风控模型serving与规则引擎推理教程 - 第1节
1.1 风控系统在金融/电商中的核心地位
在金融与电商业务中，风控系统是保障资产安全与业务健康运行的“免疫系统”。它通过实时识别、评估和阻断欺诈、盗用、洗钱、恶意刷单等风险行为，直接决定平台的坏账率、合规性与用户信任度。
核心价值指标：
- 坏账率：每降低 0.1%，对应千万级利润释放
- 欺诈拦截率：直接影响资金损失规模
- 误杀率：影响用户体验与业务转化
- 响应延迟：决定能否在交易完成前完成拦截
以电商支付场景为例，一笔交易从发起至完成通常不超过 500ms，风控系统必须在 100ms 内完成特征计算、模型推理与规则判定，否则将导致交易超时或用户体验下降。
1.2 实时风控与离线风控的区别
风控系统按处理时效可分为实时风控与离线风控两大体系，二者在目标、数据源、计算模式与部署方式上存在本质差异。
| 对比维度 | 实时风控 | 离线风控 |
|---|---|---|
| 处理时效 | 毫秒级（50~200ms） | 小时级 / 天级 |
| 典型场景 | 支付、登录、下单、提现 | 贷后监控、批量反洗钱、用户画像 |
| 数据源 | 实时事件流（Kafka / HTTP） | 离线数仓（Hive / Spark） |
| 计算模式 | 流式计算 + 内存状态 | 批处理 + 分布式存储 |
| 模型部署 | 模型 Serving（低延迟推理） | 模型离线预测（批量打分） |
| 规则引擎 | 在线规则（DRL / 决策树） | 离线规则（SQL / 脚本） |
| 输出 | 通过 / 拒绝 / 人工审核 | 风险标签 / 名单 / 报表 |
架构原则：实时风控负责“在线拦截”，离线风控负责“深度挖掘与策略迭代”。二者通过特征存储、名单库与模型版本管理形成闭环。
1.3 风控 Serving 层与规则引擎的定位
在实时风控架构中，Serving 层与规则引擎是两个核心执行组件，分别承担模型推理与规则判定的职责。
1.3.1 风控 Serving 层
Serving 层负责将训练好的机器学习模型（如 XGBoost、神经网络、逻辑回归）以低延迟、高并发的形式暴露给在线风控流程。其核心能力包括：
- 模型加载与热更新：支持多版本模型同时在线，灰度切换
- 特征拼接与预处理：将实时事件字段转换为模型输入向量
- 推理加速：使用 ONNX Runtime、TensorRT、GPU 推理等
- 结果缓存与降级：应对模型超时或异常时的兜底策略
1.3.2 规则引擎
规则引擎负责执行由风控策略人员配置的决策逻辑，通常基于 DRL（Drools）、表达式引擎（Aviator、MVEL）或自研 DSL。其核心能力包括：
- 规则编排与优先级：支持与、或、非、阈值比较、名单匹配
- 动态下发：规则变更无需重启服务，秒级生效
- 决策树 / 决策表：可视化配置复杂业务逻辑
- 审计日志：记录每条规则的命中情况与决策路径
常见误区：不要试图用规则引擎替代模型推理，也不要用模型 Serving 处理所有简单规则。正确的做法是“规则前置过滤 + 模型深度打分”的分层架构。
1.4 实时风控分层架构总览
下图展示了实时风控系统的核心分层架构，清晰呈现 Serving 层与规则引擎在整体流程中的位置与协作关系。
1.5 Serving 层与规则引擎的协作流程
在实际风控请求中，Serving 层与规则引擎并非独立运行，而是通过“规则前置过滤 → 模型深度打分 → 规则后置兜底”的流水线协同工作。典型流程如下：
- 请求入站：风控网关接收交易/登录事件，解析上下文（设备、IP、用户、金额等）
- 黑白名单快速过滤：规则引擎执行第一层名单匹配（命中黑名单直接拒绝，白名单直接放行）
- 轻量规则判定：执行高频简单规则（如金额阈值、频次限制），快速拦截明显风险
- 模型特征组装：Serving 层从实时特征存储与离线特征库中拼接模型所需特征向量
- 模型推理：加载当前生效模型版本，输出风险分数（0~1）
- 规则后置融合：规则引擎根据模型分数 + 业务规则（如分数 > 0.8 且设备新注册则拒绝）生成最终决策
- 结果回写：将决策结果、命中规则、模型分数写入审计日志与实时监控
性能目标：全链路延迟控制在 100ms 以内，其中规则引擎耗时 < 10ms，模型推理耗时 < 30ms，特征计算与网络开销 < 60ms。