3. 事件时间与处理时间：事件时间语义、处理时间语义、水位线（Watermark）机制

在流式风险归因中，数据到达的顺序与事件实际发生的顺序往往不一致。选择正确的时间语义并合理设置水位线，是保证归因结果准确性的核心前提。本节将系统讲解事件时间、处理时间两种语义的差异，以及水位线机制如何解决乱序问题。

3.1 时间语义概述

流处理系统通常支持两种时间语义：事件时间（Event Time）和处理时间（Processing Time）。风险归因场景强烈依赖事件时间，因为归因窗口必须基于交易发生的真实时刻，而非数据到达服务器的时刻。

3.2 事件时间语义详解

事件时间由数据源在记录中嵌入的时间戳字段表示，例如交易日志中的 trans_time、风控事件中的 occurred_at。在SQL流处理中，需要显式声明事件时间字段并定义水位线生成策略。

-- 示例：在CREATE TABLE中声明事件时间与水位线
CREATE TABLE risk_events (
    event_id      STRING,
    user_id       STRING,
    event_type    STRING,
    amount        DOUBLE,
    event_time    TIMESTAMP(3),          -- 事件时间字段
    proc_time     AS PROCTIME(),         -- 处理时间字段（可选）
    WATERMARK FOR event_time AS event_time - INTERVAL '5' SECOND
) WITH (
    'connector' = 'kafka',
    'topic' = 'risk-events',
    'format' = 'json'
);

上述DDL中：

• event_time 被标记为事件时间字段，类型为 TIMESTAMP(3)（毫秒精度）。
• WATERMARK FOR event_time AS event_time - INTERVAL '5' SECOND 定义了允许5秒的乱序延迟。
• proc_time 通过 AS PROCTIME() 自动生成，用于处理时间计算。

3.3 处理时间语义详解

处理时间是最简单的时间语义，引擎直接使用当前机器时钟。它不依赖数据中的时间戳，因此计算延迟最低，但结果不可重复。在风险归因中，处理时间主要用于以下场景：

• 实时告警阈值检查：例如“过去10秒内同一用户失败登录次数超过5次”，使用处理时间窗口可以快速触发。
• 数据到达监控：统计数据源是否在预期时间内送达，用于运维告警。
• 预过滤阶段：在事件时间窗口之前，先按处理时间做一次粗筛，降低后续计算压力。

3.4 水位线（Watermark）机制

水位线是事件时间语义的核心机制，用于衡量“事件时间的进度”，并控制乱序数据的等待边界。水位线本质上是一个时间戳，表示“当前认为事件时间已经推进到该时刻，早于该时刻的数据不再等待”。

3.4.1 水位线的工作原理

下图展示了水位线在乱序数据流中的推进过程：

3.4.2 水位线生成策略

在SQL流处理中，水位线生成策略直接影响归因的完整性与延迟。常见的策略包括：

3.4.3 水位线对窗口触发的影响

以滚动窗口（Tumble Window）为例，窗口的触发时机由水位线决定：

-- 示例：10秒滚动窗口，水位线延迟5秒
SELECT
    TUMBLE_START(event_time, INTERVAL '10' SECOND) AS window_start,
    TUMBLE_END(event_time, INTERVAL '10' SECOND)   AS window_end,
    user_id,
    SUM(amount) AS total_amount
FROM risk_events
GROUP BY
    TUMBLE(event_time, INTERVAL '10' SECOND),
    user_id;

假设水位线策略为 event_time - INTERVAL '5' SECOND：

• 当水位线推进到 00:00:15 时，窗口 [00:00:00, 00:00:10) 触发计算。
• 事件时间在 00:00:00 ~ 00:00:10 之间的数据，只要在水位线到达 00:00:15 之前到达，都会被纳入该窗口。
• 若某条数据事件时间为 00:00:08，但到达时间晚于水位线 00:00:15，则默认被丢弃，或通过侧输出（Side Output）单独处理。

3.5 三种语义的协同工作流

在完整的风险归因流水线中，事件时间、处理时间和水位线协同工作，形成以下处理流程：

工作流说明：

1. 数据源：从Kafka等消息队列读取原始事件，每条记录携带事件时间戳。
2. 事件时间提取：在DDL中声明事件时间字段，并定义水位线生成策略。
3. 水位线生成：引擎根据策略持续生成水位线，控制窗口触发时机。
4. 窗口计算：基于事件时间的窗口聚合（如归因金额累加），在水位线触发后输出结果。
5. 处理时间监控：并行使用处理时间窗口监控数据到达延迟，触发运维告警。
6. 归因输出：最终输出基于事件时间的、可重复的、可审计的风险归因结果。