4. Flink 时间语义与 Watermark：EventTime / ProcessingTime / IngestionTime 区别、Watermark 原理与生成策略、Allowed Lateness 与 Side Output 处理迟到数据

4.1 三大时间语义：概念与选型

在反欺诈特征服务中，时间语义决定了“以哪个时钟为准”来计算窗口、触发规则。Flink 提供三种时间语义，其核心区别如下表所示：

4.2 Watermark 原理与生成策略

4.2.1 为什么需要 Watermark？

在乱序流中，Flink 无法预知后续是否还有更早时间戳的数据到达。Watermark 是一种“时间进度信号”，它告诉算子：“当前时间戳 ≤ Watermark 的事件已经全部到达，可以触发窗口计算了。”

4.2.2 Watermark 传递与触发机制

下图展示了在并行度为 2 的流中，Watermark 如何从 Source 传递到下游 Window 算子，并触发窗口计算：

4.2.3 内置 Watermark 生成策略

Flink 提供两种内置生成器，开发者也可自定义 WatermarkStrategy：

• forMonotonousTimestamps()：假设数据严格按时间升序到达，Watermark = 当前最大时间戳。适用于日志采集端已排序的场景。
• forBoundedOutOfOrderness(Duration)：允许最大乱序时间。Watermark = 当前最大时间戳 - 乱序容忍度。反欺诈场景最常用，通常设置 30 秒到 5 分钟。

4.3 Allowed Lateness 与 Side Output：迟到数据的两种处理方式

4.3.1 Allowed Lateness：延迟触发

即使 Watermark 已经越过窗口结束时间，Flink 仍允许在 Allowed Lateness 范围内再次触发窗口计算。每次迟到数据到达时，窗口状态保留并重新计算，输出更新后的结果。

// 示例：设置窗口允许迟到 1 分钟
DataStream<Transaction> stream = env
    .addSource(kafkaSource)
    .assignTimestampsAndWatermarks(
        WatermarkStrategy.<Transaction>forBoundedOutOfOrderness(Duration.ofSeconds(30))
            .withTimestampAssigner((event, ts) -> event.getEventTime())
    );

stream
    .keyBy(Transaction::getDeviceId)
    .window(TumblingEventTimeWindows.of(Time.minutes(5)))
    .allowedLateness(Time.minutes(1))   // 允许迟到 1 分钟
    .sideOutputLateData(lateOutputTag)  // 超过允许迟到的数据进入侧输出
    .aggregate(new FraudFeatureAggregate())
    .print();

4.3.2 Side Output：分流迟到数据

对于超过 Allowed Lateness 的数据，Flink 不会丢弃，而是将其发送到 Side Output（侧输出流）。开发者可以单独处理这些数据，例如写入延迟数据表、触发补偿计算或发送告警。

4.3.3 反欺诈场景下的处理策略对比