4. 风险事件模型：事件模型设计原则、标准事件字段与扩展属性设计

风险事件模型是实时风控系统的“数据骨架”。一个设计良好的事件模型，决定了规则引擎的匹配效率、特征计算的准确性以及后续告警调优的可观测性。本节从设计原则出发，定义标准字段，并给出扩展属性的最佳实践。

4.1 事件模型设计原则

在构建事件模型时，需遵循以下四项核心原则，以确保模型在高速、高并发场景下的健壮性与灵活性。

4.2 标准事件字段定义

标准字段是所有风险事件必须携带的公共属性，用于支撑跨场景的全局特征计算与规则匹配。以下为推荐的标准字段清单：

4.3 扩展属性设计

扩展属性用于承载业务特有的上下文信息，如商品 ID、优惠券金额、收货地址等。为避免标准字段膨胀，推荐使用 扁平 KV 结构 或 嵌套 JSON 两种模式。

4.3.1 扁平 KV 模式（推荐）

适用于字段数量可控（通常 < 20 个）、查询频率高的场景。所有扩展字段平铺在 ext Map 中。

{
  "event_id": "evt_20250321143000_a1b2c3",
  "user_id": "U10086",
  "behavior_type": "payment",
  "ext": {
    "order_id": "ORD20250321001",
    "amount": 1999.00,
    "currency": "CNY",
    "coupon_id": "CPN_SAVE50",
    "payment_channel": "wechat"
  }
}

4.3.2 嵌套 JSON 模式

适用于字段层级深、结构复杂的场景（如物流信息、多商品订单）。但需注意：嵌套过深会降低 Flink/Spark 等实时计算引擎的解析性能。

{
  "event_id": "evt_20250321143000_d4e5f6",
  "user_id": "U10086",
  "behavior_type": "order_create",
  "ext": {
    "order": {
      "items": [
        {"sku": "SKU001", "price": 299.00, "quantity": 2},
        {"sku": "SKU002", "price": 99.00, "quantity": 1}
      ],
      "shipping": {
        "address": "北京市朝阳区...",
        "method": "express"
      }
    }
  }
}

4.4 事件模型架构图

下图展示了从客户端行为采集到事件模型落地的完整链路，以及标准字段与扩展属性在架构中的位置。

4.5 扩展属性设计对比

在实际工程中，选择哪种扩展属性模式取决于业务场景与性能要求。下表从多个维度进行对比：

4.6 事件模型设计检查清单

在完成事件模型设计后，建议对照以下清单进行复核，避免遗漏关键点：

• 唯一性： 每个事件是否都有全局唯一的 event_id？
• 时间精度： timestamp 是否精确到毫秒？是否统一使用 UTC+0？
• 设备指纹兜底： 当设备指纹无法采集时，是否有降级策略（如使用 IP + User-Agent 组合）？
• 行为类型枚举： 是否维护了统一的 behavior_type 枚举表？是否支持新增枚举而不影响已有规则？
• 扩展属性上限： 是否对 ext 字段的大小设置了上限（如单事件不超过 10 KB）？
• 敏感信息脱敏： 扩展属性中是否包含手机号、身份证等 PII 信息？是否在采集层进行了脱敏或加密？