1. 风控基础概念：什么是风控、风控系统架构、实时风控与离线风控的区别
1.1 什么是风控
风控（Risk Control）全称风险控制，是指通过一系列策略、模型和规则，识别、评估、监测并降低业务活动中潜在损失的过程。在互联网与金融领域，风控的核心目标是在业务增长与风险暴露之间取得平衡，防止欺诈、信用违约、洗钱、恶意刷单等行为造成资产损失。
风控的三大核心要素：
- 识别（Identify）：通过数据特征发现异常行为模式。
- 评估（Assess）：量化风险等级，决定是否放行、拒绝或人工审核。
- 处置（Respond）：执行拦截、降额、加验、冻结等动作。
风控体系通常覆盖以下风险类型：
| 风险类型 | 典型场景 | 常见手段 |
|---|---|---|
| 欺诈风险 | 账户盗用、虚假注册、交易欺诈 | 设备指纹、行为序列、团伙检测 |
| 信用风险 | 贷款逾期、信用卡套现 | 评分卡、收入验证、多头借贷 |
| 合规风险 | 洗钱、跨境违规、制裁名单 | KYC、AML 规则、名单匹配 |
| 业务风险 | 恶意刷单、优惠券套利、黄牛抢购 | 频率限制、设备关联、行为画像 |
1.2 风控系统架构
一个生产级风控系统通常采用分层解耦的架构设计，从数据接入到决策输出形成完整闭环。下图展示了典型的风控系统核心组件与数据流向：
各层职责说明：
- 数据接入层：接收来自 App、Web、API 网关的实时事件（登录、下单、支付），以及离线批量数据（用户画像、历史订单）。
- 特征计算层：基于原始事件计算衍生变量，如“过去 1 小时登录次数”“设备关联账户数”“IP 归属地风险等级”。
- 决策引擎层：组合规则（如“金额 > 5000 且新设备”触发人工审核）与模型评分（如 XGBoost 输出的欺诈概率），生成最终决策。
- 决策输出层：将决策结果（通过/拒绝/加验/降额）返回业务系统，并记录日志用于后续分析。
- 数据存储层：持久化事件、特征、决策结果，支持离线回溯、模型训练与监控报表。
1.3 实时风控与离线风控的区别
实时风控与离线风控在时效性、计算模式、数据范围、应用场景上存在本质差异。理解二者的区别是设计训练集切分策略的前提。
| 对比维度 | 实时风控 | 离线风控 |
|---|---|---|
| 响应时间 | 毫秒级（通常 < 200ms） | 分钟级 ~ 天级 |
| 数据时效 | 当前事件 + 最近窗口（如 5 分钟） | 全量历史数据（T-1 或更久） |
| 计算模式 | 流式计算（Flink/Spark Streaming） | 批式计算（Hive/Spark SQL） |
| 特征范围 | 在线可用的轻量特征（设备、IP、行为序列） | 全量特征（含复杂聚合、外部征信） |
| 模型类型 | 轻量模型（LR、决策树、规则引擎） | 复杂模型（XGBoost、DNN、集成模型） |
| 典型场景 | 支付拦截、登录保护、实时反欺诈 | 信用评分、额度管理、风险复盘 |
| 训练集要求 | 严格时间顺序，避免未来信息泄露 | 可按时间窗口或随机切分 |
关键认知：实时风控模型训练集的切分必须严格遵循时间顺序，不能使用未来数据预测过去事件。离线风控模型则允许使用更灵活的时间窗口划分，但同样需要避免特征穿越。
下图直观展示了实时风控与离线风控在数据处理流程上的差异：
常见误区：很多初学者认为离线风控模型可以直接部署到实时场景。实际上，实时风控对特征计算延迟、模型推理速度、数据一致性有严格约束，离线模型往往因为特征不可用或计算超时而无法上线。训练集切分时必须考虑在线特征的可获得性。
1.4 本章小结
- 风控是识别、评估、处置风险的闭环体系，覆盖欺诈、信用、合规、业务四大风险类型。
- 风控系统架构分为数据接入、特征计算、决策引擎、决策输出、数据存储五层，各层协同完成毫秒级决策。
- 实时风控与离线风控在响应时间、数据时效、计算模式、模型复杂度上存在显著差异，直接影响训练集切分策略。
- 实时风控训练集必须严格按时间顺序切分，避免未来信息泄露；离线风控切分相对灵活，但仍需注意特征穿越问题。