1. 风控基础概念：什么是实时风控、样本偏差的定义、为什么样本偏差是风控模型的致命伤
1.1 实时风控：从“事后追查”到“毫秒级拦截”
实时风控（Real-time Risk Control）是指在用户行为发生的瞬间（通常要求响应时间 < 200ms），通过规则引擎或机器学习模型对交易、登录、注册等事件进行风险评分，并直接做出“通过、拒绝、人工审核”等决策。它与离线风控的核心区别在于：决策必须在用户感知之前完成。
| 维度 | 离线风控 | 实时风控 |
|---|---|---|
| 决策时机 | T+1 或数小时后 | 毫秒级（< 200ms） |
| 数据来源 | 全量历史数据 | 实时流数据 + 特征缓存 |
| 典型场景 | 贷后监控、反洗钱报告 | 支付拦截、登录保护、秒杀防刷 |
| 模型更新 | 天级/周级重训练 | 分钟级/小时级增量更新 |
关键指标：实时风控系统通常以 P99 响应时间作为 SLA 标准。例如，支付场景要求 P99 < 100ms，否则会直接影响用户转化率。
1.2 样本偏差：定义与常见类型
样本偏差（Sample Bias）是指用于训练模型的数据分布与模型实际部署环境中的数据分布之间存在系统性差异。在实时风控场景中，这种偏差几乎不可避免，且会直接导致模型效果退化。
1.2.1 核心定义
设训练样本集为 S_train，在线实时样本流为 S_online。若 P(S_train) ≠ P(S_online)，则存在样本偏差。偏差程度通常用 PSI（Population Stability Index） 或 KL 散度 量化。
1.2.2 实时风控中常见的 4 类偏差
- 时间偏差（Temporal Bias）： 模型使用历史数据训练，但欺诈模式随时间演变。例如，黑产在周一使用“新设备+新IP”攻击，而训练数据中该模式占比过低。
- 采样偏差（Sampling Bias）： 风控系统只对“高风险”事件进行人工标注，导致训练集中正样本过度集中于高风险子集，低风险区域的欺诈样本被系统性遗漏。
- 反馈偏差（Feedback Bias / Label Delay）： 实时决策后，只有被拒绝或产生资金损失的事件才能获得真实标签；被放行的正常交易可能数天后才确认为欺诈，造成标签滞后。
- 生存偏差（Survivorship Bias）： 模型上线后，高风险流量被拦截，导致线上观测到的“通过”样本全部是低风险流量，模型逐渐退化。
⚠️ 常见误区：很多团队认为“只要样本量够大就能消除偏差”。实际上，在实时风控中，偏差的来源是数据生成机制（Data Generating Process），而非样本数量。即使有 1 亿条历史数据，如果生成机制与线上不一致，模型依然会失效。
1.3 为什么样本偏差是风控模型的致命伤
风控模型本质上是一个 条件概率估计器：P(y=欺诈 | X)。当训练分布与线上分布不一致时，模型估计的条件概率会产生系统性偏移，导致以下三种致命后果：
- 误杀率飙升（False Positive）： 模型将大量正常用户判定为欺诈，造成用户流失和客诉激增。例如，因时间偏差，模型将“深夜大额转账”全部拦截，但双十一期间该行为是正常消费。
- 漏过率失控（False Negative）： 模型无法识别新型欺诈模式，黑产利用模型盲区批量套现。例如，采样偏差导致模型从未见过“小额多次+虚拟商品”的欺诈组合，该模式被全部放行。
- 模型衰减加速（Model Decay）： 偏差导致模型在线上持续表现不佳，迫使团队频繁重训，但重训时又重复引入同样的偏差，形成恶性循环。
💡 量化视角：假设训练集 AUC = 0.95，但线上 PSI > 0.25（严重偏移），实际线上 AUC 可能骤降至 0.6 以下。在实时风控中，样本偏差对模型效果的破坏力往往大于模型算法本身的选择。
1.4 实时风控样本偏差的独特性
与离线模型相比，实时风控的样本偏差具有三个显著特征：
| 特征 | 描述 | 影响 |
|---|---|---|
| 动态性 | 黑产策略以小时甚至分钟级变化，偏差随时间快速漂移 | 模型需要分钟级自适应，否则数小时内失效 |
| 交互性 | 模型决策本身改变数据分布（拒绝→攻击者调整策略→新样本分布改变） | 形成“模型-环境”闭环，偏差自我强化 |
| 稀疏性 | 欺诈样本占比通常 < 0.1%，且标签延迟严重 | 传统偏差校正方法（如重采样）效果有限 |