風控系統之CEP-Esper還是Flink？

最新 06-11

CEP的概念的核心是沿著時間軸維度的數據分析，把數據流作為輸入，根據一系列預定義的規則，把數據（或部分數據）重定向給監聽者；當發現數據流中的隱含的模式（Pattern）時觸發事件。在大量數據被產生出來並需要進行實時地分析的場景下，CEP特別有用。

Flink官網的一個簡單案例：數據中心機架的溫度被實時監控，每隔一小段時間，監控系統收到一個當前溫度報告，當溫度超過閾值時會產生Warning事件，連續兩個Warning事件會產生Alert事件，Alert事件則會觸發降溫的動作。

以下圖片非常形象地說明了數據處理與事件處理的區別，摘自商業產品Sybase CEP的相關資料：

在線上金融服務中，用戶的所有操作都可以視為一連串的事件，基於時間窗口分析可以發現一些規律。例如，在我們農村電動車摩托車消費分期的場景中，通常辦單頻度很低，如果過去一小時內在同一個網點出現超過3起貸款申請，可以視為經銷商套現風險，需要加強審核；如果過去一小時內，同一個縣的訂單，出現多個工作單位信息一樣的用戶，也有可能是團伙欺詐。類似的風險提示規則會有非常多，而且隨著業務的發展，風控團隊的經驗累積，會形成非常龐大的規則庫，不同於通常規則引擎所處理的基於數據的規則，這些都是基於事件的規則。

風控團隊需要強有力的工具，來快速創建和管理這樣的CEP規則，並且實時監控系統中的事件流。CEP系統可以顯著提高系統的監控和分析能力。

前述Flink網站上那個溫度監控器的例子，如果用普通手段，比如Java代碼實現，非常複雜，業務團隊無法直接操作，開發上線周期漫長，無法跟上市場變化，而在Flink平台上用短短几行代碼就可以實現這種業務事件Pattern：

如果是程序員，哪怕從來沒有接觸過Flink，應該也能看懂大概的意思，明白它比從頭開始從Java代碼來實現要簡單很多。利用Flink CEP，即Flink 的複雜事件處理庫，用戶可以快速檢測無盡數據流中的複雜模式。

Esper是一個歷史悠久的純Java開源複雜事件和事件流引擎，可以監測事件流，並在特定事件發生時觸發某些動作。Esper性能良好，能夠實時或者接近實時處理事件（或消息），具有高吞吐量、低響應時間和支持複雜計算等特點。並且Esper的EPL是對業務人員非常友好的類SQL工具，例如，計算最近兩次溫度監控器數據的平均溫度：

通過引入時間窗口的概念，用戶可以用類似SQL的語法分析一個時間窗口內的所有事件。

Flink和Esper之間還存在一些顯著的區別如下:

- Esper內置存儲資料庫，Flink只是一個處理框架，依賴外部數據存儲；

- Esper提供了類SQL的複雜事件處理語言，非常簡單易用，而Flink目前通過API提供類似功能；

- Esper的集成性對於傳統的企業軟體比較友好，而Flink誕生於開源社區，更容易與各種流行的開源工具集成(例如Kafka)；

- Esper相對比較穩定，從2008年發布第一個版本到現在，使用的用戶眾多，而Flink大概在2015年才有第一個穩定版本；

- Esper也有商業產品，Flink是Apache旗下完全開源的項目

相對而言，如果不購買大廠的商業產品，當下，Esper是更靠譜的選擇，不過Flink也前途光明。

原創Fintech領域技術、產品和商業模式全球觀察

每日7:00AM準時推送

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！