2. 实时风控数据流特征：流式数据特点、窗口概念、时间戳对齐、数据新鲜度对模型的影响
2.1 流式数据特点：与离线批处理的本质差异
实时风控的数据源是典型的无界流（Unbounded Stream），与离线训练使用的静态批处理数据有根本区别。理解这些差异是设计实时特征的前提。
| 维度 | 离线批处理（Batch） | 实时流式（Streaming） |
|---|---|---|
| 数据边界 | 有界（固定时间分区或全量快照） | 无界（持续到达，永不完结） |
| 处理延迟 | 小时级 / 天级 | 毫秒级 / 秒级 |
| 数据顺序 | 严格有序（按分区排序） | 乱序到达（网络延迟、重试导致） |
| 重算能力 | 全量重算，结果确定 | 增量计算，结果受水位线影响 |
| 样本分布 | 静态快照，分布稳定 | 动态漂移，分布随时间变化 |
关键认知：流式数据天然存在“不完全性”。当一笔交易事件到达时，其关联的“过去1小时交易次数”特征可能因为上游事件尚未到达而偏低，这种特征滞后是样本偏差的重要来源。
2.2 窗口概念：时间驱动的特征聚合
窗口是流式特征工程的核心机制。它将无界数据流切分为有界片段，用于计算统计特征（如计数、求和、均值）。窗口类型直接影响特征的时效性和完整性。
2.2.1 三种基本窗口类型
- 滚动窗口（Tumbling Window）：固定长度，不重叠。例如：每5分钟统计一次交易笔数。适合报表类特征，但边界效应明显。
- 滑动窗口（Sliding Window）：固定长度，固定滑动步长。例如：每1分钟滑动一次，统计过去5分钟的交易金额。特征平滑，但存储开销大。
- 会话窗口（Session Window）：基于不活动间隔切分。例如：用户操作间隔超过30分钟则视为新会话。适合用户行为序列特征。
| 窗口类型 | 长度 | 重叠 | 典型场景 | 样本偏差风险 |
|---|---|---|---|---|
| 滚动窗口 | 固定 | 否 | 整点统计、批量特征 | 边界处特征突变 |
| 滑动窗口 | 固定 | 是 | 实时风险评分 | 窗口未满时特征偏低 |
| 会话窗口 | 可变 | 否 | 用户行为序列 | 会话截断导致特征不完整 |
⚠ 窗口未满问题：在实时风控中，模型评分时刻往往处于窗口的“中间状态”。例如，滑动窗口长度为1小时，但用户仅活跃了10分钟，此时“过去1小时交易次数”特征值会系统性偏低，导致模型对早期行为产生误判。这是样本偏差的典型来源。
2.3 时间戳对齐：事件时间 vs 处理时间
时间戳对齐是流式特征工程中最容易被忽视的偏差来源。系统需要区分两种时间概念：
- 事件时间（Event Time）：业务事件实际发生的时间（如用户点击按钮的时刻）。
- 处理时间（Processing Time）：事件到达风控系统并被处理的时间。
当使用处理时间进行窗口聚合时，由于网络延迟、消息队列积压等原因，事件时间与处理时间会产生偏差，导致特征计算错误。
典型问题：用户A在 10:00:00 发起交易，但消息在 10:00:05 才到达系统。如果窗口按处理时间切分（如 10:00:00-10:00:05），该交易会被归入错误的窗口，导致“过去5分钟交易次数”特征值不准确。
2.3.1 对齐策略
| 策略 | 描述 | 优点 | 缺点 |
|---|---|---|---|
| 事件时间对齐 | 使用事件携带的时间戳进行窗口分配 | 准确反映业务时序 | 需要处理乱序和延迟 |
| 处理时间对齐 | 使用系统当前时间进行窗口分配 | 实现简单，延迟低 | 受网络延迟影响，偏差大 |
| 混合对齐 | 事件时间为主，处理时间为辅（兜底） | 兼顾准确性和鲁棒性 | 实现复杂度高 |
2.4 数据新鲜度对模型的影响
数据新鲜度（Data Freshness）衡量特征从事件发生到可用于模型推理的时间差。新鲜度直接影响模型对当前风险的判断能力。
2.4.1 新鲜度与模型性能的关系
- 高新鲜度（延迟 < 100ms）：特征能反映最新行为，模型对突发风险（如短时间内大量交易）敏感度高。
- 中等新鲜度（延迟 1s-10s）：大部分实时场景可接受，但可能错过短时间窗口内的异常模式。
- 低新鲜度（延迟 > 1min）：特征滞后严重，模型决策基于过时信息，容易漏过快速攻击。
⚠ 新鲜度偏差：当模型训练时使用的特征新鲜度（如离线回溯时特征延迟为0）与线上推理时的实际新鲜度（如特征延迟为5秒）不一致时，会产生训练-推理分布偏移。例如，离线训练时“最近1分钟交易次数”总是包含完整数据，但线上推理时该特征可能只包含部分数据，导致模型对特征值的置信度错误。
2.4.2 新鲜度监控指标
| 指标 | 定义 | 阈值建议 |
|---|---|---|
| P50 特征延迟 | 50% 的特征在事件发生后多久可用 | < 500ms |
| P99 特征延迟 | 99% 的特征在事件发生后多久可用 | < 5s |
| 特征缺失率 | 因新鲜度不足导致特征值为空的比率 | < 1% |
| 水位线延迟 | 事件时间与处理时间的差值 | < 10s |
2.4.3 缓解新鲜度偏差的工程手段
- 水位线（Watermark）机制：在流处理中声明“在此时间戳之前的事件已全部到达”，用于触发窗口计算。合理设置水位线延迟（如5秒）可以在完整性和时效性之间取得平衡。
- 特征回填（Feature Backfill）：当延迟事件到达后，异步更新已计算的特征值，并通知下游模型重新评估。
- 新鲜度感知模型：将特征的新鲜度（如延迟时间、窗口完成度）作为额外特征输入模型，让模型学会在不同新鲜度下调整决策权重。
最佳实践：在实时风控系统中，建议对每个特征记录其“计算时间戳”和“事件时间戳”。在模型推理时，计算两者的差值作为“特征新鲜度”特征，帮助模型识别哪些特征是“过时”的，从而降低其权重。