2. 风险拦截基础：实时风险拦截系统架构、常见风险类型与拦截决策流程
实时风险拦截系统是滚动率模型赖以生存的“战场环境”。理解其整体架构、所对抗的风险类型以及决策流转过程，是后续构建和部署滚动率模型的前提。本章从系统视角出发，拆解实时拦截的核心组件与决策链路。
2.1 实时风险拦截系统架构
一个典型的实时风险拦截系统采用分层、异步与同步结合的架构，确保在毫秒级内完成风险判定。下图展示了核心组件及其交互关系：
架构要点：实时决策引擎是核心，它从多种存储中拉取特征，执行规则与模型推理，并将决策结果下发至动作执行层。反馈闭环将事后标注结果回流，用于模型迭代，形成数据驱动的优化循环。
2.2 常见风险类型
实时拦截系统需要应对多种风险场景。下表归纳了三种核心风险类型及其典型特征：
| 风险类型 | 定义 | 典型场景 | 关键识别指标 |
|---|---|---|---|
| 欺诈 (Fraud) | 用户通过虚假身份或伪造信息，骗取平台资金或权益。 | 虚假注册、刷单、骗贷、套现 | 设备指纹异常、IP聚集、行为速度过快 |
| 盗用 (Account Takeover) | 攻击者通过窃取账号密码，冒用他人身份进行非法操作。 | 撞库登录、修改绑定信息、盗刷 | 登录地点突变、设备更换、操作序列异常 |
| 洗钱 (Money Laundering) | 将非法所得通过复杂交易网络“清洗”为合法资金。 | 多级转账、快进快出、结构化存款 | 交易图结构异常、金额与频次偏离统计基线 |
实战提示：同一笔交易可能同时涉及多种风险。例如，盗用账户后进行洗钱操作。滚动率模型在设计时需考虑多标签输出或级联模型架构。
2.3 拦截决策流程
从请求到达系统到最终执行动作，完整的拦截决策流程通常包含以下六个步骤：
- 请求解析与标准化：提取请求中的设备指纹、IP、用户ID、操作类型等原始字段，转换为统一格式。
- 特征计算与聚合：基于实时流和离线数据，计算用户历史行为统计、设备关联度、交易频次等特征。
- 规则引擎匹配：执行预定义的硬性规则（如“单日同一设备登录超过10次”），快速拦截已知攻击模式。
- 模型推理评分：将特征向量输入滚动率模型（或其他机器学习模型），输出风险概率分数。
- 决策融合与阈值判定：综合规则结果与模型分数，根据业务策略（如“模型分数 > 0.8 且命中高危规则则拒绝”）生成最终决策。
- 动作执行与日志记录：执行放行、拒绝、增强验证或人工审核等动作，并将全链路日志写入数据仓库用于事后分析。
注意：步骤3（规则匹配）与步骤4（模型推理）通常是并行或流水线执行，而非严格串行。实际系统中，规则引擎可快速阻断明显恶意请求，降低模型计算压力；模型则用于处理规则无法覆盖的复杂、隐蔽风险。
2.4 关键设计原则
- 低延迟：全链路耗时通常要求 < 100ms，特征存储需使用内存数据库（如Redis），模型推理需优化为轻量级。
- 可解释性：规则和模型输出需支持回溯分析，便于风控人员定位误杀或漏放原因。
- 弹性扩展：系统需支持横向扩展以应对大促等流量高峰，决策引擎需无状态设计。
- 闭环迭代：反馈数据（Label）必须及时、准确地回流，否则滚动率模型将因样本偏差而退化。