2. 风控基础：交易风控常见场景与实时性要求
实时交易风控的核心目标是在毫秒级时间内，对每一笔交易进行风险判定，拦截盗刷、欺诈、洗钱等恶意行为。本章从业务场景、决策引擎、实时性三个维度建立风控基础认知。
2.1 交易风控三大常见场景
根据风险动机和攻击手法的不同，交易风控场景可归纳为以下三类：
| 场景 | 典型行为 | 风控识别特征 | 损失类型 |
|---|---|---|---|
| 盗刷 | 账户密码泄露后，攻击者冒用真实用户身份进行消费、转账 | 异地登录、设备指纹突变、短时间内高频小额试探 | 资金损失 + 用户投诉 |
| 欺诈 | 虚假交易、恶意退款、养号套利、团伙刷单 | 同一IP/设备关联多个账户、交易金额集中、收货地址异常 | 商品/资金损失 + 平台信誉受损 |
| 洗钱 | 通过多级账户、虚拟资产、跨境支付等方式清洗非法资金 | 资金快进快出、结构化转账（低于大额上报阈值）、多层嵌套 | 法律合规风险 + 账户冻结 |
人群切片视角： 盗刷侧重“账户级异常”，欺诈侧重“行为级聚集”，洗钱侧重“资金流图谱”。Kafka 实时流处理能够将这三类特征统一到同一张“人群切片”中，实现跨场景联防。
2.2 规则引擎与模型评分简介
实时风控决策通常采用“规则引擎 + 模型评分”双层架构：
- 规则引擎： 基于专家经验配置的 if-then 逻辑，例如“单笔金额 > 5000 且 交易地 != 常用地 → 拒绝”。规则响应快、可解释性强，适合拦截已知攻击模式。
- 模型评分： 使用机器学习模型（如 XGBoost、深度神经网络）对交易特征进行概率预测，输出 0~100 的风险分。模型能捕捉未知的、复杂的非线性风险模式。
两种方式在实时流水线中的协作关系如下：
决策流水线： 交易事件 → 规则引擎（硬拒绝/放行/待定） → 模型评分（风险分） → 综合决策（通过/人工审核/拒绝）。
2.3 实时性要求与分层延迟指标
交易风控对实时性的要求极为苛刻。不同业务环节的延迟容忍度不同，通常按以下分层定义：
| 层级 | 典型场景 | 目标延迟 | 技术约束 |
|---|---|---|---|
| 在线决策 | 支付、转账、登录 | < 100 ms | 规则引擎 + 本地缓存特征；Kafka 仅做异步日志 |
| 准实时 | 人群切片更新、特征聚合 | < 1 s | Kafka Streams / Flink 窗口聚合；状态存储 |
| 近线 | 模型训练、规则迭代、离线回溯 | 分钟 ~ 小时 | 批处理 + 特征工程流水线 |
常见误区： 很多团队试图将所有风控逻辑都塞进在线决策层，导致延迟超标。正确的做法是将“特征计算”和“人群切片”下沉到准实时层，在线层只做轻量级规则匹配和模型推理。
2.4 Kafka 在实时风控中的定位
Kafka 作为高吞吐、低延迟的消息总线，在实时交易风控中承担以下核心职责：
- 事件采集： 统一接入交易、登录、行为埋点等全量事件流。
- 解耦缓冲： 隔离前端业务系统与风控决策引擎，削峰填谷。
- 状态回溯： 通过 Kafka 的日志保留机制，支持特征回溯和离线重放。
- 人群切片分发： 将实时计算出的“风险人群标签”广播给下游决策节点。
课程核心观点： 人群切片是连接“实时计算”与“决策引擎”的关键中间产物。通过 Kafka 将切片结果以高频率广播给决策节点，风控系统才能做到“千人千面”的实时拦截。