1. 风控巡检概述
1.1 实时风控的定义
实时风控（Real-time Risk Control）是指在交易或用户行为发生的瞬间（毫秒至秒级），通过规则引擎、机器学习模型及流式计算技术，对风险事件进行识别、评估与阻断的决策过程。其核心目标是在资金损失或欺诈行为完成之前，完成风险判断与处置。
关键指标：实时风控系统通常要求 P99 响应时间 ≤ 100ms，吞吐量 ≥ 10,000 TPS（每秒交易笔数），误杀率 ≤ 0.1%。
1.2 巡检在风控体系中的定位
巡检（Inspection）是风控体系中的持续监控与验证层，位于决策引擎之后、运营复盘之前。它不直接参与实时决策，而是对决策结果、系统状态、数据质量进行周期性或事件驱动的检查，确保风控策略始终有效。
风控体系的分层架构如下表所示：
| 层级 | 名称 | 核心职责 | 时间粒度 |
|---|---|---|---|
| L1 | 实时决策层 | 规则/模型打分、黑白名单、设备指纹校验 | 毫秒级 |
| L2 | 巡检监控层 | 告警阈值监控、异常交易检测、策略漂移识别 | 秒级~分钟级 |
| L3 | 离线分析层 | 批量特征计算、模型训练、深度调查 | 小时级~天级 |
| L4 | 运营反馈层 | 案件审核、策略调优、黑产情报更新 | 天级~周级 |
巡检定位：巡检是连接实时决策与离线分析的“腰部力量”。当实时决策出现漏报或误杀时，巡检层是第一个发现异常并触发告警的环节。
1.3 实时巡检与离线分析的差异
实时巡检与离线分析在时效性、数据范围、计算模式、输出形式四个维度存在本质区别。理解这些差异是设计巡检系统的前提。
| 对比维度 | 实时巡检 | 离线分析 |
|---|---|---|
| 时效性 | 秒级~分钟级延迟，事件驱动或周期触发 | 小时级~天级延迟，批量调度 |
| 数据范围 | 当前窗口数据（如最近 5 分钟交易流） | 全量历史数据（如过去 30 天交易表） |
| 计算模式 | 流式计算（Flink/Spark Streaming） | 批式计算（Hive/Spark SQL） |
| 输出形式 | 告警事件、实时阻断、动态阈值调整 | 分析报告、模型迭代、策略复盘 |
| 典型场景 | 短时间内同设备多账户登录告警 | 月度欺诈模式变化趋势分析 |
常见误区：不要试图用离线分析替代实时巡检。离线分析无法在交易发生瞬间做出响应；实时巡检也无法替代离线分析的深度挖掘能力。两者是互补关系，而非替代关系。
1.4 实时巡检的核心价值
- 缩短风险暴露窗口：从小时级缩短至秒级，减少欺诈分子利用时间差套利的机会。
- 动态策略校准：根据实时流量波动自动调整告警阈值，避免“静默漏报”或“告警风暴”。
- 降低运营成本：通过自动化巡检替代人工盯屏，释放风控运营人力。
- 提升合规能力：满足监管对交易监控的实时性要求（如反洗钱可疑交易实时上报）。
实践建议：在搭建实时巡检系统时，优先覆盖“高频、高金额、高敏感”三类交易场景，逐步扩展至全品类。