2、实时风控系统架构：数据采集层、实时计算层、规则引擎层、决策输出层

实时风控系统是异常交易人群切片的“作战指挥中心”。一个高可用、低延迟的实时风控架构，通常由四个核心层次构成：数据采集层、实时计算层、规则引擎层和决策输出层。每一层各司其职，又通过标准化的数据接口紧密协作，共同保障从交易事件发生到风险决策输出的端到端延迟控制在毫秒级。

2.1 数据采集层

数据采集层是整个风控系统的“传感器网络”，负责从各类业务系统、中间件和日志流中实时捕获交易事件、用户行为、设备指纹等原始数据。该层必须保证数据采集的完整性、实时性和可靠性，避免因数据丢失导致漏报。

2.2 实时计算层

实时计算层是风控系统的“大脑”，负责对采集到的原始数据进行实时清洗、特征加工、聚合计算和上下文关联。该层通常基于 Flink、Spark Streaming 或 Storm 等流计算引擎构建，通过时间窗口、状态管理和CEP（复杂事件处理）技术，生成规则引擎所需的实时特征变量。

• 特征加工：将原始字段转换为标准化特征，如“近5分钟交易次数”、“跨设备登录次数”、“IP归属地变更频率”。
• 时间窗口聚合：支持滑动窗口（如过去1小时交易总额）和滚动窗口（如当日累计失败次数），窗口粒度可配置。
• 上下文关联：将当前交易与历史行为画像、设备指纹库、关系图谱进行实时关联，识别异常模式。
• 状态管理：维护用户、设备、IP等维度的实时状态，支持状态过期和快照恢复。

// 示例：Flink SQL 实时特征计算（近5分钟交易次数）
CREATE VIEW recent_txns AS
SELECT
  user_id,
  COUNT(*) AS txn_count_5min,
  SUM(amount) AS txn_amount_5min
FROM transaction_stream
WHERE event_time BETWEEN CURRENT_TIMESTAMP - INTERVAL '5' MINUTE AND CURRENT_TIMESTAMP
GROUP BY user_id;

2.3 规则引擎层

规则引擎层是风控策略的“执行中枢”，负责将业务风控策略（如“单日交易超5笔且金额大于1万元”）转化为可执行的规则集，并基于实时计算层输出的特征变量进行高效匹配。规则引擎需要支持动态加载、热更新、优先级排序和规则冲突检测。

2.4 决策输出层

决策输出层是风控系统的“执行终端”，负责将规则引擎的判定结果（通过/拒绝/人工审核/增强验证）转化为具体的业务动作，并同步记录决策日志、触发告警、更新风险画像。该层需要与业务系统（交易、支付、账户）通过RPC或MQ进行松耦合对接，确保决策结果能够快速生效。

• 动作执行：阻断交易、要求短信验证、触发人脸识别、加入观察名单等。
• 日志回写：将决策结果、特征快照、规则命中详情写入离线数仓，用于事后分析和模型迭代。
• 告警通知：对高风险决策（如命中黑名单、金额异常）实时推送告警给风控运营人员。
• 画像更新：实时更新用户/设备/IP的风险标签和统计特征，供后续交易使用。

// 决策输出示例（伪代码）
if (riskLevel == HIGH) {
    blockTransaction(orderId);
    sendAlert("高风险交易拦截", orderId, riskScore);
    updateUserRiskTag(userId, "high_risk");
} else if (riskLevel == MEDIUM) {
    requireSmsVerification(orderId);
    addToWatchList(userId);
} else {
    approveTransaction(orderId);
}

2.5 架构分层对比与选型建议

不同业务规模和延迟要求下，各层的技术选型存在差异。下表总结了主流技术栈及其适用场景，帮助你在实际项目中做出合理选择。