3. CEP 概念与核心原理：事件、模式、模式序列、NFA 引擎工作原理

复杂事件处理（CEP）是实时风控人群切片的核心计算范式。要理解 Flink CEP 如何在毫秒级从海量无序事件流中识别出“高风险人群行为模式”，必须先掌握其四大基石：事件、模式、模式序列以及NFA（非确定性有限自动机）引擎的工作原理。本节将从概念到实现，逐一拆解这些核心要素。

3.1 事件（Event）—— 风控的最小数据单元

在 CEP 语境下，事件是流中不可变、已发生的事实记录。每个事件通常包含一个时间戳和一组业务属性。在风控场景中，一个事件即一次用户行为，例如“登录”、“下单”、“修改密码”。

3.2 模式（Pattern）—— 单一匹配条件

模式定义了对单个事件或事件序列的匹配规则。Flink CEP 的 Pattern API 采用链式调用构建匹配条件。一个模式由三要素组成：事件类型约束、条件谓词、量词。

• 事件类型约束：通过 .where() 指定事件必须满足的 Java/Python 谓词。
• 条件谓词：支持 equals、greaterThan、regex 等。
• 量词：定义事件出现的次数，如 .oneOrMore()、.times(3)、.optional()。

// 示例：定义“单笔交易金额超过 5000”的模式
Pattern<Event, ?> highValueTrade = Pattern
    .<Event>begin("trade")
    .where(new SimpleCondition<Event>() {
        @Override
        public boolean filter(Event event) {
            return event.getType().equals("TRADE")
                && event.getAmount() > 5000;
        }
    });

3.3 模式序列（Pattern Sequence）—— 行为链条的编排

单一模式只能匹配孤立事件，而风控需要识别行为链条。模式序列通过 .next()、.followedBy()、.followedByAny() 等操作符将多个模式串联成有向图。

3.4 NFA 引擎工作原理 —— 状态跃迁的数学基础

Flink CEP 底层使用非确定性有限自动机（NFA）作为模式匹配引擎。NFA 的核心思想是：将每个模式序列编译成一个状态机，事件流驱动状态机在多个可能路径上并行跃迁。

3.5 模式匹配的完整生命周期

Flink CEP 将 NFA 引擎与 DataStream API 深度集成，其运行时流程可分为四个阶段：

1. 编译阶段：将用户定义的 Pattern 序列编译为 NFA 状态图（NFACompiler）。
2. 运行阶段：每个并行 subtask 维护一个 NFA 状态机实例，事件到达后驱动状态跃迁。
3. 匹配阶段：当 NFA 到达终止状态时，将当前路径上的事件序列封装为 PatternMatch 输出。
4. 超时处理：通过 within() 注册的定时器触发时，未完成路径被清理并可选输出超时告警。

3.6 核心原理总结