2. 风控体系架构
2.1 风控系统整体架构图
交易风控系统通常采用分层解耦的架构设计，将数据接入、决策计算、执行输出与监控反馈划分为独立层次。下图展示了典型的风控系统核心架构，包含从数据采集到最终处置的完整链路。
架构要点：各层之间通过标准接口通信，数据接入层负责协议适配与消息队列缓冲；特征计算层支持实时窗口计算与离线批量计算；决策引擎层将规则与模型结果合并为最终决策；处置层执行原子化动作；监控层提供全链路延迟与准确率追踪。
2.2 规则引擎与模型引擎的协作
规则引擎与模型引擎并非替代关系，而是互补协作。规则引擎擅长处理确定性逻辑、高频拦截与合规要求；模型引擎擅长处理复杂模式识别、非线性关系与动态阈值。两者在风控决策流中通常按以下方式协同工作：
| 对比维度 | 规则引擎 | 模型引擎 |
|---|---|---|
| 决策逻辑 | 显式规则（if-then-else） | 隐式权重（树/网络/线性） |
| 可解释性 | 完全可解释，每步可追溯 | 部分可解释（SHAP/LIME辅助） |
| 更新速度 | 分钟级热加载 | 小时级/天级重训练 |
| 适用场景 | 黑名单、金额阈值、设备限制 | 欺诈概率、异常交易、团伙识别 |
| 资源消耗 | 低（毫秒级判断） | 中高（特征计算+模型推理） |
在实际生产环境中，规则引擎与模型引擎通常采用级联或并行融合两种协作模式：
- 级联模式：先经过规则引擎快速过滤，命中硬规则（如黑名单、单笔超限）直接拒绝；未命中规则的交易再进入模型引擎做概率评估。该模式可降低模型调用量，节省计算资源。
- 并行融合模式：规则与模型同时计算，通过决策融合层（如加权投票、风险分叠加）输出最终结果。适用于需要同时考虑确定性规则与模型概率的场景。
实践建议：在模型冷启动阶段，可先以规则引擎为主、模型为辅；随着样本积累与模型迭代，逐步将决策权重向模型倾斜。规则引擎同时承担模型输入的前置校验职责，确保模型不会接收到异常或缺失严重的特征。
2.3 实时风控与离线风控的区别
实时风控与离线风控在时效性、计算深度、数据范围与业务目标上存在本质差异。两者共同构成风控体系的全链路覆盖：实时风控负责拦截即时风险，离线风控负责深度分析与策略迭代。
| 对比维度 | 实时风控 | 离线风控 |
|---|---|---|
| 响应时间 | 毫秒级～秒级 | 分钟级～天级 |
| 数据范围 | 当前交易 + 短窗口历史（如5分钟） | 全量历史数据 + 跨周期特征 |
| 计算复杂度 | 低～中（简单统计、轻量模型） | 高（复杂特征工程、深度模型） |
| 主要目标 | 拦截欺诈、盗刷、违规交易 | 策略回测、模型训练、风险画像 |
| 输出形式 | 通过/拒绝/验证/人工 | 报表、指标、模型文件、策略建议 |
| 典型技术 | Flink/Spark Streaming、Redis、规则引擎 | Spark/Hive、Python ML、调度系统 |
实时风控与离线风控在数据流上存在闭环关系：
- 实时风控产生的决策日志（含特征、规则命中、模型评分、最终结果）会落入离线数仓，成为离线分析的原始数据。
- 离线风控通过回测与评估，发现实时策略的漏报与误报，生成新的规则或模型版本，通过热更新或灰度发布推送到实时引擎。
- 离线风控还负责样本构建（正负样本标注、特征回溯），为模型训练提供高质量数据集。
常见误区：不要试图在实时链路中做复杂的特征工程或深度模型推理，这会导致响应超时或系统过载。实时风控应保持轻量、稳定、可降级；复杂计算与模型训练全部放在离线侧完成。