1. 风控概述：实时风控的定义、价值与区别
实时风控（Real-time Risk Control）是指在业务请求发生的毫秒级窗口内，通过在线规则引擎、实时特征计算与模型推理，对交易、登录、支付等行为进行风险判定并执行拦截、验证或放行决策的技术体系。其核心特征是低延迟（通常 < 200ms）与高可用（99.99%+），确保在不影响正常用户体验的前提下阻断欺诈、盗刷、洗钱等恶意行为。
关键指标： 实时风控的决策延迟通常要求 P99 < 100ms，吞吐量需覆盖业务峰值 QPS 的 1.5 倍冗余。
1.1 实时风控在金融/电商/支付领域的核心价值
| 领域 | 核心风险场景 | 实时风控价值 | 典型止损效果 |
|---|---|---|---|
| 金融 | 信用卡盗刷、账户盗用、贷款欺诈 | 交易级实时拦截，保护资金安全 | 欺诈损失降低 60%~80% |
| 电商 | 虚假注册、刷单套利、黄牛抢购 | 识别异常流量，保障公平交易 | 营销资源浪费减少 40%+ |
| 支付 | 洗钱、赌博充值、恶意退款 | 合规拦截与交易链路阻断 | 监管合规风险降低 90%+ |
案例提示： 某头部支付平台接入实时风控后，单日拦截盗刷交易超 12 万笔，平均每笔拦截耗时仅 45ms，用户无感知。
1.2 实时风控与传统离线风控的区别
传统离线风控依赖 T+1 批处理或小时级数据仓库计算，无法在交易发生时做出即时决策。实时风控则通过流式计算引擎（如 Flink、Spark Streaming）与内存数据库（如 Redis）实现毫秒级特征计算与规则匹配。以下从五个维度进行对比：
| 对比维度 | 实时风控 | 传统离线风控 |
|---|---|---|
| 决策时效 | 毫秒级（< 200ms） | 小时级 / T+1 |
| 数据源 | 实时事件流 + 在线缓存 | 离线数仓 / Hive 表 |
| 特征计算 | 滑动窗口 + 内存聚合 | 批量 SQL + 全量扫描 |
| 模型部署 | 在线推理（PMML/ONNX/TF Serving） | 离线评分后写入结果表 |
| 适用场景 | 交易拦截、登录保护、支付验证 | 事后分析、额度调整、黑名单更新 |
| 系统架构 | 流处理 + 规则引擎 + 缓存 | 批处理 + 数仓 + 调度系统 |
避坑提醒： 不要将离线风控的规则直接迁移到实时风控中。离线规则通常包含大量跨天聚合、全表关联等操作，直接迁移会导致实时引擎内存溢出或超时。必须对特征进行滑动窗口重设计。
1.3 实时风控系统核心架构
下图展示了一个典型的实时风控系统架构，涵盖从事件接入到决策输出的完整链路：
1.4 实时风控的关键技术栈
- 流计算引擎： Apache Flink / Spark Streaming — 用于毫秒级特征聚合与窗口计算。
- 规则引擎： Drools / EasyRules / 自研 DSL — 支持热更新规则，无需重启服务。
- 在线模型服务： PMML / ONNX Runtime / TensorFlow Serving — 实现模型实时推理。
- 内存数据库： Redis / Tair — 存储用户画像、设备指纹、黑白名单等高频访问数据。
- 消息队列： Kafka / RocketMQ — 解耦事件生产与消费，保证数据不丢失。
工程实践： 某电商大促期间实时风控系统峰值 QPS 达到 28 万，通过 Flink 的 Keyed State 与 Redis 集群分片，P99 延迟控制在 85ms 以内，单日拦截恶意请求超 200 万次。