2. 异常交易巡检体系概述
异常交易巡检是实时风控系统稳定性的最后一道防线。它通过周期性、自动化的检查任务，主动探测风控决策链路中的潜在异常，确保每一笔交易都能被正确、及时地处理。本章将系统阐述巡检的定义、与实时拦截的核心区别，以及巡检系统的核心能力矩阵。
2.1 巡检的定义
在实时风控领域，巡检（Proactive Inspection） 是指按照预设的时间周期或事件触发条件，对风控系统的运行状态、数据质量、规则生效情况、模型输出结果等进行自动化检查的过程。巡检的目标是在异常扩散之前发现隐患，而非等待用户投诉或业务损失发生后再被动响应。
核心原则：巡检是“主动发现”，而非“被动告警”。它要求系统具备自我检查、自我修复的能力，是风控稳定性保障的基石。
巡检的典型特征包括：
- 周期性：按分钟、小时、天等固定频率执行。
- 自动化：无需人工干预，由调度引擎自动触发。
- 可观测：巡检结果可量化、可追踪、可告警。
- 可修复：部分巡检项支持自动修复或半自动修复。
2.2 巡检与实时拦截的区别
实时拦截与异常巡检是风控体系中“防守”与“体检”的关系。实时拦截负责在交易发生时做出即时决策，而巡检负责在交易发生后或系统空闲时检查决策的正确性。两者的核心差异如下表所示：
| 对比维度 | 实时拦截 | 异常巡检 |
|---|---|---|
| 触发时机 | 交易发生时（同步） | 固定周期或事件触发（异步） |
| 处理延迟 | 毫秒级（< 100ms） | 秒级到分钟级 |
| 核心目标 | 阻止异常交易通过 | 发现系统或数据异常 |
| 数据范围 | 单笔交易上下文 | 批量交易或系统快照 |
| 失败影响 | 单笔交易决策失败 | 批量检查失败或漏检 |
| 典型场景 | 黑名单拦截、额度校验 | 规则未生效、模型漂移、数据延迟 |
关键认知：实时拦截追求“快”，巡检追求“准”。两者互为补充，共同构成风控系统的完整稳定性保障体系。没有巡检的实时拦截，如同没有体检的运动员，风险会在不知不觉中积累。
下图展示了实时拦截与异常巡检在风控流程中的位置关系：
2.3 巡检系统的核心能力矩阵
一个成熟的异常交易巡检系统，需要具备以下四大核心能力。这四项能力共同构成了巡检系统的稳定性保障基础：
| 能力维度 | 能力描述 | 关键指标 | 典型场景 |
|---|---|---|---|
| 数据完整性巡检 | 检查风控依赖的数据源是否完整、无延迟、无丢失 | 数据延迟时间、缺失率、重复率 | 交易流水延迟超过阈值、黑名单数据未同步 |
| 规则有效性巡检 | 验证风控规则是否按预期加载、编译、执行 | 规则命中率、规则执行耗时、规则异常率 | 规则未生效、规则执行超时、规则配置错误 |
| 模型稳定性巡检 | 监控模型输出分布、特征漂移、模型版本一致性 | PSI（群体稳定性指标）、特征空值率、模型响应时间 | 模型分数偏移、特征缺失、模型版本回退 |
| 系统健康度巡检 | 检查风控服务的基础设施、中间件、网络连通性 | CPU/内存使用率、接口可用率、连接池状态 | Redis 连接异常、数据库连接池耗尽、服务宕机 |
常见误区：很多团队只关注“系统健康度巡检”，而忽略了“数据完整性”和“规则有效性”巡检。实际上，数据延迟和规则失效是导致风控漏过的最常见原因，其危害往往比系统宕机更大。
下图展示了巡检系统核心能力矩阵的架构关系：
2.4 巡检系统的关键设计原则
在设计异常交易巡检系统时，需要遵循以下原则，以确保系统的高效性和可靠性：
- 最小侵入原则：巡检任务不应影响实时拦截的性能。巡检应使用独立的资源池或低优先级线程，避免与核心链路争抢资源。
- 可观测性原则：巡检结果必须可量化、可追踪。每个巡检项都应输出明确的指标值、阈值和状态，便于后续分析和告警。
- 分级告警原则：根据异常严重程度设置不同的告警级别。例如：P0（紧急） 表示系统不可用，需立即响应；P1（严重） 表示功能受损，需在 30 分钟内处理；P2（警告） 表示潜在风险，需在 24 小时内排查。
- 自愈优先原则：对于已知的、可复现的异常模式，优先实现自动修复逻辑，减少人工介入成本。
实践建议：在搭建巡检系统初期，建议从“数据完整性巡检”和“规则有效性巡检”入手，这两个维度最容易发现风控系统的隐蔽问题，且实现成本相对较低。待系统稳定运行后，再逐步扩展至模型稳定性和系统健康度巡检。