1. 风控巡检概述：实时交易风控的重要性、巡检系统架构、SQL在风控中的核心作用
1.1 实时交易风控的重要性
在金融交易链路中，从用户发起支付到资金清算完成，通常只有几百毫秒的决策窗口。实时风控巡检正是在这个窗口内，对每一笔交易进行多维度风险扫描，拦截欺诈、盗刷、洗钱等异常行为。
| 风险场景 | 典型特征 | 巡检关注点 |
|---|---|---|
| 盗刷交易 | 短时间内异地、异设备高频支付 | 交易频率、IP/设备指纹突变 |
| 洗钱拆分 | 大额资金拆分为多笔小额转账 | 单日累计金额、收款方聚集度 |
| 账户盗用 | 登录后立即修改密码并发起转账 | 行为序列异常、操作间隔过短 |
| 套现风险 | 信用卡在非营业时间大额消费 | 交易时间分布、商户类别码偏离 |
核心指标：实时风控巡检的SLA通常要求单笔交易决策延迟 < 100ms，巡检覆盖率 > 99.9%，误报率 < 0.5%。任何巡检延迟或漏报都可能导致直接资金损失。
1.2 巡检系统架构
实时风控巡检系统采用分层架构，从上到下分为接入层、计算层、存储层和告警层。SQL在其中承担数据提取、聚合计算和阈值比对的核心职责。
架构要点：SQL在计算层承担“规则引擎”角色，通过
SELECT COUNT(*), SUM(amount), AVG(interval) 等聚合函数，在滑动时间窗口内实时计算交易特征，并与存储层的历史基线进行比对。
1.3 SQL在风控中的核心作用
SQL是连接实时数据与风控规则的桥梁。在巡检系统中，SQL承担以下三类核心任务：
- 特征提取：从原始交易流中提取用户、设备、商户等维度的统计特征，如“过去5分钟同一IP的交易笔数”。
- 阈值比对：将实时计算的特征值与预设阈值或动态基线进行比较，输出是否触发告警。
- 基线更新：定期从历史数据中计算新的阈值基线，确保告警规则适应业务变化。
| SQL能力 | 风控场景示例 | 典型SQL片段 |
|---|---|---|
| 滑动窗口聚合 | 统计用户最近5分钟交易笔数 | COUNT(*) OVER (PARTITION BY user_id ORDER BY trans_time RANGE BETWEEN INTERVAL '5' MINUTE PRECEDING AND CURRENT ROW) |
| 比率计算 | 计算同一设备失败交易占比 | SUM(CASE WHEN status='FAIL' THEN 1 ELSE 0 END) * 1.0 / COUNT(*) |
| 动态阈值比对 | 当前交易金额是否超过历史均值3倍 | amount > (SELECT AVG(amount) + 3*STDDEV(amount) FROM history WHERE user_id = ?) |
| 异常序列检测 | 同一账户在1秒内连续修改密码+转账 | LAG(event_type) OVER (PARTITION BY account_id ORDER BY event_time) = 'CHANGE_PWD' AND event_type = 'TRANSFER' |
巡检陷阱：SQL窗口函数中的
RANGE 与 ROWS 语义差异容易导致特征计算偏差。例如 RANGE BETWEEN INTERVAL '5' MINUTE PRECEDING 按时间范围计算，而 ROWS BETWEEN 100 PRECEDING 按行数计算，两者在数据稀疏场景下结果可能完全不同。巡检SQL必须明确指定窗口语义。
1.4 巡检SQL的稳定性要求
实时风控巡检对SQL的稳定性要求远高于离线分析。任何SQL执行超时、语法错误或数据倾斜都可能导致巡检中断，造成风险漏报。
实训目标：本课程将带领学员掌握如何编写高性能、高稳定性的巡检SQL，并学会通过阈值稳定性分析来优化告警准确率，最终实现实时风控巡检的“零漏报、低误报”。