3. 特征工程基础：什么是特征、特征分类（静态/动态/衍生）、特征生命周期管理
在实时风控网关中，特征是描述用户、设备、交易或环境某一维度可量化、可观测属性的数据载体。特征工程的质量直接决定了风控模型的识别精度与响应速度。本章将系统讲解特征的定义、分类体系以及全生命周期管理方法。
3.1 什么是特征
特征（Feature）是从原始数据中提取的、用于区分正常行为与风险行为的数值或标签。在风控场景下，特征必须满足三个基本属性：
- 可观测性：能够在请求到达网关时实时获取或计算。
- 区分度：在不同风险等级的用户/交易间存在显著差异。
- 稳定性：在时间窗口内分布相对稳定，不易被恶意篡改。
特征 vs 原始字段：原始字段（如 IP、设备 ID）是未经加工的日志数据；特征是经过聚合、变换、编码后的结构化输入。例如，原始字段“登录时间”经过加工可衍生出“近1小时登录次数”这一特征。
3.2 特征分类：静态 / 动态 / 衍生
根据数据来源与计算方式，风控特征可分为三大类。下表从定义、更新频率、典型示例三个维度进行对比：
| 特征类型 | 定义 | 更新频率 | 典型示例 |
|---|---|---|---|
| 静态特征 | 用户或设备在较长时间内不变的属性 | 天级 / 周级 | 注册时间、设备型号、绑卡数量 |
| 动态特征 | 随每次请求实时变化的上下文属性 | 秒级 / 请求级 | 当前 IP 归属地、请求时间戳、设备电量 |
| 衍生特征 | 基于历史行为通过聚合、统计、序列计算得到的特征 | 分钟级 / 小时级 | 近5分钟交易金额均值、过去24h登录失败次数 |
三类特征在实时风控网关中的角色不同：静态特征用于建立用户画像基线；动态特征提供当前请求的即时上下文；衍生特征则刻画行为模式与异常偏离。
3.3 特征分类体系图
下图展示了三类特征在风控网关中的来源与计算层级关系：
3.4 特征生命周期管理
特征并非一次性产出，而是需要经历从设计到退役的完整生命周期。一个规范的特征生命周期包含以下六个阶段：
- 特征设计：基于业务规则与数据分析，定义特征的计算逻辑、窗口大小、数据类型。
- 特征开发：编写特征计算代码，配置实时计算引擎（如 Flink / Spark Streaming）。
- 特征验证：在离线数据集上验证特征的区分度、缺失率、稳定性（PSI 指标）。
- 特征上线：将特征部署到实时风控网关，配置缓存策略与降级方案。
- 特征监控：持续监控特征的计算延迟、调用量、异常值比例。
- 特征退役：当特征失效、被替代或业务变更时，下线并清理存储资源。
常见陷阱：许多团队只关注特征开发与上线，忽略了验证与监控环节。未经验证的特征可能引入噪声，降低模型 AUC；缺乏监控的特征在数据源变更时可能静默失效，导致误判。
3.5 特征生命周期流程图
下图展示了特征从设计到退役的完整流转路径，以及各阶段的关键产出物：
3.6 特征管理最佳实践
在实时风控网关中，特征管理需要关注以下关键指标：
| 管理维度 | 关键指标 | 建议阈值 | 监控频率 |
|---|---|---|---|
| 特征质量 | 缺失率 | < 5% | 日级 |
| 特征稳定性 | PSI（群体稳定性指标） | < 0.1 | 周级 |
| 计算性能 | P99 计算延迟 | < 50ms | 分钟级 |
| 存储成本 | 特征存储量 | 按业务评估 | 月级 |
核心原则：特征管理应遵循“先验证、后上线；先监控、后优化”的节奏。在实时风控网关中，一个未经监控的特征可能成为整个系统的盲点，导致大量风险事件漏报。