3. 交易风控数据模型设计

交易风控系统的核心是对实时交易事件进行精准建模。一个完整的数据模型决定了后续 CEP 规则能否有效识别欺诈、盗刷、薅羊毛等风险行为。本章将定义交易事件的字段规范，并实现事件流的 Source 模拟，为后续的规则开发提供标准化的数据基础。

3.1 交易事件字段定义

每笔交易事件至少包含以下 5 个核心字段，它们共同构成风控分析的最小数据单元：

3.2 事件流 Source 模拟

在 Flink 开发环境中，我们使用 SourceFunction 模拟真实交易数据流。模拟数据需要覆盖正常交易、高频交易、大额交易、异地交易等典型场景，以便后续 CEP 规则能够充分验证。

以下是一个基于 RichSourceFunction 的模拟实现，它每秒随机生成 1~3 笔交易事件：

public class TransactionEventSource extends RichSourceFunction<TransactionEvent> {
    private volatile boolean running = true;
    private Random random = new Random();

    @Override
    public void run(SourceContext<TransactionEvent> ctx) throws Exception {
        String[] users = {"U1001", "U1002", "U1003", "U1004", "U1005"};
        String[] devices = {"DEV-A", "DEV-B", "DEV-C", "DEV-D", "DEV-E"};
        String[] ips = {"192.168.1.10", "192.168.1.20", "10.0.0.1", "172.16.0.1", "203.0.113.5"};

        while (running) {
            int batchSize = random.nextInt(3) + 1;
            for (int i = 0; i < batchSize; i++) {
                TransactionEvent event = new TransactionEvent(
                    users[random.nextInt(users.length)],
                    Math.round(random.nextDouble() * 10000 * 100.0) / 100.0,
                    System.currentTimeMillis(),
                    devices[random.nextInt(devices.length)],
                    ips[random.nextInt(ips.length)]
                );
                ctx.collect(event);
            }
            Thread.sleep(1000);
        }
    }

    @Override
    public void cancel() {
        running = false;
    }
}

3.3 数据模型与 Source 架构

下图展示了交易事件从模拟生成到进入 Flink CEP 引擎的完整数据流转架构：

3.4 事件时间与水位线

交易事件对时间顺序敏感，Flink CEP 依赖事件时间（Event Time）进行窗口计算。模拟数据中 timestamp 字段直接作为事件时间戳，并配合水位线处理乱序到达：

DataStream<TransactionEvent> eventStream = env
    .addSource(new TransactionEventSource())
    .assignTimestampsAndWatermarks(
        WatermarkStrategy.<TransactionEvent>forBoundedOutOfOrderness(Duration.ofSeconds(5))
            .withTimestampAssigner((event, timestamp) -> event.getTimestamp())
    );

3.5 字段扩展与生产适配

本训练集使用 5 个核心字段，但在实际风控系统中，交易事件通常包含更多维度。下表列出常见的扩展字段及其风控价值：