2. Flink CEP核心概念

在深入 Flink CEP 的实战案例之前，必须透彻理解其四大核心抽象。它们是构建任何复杂事件处理逻辑的基石，直接决定了规则定义的表达能力与执行效率。本章将逐一拆解 事件（Event）、模式（Pattern）、模式序列（PatternSequence） 与 匹配结果（MatchResult），并辅以风控场景的直观示例。

2.1 事件（Event）—— 数据流中的原子单元

事件是 CEP 引擎处理的最小数据单元，通常对应一条实时的业务日志或消息。在风控场景中，一个事件可以是一次登录、一笔交易、一次密码修改或一次设备更换。

// Java POJO 示例
public class LoginEvent {
    public String userId;
    public String ip;
    public String deviceId;
    public long eventTime;
    // 必须提供无参构造方法与 getter/setter
}

2.2 模式（Pattern）—— 单一条件的匹配规则

模式定义了对单个事件的约束条件。Flink CEP 提供了丰富的模式 API，允许开发者声明式地描述“什么样的单个事件是我们感兴趣的”。

• 类型选择（Type）： 指定匹配的事件子类型，如 .subtype(LoginEvent.class)。
• 条件定义（Condition）： 使用 .where() 或 .or() 添加过滤逻辑，支持简单比较与自定义函数。
• 量词（Quantifier）： 控制事件出现次数，如 .oneOrMore()、.times(3)、.optional()。
• 时间约束（Within）： 通过 .within(Time.minutes(5)) 限定模式的有效时间窗口。

2.3 模式序列（PatternSequence）—— 复杂逻辑的编排

单个模式只能描述简单条件，而风控规则往往需要多个事件按特定顺序发生。模式序列通过组合多个模式，定义了事件之间的 时序关系 与 连续性策略。

// 模式序列示例：检测“异地登录后短时间内大额交易”
Pattern<LoginEvent, ?> login = Pattern.<LoginEvent>begin("login")
    .where(evt -> isNewCity(evt))
    .within(Time.minutes(1));

Pattern<TradeEvent, ?> trade = Pattern.<TradeEvent>begin("login", login)
    .next("trade")  // 严格连续：登录后立即发生交易
    .where(evt -> evt.amount > 10000)
    .within(Time.minutes(5));

2.4 匹配结果（MatchResult）—— 模式触发的输出

当事件序列满足定义的模式序列时，Flink CEP 会生成一个 匹配结果。该结果以 Map<String, List<T>> 的形式呈现，其中 Key 是模式序列中定义的模式名称，Value 是对应匹配到的事件列表。

// 匹配结果处理示例
patternStream.select(new PatternSelectFunction<LoginEvent, Alert>() {
    @Override
    public Alert select(Map<String, List<LoginEvent>> pattern) {
        LoginEvent login = pattern.get("login").get(0);
        LoginEvent fail1 = pattern.get("fail1").get(0);
        LoginEvent fail2 = pattern.get("fail2").get(0);
        return new Alert(login.userId, "连续两次登录失败", login.eventTime);
    }
});

2.5 四大核心概念的关系总结

下图展示了从原始事件流到最终风控告警的完整链路，清晰呈现了事件、模式、模式序列与匹配结果之间的协作关系。