1. 风控概述：异常交易的定义、实时风控的重要性、人群切片在风控中的角色

1.1 异常交易的定义与分类

异常交易是指偏离用户正常行为模式或业务统计规律的交易行为，通常具有突发性、高频性、跨地域性、设备指纹异常等特征。在金融风控领域，异常交易是欺诈、盗刷、洗钱、套现等风险行为的外在表现。

1.2 实时风控的重要性

传统事后风控（T+1对账、离线规则引擎）已无法应对当前黑产自动化工具的攻击节奏。实时风控要求在交易发生后的毫秒级窗口内完成风险判定，直接阻断或增强验证。

• 止损时效：黑产工具可在30秒内完成一次完整的盗刷链条，延迟1分钟可能导致资金不可追回。
• 用户体验：实时风控可在用户无感知的情况下完成校验，避免事后追偿带来的客诉。
• 合规要求：央行《支付机构反洗钱和反恐怖融资管理办法》明确要求对可疑交易进行实时监测与拦截。
• 对抗升级：黑产策略迭代周期缩短至小时级，实时风控系统需具备分钟级规则/模型热更新能力。

1.3 人群切片在风控中的角色

人群切片（Cohort Segmentation）是将海量用户按照风险特征、行为模式、设备属性、交易场景等维度划分为若干同质子群体，针对不同切片配置差异化的风控策略。这是从“一刀切”规则向“精细化运营”转型的核心手段。

1.4 人群切片的核心价值

• 降低误伤率：对低风险切片放宽校验，避免正常用户被频繁打断。
• 提升拦截率：对高风险切片执行最严格策略，压缩黑产操作空间。
• 资源优化：将计算资源集中在高风险切片，降低整体系统负载。
• 策略迭代：通过切片间的指标对比，快速发现策略漏洞或黑产新手法。

1.5 实时风控与人群切片的协同架构

在实时风控系统中，人群切片通常作为策略路由层的核心组件，位于交易事件接入层与规则/模型引擎之间。其工作流程如下：

1. 事件接入：交易请求到达风控网关，提取设备指纹、用户ID、交易金额、IP等基础字段。
2. 切片匹配：根据预定义的切片规则（如决策树、哈希分桶、聚类标签），将当前交易映射到对应切片。
3. 策略路由：从配置中心拉取该切片绑定的策略集（规则列表、模型阈值、验证方式）。
4. 风险判定：执行规则引擎或模型推理，输出风险评分与处置动作（放行/增强验证/拦截）。
5. 结果回流：将判定结果写入日志，用于切片效果评估与策略调优。