Flink 实时特征计算与滑动窗口

Flink 实时流式特征计算平台 (Flink Streaming Real-Time Feature Computation Platform) 是实时风控与反欺诈体系的心脏级数据管道；系统接收来自 Kafka 事件总线（每秒数百万事件）的实时用户行为流，基于 Apache Flink 强大的分布式状态计算能力 (RocksDB State Backend) 与事件时间水位线 (Event Time Watermark)，毫秒级增量计算各实体的动态时序特征：1) 滑动时间窗口统计 (Sliding Windows: 如“过去 1 分钟/5 分钟/1 小时内当前银行卡/设备在不同商户的刷卡次数与总金额”)；2) 关联熵与离散度特征 (Entropy: 如“过去 10 分钟该 IP 关联的不同 User ID 数量”)；3) 指数加权移动平均 (EWMA: 捕捉突增速度与偏离均值的异常方差)；计算结果以秒级甚至毫秒级写入在线分布式 KV (Redis/Aerospike) 供风控引擎毫秒级点查。

盗刷实时拦截、暴力破解防护、撞库攻击检测、异常转账聚集度识别。

离线 T+1 批处理特征完全无法捕捉正在发生的黑产快节奏攻击（黑产洗钱通常在数秒内完成分流）；Flink 实时流计算将特征感知时延从数小时压缩至 100ms 以内，实现“正在被攻击即可瞬时感知”。

详细剖析 Event Time、Processing Time 与 Ingestion Time 在乱序网络事件下的区别，以及 Watermark 水位线容忍延迟的设计？

Flink 滑动窗口 (Sliding Window: 窗口 1 小时，滑动步长 1 秒) 的状态爆炸问题，如何通过增量聚合函数 (AggregateFunction) 降维优化？

Exactly-Once 精确一次处理语义在 Flink 算子状态与下游 Redis/Kafka 写入中的两阶段提交 (2PC / Chandy-Lamport Checkpointing) 实现？

实时风控中的“实体关联特征（如同手机号关联设备数、同设备关联银行卡数）”如何通过 HyperLogLog 算法实现基数极速估算？

当 Flink 任务发生故障重启时，如何通过 Savepoint 与 RocksDB 状态后端在数秒内快速恢复百 GB 级别的窗口时序状态？