3. 滑动窗口核心概念

在实时交易风控、反欺诈与异常检测系统中，滑动窗口是连接“原始事件流”与“可计算特征”的桥梁。没有窗口，事件只是无穷无尽的点；有了窗口，才能把点聚合成金额、频次、离散度等可用于评分的统计量。本节围绕六个核心概念展开：窗口定义、窗口类型、窗口长度、滑动步长、重叠与不重叠窗口、窗口边界与触发机制，帮助你在工程实现中做出正确选择。

一、窗口定义：把无限流切成有限可计算单元

窗口定义的本质，是给事件流指定一个“观察范围”。这个范围通常由时间或事件数量界定，并决定哪些事件参与本次聚合。形式化地说，一个窗口可表示为 W = [start, end)，左闭右开，避免相邻窗口在边界上重复计入同一事件。对于交易场景，窗口内常见聚合量包括：交易笔数、交易金额总和、平均金额、最大金额、失败率、设备/IP 去重数等。

窗口定义必须回答三个问题：按什么划分（时间还是计数）、包含哪些事件（边界规则）、何时输出结果（触发机制）。这三者共同决定特征是否可复现、是否与离线训练一致。

二、窗口类型：时间窗口、计数窗口与会话窗口

常见窗口类型有三类，选择取决于业务语义与数据到达特征：

• 滚动时间窗口（Tumbling Time Window）：固定长度、不重叠，如每 5 分钟统计一次交易金额。实现简单，适合报表与固定周期风控。
• 滑动时间窗口（Sliding Time Window）：固定长度、按步长滑动，窗口之间可重叠。例如长度 10 分钟、步长 1 分钟，用于“最近 10 分钟交易笔数”这类连续评分特征。
• 计数窗口（Count Window）：按事件数量划分，如每 100 笔交易或最近 50 笔交易。对流量波动不敏感，但时间语义弱，需警惕突发流量导致窗口跨越时间过长。
• 会话窗口（Session Window）：按活动间隙合并，如用户 30 分钟无交易则关闭会话。适合行为序列分析，但实现复杂度高，实时评分中较少作为主特征。

三、窗口长度与滑动步长：特征灵敏度与计算成本的平衡

窗口长度（Window Size）决定观察的历史跨度，滑动步长（Slide / Step）决定结果更新频率。二者共同决定重叠程度与计算开销。设窗口长度为 L，步长为 S：

• 当 S = L 时，窗口不重叠，即滚动窗口；
• 当 S < L 时，窗口重叠，重叠比例为 (L - S) / L；
• 当 S > L 时，窗口之间存在空档，会丢失部分事件，实时评分中应避免。

例如，长度 10 分钟、步长 1 分钟，重叠比例 90%，意味着同一笔交易会被约 10 个窗口重复统计。这提升了特征平滑度与灵敏度，但也带来约 10 倍的状态维护与计算成本。工程上常用“增量聚合 + 环形缓冲”来降低重复计算。

四、窗口边界与触发机制：左闭右开与水位线

边界规则决定事件归属。推荐统一使用左闭右开 [start, end)，这样 end 时刻的事件属于下一个窗口，避免重复计数。对于乱序事件，需要引入水位线（Watermark）判断“何时可以安全触发窗口计算”。水位线表示系统认为早于该时间的事件已基本到达；当水位线超过窗口结束时间，即可触发输出。

// 以 Flink 风格伪代码说明滑动窗口与水位线
stream
  .keyBy(tx -> tx.userId)
  .window(SlidingEventTimeWindows.of(
      Time.minutes(10),   // 窗口长度 L
      Time.minutes(1)))   // 滑动步长 S
  .allowedLateness(Time.seconds(30)) // 允许迟到
  .aggregate(new TxAggregate(), new TxScoreProcess());

// 水位线推进逻辑（简化）
watermark = maxEventTimeSeen - allowedOutOfOrderness;
if (watermark >= window.end) {
    triggerWindow(window);
}

触发机制分为两类：事件时间触发与处理时间触发。事件时间触发保证结果可复现，适合与离线特征对齐；处理时间触发延迟低，但结果受到达顺序影响。实时评分通常采用事件时间为主、处理时间为辅的混合策略。

五、案例：最近 10 分钟交易金额聚合

假设某支付风控场景需要计算用户最近 10 分钟交易金额总和与失败率，步长 1 分钟。配置如下：

window.size = 10m
window.slide = 1m
window.boundary = [start, end)
watermark.delay = 5s
allowed.lateness = 30s
aggregations = [sum(amount), count(*), countIf(status=fail)/count(*)]

当用户在第 10 分 00 秒发生一笔交易，该交易属于 [10:00, 11:00) 窗口，而不属于 [09:59, 10:59)。若该事件因网络延迟在第 10 分 20 秒到达，水位线尚未超过窗口结束时间，仍可正确计入；若超过允许迟到时间，则应进入侧输出流并记录日志，供离线修正。

六、误区与复盘

• 误区一：窗口越长越好。 窗口过长会稀释突发行为，导致高风险交易被平均掉。应结合业务节奏选择，如高频支付用 5～10 分钟，低频转账可用 1 小时。
• 误区二：忽略步长与重叠成本。 步长过小会造成状态爆炸。建议先确定最小可接受更新频率，再反推步长。
• 误区三：边界规则不统一。 离线训练用闭区间、实时用开区间，会导致特征偏差。必须在特征定义文档中明确 [start, end)。
• 误区四：没有迟到处理策略。 迟到事件不是异常，而是常态。应配置允许迟到时间与侧输出，并监控迟到率。