1. 课程导学与背景：实时风控与稳定性巡检的行业痛点、PSI 在风控中的核心价值、Flink CEP 为何成为首选技术栈
1.1 实时风控与稳定性巡检的行业痛点
在金融、电商、支付等高并发场景中，风控系统每天需要处理数亿笔交易与行为事件。传统的离线批处理或规则引擎已无法满足业务对毫秒级响应的要求。以下是当前行业面临的核心痛点：
| 痛点维度 | 具体表现 | 业务影响 |
|---|---|---|
| 时效性不足 | 离线计算 T+1 产出特征，无法拦截实时欺诈 | 资金损失、用户投诉、监管处罚 |
| 规则僵化 | 静态规则无法应对黑产快速变种 | 漏报率上升，模型衰减加速 |
| 特征分布漂移 | 模型上线后特征分布随时间变化，未及时发现 | 模型失效，决策质量断崖式下降 |
| 巡检效率低 | 人工巡检依赖日志和看板，无法自动发现异常 | 故障发现延迟，MTTR 居高不下 |
| 系统稳定性脆弱 | 流量突增、数据倾斜、状态膨胀导致任务崩溃 | 服务中断，SLA 不达标 |
核心矛盾： 风控系统需要在毫秒级延迟内，同时完成“交易风险判定”和“模型稳定性巡检”两个任务。传统架构将两者割裂，导致运维成本高、响应滞后。
1.2 PSI（Population Stability Index）在风控中的核心价值
PSI 是衡量模型输入特征分布稳定性的关键指标。在风控场景中，模型依赖大量特征（如交易金额、设备指纹、行为序列）进行评分。一旦特征分布发生漂移，模型输出将不可信。
PSI 计算公式：
PSI = Σ ( (Actual_i - Expected_i) * ln(Actual_i / Expected_i) )其中 Actual_i 为当前窗口第 i 个分箱的样本占比，Expected_i 为基准窗口第 i 个分箱的样本占比。PSI 值越大，分布偏移越严重。
| PSI 区间 | 稳定性等级 | 建议动作 |
|---|---|---|
| < 0.1 | 稳定 | 无需干预 |
| 0.1 ~ 0.25 | 轻度漂移 | 触发告警，人工复核 |
| > 0.25 | 严重漂移 | 立即熔断模型，切换备用策略 |
实践要点： PSI 监控不能只做离线日级计算。在实时风控中，特征分布可能在数分钟内发生剧烈变化（如大促活动、黑产集中攻击），必须采用滑动窗口 + 实时计算的方式，将 PSI 计算延迟控制在秒级。
PSI 在风控中的核心价值体现在三个层面：
- 模型健康度预警： 在模型评分出现明显偏差前，提前发现特征分布异常。
- 自动化巡检闭环： 将 PSI 作为稳定性巡检的核心指标，联动告警、熔断、回滚等自动化动作。
- 降低人工运维成本： 替代人工每日核对特征分布报表，实现 7×24 小时无人值守监控。
1.3 Flink CEP 为何成为首选技术栈
Flink CEP（Complex Event Processing）是 Apache Flink 提供的复杂事件处理库，专门用于在无界数据流中检测事件模式。在实时风控与稳定性巡检场景中，Flink CEP 相比其他技术栈具有显著优势：
| 对比维度 | 传统规则引擎（Drools） | 流计算（Spark Streaming） | Flink CEP |
|---|---|---|---|
| 事件时间语义 | 不支持 | 支持有限 | 原生支持 Event Time + Watermark |
| 复杂模式匹配 | 支持，但状态管理弱 | 需自行实现状态机 | 内置 NFA 引擎，支持时序、循环、否定模式 |
| 状态容错 | 无 | Checkpoint 粒度粗 | Exactly-Once 语义 + 增量 Checkpoint |
| 延迟 | 毫秒级（单机） | 秒级（微批） | 毫秒级（纯流式） |
| PSI 计算集成 | 需外部计算 | 需额外开发 | UDAF + CEP 模式直接嵌入 |
选型陷阱： 部分团队选择自研 CEP 引擎或基于 Redis + Lua 实现模式匹配。在数据量超过 10 万 TPS 时，自研方案的状态管理、容错、扩缩容能力均无法与 Flink CEP 相比，长期维护成本极高。
Flink CEP 在实时风控与稳定性巡检中的具体优势：
- 事件时间对齐： 风控事件天然具有时间属性（交易时间、登录时间），Flink CEP 的 Event Time 语义能正确处理乱序和延迟事件，避免因网络抖动导致误判。
- 模式组合灵活： 支持
followedBy、next、within、times等算子，可轻松定义“5 分钟内同一设备登录 3 个不同账户”等复杂风控规则。 - 状态与容错一体化： Flink 的状态后端（RocksDB / Heap）配合 Checkpoint，使得 CEP 模式匹配的状态可以持久化，任务重启后自动恢复，不丢不重。
- 与 PSI 计算天然融合： 在同一个 Flink 作业中，既可以用 CEP 做实时规则匹配，又可以用 AggregateFunction 或 UDAF 计算滑动窗口内的 PSI 指标，避免数据搬运。
课程核心路线： 本课程将带领你从零搭建一套基于 Flink CEP 的实时风控稳定性巡检系统，涵盖事件建模、CEP 规则编写、PSI 实时计算、告警熔断、作业调优与生产化部署。每一章都配有可运行的代码示例与架构图，确保学完即用。