作业改编自真实的业务场景。
特别说明：为突出本次作业训练目标并规避数据风险，所有数据均经过处理，并只保留了相关事件。
业务背景
共享单车潮汐效应明显，上班高峰期单车大多堆积在地铁站，复用率不高；平台运力有限，难以缓解此趋势。
为解决这种情况，某单车推出了「众骑」活动，鼓励有闲暇时间的用户在早高峰期间反向骑行（也就是将车从地铁站骑回居住社区等地），希望缓解高峰期的单车供应问题。
此任务的完成的计算方式是：在「高峰」时间段，于指定地铁站附近 100 米「解锁活动车辆」；骑出地铁站 500 米范围后，「锁定活动车辆」，即可完成。考虑到单车成本，车辆上并未配备 GPS 装置，「解锁车辆」和「锁定车辆」时，会收集手机上的地理位置信息作为判断依据。
每完成一次任务，该用户均可以得到平台发放的红包奖励（1 - 20 元不等），以维持整个活动顺利运转。
活动上线后，红包不断被发放出去，越发越多；但从消费者的角度来看，早晚高峰的单车供应并没有显著的改善。负责这个活动运营的同事很纳闷，明明有这么多人在努力搬运，为什么却没有效果？综合多方面的信息，部分同事已经开始怀疑：活动多半是被羊毛党光顾了，但苦于没有证据。
此时，他们邀你出马。
作业要求
请观察该活动从 10 月 10 日上线后，到 10 月 31 日的数据表现，给出你的分析结论。
推荐步骤：
观察数据，找到异常用户，说明异常理由，推测“作弊”手段。
判断其是“团伙作战”还是“单打独斗”。如果是团伙作战，说明理由，并给出其行为模式（最好能给出基于当前数据平台筛选出这些用户的条件）。
结合实际，给出推荐的后续处置措施。基本原则是：尽量在不伤害现有用户的情况下，减少公司损失，保障活动效果。
找异常用户
分析思路：根据题目给的信息，用户开锁之后需要骑行超过500米范围并关锁成功才算完成，普通单车的速度最高约5米/秒，用户至少骑行100秒之后关锁才算正常，如果步行返回则需要约8-10分钟，如果有同行朋友用单车或电瓶车将其带回原地铁站可以缩短间隔，但是5分钟内完成2次对正常用户来说已经是极限。
根据以上分析，寻找异常用户可以从3个方面入手
①活动期间获得的红包金额
②每天解锁/锁定单车的总次数
③短时间内完成解锁-锁定单车的次数
事件分析-红包金额
事件分析-解锁单车次数
观察此类用户的行为特征
我们可以发现这两个事件的前几个ID都是一样的，搜索其中几个ID查看其行为可以发现他们的异常行为有：
①从解锁单车到锁定单车获得红包基本都在30s内，且在短期内频繁操作；
②有些用户同时解锁2~4辆单车，且解锁的地铁站非同一个，解锁的方式有扫码有蓝牙，
如下图3所示，该用户（ID309380）解锁第一辆车用的是扫码，接下来用蓝牙解锁了三辆，地铁站各不相同；
③部分用户扫码使用的设备为iPad Air2，不太符合常理；
图1↓
图2↓
图3↓
考虑到活动车辆没有安装GPS，仅依靠手机地理位置信息来判断骑行是否达标，而市面上有软件可以达到修改手机定位的目的，因此推测羊毛党的通用作弊手段为：通过软件修改手机定位从而获取红包。
找到羊毛党
高频次羊毛党
根据上述分析，这批异常用户的共同特征是短时间内高频次解锁-锁定单车，可以通过漏斗分析来找到这批用户。
①设定5分钟内完成3次活动的漏斗，并且限制每次锁定行为的触发条件为“红包金额不等于0”，以过滤掉连续扫到故障车的用户，找到一批数量为745的羊毛党用户
②点开这745名用户的用户列表，可以发现他们的ID是从309245到310000连续排列，推测为批量注册；
③抽查其中部分用户，观察他们使用的设备型号多样，解锁方式有扫码有蓝牙，说明有人在现场，操作手法非常相似，通过修改手机定位短时间内高频次获得红包，同一个ID下可以连续用扫码和蓝牙解锁的方式在不同的地铁站解锁两辆甚至更多的单车，结合他们的ID高度连续的特点，团队作战的可能性更大。
另一批羊毛党
①我在分布分析中观察用户在一天内解锁次数的趋势时发现了一个异常现象：从16号开始每天解锁次数在1-19次的数量明显增加，集中表现在5~10次
②在事件分析中观察总体趋势：从16号开始直到27号，用户数量猛增
但是查看任意事件的人均次数却发现在16-27号有明显的下降，说明该期间确实有批量用户加入，但是参与活动的次数并不多，造成了人均次数的下降，验证了之前的想法
再观察高频次羊毛党用户的趋势：在整个活动期间都有参与，16-27号期间没有明显的增长，与大盘趋势有出入，确定了这批非高频次羊毛党的存在
点击16号当天完成活动5-10次的325个用户列表，将之前找到的高频次羊毛党排除，在剩下的用户中寻找行为异常用户，可以发现这批羊毛党的特征是，每天解锁单车频次、解锁间隔与正常用户无异，但是每次解锁单车的地铁站都不一样，一天内出现在多个地铁站，且很多ID还存在同时解锁两辆单车，借助高德平台将某用户某天解锁单车的地理位置信息可视化，他的足迹遍布北京各个地方，解锁方式也是扫码和蓝牙并存。
考虑活动效果，用户并没有觉得高峰用车问题得到缓解，所以推测这批羊毛党也是用了修改定位的方式来获得红包，并没有真正搬运车辆。
找到这批低频次羊毛党用户的方法
这批用户的特点是一天内变换多个地铁站，考虑活动时间每天只有2个小时，地铁站之间的距离都不算太近，用户也不太可能特意乘坐交通工具去其他站点搬运，因此我们认为每天出现在3个及以上地铁站的用户有羊毛党嫌疑。
可以利用分布分析设定阈值查看，16号开始到27号每天解锁单车的地铁站在3个以上的用户猛增，可以把几天的ID导出排查。
