2. Flink 基础回顾：架构、核心概念与运行环境搭建
在进入 CEP 异常交易检测之前，需要先夯实 Flink 的基础知识。本章将系统回顾 Flink 的运行时架构、DataStream API 的核心概念，并手把手搭建一套 Standalone 模式的运行环境。这些内容是后续实现实时风控规则引擎的基石。
2.1 Flink 运行时架构
Flink 采用经典的 主从（Master-Worker）架构，由以下核心组件构成：
- JobManager（作业管理器）：集群的“大脑”，负责接收作业、调度任务、协调 Checkpoint 和故障恢复。
- TaskManager（任务管理器）：集群的“工人”，负责执行具体的算子任务（Task），每个 TaskManager 拥有若干 Slot（任务槽）。
- Client（客户端）：用户提交作业的入口，负责将作业编译成 JobGraph 并提交给 JobManager。
关键概念： Task Slot 是 TaskManager 中资源分配的最小单位，一个 Slot 通常对应一个线程。Slot 的数量决定了 TaskManager 能并行执行的任务数。
2.2 DataStream API 核心概念
DataStream API 是 Flink 处理无界数据流的核心抽象。理解以下概念是编写 CEP 规则的前提：
| 概念 | 说明 | 在异常交易检测中的角色 |
|---|---|---|
| DataStream | 表示一个持续不断的数据流，可以是无界（实时）或有界（批处理）。 | 接收实时交易事件流。 |
| KeyedStream | 对 DataStream 按 key 进行分组后的流，后续操作（如窗口、状态）在 key 的维度上独立进行。 | 按用户ID或设备ID分组，检测单用户异常。 |
| Window（窗口） | 将无界数据切分成有限的数据块，用于聚合计算。常见类型：滚动窗口、滑动窗口、会话窗口。 | 统计过去5分钟内的交易次数、金额总和。 |
| State（状态） | 算子内部维护的持久化数据，用于记录中间结果或历史信息。 | 记录用户的历史交易模式、累计失败次数。 |
| Time（时间语义） | 事件时间（Event Time）、处理时间（Processing Time）、摄入时间（Ingestion Time）。 | 使用事件时间确保交易顺序准确，避免乱序影响。 |
实战要点： 在异常交易检测中，KeyedStream 和 State 是核心。例如，通过
.keyBy(transaction -> transaction.getUserId()) 将交易按用户分组，然后利用 ValueState 或 MapState 记录每个用户最近10笔交易的时间戳和金额，用于判断是否出现“高频小额试探”等异常模式。
2.3 Flink 运行环境搭建（Standalone 模式）
Standalone 模式是最简单的部署方式，适合本地开发和测试。以下是搭建步骤：
- 环境准备：确保已安装 JDK 8+ 和 SSH（用于集群节点间通信）。
- 下载解压：从 Apache Flink 官网下载稳定版本（如 flink-1.17.0），解压到指定目录。
- 配置集群：
- 编辑
conf/flink-conf.yaml，设置jobmanager.rpc.address为 JobManager 主机地址。 - 编辑
conf/workers，添加所有 TaskManager 节点的主机名或 IP。
- 编辑
- 启动集群：在 JobManager 节点执行
bin/start-cluster.sh。 - 验证：访问
http://<jobmanager-ip>:8081查看 Web UI，确认 TaskManager 已注册。
常见问题： 如果 TaskManager 无法注册，请检查：1) 各节点防火墙是否开放 6123（JobManager RPC）和 8081（Web UI）端口；2) SSH 免密登录是否配置正确；3)
flink-conf.yaml 中的 taskmanager.numberOfTaskSlots 是否合理（默认 1，可根据 CPU 核心数调整）。
2.4 提交第一个 Flink 作业
集群启动后，可以通过以下方式提交作业：
# 使用命令行提交
./bin/flink run -m <jobmanager-ip>:8081 \
-c com.example.YourJobClass \
./path/to/your-job.jar
# 参数说明
# -m: 指定 JobManager 地址
# -c: 指定主类全限定名
# -p: 指定并行度（可选）
开发建议： 在本地开发阶段，可以直接在 IDE 中运行 Flink 作业（依赖
flink-streaming-java 和 flink-clients），无需启动完整集群。生产环境建议使用 Standalone 或 YARN/Kubernetes 模式。