2. 风控核心概念：实时风控与离线风控的区别、批流一体架构的优势、常见风控场景
2.1 实时风控 vs 离线风控：核心差异
在风控链路中，实时风控与离线风控分别对应不同的业务时效与计算模式。下表从多个维度对比两者的本质区别：
| 对比维度 | 实时风控（Online） | 离线风控（Offline） |
|---|---|---|
| 响应时间 | 毫秒级～秒级（通常 < 200ms） | 分钟级～小时级（T+1 或批量调度） |
| 数据源 | 实时事件流（点击、交易、登录） | 历史全量数据、离线数仓 |
| 计算引擎 | Flink / Spark Streaming / Storm | Hive / Spark SQL / MapReduce |
| 模型类型 | 轻量规则、LR、XGBoost 在线推理 | 复杂集成模型、深度学习、聚类 |
| 特征时效 | 窗口聚合（5min/1h 滑动） | 全量历史特征（30天/90天） |
| 典型输出 | 通过/拒绝/人工审核 | 信用评分、风险等级标签 |
| 运维成本 | 高（状态管理、容错、延迟敏感） | 中（重调度、重跑、数据回溯） |
关键认知：实时风控追求“快准狠”，离线风控追求“全深稳”。两者并非替代关系，而是互补——离线模型产出的评分/标签可作为实时特征的输入，实时反馈的异常样本又可回流优化离线模型。
2.2 批流一体架构的核心优势
传统风控系统通常维护两套独立的链路：实时流处理与离线批处理。这种“烟囱式”架构带来数据口径不一致、特征重复开发、模型部署割裂等问题。批流一体架构通过统一的计算引擎与存储层，将两条链路合并为一条可复用的数据管道。
批流一体的主要优势体现在以下四个方面：
- 特征口径统一：实时窗口聚合与离线全量统计使用同一套 SQL/API 定义，消除“实时分值与离线分值对不上”的痛点。
- 模型部署效率提升：离线训练好的模型（如 XGBoost、神经网络）可直接导出为实时推理格式，无需人工转换或重写。
- 资源弹性共享：计算集群在白天承载实时任务，夜间自动切换为离线批处理任务，资源利用率提升 30%~50%。
- 数据回溯与验证：批流一体支持“实时跑增量、离线补历史”，模型上线前可用全量历史数据回放验证效果。
架构要点：批流一体的核心在于“统一特征存储”与“统一计算语义”。实时推理与离线训练共享同一份特征逻辑，模型可无缝从离线导出到在线，无需人工对齐。
2.3 常见风控场景
2.3.1 反欺诈（Fraud Detection）
反欺诈是实时风控最典型的应用场景，覆盖账户盗用、交易欺诈、恶意注册、爬虫攻击等。核心特征包括：
- 实时特征：设备指纹、IP 风险、操作频次、行为序列异常。
- 离线特征：历史逾期率、关联网络图谱、团伙聚类。
- 模型策略：规则引擎 + 机器学习模型（XGBoost / LightGBM） + 图神经网络。
2.3.2 信用评分（Credit Scoring）
信用评分通常以离线批量计算为主，用于贷前审批、额度授信、利率定价。典型流程：
- 数据采集：用户授权数据（征信、收入、社保）、行为数据。
- 特征工程：还款能力、负债率、历史逾期天数、多头借贷。
- 模型训练：逻辑回归 / 评分卡 / 集成模型。
- 评分输出：300~850 分区间，对应不同风险等级。
常见误区：不要试图用离线模型直接做实时推理，也不要用实时规则替代离线深度分析。正确的做法是：离线模型产出评分/标签后，作为实时特征的一部分参与在线决策，形成“离线训练 → 实时推理 → 在线反馈 → 离线迭代”的闭环。
2.4 批流一体在风控场景中的落地价值
结合上述场景，批流一体架构在反欺诈与信用评分中的具体价值体现为：
| 场景 | 传统架构痛点 | 批流一体解决方案 |
|---|---|---|
| 反欺诈 | 实时规则与离线模型特征口径不一致，导致误杀/漏放 | 统一特征定义，实时推理与离线回溯共用同一套特征逻辑 |
| 信用评分 | 离线评分更新周期长（T+1），无法捕捉短期风险变化 | 实时增量特征 + 离线全量评分，实现“日级更新 + 小时级微调” |
| 模型迭代 | 离线训练 → 人工导出 → 上线部署，周期 2~3 天 | 模型一键导出为实时格式，分钟级完成上线 |
| 数据回溯 | 离线重跑与实时链路数据割裂，验证困难 | 同一份数据源，批流两种计算模式，结果天然对齐 |
实践建议：在搭建批流一体风控链路时，优先从“特征统一”入手——将实时特征与离线特征的定义、存储、口径完全对齐，这是后续模型统一部署与迭代的基础。