风控巡检指南：real-time risk与告警阈值调优 - 第1节
1.1 实时风控的定义与核心价值
实时风控（Real-time Risk Control）是指在业务事件发生的瞬间（毫秒至秒级），通过流式计算引擎与规则/模型引擎，对事件进行风险识别、评估与处置的技术体系。其核心价值在于：在风险造成实质性损失之前，完成拦截或干预。
| 维度 | 传统风控（离线/准实时） | 实时风控 |
|---|---|---|
| 处理延迟 | 分钟级 ~ T+1 | 毫秒级 ~ 秒级 |
| 数据源 | 离线数仓、批量日志 | 实时事件流、设备指纹、行为埋点 |
| 计算引擎 | MapReduce、Spark Batch | Flink、Storm、Spark Streaming |
| 决策模式 | 事后分析、批量评分 | 事件驱动、在线评分、动态阈值 |
| 典型输出 | 报表、离线黑名单 | 实时拦截、二次验证、限流熔断 |
关键指标：实时风控系统通常要求 P99 延迟 ≤ 200ms，吞吐量 ≥ 10,000 TPS，决策准确率 ≥ 99.5%。
1.2 实时风控的典型应用场景
1.2.1 支付场景
- 盗刷拦截：基于交易金额、地理位置、设备指纹、历史行为，实时判断是否为盗刷。
- 反洗钱：对高频小额、拆分交易、夜间异常交易进行实时预警。
- 支付限流：当支付成功率下降或失败率突增时，自动触发限流阈值。
1.2.2 登录场景
- 撞库攻击：同一 IP 在短时间内大量尝试不同账号，触发登录频率阈值。
- 异地登录：用户登录地理位置与历史行为模式不符，触发二次验证。
- 设备异常：设备指纹与账号绑定的常用设备不一致，触发风险评分。
1.2.3 信贷场景
- 申请反欺诈：同一设备/手机号/身份证在短时间内多次申请，触发多头借贷规则。
- 交易监控：放款后资金流向异常（如流向赌博平台），实时冻结。
- 额度动态调整：根据用户实时行为数据，动态降低或提升授信额度。
实战经验：支付场景对延迟最敏感（通常要求 < 100ms），信贷场景对准确率要求最高（误杀率 < 0.1%）。
1.3 实时风控系统架构总览
下图展示了一个典型的实时风控系统核心架构，涵盖数据接入、实时计算、决策引擎与处置执行四个层级：
1.4 实时风控与传统风控的决策流程对比
传统风控的决策流程通常是“事后分析 → 批量更新 → 次日生效”，而实时风控的决策流程是“事件触发 → 毫秒级评分 → 即时处置”。下面通过一个具体的登录场景对比两者的差异：
注意：实时风控并非完全替代传统风控，两者通常互补。传统风控用于深度分析、模型训练与离线报表；实时风控用于在线拦截与即时处置。
1.5 实时风控的核心挑战
- 延迟与吞吐的平衡：高并发场景下，如何在毫秒级内完成特征计算与模型推理。
- 动态阈值调优：业务流量存在周期性波动（如大促、秒杀），静态阈值容易误杀或漏过。
- 特征实时性：部分特征（如设备指纹、IP 信誉）需要实时查询外部服务，可能成为瓶颈。
- 规则与模型的迭代：黑产手法快速演变，规则和模型需要频繁更新，且不能影响在线服务。
- 可观测性：需要实时监控决策分布、延迟、误杀率、漏过率，并快速定位异常。