2. 风控基础概念：交易风控的定义、常见风控模型与实时/离线风控的区别
2.1 交易风控的定义与核心目标
交易风控（Transaction Risk Control）是指在金融交易过程中，通过一系列技术手段与业务规则，对交易行为进行实时或准实时的监测、评估与干预，以识别并阻止欺诈、盗刷、洗钱、恶意套现等高风险交易，同时保障正常用户的交易体验。
其核心目标可归纳为以下三点：
- 降低资金损失：拦截欺诈交易，减少直接经济损失。
- 提升用户体验：减少误杀（假阳性），避免干扰正常用户。
- 满足合规要求：符合监管机构对反洗钱（AML）、反欺诈的审查标准。
关键指标：风控效果通常用 拦截率（Interception Rate） 与 误杀率（False Positive Rate） 衡量。告警阈值优化的核心就是在两者之间找到最佳平衡点。
2.2 常见风控模型：规则引擎 vs. 机器学习模型
现代交易风控体系通常采用“规则引擎 + 机器学习模型”的混合架构。两者在实时交易巡检中扮演不同角色，互为补充。
| 对比维度 | 规则引擎 | 机器学习模型 |
|---|---|---|
| 核心原理 | 基于预定义的业务逻辑（如“单笔金额 > 5000元”触发告警） | 基于历史数据训练，自动学习特征与风险之间的非线性关系 |
| 可解释性 | 高（规则透明，易于审计） | 低（黑盒模型，需借助SHAP/LIME解释） |
| 维护成本 | 高（规则数量膨胀后难以管理） | 中（依赖特征工程与模型迭代） |
| 对新攻击的适应性 | 弱（需人工新增规则） | 强（可检测未知模式） |
| 实时性 | 极高（毫秒级判定） | 较高（依赖模型复杂度与推理引擎） |
| 典型应用场景 | 黑名单匹配、金额阈值、设备指纹校验 | 异常交易评分、团伙欺诈识别、序列行为分析 |
混合架构实践：在实时交易巡检中，通常先由规则引擎进行快速过滤（如“命中黑名单直接拒绝”），再由机器学习模型对剩余交易进行风险评分，最后根据评分阈值决定是否告警或二次验证。
2.3 实时风控与离线风控的区别
在交易风控体系中，实时（Real-time） 与 离线（Offline） 是两种互补的分析模式。告警阈值优化主要作用于实时风控环节，但离线分析为阈值调整提供数据依据。
| 对比维度 | 实时风控 | 离线风控 |
|---|---|---|
| 处理时效 | 毫秒级 ~ 秒级（同步） | 分钟级 ~ 天级（异步） |
| 数据范围 | 当前交易 + 少量上下文（如最近5笔） | 全量历史数据（T+1 或更长窗口） |
| 计算复杂度 | 低 ~ 中（需保证低延迟） | 高（可使用复杂模型与全量特征） |
| 主要任务 | 交易拦截、二次验证、告警触发 | 模型训练、规则挖掘、阈值回溯测试 |
| 典型技术 | Flink / Spark Streaming / Redis | Spark / Hive / Python 批处理 |
| 输出形式 | 通过/拒绝/告警信号 | 分析报告、模型更新、阈值建议 |
阈值优化关键点：实时风控的告警阈值通常由离线风控团队基于历史数据回测确定。阈值设置过严会导致误杀率上升，影响用户体验；设置过松则会导致漏报率上升，增加资金损失风险。本教程后续章节将重点讲解如何通过数据驱动的方法找到最优阈值。
2.4 告警阈值在实时风控中的角色
告警阈值是连接风控模型与业务决策的“开关”。在实时交易巡检中，阈值决定了模型输出的风险评分在什么区间触发告警、二次验证或直接拒绝。阈值优化直接影响风控系统的核心性能指标。
- 阈值过高：漏报率上升，高风险交易被放过，资金损失增加。
- 阈值过低：误报率上升，大量正常交易被拦截或要求验证，用户体验下降，客服成本激增。
- 动态阈值：根据交易场景（如大额转账、跨境支付）、用户画像、设备环境等因素动态调整，是当前业界最佳实践。