1. 课程导论：异常交易巡检的背景与挑战、Flink CEP 在风控中的核心价值、课程目标与学习路径

1.1 异常交易巡检的业务背景

在金融交易领域，欺诈手段正从单一规则绕过向团伙作案、设备指纹模拟、时序漂移攻击演进。传统基于静态阈值的风控系统（如单笔金额超限、短时高频调用）存在三大致命短板：

• 滞后性：规则更新依赖人工分析，黑产已利用时间差完成资金转移。
• 误报率高：固定阈值无法适配不同时段、不同客群的交易行为波动。
• 无法识别复杂序列：无法检测“小额试探→大额盗刷→分散转账”这类多步关联行为。

因此，实时流计算与复杂事件处理（CEP）成为金融风控巡检的必然选择。

1.2 Flink CEP 在风控中的核心价值

Apache Flink 的 CEP 库通过 NFA（非确定性有限自动机） 模型，在无界数据流上匹配预定义的事件模式。相比传统规则引擎，其价值体现在：

维度	传统规则引擎	Flink CEP
处理模式	单事件独立判断	多事件时序关联 + 上下文聚合
状态管理	依赖外部存储（Redis/DB）	内置 Keyed State + 定时器，毫秒级回溯
吞吐与延迟	单机瓶颈，延迟秒级	分布式并行，亚秒级延迟
动态调优	需重启服务更新规则	支持动态模式更新 + 阈值热加载

Flink CEP 特别适合以下风控场景：

• 序列异常：如“登录失败 3 次 → 修改密码 → 大额转账”。
• 频次异常：同一设备 1 分钟内发起超过 20 笔交易。
• 金额异常：单笔金额超过历史均值 5 倍，且收款方为新账户。
• 地理异常：两次交易间隔小于 10 分钟，但 IP 归属地跨省。

1.3 课程目标与学习路径

本课程旨在帮助风控工程师与实时计算开发者，系统掌握 Flink CEP 模式设计 与 告警阈值动态调优 两大核心技能。完成学习后，你将能够：

• 独立设计覆盖 90% 常见欺诈场景的 CEP 模式库。
• 基于滑动窗口与统计基线，实现阈值自适应调整，降低 50% 以上误报。
• 在生产环境中部署高可用、低延迟的异常交易巡检作业。

1.4 课程知识体系与章节地图

课程共 30 章，分为四大模块：

模块	章节范围	核心内容
基础篇	第 1-6 章	Flink CEP 原理、模式 API、事件时间与水位线
模式设计篇	第 7-14 章	序列模式、频次模式、金额模式、地理异常模式
阈值调优篇	第 15-24 章	滑动窗口统计、基线建模、动态阈值热加载、A/B 测试
生产实践篇	第 25-30 章	状态调优、监控告警、全链路压测、故障演练