1. 课程导论与项目背景
1.1 什么是实时异常交易检测
实时异常交易检测是指在金融交易发生的瞬间（毫秒至秒级），通过机器学习模型对交易行为进行评分与判定，识别出偏离正常模式的欺诈、盗刷、洗钱或账户接管等恶意操作。与传统的批量事后分析不同，实时检测要求模型在交易链路中在线推理，并在资金清算前输出决策信号。
核心定义： 实时异常交易检测 = 流式特征计算 + 在线模型推理 + 低延迟决策反馈。
典型的检测场景包括：
- 信用卡欺诈： 短时间内异地大额消费、频繁小额试探。
- 账户接管： 登录设备、IP、行为轨迹突变。
- 洗钱网状交易： 资金在多个账户间快速拆分与归集。
- 商户侧作弊： 虚假交易、刷单套现。
1.2 业务价值
实时异常交易检测直接转化为可量化的业务收益，下表总结了四个核心价值维度：
| 价值维度 | 业务指标 | 典型提升幅度 |
|---|---|---|
| 资金损失降低 | 欺诈损失率（Fraud Loss Rate） | 下降 40%–70% |
| 用户体验提升 | 误拦截率（False Positive Rate） | 降低至 0.1% 以下 |
| 运营效率 | 人工审核量 / 日 | 减少 60%–80% |
| 合规与监管 | 可疑交易上报及时率 | 满足监管秒级要求 |
行业参考： 某头部支付机构上线实时检测模型后，单日拦截欺诈交易金额从百万级提升至千万级，同时人工复核队列缩短至原来的 1/5。
1.3 技术挑战
构建实时异常交易检测系统面临以下五大技术挑战：
- 延迟约束严格： 端到端推理延迟通常要求 < 100ms，部分场景 < 30ms，传统批处理架构无法满足。
- 数据倾斜与概念漂移： 正常交易占 99%+，异常模式随时间快速演化，模型需要在线更新或周期性重训。
- 特征工程复杂： 需要聚合历史窗口（如过去 1 小时、24 小时、7 天）的统计特征，且窗口计算必须支持流式增量更新。
- 模型可解释性： 监管要求对每笔拦截交易提供可读的拒绝原因，黑盒模型难以直接使用。
- 高可用与容错： 交易链路不可中断，模型服务必须支持多副本、熔断、降级与灰度发布。
1.4 课程目标
本课程以“从零构建一个生产级实时异常交易检测模型 Serving 系统”为主线，覆盖以下核心能力：
- 架构设计： 掌握基于 Flink + Kafka + Redis + 模型推理引擎的实时特征管道与 Serving 架构。
- 模型选型与部署： 对比 XGBoost、LightGBM、深度学习模型在延迟与 AUC 之间的权衡，并完成 ONNX/TensorRT 导出。
- 特征工程实战： 实现滑动窗口统计、时间衰减、实体画像等流式特征计算。
- 可解释性集成： 在 Serving 链路中嵌入 SHAP 或 LIME 解释器，输出结构化拒绝原因。
- 高可用保障： 配置健康检查、熔断降级、A/B 测试与模型热更新。
前置要求： 本课程假设你已具备 Python 机器学习基础、基本的 Docker 使用经验，并对流处理概念（Kafka、Flink）有初步了解。如果你对上述工具尚不熟悉，建议先完成对应入门教程。