1. 课程导论：Flink CEP 与实时风控概述

1.1 实时风控的挑战与演进

在金融支付、电商交易、账户安全等场景中，欺诈行为正从单点攻击演变为团伙作案、设备指纹模拟、时序试探等复杂模式。传统基于规则引擎（如 Drools）或离线批处理的风控方案面临三大瓶颈：

• 时效性不足：批处理窗口通常为 T+1，无法拦截秒级的多步欺诈链路。
• 模式表达能力弱：单条规则只能匹配独立事件，难以描述“A 事件发生后 5 秒内出现 B 事件且金额超过阈值”这类时序依赖。
• 人群切片粗粒度：静态黑白名单或简单分群无法动态捕捉“高仿冒风险设备 + 新注册账号 + 大额转账”的复合人群。

实时计算引擎 Apache Flink 结合 CEP（Complex Event Processing，复杂事件处理） 库，为上述问题提供了原生解决方案：

1.2 什么是 Flink CEP？

Flink CEP 是 Flink 提供的 事件处理库，允许用户通过 Pattern API 定义事件序列模板，并在无限数据流上实时检测匹配序列。其核心抽象包括：

• 事件（Event）：流中的一条数据，通常包含时间戳、业务 Key（如用户 ID、设备 ID）和属性字段。
• 模式（Pattern）：由多个事件条件通过 followedBy、next、within 等算子组合而成的时序模板。
• 模式流（PatternStream）：将原始 DataStream 应用 Pattern 后生成的匹配结果流。
• 匹配处理（ProcessFunction）：对命中的模式序列执行自定义逻辑，如输出告警、更新人群标签、触发阻断。

// 示例：5 秒内同一设备连续 3 次登录失败后发生转账
Pattern<LoginEvent, LoginEvent> pattern = Pattern
    .<LoginEvent>begin("fail1")
    .where(new SimpleCondition<LoginEvent>() {
        @Override
        public boolean filter(LoginEvent event) {
            return event.getStatus().equals("FAIL");
        }
    })
    .next("fail2")
    .where(...)
    .next("fail3")
    .where(...)
    .within(Time.seconds(5));

1.3 人群切片概念与价值

人群切片（Crowd Slicing） 是指根据实时行为特征、设备指纹、关系图谱等维度，将用户或设备动态划分到不同的风险子集。与静态标签不同，人群切片具备以下特性：

• 实时性：切片结果随事件流入即时更新，延迟在秒级以内。
• 动态性：切片规则可基于 CEP 模式命中自动触发，无需人工干预。
• 可叠加：一个实体可同时属于多个切片（如“高活跃 + 高风险设备”）。

在风控场景中，人群切片直接服务于：

1. 差异化策略：对“新设备 + 大额转账”切片执行二次验证，对“白名单设备”放行。
2. 流量调度：高风险切片进入人工审核队列，低风险切片走自动通过。
3. 模型特征：切片 ID 作为实时特征输入机器学习模型，提升召回率。

1.4 课程目标与学习路径

本课程旨在帮助你从零构建一套基于 Flink CEP 的实时风控人群切片系统。完成学习后，你将能够：

• 掌握 CEP 模式设计：熟练使用 Pattern API 定义时序、量词、窗口和条件。
• 实现实时人群切片：基于 CEP 命中结果动态更新用户/设备的分群标签。
• 优化状态与性能：合理配置 State TTL、Checkpoint 和并行度，应对高吞吐场景。
• 集成外部系统：将切片结果输出到 Redis、Kafka、HBase 等存储，供下游策略引擎消费。

1.5 前置知识速查

在进入后续章节前，请确保你已熟悉以下概念：

• Flink DataStream 编程模型：Source → Transformation → Sink 的基本流程。
• KeyBy 与 KeyedStream：如何按用户 ID、设备 ID 等字段分区。
• 时间语义：EventTime、ProcessingTime 的区别及 Watermark 的作用。
• 状态后端：HashMapStateBackend、RocksDBStateBackend 的适用场景。

若对上述内容存在疑问，建议先复习 Flink 官方文档的“DataStream API 教程”部分，或参考本课程附录中的“Flink 基础速览”章节。