1. 支付风控漂移检测概述

1.1 什么是风控漂移

风控漂移（Risk Control Drift）是指在支付风控系统中，由于用户行为模式、交易环境、攻击手法或宏观经济等因素的渐进式变化，导致原有风控模型或规则体系的判别能力随时间推移而衰减的现象。这种漂移并非突发故障，而是一种缓慢、隐蔽、持续的性能退化。

风控漂移通常表现为以下三种形态：

1.2 漂移检测在支付场景中的重要性

支付场景对风控漂移检测有极高的时效性要求，原因如下：

• 资金损失直接且快速：每延迟一分钟发现漂移，可能造成数十万笔交易绕过风控拦截。
• 攻击手法持续进化：黑产团伙会主动探测风控边界，利用漂移窗口期发起"慢速攻击"或"低频试探"。
• 监管合规压力：央行及清算机构要求支付机构具备持续的风控有效性评估能力，漂移检测是合规审计的关键证据。
• 用户体验与安全平衡：漂移可能导致误杀率上升，影响正常用户支付体验，进而造成业务流失。

下表总结了漂移检测失效可能引发的连锁后果：

1.3 实时批次监控的核心理念

实时批次监控（Real-time Batch Monitoring）是介于纯实时流处理与离线批处理之间的一种混合监控模式。其核心理念可以概括为："以固定时间窗口为批次单位，对流式数据进行微批处理，在批次边界执行漂移检测计算"。

该模式在支付风控漂移检测中具有以下关键特征：

• 微批窗口化：将连续的交易流按固定时间窗口（如1分钟、5分钟）切分为小批次，每个批次独立进行统计计算。
• 状态复用与增量计算：利用Flink的ValueState或MapState保存历史窗口的统计摘要，避免每次全量重算。
• 多粒度对比：支持"当前批次 vs 上一批次"、"当前批次 vs 昨日同期"、"当前批次 vs 历史基线"等多维度漂移检测。
• 低延迟与高吞吐兼顾：相比纯实时单条处理，微批模式能显著降低计算开销；相比离线批处理，又能将延迟控制在分钟级。

下图展示了实时批次监控在支付风控漂移检测中的整体架构与数据流转：

上图清晰地展示了从多源数据接入、消息队列缓冲、Flink微批处理到漂移检测计算与最终决策输出的完整链路。实时批次监控的核心优势在于：在保证秒级/分钟级延迟的前提下，利用批处理的统计稳定性，有效过滤单条交易噪声，提升漂移检测的信噪比。