3. 实时特征基础：实时特征的计算流程与典型举例

实时特征与离线特征最本质的区别在于计算触发方式与响应时效。离线特征依赖批量调度（T+1 或小时级），而实时特征必须在事件发生的毫秒级窗口内完成采集、计算与输出。本节将拆解实时特征的标准计算流程，并给出金融风控中最常见的两类实时特征实例。

3.1 实时特征的计算流程

一个完整的实时特征计算流程通常包含四个阶段：事件捕获 → 流式计算 → 特征加工 → 结果下发。下图展示了这一标准流水线架构。

3.2 典型实时特征举例

在金融风控场景中，有两类实时特征几乎覆盖了 80% 的线上决策需求：当前设备指纹与实时交易频次。下面分别拆解它们的计算逻辑与数据流。

3.2.1 当前设备指纹

设备指纹不是简单的设备 ID，而是由多个硬件与软件因子组合而成的实时拼接特征。其计算流程如下表所示：

3.2.2 实时交易频次

实时交易频次是风控引擎中最常用的滑动窗口聚合特征。其核心在于窗口定义与计数策略。下图展示了基于 Flink 的实时频次计算逻辑。

实时交易频次在代码层面的核心逻辑通常使用 Flink 的 keyBy + window(SlidingEventTimeWindows) 实现。以下是一个简化示例：

// Flink SQL 风格：实时交易频次计算
CREATE TABLE trade_events (
  user_id    STRING,
  device_id  STRING,
  amount     DOUBLE,
  event_time TIMESTAMP(3),
  WATERMARK FOR event_time AS event_time - INTERVAL '5' SECOND
) WITH (...);

-- 滑动窗口聚合：过去 1 小时，每笔事件触发一次
SELECT
  user_id,
  COUNT(*) AS trade_count_1h,
  SUM(amount) AS trade_amount_1h,
  HOP_START(event_time, INTERVAL '1' MINUTE, INTERVAL '1' HOUR) AS window_start
FROM trade_events
GROUP BY
  user_id,
  HOP(event_time, INTERVAL '1' MINUTE, INTERVAL '1' HOUR);

3.3 实时特征 vs 离线特征：计算流程对比

为了更直观地理解实时特征在计算流程上的特殊性，下表将其与离线特征进行逐项对比：