1. 课程导论：异常交易实时检测与切片分析实践
1.1 异常交易检测的背景与意义
在金融数字化转型加速的今天，交易网络已从传统的柜面渠道扩展至移动支付、开放银行、跨境汇款、数字货币等多元场景。交易频次呈指数级增长，而隐藏在正常交易流中的欺诈、洗钱、市场操纵等异常行为，给金融机构带来了巨大的风险敞口。
核心痛点： 传统事后风控（T+1 批量跑批）在面对实时支付、秒级到账的现代交易体系时，存在明显的“时间差”与“盲区”。一笔欺诈交易可能在数秒内完成资金转移，事后拦截往往为时已晚。
异常交易检测的意义体现在三个层面：
| 维度 | 具体价值 | 典型场景 |
|---|---|---|
| 资金安全 | 实时阻断欺诈交易，保护客户与机构资产 | 盗刷、钓鱼转账、伪冒开户 |
| 合规监管 | 满足反洗钱（AML）、反恐融资（CTF）等监管要求 | 大额可疑交易上报、制裁名单筛查 |
| 运营效率 | 降低人工审核成本，提升风险识别自动化率 | 智能预警、自动拦截、辅助决策 |
1.2 实时检测与切片分析的概念
本课程围绕两个核心方法论展开：实时检测与切片分析。两者并非互斥，而是构成“检测-诊断”的闭环。
- 实时检测： 在交易发生的毫秒级窗口内，基于流式计算引擎（如 Flink、Spark Streaming）对单笔交易或微批次交易进行规则匹配、模型评分与风险决策。目标是“在资金转移前做出判断”。
- 切片分析： 在检测到异常信号后，从时间、空间、行为、关系等多个维度对交易上下文进行“切片”式拆解，定位异常根因，生成可解释的风险画像。目标是“理解为什么异常”。
类比理解： 实时检测如同机场安检的“金属探测门”——快速判断是否触发警报；切片分析则如同安检员对触发警报的行李进行“CT 扫描”——精准定位违禁品的类型与位置。
1.3 课程目标与学习路径
本课程面向具备 Python 基础、希望深入金融风控实时计算领域的工程师与分析师。课程采用“理论 + 代码 + 实战”三位一体的教学模式，帮助学员构建从数据接入到异常决策的完整知识体系。
课程目标
- 掌握实时风控架构： 理解流式计算、事件驱动、状态管理等核心概念，能够设计高吞吐、低延迟的异常检测管道。
- 精通切片分析方法论： 学会从时间窗口、行为序列、社交网络、资金流向等维度对交易进行深度剖析。
- 具备工程落地能力： 使用 Python + Flink/Pandas/GraphX 等工具，独立完成从数据预处理到可视化看板的完整链路。
学习路径与章节规划
课程共 30 章，分为四大阶段，建议按顺序学习：
| 阶段 | 章节范围 | 核心内容 | 产出物 |
|---|---|---|---|
| 基础篇 | 第 1-8 章 | 异常交易基础、实时计算原理、Python 流处理框架、特征工程入门 | 实时数据管道原型 |
| 方法篇 | 第 9-18 章 | 规则引擎、统计检测、时序异常检测、图分析、切片分析框架 | 可复用的检测模块 |
| 实战篇 | 第 19-26 章 | 信用卡盗刷检测、洗钱团伙挖掘、内幕交易识别、实时看板构建 | 完整风控 Demo 系统 |
| 进阶篇 | 第 27-30 章 | 模型在线部署、A/B 测试、性能调优、生产化最佳实践 | 生产级部署方案 |
学习建议： 本课程代码示例基于 Python 3.8+ 与 Apache Flink 1.15+。请提前配置好开发环境（推荐使用 Anaconda + Docker），并确保具备基本的 Pandas、NumPy 与 SQL 操作能力。每章末尾的“动手练习”为必做环节，请勿跳过。