1. 风控规则基础
1.1 规则的定义
在风控系统中，规则是一条可执行的逻辑判断语句，用于将实时或离线的业务数据映射为风险决策结果。每条规则通常包含三个核心要素：条件表达式、决策动作和元数据。
| 要素 | 说明 | 示例 |
|---|---|---|
| 条件表达式 | 基于业务字段的布尔逻辑组合 | amount > 5000 AND device_risk_score > 80 |
| 决策动作 | 条件满足时触发的处置结果 | REJECT、REVIEW、PASS |
| 元数据 | 规则的版本、优先级、生效时间、责任人 | v1.2 | priority:10 | 2025-01-01 |
关键认知：规则不是孤立存在的。一条规则的条件可能引用另一条规则的输出（如设备指纹评分），因此规则之间存在天然的依赖与冲突关系，这也是后续章节重点讨论的内容。
1.2 规则在风控系统中的角色
规则是风控决策引擎的最小执行单元。在完整的风控架构中，规则承担以下四个核心角色：
- 风险识别器：将业务特征（如IP、设备、行为序列）转化为风险信号。
- 策略载体：多条规则按优先级组合成策略集，覆盖不同风险场景。
- 决策执行者：在毫秒级时间内完成条件匹配并输出动作。
- 可解释性单元：每条规则的命中记录可直接用于审计和复盘。
1.3 规则的生命周期管理
风控规则从创建到退役需要经过严格的六阶段生命周期。每个阶段都有明确的输入、输出和质量门禁，确保规则在生产环境中稳定、有效。
| 阶段 | 核心活动 | 关键产出 | 质量门禁 |
|---|---|---|---|
| 1. 需求分析 | 业务场景拆解、风险特征提取 | 规则需求文档 | 业务方签字确认 |
| 2. 规则设计 | 条件逻辑编写、阈值设定、优先级分配 | 规则设计稿 | 风控专家评审 |
| 3. 离线验证 | 历史数据回测、混淆矩阵分析 | 验证报告（KS/AUC） | KS > 0.3 |
| 4. 灰度上线 | 小流量观察、冠军/挑战者（Champion）对比 | 灰度对比报告 | 无显著负向偏移 |
| 5. 全量发布 | 逐步放量、实时监控 | 发布确认单 | 监控指标正常 |
| 6. 监控与退役 | 效果衰减检测、规则替换或下线 | 退役申请单 | 衰减超过阈值 |
实践要点：生命周期管理中，第3阶段（离线验证）和第4阶段（灰度上线）是发现规则冲突的关键窗口。离线验证可以发现逻辑层面的冲突（如互斥条件），灰度上线则能暴露实时流量下的性能冲突和优先级冲突。
1.4 规则的元数据与版本管理
每条规则在生产环境中必须携带完整的元数据，这是后续进行冲突分析和Champion验证的基础。推荐使用以下元数据模板：
{
"rule_id": "R001_IP_BLACKLIST",
"version": "1.2.0",
"priority": 10,
"status": "ACTIVE",
"effective_date": "2025-01-01",
"expire_date": null,
"owner": "risk_team_li",
"tags": ["IP", "BLACKLIST", "HIGH_RISK"],
"conflict_group": "IP_CHECK_GROUP",
"champion_flag": true
}
常见陷阱：很多团队在规则上线后忽略更新
conflict_group和champion_flag字段，导致后续自动化冲突检测失效。建议在规则设计阶段就明确冲突分组和Champion标识。
1.5 规则与策略的关系
规则是策略的原子组件。一个完整的策略通常包含：
- 规则集合：多条规则按优先级排序
- 执行模式：串行（顺序匹配）或并行（同时匹配）
- 决策聚合：当多条规则命中时，如何合并最终决策（如：一票否决、加权投票）
- 默认动作：无规则命中时的兜底决策
| 维度 | 规则 | 策略 |
|---|---|---|
| 粒度 | 单条逻辑判断 | 多条规则的编排组合 |
| 变更频率 | 高（单条调整） | 低（整体重构） |
| 冲突范围 | 规则间两两冲突 | 策略间整体冲突 |
| 验证方式 | 单条回测 | Champion vs Challenger |