根据分析流程，首先应该找到其中一个羊毛党中特征十分明显的一个，以此为蓝本从而找出羊毛党撸羊毛的模式。
一。找出有特异性的那个“1”
第一步，流量分析找出异常流量。从2018-10-10到2018-10-31之间，事件选择“解锁活动单车”的“总次数”，按照Distinct ID查看，得出下图
从图中可以看出309713这个ID波动幅度十分大，很有特异性，所以对这个ID做进一步分析
这个ID在10月12日这一天解锁次数就高达217次，10月25日一天解锁次数235次，10月31日一天解锁195次，从10月14日到10月21日这7天中，有6天的空白期，只有一天使用了9次。集中高频操作十分明显，所以这个ID有疑是羊毛党的可能性。
为了进一步确定这个ID号是羊毛党，将10月25日这一天的观察维度细分到小时，做进一步观察
解锁次数
锁车次数
从图中可以看出，此ID解锁，锁车的频次十分密集且高频。种种迹象表明，此ID为羊毛党无疑了。
二。推测作弊手段
1.明确目的：从找出的其中一个羊毛党ID的行为数列分析，羊毛党的目的就是获得红包的形式来薅羊毛。
2.明确作弊手段：羊毛党应该是通过可以切换定位的软件，集中在高峰时间段，频繁的解锁，锁车，以此来获得活动中的红包。
三。分析是团伙作战还是单打独斗
分析：
要想获得红包返现需满足三个要求：一，骑指定的车辆；二，完成解锁——骑行——锁车整个流程；三，骑行的距离须超过500米；
所以判断是否为羊毛党可以从这么几个方向判定：
（1）羊毛党为了多收红包，定会频繁的解车和锁车，所以超过一定频次的，就很有可能是羊毛党了。因为整个活动是针对早高峰时间段做的，一般人使用自行车的频次应该在2到3次，所以一天之中，完成解锁——锁车一个流程超过3次的，可作为判定羊毛党的条件。
（2）羊毛党为了多收红包，肯定会尽可能的缩短解车到锁车的间隔时间，所以解锁车时间间隔过短的也是判定羊毛党的一个条件。因为活动要求必须骑出500米才有效，而自行车一般速度是在12公里/小时到20公里/小时之间，因为是高峰期，所以按照12公里/小时进行估算，骑行500米需要3分钟时间。因此，解锁车间隔低于3分钟的，可作为判断羊毛党的一个条件。
综述，判断羊毛党的筛选条件是：24小时之内，解车或者锁车超过3次的，且间隔时间少于3分钟的用户，即为羊毛党。以此延伸，在10月10日到10月31日这21天期间，解车或者锁车总次数超过63次，且完成单次解车到锁车完整事件的时间小于等于3分钟的，即为羊毛党。
找出羊毛党：
第一步：
进行分布分析，在10月10日到10月31日期间，一个月内的次数分布情况
按照之前的分析，把这个月内50次以上的用户全下载下来。
第二步：
进行漏斗分析。按照之前的分析，创建漏斗，窗口期的时间设置为3分钟
得到漏斗
然后将漏斗筛选出来的975人下载下来，再将漏斗分析筛选出来的用户与分布分析筛选出来的用户进行综合分析。然后将漏斗分析得到的数据和分布分析得到的数据进行交叉分析，得到的重复值即为羊毛党
数据表的部分展示
验证：
为了验证筛选出来的数值的正确性，所以随机选择几个ID号，分析他们的行为序列，看看是否符合羊毛党的行为。
309375
短短4分钟的时间里，解锁，锁车的次数分别高达5次，羊毛党无疑。
309401
同上，羊毛党无疑。
309443
同上，羊毛党无疑
309660
同上，羊毛党无疑
309926
同上，羊毛党无疑
由此可见，通过两个维度所筛选出来的用户全是羊毛党。
而羊毛党的用户数多达719个，并且操作时间的集中度非常高，操作十分高频，每一次的操作时间十分短，基本只有一分钟左右，一个人做，几乎不可能实现，所以我的判断是团伙作案！
四。后续处理
为了尽量不伤害现有用户，又能减少公司损失，保障活动效果，我的建议如下：
1.一天一个人参与活动的次数设置上限。上限设置为3次，超过这个上限后，能正常使用，但是不会继续派发红包。
2.在结合手机定位判断的基础上，增加一次完整使用的时间限制。时间限制设置为大于等于3分钟才会派发红包，如果小于或者等于3分钟，不派发红包或者派发金额很小的红包。
