3. CEP 概念精讲：事件、模式、模式序列、匹配与输出

复杂事件处理（CEP）是 Flink 在实时流计算中实现“规则驱动”的核心能力。要构建异常交易样本，必须先理解 CEP 的五个基本概念：事件、模式、模式序列、匹配与输出。本节将逐一拆解这些概念，并对比 CEP 与普通流处理的本质区别。

3.1 事件（Event）

事件是 CEP 处理的最小数据单元，代表流中发生的某一事实。在金融风控场景中，一个事件通常包含交易 ID、用户 ID、交易金额、交易时间、交易类型等字段。

3.2 模式（Pattern）

模式是对单个事件条件的描述。它定义了“什么样的事件”是我们感兴趣的。Flink CEP 提供丰富的模式 API，包括条件过滤、时间约束、次数约束等。

• 简单条件模式：基于事件属性的单一条件，如 amount > 100000。
• 组合条件模式：通过 where()、or()、until() 组合多个条件。
• 迭代模式：使用 times()、oneOrMore()、optional() 定义事件出现的次数。

// 示例：定义“单笔交易金额超过 10 万元”的模式
Pattern<TransactionEvent, ?> largeAmount = Pattern
    .<TransactionEvent>begin("large_txn")
    .where(event -> event.getAmount() > 100000);

3.3 模式序列（Pattern Sequence）

模式序列是将多个模式按照时间或逻辑顺序组合起来，形成一条完整的规则链。Flink CEP 支持三种序列关系：

3.4 匹配与输出（Match & Output）

匹配是指模式序列在事件流上成功找到一组满足所有条件的事件组合。Flink CEP 通过 PatternStream 和 select() / flatSelect() 方法输出匹配结果。

• select()：每个匹配输出一条记录，适合一对一映射。
• flatSelect()：每个匹配可以输出零到多条记录，适合拆分复杂匹配。
• 侧输出流（Side Output）：用于处理超时事件或部分匹配。

// 匹配输出示例：提取匹配中的事件字段
PatternStream<TransactionEvent> patternStream = CEP.pattern(inputStream, pattern);

DataStream<AlertResult> alerts = patternStream.select(
    (Map<String, List<TransactionEvent>> pattern) -> {
        TransactionEvent first = pattern.get("login").get(0);
        TransactionEvent second = pattern.get("large_txn").get(0);
        return new AlertResult(first.getUserId(), second.getAmount());
    }
);

3.5 CEP 与普通流处理的区别

普通流处理（如简单的 map()、filter()、window()）只能处理单条事件或固定窗口内的聚合，而 CEP 擅长识别跨多条事件、带时序关系的复杂模式。下表从多个维度进行对比：

3.6 普通流处理 vs CEP 处理流程对比

为了更直观地理解两者的差异，下图展示了同一笔交易流在两种处理方式下的不同路径：