4、Flink CEP核心API：Pattern API详解——个体模式、组合模式、循环模式

Flink CEP 的 Pattern API 是定义事件匹配规则的核心编程接口。它采用链式调用的方式，允许开发者像搭建积木一样，从最简单的单一事件条件开始，逐步组合出复杂的时序逻辑。本章将深入剖析 Pattern API 的三大核心构件：个体模式（Individual Pattern）、组合模式（Combining Pattern） 和 循环模式（Looping Pattern），并结合实时交易风控场景进行讲解。

4.1 个体模式（Individual Pattern）

个体模式是 Pattern API 中最基本的单元，它定义了对单个事件的匹配条件。每个个体模式都包含一个事件类型和一个过滤条件。在风控场景中，一个个体模式可以对应“一笔交易金额大于 10000 元”或“一个登录 IP 来自高风险地区”等单一规则。

4.1.1 核心方法

4.1.2 个体模式分类

• 单例模式（Singleton Pattern）：默认类型，只匹配单个事件。例如：“检测到一笔单笔转账超过 5 万元”。
• 循环模式（Looping Pattern）：通过 .times()、.oneOrMore() 等方法定义，匹配多个同类事件。将在 4.3 节详细展开。

4.2 组合模式（Combining Pattern）

组合模式用于将多个个体模式按照时间顺序连接起来，形成事件序列。它定义了事件之间的时序关系和连续性策略。在风控中，组合模式用于描述“先登录，后交易”或“先下单，后支付，再发货”等业务流程。

4.2.1 组合方式

4.2.2 组合模式示例（风控：盗刷检测）

Pattern<Transaction, ?> fraudPattern = Pattern
    .<Transaction>begin("login")
        .where(evt -> evt.getType().equals("LOGIN"))
        .where(evt -> evt.getGeo().equals("abnormal"))
    .followedBy("txn")
        .where(evt -> evt.getAmount() > 5000)
    .within(Time.minutes(5));

上述规则表示：在 5 分钟内，先发生一次异常地理位置的登录，随后发生一笔超过 5000 元的交易，即触发告警。

4.3 循环模式（Looping Pattern）

循环模式是对个体模式的扩展，用于匹配多个相同类型的事件。它通过指定重复次数来定义“连续发生多次”的行为。在风控中，循环模式常用于检测“短时间内多次尝试”、“批量操作”等场景。

4.3.1 循环量词

4.3.2 循环模式示例（风控：暴力破解检测）

Pattern<LoginEvent, ?> bruteForcePattern = Pattern
    .<LoginEvent>begin("failures")
        .where(evt -> evt.getStatus().equals("FAILED"))
        .times(3)
        .consecutive()
    .next("success")
        .where(evt -> evt.getStatus().equals("SUCCESS"))
    .within(Time.minutes(2));

该规则匹配：在 2 分钟内，连续 3 次登录失败（中间不能有成功登录），紧接着发生一次登录成功，这通常意味着攻击者已破解密码。

4.4 三种模式的关系与组合

下图展示了一个完整的 Flink CEP 规则是如何由个体模式、组合模式和循环模式构建而成的：

4.5 实战对比：三种模式在风控中的典型应用