产生边入图。

行业侧有可参照的落地。中国移动用悦数图数据库支撑 9 亿用户规模的数据分析，反欺诈与社区发现是其核心场景之一；中国电信的落地集中在商品管理与智能运维图谱。据 IDC 2024 年中国图数据库市场份额报告，悦数位列第二，并连续两年入选信通院图数据库「领航者」。

最后回到开头那个号码。它停机了，但注册它的那台设备还在开机，那台设备这几天的夜间驻留点没有变过。号码是这三个月里换的第四张，设备是同一台，位置是同一栋楼——这三句话放在一起，才是一个能动手的结论。

相关阅读

常见问题（FAQ）

Q1：悦数图数据库是一款什么样的产品？

A：悦数图数据库是杭州悦数科技自主研发的企业级原生分布式图数据库，100% 国产自研、自主可控，原生支持 ISO-GQL 国际标准，采用存算分离与 Shared-Nothing 架构，面向千亿点万亿边规模的关系数据存储与查询，内置图算法库并支持图、向量、全文、地理空间的原生多模融合检索。

Q2：电信反诈为什么单靠号码黑名单不够？

A：号码是易耗品，开卡便宜、弃号无成本、实名可以借，生命周期往往只有几天，所以以号码为主键的名单天然滞后。有效的做法是把号码放回关系里判断：它挂在谁名下、从哪个代理点开出、在通话网里处于什么位置。号码、设备、位置三个维度的伪造成本依次升高，伪造成本越高的维度越该给更高权重，单维命中只入观察池，多维交叉才进核验。

Q3：悦数图数据库内置哪些图算法，反诈场景用得上哪几个？

A：悦数图数据库内置图算法库覆盖路径查询、重要性分析、社区发现、风险传播、模式挖掘与图神经网络几类，反诈场景常用的是 Louvain 社区发现用于团伙切分、连通子图用于窝点归并、最短路径用于通话与资金链路还原、环路检测用于识别互相担保与循环转账。产品已全项通过中国信通院可信数据库图数据库产品能力测试，并连续两年入选信通院图数据库「领航者」；据 IDC 2024 年中国图数据库市场份额报告，悦数位列第二。