4. Flink 窗口机制：滚动窗口、滑动窗口、会话窗口与窗口函数

在实时异常交易检测中，数据是源源不断的流。窗口（Window）是将无限流切分为有限数据块的核心机制，它定义了“在什么时间范围内”进行聚合或模式匹配。Flink 提供了三种基础窗口类型和三类窗口函数，本章将逐一拆解其原理与实战用法。

4.1 窗口类型：时间驱动的三种切分策略

Flink 的窗口基于时间语义（Event Time / Processing Time）将数据分配到不同的桶（Bucket）中。三种内置窗口的区别在于窗口的起始、大小和滑动步长。

4.1.1 滚动窗口（Tumbling Window）

滚动窗口将数据流按固定长度切分，每个数据只属于一个窗口。窗口之间不重叠，计算逻辑简单，适合做周期性的指标统计。

// 滚动窗口示例：每5分钟统计一次交易总额
DataStream<Transaction> input = ...;

input
    .keyBy(Transaction::getUserId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .sum("amount")
    .print();

4.1.2 滑动窗口（Sliding Window）

滑动窗口由窗口大小和滑动步长两个参数控制。当滑动步长小于窗口大小时，窗口之间会产生重叠，同一个数据可能被分配到多个窗口。这种特性非常适合检测“高频交易”等需要连续监控的场景。

// 滑动窗口示例：每1分钟统计过去5分钟的交易次数
input
    .keyBy(Transaction::getUserId)
    .window(SlidingEventTimeWindows.of(Time.minutes(5), Time.minutes(1)))
    .apply(new CountWindowFunction())
    .print();

4.1.3 会话窗口（Session Window）

会话窗口没有固定的长度，而是根据数据之间的不活动间隔（gap）动态合并。当两条数据的时间差超过 gap 时，前一个会话关闭，新数据开启新的会话。这种窗口天然适合“用户行为序列”的异常检测。

// 会话窗口示例：用户交易间隔超过30秒则切分会话
input
    .keyBy(Transaction::getUserId)
    .window(EventTimeSessionWindows.withGap(Time.seconds(30)))
    .process(new SessionProcessFunction())
    .print();

4.2 窗口函数：数据聚合与处理的三种方式

窗口函数定义了窗口内数据如何被计算。Flink 提供了三个层次的窗口函数接口，从简单到复杂，分别适用于不同的业务需求。

4.2.1 ReduceFunction：轻量增量聚合

ReduceFunction 要求输入和输出类型相同，通过不断两两合并的方式实现增量计算。它不保存全量数据，内存开销极低，适合简单的统计操作。

// ReduceFunction 示例：计算窗口内最大交易金额
input
    .keyBy(Transaction::getUserId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .reduce(new ReduceFunction<Transaction>() {
        @Override
        public Transaction reduce(Transaction t1, Transaction t2) {
            return t1.getAmount() > t2.getAmount() ? t1 : t2;
        }
    })
    .print();

4.2.2 AggregateFunction：灵活的自定义聚合

AggregateFunction 允许输入、中间累加器和输出类型三者不同。它通过 createAccumulator、add、getResult 和 merge 四个方法实现增量聚合，是生产环境中最常用的窗口函数。

// AggregateFunction 示例：计算窗口内平均交易金额
input
    .keyBy(Transaction::getUserId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .aggregate(new AggregateFunction<Transaction, AverageAccumulator, Double>() {
        @Override
        public AverageAccumulator createAccumulator() {
            return new AverageAccumulator();
        }

        @Override
        public AverageAccumulator add(Transaction value, AverageAccumulator acc) {
            acc.sum += value.getAmount();
            acc.count++;
            return acc;
        }

        @Override
        public Double getResult(AverageAccumulator acc) {
            return acc.count == 0 ? 0.0 : (double) acc.sum / acc.count;
        }

        @Override
        public AverageAccumulator merge(AverageAccumulator a, AverageAccumulator b) {
            a.sum += b.sum;
            a.count += b.count;
            return a;
        }
    })
    .print();

4.2.3 ProcessWindowFunction：全量窗口处理

ProcessWindowFunction 可以访问窗口的所有数据以及窗口元数据（如窗口起始时间、结束时间、当前水位线等）。它需要缓存窗口内的全部数据，内存开销较大，但提供了最大的灵活性。

// ProcessWindowFunction 示例：输出窗口起止时间及交易明细
input
    .keyBy(Transaction::getUserId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .process(new ProcessWindowFunction<Transaction, String, String, TimeWindow>() {
        @Override
        public void process(String key,
                            Context context,
                            Iterable<Transaction> elements,
                            Collector<String> out) {
            long windowStart = context.window().getStart();
            long windowEnd = context.window().getEnd();
            int count = 0;
            for (Transaction t : elements) {
                count++;
            }
            out.collect("用户 " + key + " 在窗口 [" + windowStart + ", " + windowEnd + ") 内有 " + count + " 笔交易");
        }
    })
    .print();

4.3 窗口函数组合：增量聚合 + 全量访问

Flink 允许将 AggregateFunction 或 ReduceFunction 与 ProcessWindowFunction 组合使用。增量函数负责高效聚合，ProcessWindowFunction 负责输出窗口元数据。这是生产环境中的最佳实践。

// 组合使用：增量计算平均金额 + 输出窗口时间
input
    .keyBy(Transaction::getUserId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .aggregate(
        new AverageAggregate(),          // 增量聚合
        new WindowResultProcessFunction() // 全量输出
    )
    .print();

4.4 异常交易检测中的窗口选择策略

在金融风控场景中，不同的异常模式需要匹配不同的窗口策略。以下表格总结了常见异常检测场景的窗口选型建议：

4.5 本章小结

• 滚动窗口：固定大小、无重叠，适合周期性统计。
• 滑动窗口：固定大小、有重叠，适合连续监控。
• 会话窗口：动态大小、按间隔合并，适合行为序列分析。
• ReduceFunction：轻量增量，输入输出类型相同。
• AggregateFunction：灵活增量，支持自定义中间状态。
• ProcessWindowFunction：全量处理，可访问窗口元数据。
• 生产环境推荐 AggregateFunction + ProcessWindowFunction 组合使用，兼顾性能与灵活性。