1. 风控概述：实时风控的定义、业务价值、与传统风控的区别、实时风控系统架构总览
1.1 实时风控的定义
实时风控（Real-time Risk Control）是指在业务事件发生的毫秒级或秒级窗口内，通过流式计算引擎与规则/模型引擎，对交易、登录、注册等行为进行风险识别与决策的技术体系。其核心特征是“事件驱动、在线推理、即时反馈”。
关键指标： 实时风控系统通常要求端到端决策延迟 < 200ms（含网络传输、特征计算、模型推理），吞吐量支持万级 TPS（每秒事务数）。
1.2 业务价值
实时风控直接保护企业的资金安全、账户安全与合规底线，同时降低对正常用户的摩擦。主要价值体现在以下四个维度：
| 价值维度 | 具体表现 | 典型场景 |
|---|---|---|
| 资金安全 | 拦截盗刷、欺诈交易、洗钱行为 | 支付交易、转账、提现 |
| 账户安全 | 识别撞库、暴力破解、异常登录 | 登录、注册、密码修改 |
| 业务合规 | 满足监管对反洗钱、KYC 的时效要求 | 大额交易上报、跨境支付 |
| 用户体验 | 减少误杀，降低正常用户的验证成本 | 免密支付、快捷登录 |
1.3 与传统风控的区别
传统风控以离线批处理（T+1）为主，实时风控则转向在线流处理。两者在多个维度存在本质差异：
| 对比维度 | 传统风控（离线） | 实时风控（在线） |
|---|---|---|
| 数据处理模式 | 批量采集、离线计算 | 流式采集、增量计算 |
| 决策时效 | T+1 或小时级 | 毫秒级 ~ 秒级 |
| 特征计算 | 全量宽表、离线聚合 | 滑动窗口、在线特征 |
| 模型部署 | 离线评分、结果回写 | 模型热加载、在线推理 |
| 数据存储 | Hive / 关系型数据库 | Redis / 内存数据库 / 时序库 |
| 典型技术栈 | Hadoop、Spark SQL、Hive | Flink、Kafka、Redis、规则引擎 |
迁移要点： 从传统风控转向实时风控时，最大的挑战并非算法本身，而是特征在线化与低延迟推理的工程能力。离线模型可以直接复用，但特征必须重新设计为滑动窗口聚合。
1.4 实时风控系统架构总览
一套完整的实时风控系统通常包含以下核心模块：事件接入层、特征计算层、决策引擎层、模型推理层、结果处置层与监控运维层。下图展示了各模块之间的数据流与调用关系：
1.5 实时风控的核心技术栈
下表汇总了实时风控系统中各层常用的技术组件，供后续章节选型参考：
| 架构层 | 常用组件 | 选型考量 |
|---|---|---|
| 事件接入 | Kafka、RocketMQ、Pulsar | 吞吐量、消息顺序性、数据持久化 |
| 特征计算 | Flink、Spark Streaming、Kafka Streams | 状态管理、Exactly-Once 语义、低延迟 |
| 规则引擎 | Drools、EasyRules、自研 DSL | 规则热更新、执行效率、可解释性 |
| 模型推理 | ONNX Runtime、TensorFlow Serving、TorchServe | 模型格式兼容、GPU 加速、批处理 |
| 在线存储 | Redis、Aerospike、HBase | 读写延迟、数据量级、TTL 管理 |
| 监控告警 | Prometheus + Grafana、ELK、SkyWalking | 指标采集、链路追踪、可视化 |
常见误区： 很多团队在初期直接复用离线风控的宽表特征，导致实时特征计算延迟过高。正确的做法是按需设计滑动窗口特征，只保留对当前决策最关键的统计量（如近 5 分钟交易次数、近 1 小时 IP 变更数），避免全量聚合。