2、风控引擎基础：定义、核心模块与实时性要求

实时风控引擎是金融、电商、支付等场景下，对每一笔交易或用户行为进行毫秒级风险判断的核心决策系统。它并非单一规则判断，而是由规则引擎、模型引擎、决策流编排共同构成的复杂决策体。本章从定义出发，拆解三大核心模块，并明确实时性对系统架构的硬约束。

2.1 风控引擎的定义

风控引擎是一个事件驱动的决策系统：接收实时业务事件（如登录、下单、支付），结合上下文数据（设备指纹、用户画像、历史行为），通过预定义的规则、模型和决策流，输出风险等级、拒绝/通过/人工审核等决策结果。

2.2 核心功能模块

风控引擎由三个相互协作的核心模块构成，每个模块承担不同的决策职责：

2.2.1 规则引擎

规则引擎处理确定性逻辑，例如“同一IP在5分钟内登录超过3次则拒绝”。规则通常由业务人员通过可视化界面配置，支持热加载。规则引擎的核心指标是匹配效率，常用Rete算法或索引树优化。

// 示例：简单规则DSL
rule "同一IP高频登录"
when
  $event: LoginEvent(ip != null)
  $count: Long(this > 3) from accumulate(
    LoginEvent(ip == $event.ip, timestamp > now() - 5min),
    count()
  )
then
  riskDecision.setResult("REJECT");
  riskDecision.addTag("HIGH_FREQ_LOGIN");
end

2.2.2 模型引擎

模型引擎处理不确定性判断，例如“该笔交易欺诈概率为0.87”。模型引擎需要支持多种模型格式（PMML、ONNX、Python pickle），并提供低延迟的推理服务。模型引擎的输出通常是一个风险评分，作为决策流中分支判断的依据。

2.2.3 决策流

决策流是风控引擎的编排层，定义规则和模型的执行顺序、条件分支、循环、并行等逻辑。决策流通常以DAG（有向无环图）表示，每个节点是一个规则集或模型调用，边代表执行顺序或数据传递。

2.3 实时性要求

实时风控对延迟有严格约束，通常要求P99延迟 < 100ms，部分场景（如支付）要求 < 50ms。实时性要求直接影响架构选型：

• 数据管道： 必须使用低延迟消息队列（如Kafka），避免同步RPC调用链过长。
• 计算引擎： 规则引擎和模型引擎必须支持流式计算，避免批处理带来的等待。
• 缓存策略： 频繁访问的参考数据（如黑白名单、设备指纹）必须本地缓存或使用Redis，减少DB查询。
• 异步化： 非关键路径（如日志记录、异步通知）可异步处理，不阻塞主决策链路。

2.4 实时性对Kafka集成的启示

Kafka在实时风控中扮演事件总线角色，其性能直接影响端到端延迟。关键设计点包括：

• 分区策略： 按用户ID或交易ID哈希分区，保证同一事件流顺序消费。
• 消费模型： 使用低延迟消费者（如Kafka Streams或直接API），避免批量提交offset带来的延迟抖动。
• 序列化： 使用Avro或Protobuf替代JSON，减少序列化/反序列化开销。
• 背压处理： 风控引擎消费速度必须大于生产速度，否则Kafka堆积会导致延迟飙升。需设置合理的max.poll.records和消费线程数。