2. Flink 核心概念回顾：DataStream、KeyedStream、Window、Time 语义、State、Checkpoint 与 Savepoint

在构建实时风控规则引擎之前，必须牢固掌握 Flink 的六大核心抽象。这些概念构成了规则推理的运行时骨架：DataStream 承载事件流，KeyedStream 实现按实体（如用户、设备）隔离，Window 定义时间窗口内的聚合逻辑，Time 语义 决定事件归因的时间基准，State 保存中间推理结果，Checkpoint / Savepoint 保障故障恢复与版本升级。下面逐一回顾并给出风控场景下的对应关系。

2.1 DataStream：事件流的统一抽象

DataStream 是 Flink 中最基础的数据流表示，代表一个可能无限、持续到达的事件序列。在风控场景中，每一条记录通常对应一次用户行为（登录、交易、领券等）。

2.2 KeyedStream：按实体键分组

KeyedStream 是对 DataStream 按照某个 key（如 userId、deviceId）进行分区后的流。同一 key 的所有事件会被路由到同一个并行子任务，从而保证状态访问的局部性。

// 风控场景：按用户 ID 分组
DataStream<TransactionEvent> transactionStream = ...;
KeyedStream<TransactionEvent, String> keyedStream =
    transactionStream.keyBy(TransactionEvent::getUserId);

KeyedStream 是规则引擎中实体画像和频次统计的基础。例如统计“同一用户 5 分钟内交易次数”时，必须先将流按 userId 分组，再开窗计数。

2.3 Window：时间窗口内的聚合

Window 将无限流切分为有限桶，在每个桶内执行聚合计算。Flink 支持三种窗口类型：Tumbling Window（滚动）、Sliding Window（滑动）、Session Window（会话）。

// 滑动窗口示例：每 10 秒统计过去 5 分钟内同一用户的交易次数
keyedStream
    .window(SlidingProcessingTimeWindows.of(Time.minutes(5), Time.seconds(10)))
    .aggregate(new CountAggregate())
    .filter(count -> count >= 3);  // 触发风控阈值

2.4 Time 语义：事件时间 vs 处理时间

Flink 提供三种时间语义，风控场景中强烈推荐使用事件时间（Event Time），因为它能正确处理乱序和延迟到达的事件。

// 设置事件时间并配置 Watermark
env.setStreamTimeCharacteristic(TimeCharacteristic.EventTime);
DataStream<TransactionEvent> stream = ...;
DataStream<TransactionEvent> withTimestampsAndWatermarks =
    stream.assignTimestampsAndWatermarks(
        WatermarkStrategy.<TransactionEvent>forBoundedOutOfOrderness(Duration.ofSeconds(5))
            .withTimestampAssigner((event, timestamp) -> event.getTimestamp())
    );

2.5 State：有状态计算的基石

State 是 Flink 算子中保存的中间数据，用于跨事件维护上下文。在风控规则引擎中，几乎每条规则都需要状态来记录历史行为。

// 使用 ValueState 记录用户连续失败次数
public class FraudDetectFunction extends RichFlatMapFunction<TransactionEvent, Alert> {
    private ValueState<Integer> failCountState;

    @Override
    public void open(Configuration parameters) {
        ValueStateDescriptor<Integer> descriptor =
            new ValueStateDescriptor<>("failCount", Types.INT);
        failCountState = getRuntimeContext().getState(descriptor);
    }

    @Override
    public void flatMap(TransactionEvent event, Collector<Alert> out) {
        Integer failCount = failCountState.value() == null ? 0 : failCountState.value();
        if (event.getStatus().equals("FAIL")) {
            failCount++;
            failCountState.update(failCount);
            if (failCount >= 3) {
                out.collect(new Alert(event.getUserId(), "连续失败超限"));
            }
        } else {
            failCountState.clear();  // 成功后重置
        }
    }
}

2.6 Checkpoint 与 Savepoint：容错与版本管理

Checkpoint 是 Flink 自动触发的分布式快照，用于故障恢复；Savepoint 是用户手动触发的快照，用于版本升级、作业迁移或调试。

// 配置 Checkpoint（生产推荐）
env.enableCheckpointing(60000);  // 每 60 秒触发一次
env.getCheckpointConfig().setCheckpointTimeout(120000);
env.getCheckpointConfig().setMinPauseBetweenCheckpoints(30000);
env.getCheckpointConfig().setMaxConcurrentCheckpoints(1);
env.getCheckpointConfig().enableExternalizedCheckpoints(
    ExternalizedCheckpointCleanup.RETAIN_ON_CANCELLATION);

2.7 核心概念关系总览

下图展示了 DataStream、KeyedStream、Window、Time、State 和 Checkpoint 在风控规则引擎中的协作关系：

2.8 风控规则引擎中的概念映射

将上述核心概念映射到风控规则引擎的典型推理流程中，可以更直观地理解每个抽象的作用：

1. DataStream：接收实时交易/行为事件，每条事件包含时间戳、用户标识、行为类型等字段。
2. KeyedStream：按 userId 或 deviceId 分组，确保同一实体的所有事件进入同一个算子实例。
3. Window：定义规则的时间范围，例如“5 分钟滑动窗口”用于检测短时间高频操作。
4. Time 语义：使用 Event Time 配合 Watermark，处理因网络延迟导致的乱序事件。
5. State：保存每个实体的历史行为摘要（如累计交易金额、失败次数、设备列表）。
6. Checkpoint / Savepoint：Checkpoint 保障引擎 7×24 小时稳定运行；Savepoint 支持规则热更新和版本回滚。