2. 特征工程基础：特征工程的定义、特征类型（数值、类别、时序）、特征工程在风控中的作用
2.1 特征工程的定义
特征工程（Feature Engineering）是将原始数据转化为更能代表业务问题本质、提升模型预测能力的特征变量的过程。在实时风控场景中，特征工程是连接原始交易/行为日志与风控模型的桥梁，其质量直接决定了模型效果的上限。
核心公式： 原始数据 + 特征工程 = 高质量特征 → 高精度风控模型
特征工程包含三个关键环节：
- 特征提取：从原始日志、交易流水、设备指纹等数据源中抽取有意义的字段。
- 特征构建：通过聚合、统计、交叉、变换等方式生成新特征。
- 特征选择：从大量候选特征中筛选出对风控目标最有效的子集。
2.2 特征类型详解
风控特征按数据性质可分为三大类：数值特征、类别特征、时序特征。每种类型在实时风控中的处理方式和业务含义差异显著。
| 特征类型 | 定义 | 风控示例 | 常见处理方式 |
|---|---|---|---|
| 数值特征 | 连续或离散的数值型变量，可进行数学运算 | 交易金额、设备电量、IP 历史登录次数 | 标准化、分箱、对数变换、异常值截断 |
| 类别特征 | 有限个离散取值，无天然顺序关系 | 交易渠道（APP/Web）、设备品牌、国家代码 | 独热编码、标签编码、目标编码、频次编码 |
| 时序特征 | 与时间戳绑定的行为序列，体现动态变化 | 过去 1 小时交易笔数、最近 3 次登录间隔 | 滑动窗口聚合、时间衰减、差分、周期性编码 |
实时风控提示： 时序特征在实时场景中最为关键，因为欺诈行为往往表现为短时间内的高频异常。滑动窗口的窗口大小（如 5 分钟 vs 1 小时）需要根据业务节奏精细调优。
2.3 特征工程在风控中的作用
特征工程在实时风控中扮演着四个核心角色：
- 提升模型区分度：好的特征能放大正常用户与欺诈者之间的行为差异，例如“凌晨 3 点交易占比”比单纯的“交易时间”更具区分力。
- 降低延迟与计算成本：通过特征选择剔除冗余特征，减少模型推理时的计算量，满足实时风控毫秒级响应的要求。
- 增强模型可解释性：业务可理解的特征（如“近 30 分钟登录设备数”）比原始高维特征更容易被风控专家解读和审计。
- 适应数据分布漂移：时序特征能捕捉用户行为的动态变化，帮助模型在欺诈模式演变时保持稳健。
2.4 特征工程在风控中的典型流程
一个完整的实时风控特征工程流水线通常包含以下步骤：
- 数据接入：从 Kafka、Flink 等实时数据源获取原始交易/行为日志。
- 数据清洗：处理缺失值、异常值、重复数据，保证特征质量。
- 特征构建：根据业务规则生成数值、类别、时序三类特征。
- 特征存储：将特征写入 Redis 或在线特征存储，供模型实时调用。
- 特征监控：持续跟踪特征分布、缺失率、延迟，触发告警。
常见陷阱： 在实时风控中，特征工程容易忽略“时间穿越”问题——使用未来信息构造特征（如用整天的交易量判断当前交易），导致模型在线上严重失效。务必保证特征计算只依赖历史数据。
2.5 三类特征在风控中的典型应用对比
| 特征类型 | 典型风控场景 | 实时计算复杂度 | 常见欺诈信号 |
|---|---|---|---|
| 数值特征 | 交易金额异常检测、设备电量异常 | 低（单值计算） | 金额远超历史均值 3σ |
| 类别特征 | 设备指纹匹配、IP 归属地校验 | 低（查表匹配） | 设备 ID 在黑名单中 |
| 时序特征 | 高频交易检测、登录频率分析 | 高（需维护滑动窗口状态） | 1 分钟内交易笔数 > 10 |
最佳实践： 在实时风控项目中，建议优先构建时序特征（如滑动窗口聚合），因为它们对欺诈行为的敏感度最高。数值和类别特征作为基础特征补充，三者组合使用效果最佳。