3. 实时特征工程基础：滑动窗口统计、时间衰减因子与特征映射

实时风控模型依赖的特征必须能在毫秒级完成计算，同时保持与离线训练集一致的统计语义。本章聚焦三个核心基础：滑动窗口统计（计数、求和、均值）、时间衰减因子（解决窗口边界突变与长周期记忆问题）以及实时特征与离线特征的映射关系（确保训练与推理的特征空间对齐）。

3.1 滑动窗口统计：计数、求和、均值

滑动窗口是实时特征最基础的计算单元。系统维护一个固定长度的时间窗口（如过去 5 分钟、过去 100 笔交易），窗口随新事件到达而向前滑动，旧事件被移出。三种最常用的聚合算子如下：

滑动窗口的实现通常依赖 环形缓冲区 (Ring Buffer) 或 时间轮 (Time Wheel) 数据结构，在内存中按时间戳排序存储事件摘要。下图展示了一个基于时间轮的滑动窗口计数过程：

3.2 时间衰减因子

固定窗口存在两个固有缺陷：边界突变（事件刚过窗口边界即被完全丢弃）和长周期记忆缺失（无法区分近期事件与窗口早期事件）。时间衰减因子通过为每个事件赋予随时间递减的权重来解决这些问题。

常用的衰减函数有两种：

• 指数衰减 (Exponential Decay)：权重 = e^-λ·Δt，其中 λ 为衰减率，Δt 为事件距今时间。适用于需要平滑衰减的场景，如用户行为偏好。
• 线性衰减 (Linear Decay)：权重 = max(0, 1 - Δt / T)，T 为窗口长度。适用于窗口内事件权重线性递减的场景，如短期交易频率。

引入衰减后，滑动窗口的求和公式变为：

# 指数衰减求和（增量更新）
decay_sum = decay_sum * decay_factor + new_event_value
# 其中 decay_factor = e^(-λ * time_since_last_update)
# 每次新事件到达时，先对历史总和施加衰减，再加入新值

下图对比了固定窗口与指数衰减窗口在相同事件序列下的权重分布：

3.3 实时特征与离线特征的映射关系

离线训练集通常使用全量历史数据计算特征（如过去 30 天累计交易次数），而实时推理只能访问当前时刻之前的数据。两者必须建立严格的映射关系，否则模型在离线评估时高估特征区分度，上线后效果大幅下降。

映射关系包含三个层次：

1. 时间窗口对齐：离线特征使用的窗口长度（如 24 小时）必须与实时滑动窗口长度一致。离线计算时，对每个样本的时间戳，向前回溯窗口长度截取数据；实时计算时，维护相同长度的滑动窗口。
2. 衰减函数一致：如果离线特征使用了指数衰减，实时特征必须使用相同的衰减率 λ 和衰减函数形式。衰减率不一致会导致特征分布偏移。
3. 特征值域归一化：离线特征可能经过分箱、标准化或对数变换，实时特征必须应用完全相同的变换参数（如均值、标准差、分箱边界）。

下表总结了离线特征与实时特征的关键映射对照：

下图展示了离线特征计算与实时特征计算在时间轴上的映射关系：

3.4 实践要点与常见问题

• 窗口类型选择：对时效性敏感的场景（如盗刷检测）优先使用指数衰减；对固定周期统计（如每日限额）使用固定窗口更直观。
• 内存与延迟平衡：滑动窗口的粒度越细（如 1 秒槽），内存占用越高。生产环境通常使用 100ms ~ 1s 的槽粒度，配合 RocksDB 或 Redis 做状态持久化。
• 特征映射自动化：建议在特征平台中定义统一的 FeatureSpec 元数据，包含窗口长度、聚合类型、衰减参数、归一化参数，离线训练和实时推理共用同一份元数据，避免人工对齐错误。