2. 特征工程基础：定义、类型与风控重要性
特征工程是机器学习流程中最具价值、也最耗时的环节。在实时风控场景下，特征工程直接决定了模型的上限——数据和特征决定了模型能达到的最高性能，而算法只是逼近这个上限。
2.1 特征工程的定义
特征工程（Feature Engineering）是将原始数据转化为能更好表示业务问题、提升模型预测能力的特征变量的过程。它包含三个核心动作：提取（从原始日志/表中抽取信息）、变换（归一化、离散化、交叉组合）、选择（剔除冗余或噪声特征）。
风控视角定义： 特征工程是将用户行为、设备指纹、交易流水、关系网络等原始数据，转化为能够量化“欺诈风险”或“信用风险”的数值化指标的过程。
2.2 特征类型全景
实时风控中常见的特征类型可分为四大类，每类对应不同的处理逻辑和时效要求：
| 特征类型 | 典型来源 | 风控示例 | 处理要点 |
|---|---|---|---|
| 数值特征 | 交易金额、年龄、设备电量 | 单笔交易金额、近1小时累计金额 | 需做异常值截断、标准化/对数变换 |
| 类别特征 | 国家代码、支付渠道、设备型号 | 支付渠道ID、注册国家、IP归属地 | 高基数需做目标编码或频次编码 |
| 时序特征 | 行为时间戳、事件序列 | 近5分钟操作次数、两次交易间隔 | 窗口聚合、时间衰减、序列模式 |
| 文本特征 | 备注信息、地址、设备UA | 收货地址相似度、UA异常检测 | TF-IDF、词嵌入、编辑距离 |
实时风控特别关注： 时序特征和数值特征中的滑动窗口聚合（如“过去5分钟同一IP登录次数”）是实时模型最常用的特征类型，因为它们能捕捉到短时间内行为模式的突变。
2.3 特征工程在风控中的重要性
在实时风控系统中，特征工程的质量直接影响三个核心指标：拦截率、误杀率和响应延迟。以下是特征工程在风控中不可替代的原因：
- 提升信号密度： 原始数据中欺诈信号稀疏，通过特征工程将弱信号放大（如将“IP变更”转化为“过去1小时IP变更次数”）。
- 引入业务先验： 风控专家对欺诈模式的认知（如“凌晨交易风险高”）通过特征工程注入模型。
- 处理非结构化数据： 设备指纹、UA字符串、备注文本等非结构化数据必须通过特征工程转化为数值向量。
- 降低实时计算成本： 好的特征设计可以在不增加复杂模型的前提下，用轻量级规则或线性模型达到高精度。
常见误区： 很多团队在风控建模初期直接使用原始字段（如“交易金额”本身）作为特征，忽略了上下文特征（如“该用户近1小时平均交易金额的偏离度”）。后者往往比原始值更具区分力。
2.4 特征工程与模型性能的关系
以下表格对比了不同特征工程投入程度对风控模型效果的影响：
| 特征工程投入 | 特征数量 | 典型AUC | 实时延迟 | 可解释性 |
|---|---|---|---|---|
| 仅使用原始字段 | 10~30 | 0.65~0.72 | <5ms | 高 |
| 基础统计特征（均值、计数） | 50~150 | 0.75~0.82 | 5~15ms | 中 |
| 滑动窗口+时序特征 | 200~500 | 0.83~0.90 | 15~50ms | 中低 |
| 深度特征交叉+图特征 | 500+ | 0.90~0.95 | 50~200ms | 低 |
实时风控的黄金法则： 特征工程不是越多越好。每增加一个特征，实时计算管线的延迟和存储成本都会上升。优先选择业务含义明确、计算可缓存、区分度显著的特征。
2.5 实时风控特征工程的独特挑战
与离线建模不同，实时风控的特征工程面临以下约束：
- 时效性约束： 特征必须在毫秒级完成计算，无法使用全量历史数据。
- 数据倾斜： 正样本（欺诈）占比极低（通常<1%），特征工程需关注少数类信号。
- 概念漂移： 欺诈模式随时间演变，特征分布会发生变化，需要周期性重评估。
- 存储与计算平衡： 滑动窗口特征需要缓存中间状态，内存占用与窗口大小成正比。
关键结论： 特征工程不是一次性工作。在实时风控系统中，特征需要持续监控、迭代和淘汰。一个优秀的特征工程管线，应该包含特征监控和自动回滚机制，以应对数据分布变化和特征失效。