2、风控基础概念：什么是风控、常见风控场景（反欺诈、反洗钱、信用评估）、特征与规则的区别
2.1 什么是风控
风控（Risk Control） 是指通过一系列策略、模型和技术手段，识别、评估、监测并缓释业务中潜在风险的过程。在实时计算语境下，风控的核心目标是 在毫秒级时间内 对每一笔交易、每一次登录、每一个用户行为做出风险判断，从而在损失发生前进行拦截或干预。
实时风控的三大核心能力：
- 实时感知：毫秒级捕获用户行为事件（如支付、转账、登录）。
- 实时计算：基于流式计算引擎（如 Flink）对事件进行特征提取与规则匹配。
- 实时决策：输出“通过/拒绝/人工审核”等决策结果，并反馈至业务系统。
2.2 常见风控场景
实时风控广泛应用于金融、电商、社交、游戏等领域的多个业务场景。以下是三种最核心的风控场景：
| 场景 | 目标 | 典型风险行为 | 实时检测手段 |
|---|---|---|---|
| 反欺诈 | 识别并阻止虚假交易、账户盗用、恶意注册 | 短时间内高频支付、异地登录后立即大额转账、设备指纹异常 | 设备指纹聚类、IP 信誉库、行为序列异常检测 |
| 反洗钱 | 监测并上报可疑资金流动，符合监管合规要求 | 结构化拆分转账（Smurfing）、快进快出、跨境高频交易 | 交易网络图分析、金额阈值规则、时间窗口累计监测 |
| 信用评估 | 实时评估用户或交易的信用风险，辅助授信决策 | 多头借贷、历史逾期、收入与消费不匹配 | 实时征信查询、多头借贷特征计算、收入模型评分 |
场景联动提示： 在实际业务中，同一笔交易可能同时触发反欺诈和反洗钱规则。例如，一笔来自高风险地区的 5 万元转账，既需要判断是否为盗用账户（反欺诈），也需要判断是否涉及洗钱（反洗钱）。Flink 的实时流处理能力可以同时运行多套规则集，实现多场景并行检测。
2.3 特征与规则的区别
在风控系统中，特征（Feature） 和 规则（Rule） 是两个极易混淆但本质不同的概念。理解它们的区别是设计实时风控特征巡检系统的前提。
| 维度 | 特征（Feature） | 规则（Rule） |
|---|---|---|
| 定义 | 从原始数据中提取的、用于描述用户或交易行为的量化指标 | 基于特征或原始数据定义的、用于触发决策的逻辑条件 |
| 示例 | “过去 5 分钟内该用户的交易次数” = 3 次 | “如果过去 5 分钟内交易次数 > 5，则拒绝交易” |
| 输出 | 数值、类别、向量（如 3、0.85、[1,0,1]） | 布尔值（True/False）或决策动作（通过/拒绝/审核） |
| 可变性 | 相对稳定，特征定义通常长期不变 | 频繁调整，业务策略变化时规则会快速迭代 |
| 计算位置 | 通常在 Flink 等流计算引擎中完成 | 可在规则引擎（如 Drools）、Flink CEP 或外部决策服务中执行 |
| 复用性 | 高，同一特征可被多条规则引用 | 低，规则通常针对特定场景定制 |
2.4 为什么实时风控需要特征巡检
传统风控系统通常只关注规则是否被触发，而忽略了特征本身的质量和稳定性。实时风控特征巡检的核心价值在于：
- 提前发现特征异常：特征值突然升高或降低，可能预示着数据源故障、业务模式变化或攻击手段升级。
- 降低规则误报/漏报：当特征分布发生偏移时，基于旧分布设定的规则阈值可能失效，巡检可以及时发现并触发规则调整。
- 提升模型可解释性：通过巡检特征的变化趋势，可以解释模型评分波动的原因，辅助风控分析师定位问题。
常见误区： 不要将特征巡检等同于规则监控。规则监控关注的是“规则是否被触发”，而特征巡检关注的是“特征值是否在预期范围内”。前者是事后统计，后者是事前预警。在 Flink 实时流处理中，特征巡检通常使用滑动窗口计算特征的均值、方差、分位数等统计量，并与基线进行对比。