3. 交易数据模型设计：原始交易日志字段定义、用户画像与设备指纹、标签体系设计（正常/异常）

交易数据模型是异常检测系统的数据基石。一个完整的数据模型需要覆盖三个层次：原始交易日志（描述“发生了什么”）、用户画像与设备指纹（描述“谁在操作”）、标签体系（描述“结果是什么”）。本章将逐层定义字段结构，并给出 Flink 作业可直接引用的数据模型。

3.1 原始交易日志字段定义

原始交易日志是风控系统最上游的数据源，通常由支付网关、收单系统或核心账务系统实时推送。每条日志记录一笔交易的完整上下文。下表定义了标准化的 20 个核心字段：

3.2 用户画像与设备指纹

仅靠单笔日志字段无法识别团伙欺诈或账户盗用。必须引入用户画像（描述用户长期行为特征）和设备指纹（描述设备环境与关联关系）。这两类数据通常存储在 HBase/Redis 中，Flink 通过异步 I/O 或维表 JOIN 实时关联。

3.2.1 用户画像核心维度

3.2.2 设备指纹关键字段

3.3 标签体系设计：正常 / 异常

标签体系是监督学习与规则评估的“标准答案”。我们将标签分为三个层级：最终标签（业务决策结果）、过程标签（中间判定）、细分类别（异常类型）。

3.3.1 标签定义表

3.3.2 标签生成流程

标签并非一次性写入，而是经过多阶段管道逐步丰富：

1. 规则引擎打标：Flink CEP 或 Drools 规则命中后，写入 rule_hit_list 与 model_score（初始值 0.0）。
2. 模型推理：XGBoost/DeepFM 模型输出 model_score，若 > 0.7 则临时标记为异常。
3. 人工审核：高风险交易进入人工审核队列，审核员填写 manual_review_result 与 abnormal_type。
4. 最终标签生成：综合规则、模型、人工结果，由仲裁逻辑输出 final_label。

3.4 数据模型整体架构

下图展示了原始日志、用户画像、设备指纹、标签体系四层数据在 Flink 实时风控架构中的关联关系：

3.5 Flink 数据模型代码示例

在 Flink 中，我们使用 Java POJO 或 Flink SQL 的 CREATE TABLE 语句来定义数据模型。以下是一个完整的交易事件 POJO 示例：

// TransactionEvent.java — 原始交易日志 POJO
public class TransactionEvent implements Serializable {
    public String transactionId;
    public String userId;
    public String accountId;
    public String transType;
    public BigDecimal amount;
    public String currency;
    public Long transTime;          // 事件时间（毫秒时间戳）
    public String merchantId;
    public String terminalType;
    public String ipAddress;
    public String deviceId;
    public Double locationLat;
    public Double locationLng;
    public String channel;
    public Integer riskScore;
    public Boolean isFirstTransaction;
    public String orderId;
    public String productCategory;
    public String remark;
    public Long etlTimestamp;

    // 无参构造器（Flink 要求）
    public TransactionEvent() {}

    // 全参构造器、getter/setter 省略（实际生产使用 Lombok @Data）
}

// TransactionLabel.java — 标签 POJO
public class TransactionLabel implements Serializable {
    public String transactionId;
    public Integer finalLabel;          // 0:正常 1:异常
    public String labelSource;          // RULE/MODEL/MANUAL
    public String ruleHitList;
    public Double modelScore;
    public String manualReviewResult;
    public String abnormalType;
    public String severity;
    public Long labelUpdateTime;
}

3.6 数据模型设计检查清单

• 完整性：是否覆盖了交易标识、用户、金额、时间、位置、设备、渠道、标签等全部必要维度？
• 可扩展性：remark 字段是否预留 JSON 扩展空间？标签体系是否支持新增异常子类？
• 时间语义：是否明确区分事件时间（trans_time）与处理时间（etl_timestamp）？
• 关联效率：用户画像与设备指纹是否设计了 JOIN KEY（user_id / device_id）？是否考虑异步 I/O 或广播维表？
• 标签版本：是否包含 label_update_time 或版本号，以支持标签的流式更新？