1. 课程导论：什么是实时风控巡检？为什么需要 SQL 与 PSI 结合？
1.1 实时风控巡检的定义
实时风控巡检是一种持续、自动化的数据监控机制，它通过高频扫描交易流水、用户行为、设备指纹等实时数据流，在毫秒至秒级内识别出偏离正常模式的异常交易，并触发告警或阻断动作。与传统的离线风控报表不同，实时巡检强调低延迟与高覆盖率，是反欺诈、反洗钱、交易拦截等场景的核心防线。
核心特征：
- 实时性：数据从产生到被检测的时间窗口通常小于 5 秒。
- 自动化：无需人工干预，规则引擎或模型自动执行巡检逻辑。
- 可解释性：巡检结果必须能回溯到具体的 SQL 查询或特征偏移。
1.2 为什么需要 SQL 与 PSI 结合？
单一技术手段无法覆盖实时风控巡检的全部需求。SQL 擅长结构化数据查询与规则匹配，而 PSI（Population Stability Index，群体稳定性指标）擅长监控特征分布漂移。两者结合形成“规则 + 分布”的双层监控体系：
| 维度 | SQL 监控 | PSI 监控 |
|---|---|---|
| 检测对象 | 单笔交易、聚合指标（如 5 分钟内同 IP 交易次数） | 特征分布（如交易金额分箱、设备类型占比） |
| 检测方式 | 规则引擎执行预定义 SQL 查询 | 计算实时分布与基准分布的 PSI 值 |
| 优势 | 精确、可解释、延迟低 | 能发现未知模式、对抗特征衰减 |
| 局限 | 依赖人工规则，易被绕过 | 对稀疏特征敏感，计算开销较大 |
| 典型场景 | 单日累计转账超限、黑名单命中 | 交易金额分布突变、渠道占比异常 |
实践建议：在实时巡检中，先用 SQL 规则做第一层快速过滤（毫秒级），再对通过规则但特征分布异常的交易做 PSI 二次校验（秒级），实现“快 + 准”的平衡。
1.3 实时风控巡检的双层架构
下图展示了 SQL 与 PSI 在实时巡检流水线中的协作关系：
1.4 课程目标与学习路径
本课程旨在帮助风控、数据、反欺诈岗位的从业者，掌握从零搭建实时风控巡检系统的核心技能。通过 30 个章节的案例式教学，你将学会：
- SQL 监控实战：编写高效的实时风控 SQL，涵盖聚合窗口、滑动计数、黑名单关联等高频模式。
- PSI 监控实战：计算实时 PSI、设定阈值、处理稀疏特征与空桶问题。
- SQL + PSI 联合巡检：设计双层流水线，实现规则与分布的双重校验。
- 异常处置与复盘：告警降噪、自动化阻断、巡检效果评估。
前置要求：建议具备基础 SQL 语法知识（SELECT、GROUP BY、窗口函数）和基本统计学概念（分布、分箱）。本课程会提供完整的 SQL 脚本和 PSI 计算代码，无需提前精通。
1.5 学习路径总览
课程按“基础 → 进阶 → 实战”三阶段组织，每阶段聚焦一个核心能力：
| 阶段 | 章节范围 | 核心能力 | 产出物 |
|---|---|---|---|
| 基础篇 | 第 1–10 章 | SQL 实时规则编写 + PSI 计算原理 | 单规则巡检脚本、PSI 计算函数 |
| 进阶篇 | 第 11–20 章 | 多层规则编排、PSI 阈值调优、联合巡检 | 双层巡检流水线、告警策略配置 |
| 实战篇 | 第 21–30 章 | 全链路异常交易案例、系统集成与复盘 | 完整巡检看板、复盘报告模板 |
每章均包含可运行的代码片段、真实风控场景的案例数据以及巡检结果的可视化分析。建议按顺序学习，并在本地数据库或 Flink 环境中同步练习。
学习建议：准备一个 MySQL 或 PostgreSQL 测试库，导入课程提供的模拟交易表（约 10 万行），边学边跑 SQL 和 PSI 脚本，效果远优于只看不练。