1. 课程导入

在实时风控、反欺诈、支付清算、量化交易监控等系统中，单笔交易本身往往信息有限，真正有判别力的信号来自“最近一段时间内的行为模式”。例如，同一张卡在10分钟内是否出现多笔小额试探，某个商户在5分钟内退款率是否突然抬升，某设备在1分钟内是否关联了多个账号。要稳定、低延迟地捕捉这类模式，滑动窗口交易聚合特征与实时评分就是核心技术组合。

本课程的目标不是只讲某个框架的API，而是建立一条从“交易事件流”到“窗口聚合特征”再到“实时评分决策”的完整工程链路。学完本课程，你应当能够独立设计窗口口径、选择聚合算子、处理乱序与迟到数据、生成在线特征、接入评分模型，并对线上效果进行监控与复盘。

一、核心概念：窗口、聚合、特征与评分

先明确四个核心概念，它们贯穿全部30章。

• 交易事件流：以追加方式不断到达的交易记录，通常包含交易ID、用户ID、商户ID、设备ID、金额、时间戳、交易类型等字段。事件流的关键属性是“无界”和“持续到达”。
• 滑动窗口：以当前时刻为终点，向前回溯固定时长或固定事件数的时间区间。常见形式包括滚动窗口、滑动窗口、会话窗口。滑动窗口的核心价值是让特征始终反映“最近状态”。
• 聚合特征：在窗口内对交易做统计计算得到的数值，如近5分钟交易笔数、近1小时交易金额总和、近30分钟不同设备数、近10分钟失败率等。聚合特征比原始交易字段更具行为判别力。
• 实时评分：将窗口聚合特征输入规则引擎或机器学习模型，在毫秒到秒级内输出风险分、欺诈概率或决策标签，并驱动拦截、复核、放行等动作。

二、方法流程：从事件到决策的六步链路

为了让工程实现有章可循，我们把整体流程拆成六步。后续章节会围绕这六步逐步展开。

1. 事件接入与时间语义定义：确定使用事件时间还是处理时间，定义水位线策略，处理乱序和迟到数据。
2. 窗口口径设计：根据业务场景选择窗口长度、滑动步长、是否按用户/商户/设备分组。
3. 聚合算子实现：实现计数、求和、均值、去重计数、最大值、最小值、方差、分位数等算子。
4. 在线特征生成：将窗口结果写入特征存储，保证训练与推理特征口径一致，避免离线在线不一致。
5. 实时评分接入：将特征向量输入规则引擎或模型服务，输出评分与决策。
6. 监控与复盘：监控延迟、吞吐、窗口触发频率、特征漂移、评分分布，并做误判复盘。

这六步不是线性瀑布，而是迭代闭环。线上评分效果不好时，往往需要回到窗口口径或聚合算子重新设计，而不是只调模型阈值。

三、应用场景：哪些业务真正需要它

滑动窗口聚合特征与实时评分并非只服务于金融交易。只要业务中存在“连续事件流”和“实时决策”两个条件，就适用。

场景	典型窗口特征	实时评分目标
支付反欺诈	近5分钟交易笔数、近1小时金额总和、近30分钟设备数	识别盗刷、试探、集中套现
电商风控	近10分钟下单失败率、近1小时退款次数、近24小时收货地址数	识别刷单、恶意退款、账号盗用
量化交易监控	近1分钟成交量、近5分钟价格波动、近30秒撤单率	识别异常交易、市场操纵嫌疑
信贷实时审批	近1小时申请次数、近7天关联设备数、近30天逾期笔数	输出实时信用风险分
平台反作弊	近1分钟同IP请求数、近5分钟同设备账号数	识别机器注册、批量薅羊毛

这些场景的共同点是：单条记录看起来正常，但短时间内组合起来就暴露异常。滑动窗口正是把“时间邻近性”转化为可计算特征的桥梁。

四、课程框架：30章如何组织

本课程共30章，整体分为五个模块，第1章是导入，后续章节按模块推进。

• 模块一：基础与窗口语义：事件时间、处理时间、水位线、窗口类型、乱序处理。
• 模块二：聚合特征工程：计数、求和、去重、分位数、滑动步长、状态管理。
• 模块三：实时评分链路：特征存储、模型服务、规则引擎、评分融合。
• 模块四：工程实战：Flink/Kafka/Redis 集成、性能调优、容错与一致性。
• 模块五：监控与复盘：延迟监控、特征漂移、误判分析、A/B 实验。

每一章都会尽量给出可运行的代码片段、配置示例或日志样例，帮助你把概念落到工程实现上。

五、常见误区与学习建议

下面用一个最小配置示例说明窗口聚合任务的关键参数，后续章节会逐项展开。

window:
  type: sliding
  length: 5m
  slide: 1m
  group_by: [user_id, merchant_id]
  time_semantics: event_time
  watermark:
    strategy: bounded_out_of_orderness
    max_delay: 30s
aggregations:
  - name: tx_count_5m
    op: count
  - name: tx_amount_sum_5m
    op: sum
    field: amount
  - name: distinct_device_count_5m
    op: distinct_count
    field: device_id
sink:
  type: feature_store
  ttl: 10m

这段配置体现了本课程最核心的几个决策点：窗口长度与滑动步长、分组键、时间语义、水位线、聚合算子、特征存储TTL。你在后续章节中会反复遇到它们，并逐步掌握如何根据业务延迟要求、数据乱序程度和状态成本做出权衡。

现在你已经建立了整体地图：滑动窗口负责“看最近”，聚合特征负责“把行为量化”，实时评分负责“做判断”。接下来，课程将进入基础与窗口语义模块，先把时间这件事讲清楚。