1. 课程导论：Flink CEP 在金融风控中的价值
1.1 异常交易检测的行业挑战
金融风控场景中，异常交易检测面临三大核心矛盾：实时性、复杂性与准确性的平衡。传统规则引擎（如 Drools）或批处理框架（如 Hive/Spark SQL）难以同时满足毫秒级响应与复杂事件序列的识别需求。
| 挑战维度 | 具体表现 | 传统方案痛点 |
|---|---|---|
| 实时性 | 盗刷、洗钱等行为需在交易完成前拦截 | 批处理延迟高（分钟级），规则引擎吞吐受限 |
| 复杂性 | 异常模式常涉及多事件时序、金额累积、设备指纹关联 | SQL 窗口函数难以表达“A 发生后 5 分钟内 B 且 C 金额 > 阈值” |
| 准确性 | 误报率过高会导致运营成本激增、客户体验下降 | 静态规则无法自适应漂移，缺乏状态记忆能力 |
关键洞察： 金融风控已从“事后分析”转向“事中干预”。Flink CEP 通过事件流的状态化匹配与时间窗口管理，成为解决上述挑战的核心技术栈。
1.2 Flink CEP 在风控中的核心价值
Flink CEP（Complex Event Processing）将复杂事件处理引擎嵌入流计算框架，为异常交易检测提供三大能力：
- 时序模式匹配： 支持
followedBy、next、within等算子，精准描述“先登录失败 → 再大额转账 → 最后修改密码”的盗号链条。 - 状态化累积计算： 在事件序列中维护累计金额、频次、设备指纹等聚合状态，无需外部存储。
- 低延迟高吞吐： 基于 Flink 的异步 checkpoint 与分布式快照，在百万 TPS 下保持亚秒级延迟。
1.3 异常交易样本构建的难点
构建高质量的异常交易样本集，是训练风控模型与验证 CEP 规则的前提。实际生产中面临以下痛点：
- 正负样本极度不均衡： 正常交易占比 > 99.9%，异常样本稀疏且标注成本高。
- 模式多样性： 盗刷、薅羊毛、洗钱、账户接管等场景的行为序列差异巨大。
- 时序依赖： 单一事件无法判定异常，必须依赖事件间的先后顺序与时间间隔。
- 特征工程复杂： 需要从原始事件中提取滑动窗口统计量、设备指纹、地理位置等衍生特征。
常见误区： 直接使用公开数据集（如 Kaggle 信用卡欺诈）训练模型，往往因缺乏时序上下文与业务规则，导致在真实生产环境中 AUC 下降 20% 以上。必须基于业务日志构建带时间戳的序列样本。
1.4 本课程的学习目标
通过本课程，你将掌握以下核心能力：
| 模块 | 学习目标 | 产出物 |
|---|---|---|
| CEP 基础 | 理解 Flink CEP 的 NFA 原理、模式 API、时间语义 | 能编写简单的时序匹配规则 |
| 样本构建 | 掌握基于真实日志的异常样本生成方法（含正负样本平衡） | 可复用的样本构建 Pipeline |
| 特征工程 | 学会在 CEP 中嵌入滑动窗口聚合、设备指纹、行为画像 | 特征向量化模块 |
| 模型集成 | 将 CEP 规则与机器学习模型（XGBoost/LightGBM）融合 | 混合风控决策引擎 |
1.5 前置知识要求
为获得最佳学习体验，建议你具备以下基础：
- Java/Scala 基础： 能阅读 Flink DataStream API 代码，理解 Lambda 表达式与泛型。
- Flink 入门： 了解 DataStream 的 Source/Transformation/Sink 基本概念，熟悉 KeyBy、Window 算子。
- 金融风控常识： 了解交易流水、风控规则、黑白名单、设备指纹等基本术语。
- SQL 基础： 能编写简单的窗口聚合查询，便于对比 CEP 与 SQL 的差异。
学习建议： 如果你对 Flink 基础尚不熟悉，建议先阅读官方文档的“DataStream API 教程”部分（约 2 小时），再开始本课程。课程中涉及的所有代码均提供完整示例，可直接在本地 Flink 集群或单机模式运行。
1.6 课程配套资源与学习路径
本课程提供以下配套资源，建议按顺序学习：
- 代码仓库： 包含 30 个章节的完整 Flink CEP 项目代码，基于 Java 11 + Flink 1.17 构建。
- 样本数据集： 模拟生成的 100 万条交易流水（含 5000 条异常标注），可直接用于实验。
- Docker 环境： 一键部署 Flink Standalone 集群 + Kafka + Redis，降低环境配置成本。
- 课后练习： 每章附有 2-3 道编程题或分析题，答案在下一章开头给出。
学习路径建议： 第 1-5 章为基础篇，适合所有学员；第 6-15 章为样本构建篇，是课程核心；第 16-25 章为特征工程与模型融合篇；第 26-30 章为生产化与性能调优篇。建议每周完成 3-4 章，配合代码实操。