1. 实时风控概述
1.1 实时风控的定义
实时风控（Real-time Risk Control）是指在业务请求发生的毫秒级窗口内，完成数据采集、特征计算、模型推理与决策输出的全链路风险管控体系。与传统离线风控（T+1 或小时级）不同，实时风控要求端到端延迟通常控制在 100ms ~ 500ms 以内，部分高频场景（如支付）甚至要求 <50ms。
核心公式： 实时风控 = 事件驱动 + 流式计算 + 在线模型 + 动态策略
| 维度 | 离线风控 | 实时风控 |
|---|---|---|
| 处理延迟 | 小时级 ~ 天级 | 毫秒级 ~ 秒级 |
| 数据源 | 离线数仓、批量文件 | 实时消息流、API 请求 |
| 特征计算 | 批处理 SQL | 滑动窗口 + 内存状态 |
| 模型部署 | 离线评分、定时更新 | 在线推理、热加载 |
| 典型场景 | 贷后监控、批量反洗钱 | 支付拦截、交易反欺诈 |
1.2 业务价值
实时风控直接转化为可量化的业务收益，主要体现在以下四个层面：
- 资金损失降低： 在欺诈交易完成前实时拦截，减少直接经济损失。行业数据显示，实时风控可将欺诈损失降低 60% ~ 85%。
- 用户体验提升： 毫秒级决策避免用户等待，同时减少误杀（False Positive），保障正常交易通过率。
- 合规与监管满足： 满足央行、银保监会对支付机构、信贷平台的实时交易监控要求，避免合规处罚。
- 运营效率优化： 自动化决策替代人工审核，降低风控团队人力成本，提升审核吞吐量。
关键指标： 实时风控的 ROI 通常通过 拦截欺诈金额 / 风控系统总成本 来衡量，成熟体系可达 10:1 以上。
1.3 典型应用场景
1.3.1 支付场景
支付是实时风控最核心的应用领域，覆盖线上支付、扫码支付、NFC 近场支付等。典型风险包括：
- 盗刷： 账户凭证泄露后的非本人交易。
- 洗钱： 通过拆分交易、虚假商户进行资金清洗。
- 恶意套现： 利用信用卡或信用支付产品虚假交易套取现金。
实时风控在支付环节通常执行 三阶段决策：
- 准入检查： 账户状态、设备指纹、IP 信誉。
- 交易评分： 实时特征 + 模型输出风险分值。
- 处置动作： 放行、增强验证（OTP/人脸）、拒绝或人工审核。
1.3.2 信贷场景
信贷实时风控贯穿贷前、贷中、贷后全流程，但实时性要求最高的环节集中在 贷中交易 和 额度管理：
| 环节 | 实时风控动作 | 延迟要求 |
|---|---|---|
| 贷前申请 | 实时多头借贷查询、设备关联图谱 | < 2s |
| 贷中交易 | 单笔交易欺诈评分、额度动态调整 | < 200ms |
| 贷后催收 | 实时失联修复、还款行为监控 | 秒级 ~ 分钟级 |
1.3.3 反欺诈场景
反欺诈是实时风控的起源场景，重点关注 身份冒用、团伙欺诈 和 虚假注册。实时反欺诈体系通常包含以下能力：
- 设备指纹： 实时采集设备硬件、软件、网络参数，生成唯一设备 ID。
- 关联网络： 基于图数据库实时查询设备、IP、手机号之间的关联关系。
- 行为序列： 分析用户在登录、注册、交易环节的操作轨迹异常。
常见误区： 实时风控 ≠ 实时数据。很多团队只做到了数据实时采集，但特征计算和模型推理仍采用批处理方式，导致端到端延迟无法满足业务要求。真正的实时风控必须实现 全链路实时化。
1.4 实时风控的核心挑战
在构建实时风控体系时，工程与算法团队通常面临以下挑战：
- 延迟与吞吐的平衡： 高并发场景下（如双十一峰值 10 万 TPS），特征计算和模型推理必须在毫秒级完成。
- 特征新鲜度： 离线特征无法捕捉秒级行为变化，需要设计滑动窗口、时间衰减等实时特征。
- 样本切分困境： 实时风控的样本天然存在时间依赖，随机切分会导致数据泄露，必须采用时间序列切分策略。
- 模型在线更新： 欺诈模式快速演变，模型需要具备在线学习或热更新的能力。
1.5 实时风控与特征工程的关系
特征工程是实时风控体系的 基石。没有高质量的实时特征，再先进的模型也无法准确识别风险。实时风控特征工程区别于离线特征工程的关键点在于：
- 时间敏感性： 特征必须反映最近几秒到几分钟的行为变化，而非历史累积。
- 计算效率： 特征计算必须在毫秒级完成，不能引入复杂 Join 或全量扫描。
- 状态管理： 需要维护用户/设备的实时状态窗口，支持增量更新。
- 样本切分： 必须采用时间序列切分，避免未来信息泄露。