2. 风险迁移基础概念：什么是批次风险、迁移策略、实时与离线对比
在商户风险诊断领域，批次风险迁移是指将原本基于离线数据仓库（T+1）的批量风险评分流程，逐步或整体迁移至实时计算引擎（如 Apache Flink）上执行的过程。理解这一迁移的前提，需要先厘清三个核心概念：批次风险、迁移策略以及实时与离线的本质差异。
2.1 什么是批次风险
批次风险（Batch Risk）是指以固定时间窗口（通常为每日、每小时）为单位，对商户的历史交易、行为、工商、黑名单等数据进行集中扫描，输出风险评分或风险等级的过程。其典型特征包括：
- 周期性触发：由调度系统（如 Airflow、Crontab）定时启动。
- 全量或增量扫描：每次处理过去 N 小时/天的全部数据。
- 结果滞后：从数据产生到风险评分输出，通常存在数小时到一天的延迟。
- 高吞吐、低实时性：适合大规模历史回溯，但不适合秒级拦截。
关键指标： 批次风险场景下，商户风险识别延迟通常为 T+1（次日）或 T+2h（两小时后），无法覆盖实时欺诈、盗刷等紧急场景。
2.2 迁移策略：从离线到实时的路径
风险迁移并非一次性“大爆炸”式替换，而是遵循渐进式策略。常见的迁移路径分为以下三个阶段：
| 阶段 | 策略名称 | 核心动作 | 典型周期 |
|---|---|---|---|
| 第一阶段 | 并行双跑 | 离线批次与实时 Flink 作业同时运行，结果对比校验，确保实时逻辑正确。 | 1-2 个月 |
| 第二阶段 | 混合迁移 | 将部分低延迟要求的风控规则（如黑名单、设备指纹）迁移至实时；高计算量特征（如社交网络分析）仍保留离线。 | 2-4 个月 |
| 第三阶段 | 全量实时 | 所有风险特征计算、模型推理、决策输出均在 Flink 中完成，离线仅做历史归档与复盘。 | 4-6 个月 |
实践建议： 迁移初期务必保留离线批次作为“兜底”输出，避免实时作业因数据倾斜或状态膨胀导致结果空洞。
2.3 实时与离线对比：核心差异
为了更直观地理解迁移的必要性与挑战，下表从多个维度对比离线批次与实时流处理的差异：
| 对比维度 | 离线批次（T+1） | 实时流处理（Flink） |
|---|---|---|
| 数据延迟 | 分钟级 ~ 天级 | 秒级 ~ 毫秒级 |
| 计算模式 | 批量扫描，全量或增量 | 事件驱动，逐条或微批 |
| 状态管理 | 无状态或依赖外部存储 | Flink 内置 Keyed State + Checkpoint |
| 容错机制 | 任务重跑 | Exactly-Once 语义 + 状态恢复 |
| 适用场景 | 历史趋势分析、月度报表、模型训练 | 实时拦截、在线评分、动态阈值 |
| 资源消耗 | 高峰集中，低谷闲置 | 持续平稳，需弹性伸缩 |
2.4 风险迁移核心流程图
下图展示了从离线批次到实时 Flink 的典型迁移架构，包含数据源、计算引擎、结果输出三个层级：
2.5 迁移中的关键风险点
在迁移过程中，以下三个问题最容易引发生产事故，需要提前规划应对：
- 数据一致性断裂：实时流处理中，由于乱序、迟到数据或状态回溯，可能导致实时评分与离线历史评分不一致。建议在迁移初期保留离线结果作为参照基线。
- 状态膨胀与 OOM：Flink 的 Keyed State 若未合理设置 TTL（Time-To-Live），长时间运行后可能撑爆堆内存。必须为每个状态算子配置
StateTtlConfig。 - 窗口语义差异：离线批次使用固定的日历时间窗口（如 00:00-23:59），而实时流处理使用事件时间 + watermark。两者对跨天数据的归属可能不同，需在迁移时对齐窗口边界。
避坑提醒： 不要将离线批次的 SQL 逻辑直接“翻译”成 Flink SQL 就上线。离线批次的全局聚合、笛卡尔积、无界表关联在实时流中会导致状态无限增长或计算超时。必须重构为增量聚合 + 维表异步 IO 的模式。
2.6 实时与离线对比示意图
以下 SVG 从时间轴和数据处理模式两个维度，直观对比离线批次与实时流处理的差异：