用户画像与标签体系：画像建模、标签存储与应用

画像建模链路：
原始行为（事件流）→ 特征 → 标签 → 画像（用户维度聚合）
  · 事件：点赞帖 A、关注用户 B、搜索「AI」
  · 特征：对内容类目 C 的 7 日互动次数
  · 标签：爱好 = {技术, AI}，活跃度 = 高
  · 画像：user_profile(uid) → 全量标签集合

标签 vs 特征的区别：
□ 特征（Feature）：数值型、模型用、讲究精度
  · 如 7 日互动次数、平均浏览时长
□ 标签（Tag）：符号型、人可读、讲究语义
  · 如 兴趣-技术、活跃度-高、风险-疑似刷号
□ 关系：标签由特征加工而来，特征供模型实时取用

画像分层：
□ 基础画像：性别年龄、设备、地域（注册/声明获得）
□ 兴趣画像：内容偏好（类目、主题、作者类型）
□ 行为画像：活跃时段、互动习惯、创作习惯
□ 关系画像：关注结构、社群归属、影响力
□ 风险画像：异常行为、可信度（供风控）

画像的正确姿势：
□ 画像不是「贴死标签」，而是「带权重的概率判断」
□ 画像随时间衰减：兴趣会变，标签要有新鲜度

标签体系分层设计：
□ 一级类目：兴趣 / 行为 / 属性 / 关系 / 风险
□ 二级主题：兴趣-技术、兴趣-生活、行为-活跃度...
□ 标签值：技术-AI、活跃度-高、风险-疑似机器人

标签规范（防止随意造标签）：
□ 标签必须挂在体系树上：不允许野生标签
□ 标签有明确定义：口径、来源、更新频率
□ 标签有负责人：类目 owner 维护与淘汰
□ 标签数量控制：核心标签精而不多（宁缺毋滥）

标签属性：
□ 类型：布尔（是否）/ 枚举（高/中/低）/ 数值（分数）
□ 时效：标签有效期（兴趣标签 30 天滚动）
□ 置信度：标签可信程度（数据量决定）
□ 来源：声明/行为推断/模型预测/人工

标签治理流程：
标签提案 → 评审（口径 + 价值）→ 上线 → 监控质量 → 淘汰
□ 标签集市：消费方（推荐/风控/运营）认领与提需求
□ 标签血缘：每个标签知道「从哪些数据怎么算出来的」

常见坑：
□ 标签爆炸：人人随意造标签 → 无法维护
□ 口径打架：两个团队同义标签不同算法
□ 僵尸标签：上线没人用、没人维护

两种存储形态：
□ 正排（Profile）：uid → 标签集合
  · 场景：推荐/风控按用户取特征、运营看单用户
  · 存储：KV（Redis / HBase / 宽表）
□ 倒排（Inverted Index）：标签 → 用户集合
  · 场景：圈选「喜欢技术的用户」做实验/运营
  · 存储：位图（Roaring Bitmap）/ 倒排索引

双写架构：
用户行为 → 画像计算 → 更新正排 → 增量更新倒排
□ 正排实时性要求高：推荐/风控要实时取
□ 倒排延迟可容忍：运营圈选可离线批量

存储工程细节：
□ 标签版本：画像带版本号，消费方知道数据新鲜度
□ 历史画像：保留标签变更历史（可回溯、可回滚）
□ 稀疏优化：绝大多数用户只有少量标签 → 稀疏存储
□ 批量读写：倒排用位图压缩，亿级用户标签集合可秒查

画像服务：
□ 读路径：画像 API（uid → 画像）毫秒级返回
□ 写路径：异步批量更新（事件 → 队列 → 计算 → 存储）
□ 缓存分层：热用户画像缓存，冷用户按需算

事件模型（见埋点篇）：
□ 标准事件：publish / like / repost / follow / view / search
□ 事件属性：对象 ID、类目、作者、时长、来源
□ 用户标识：uid + device_id（统一身份）

特征提取方式：
□ 计数类：7 日/30 日各事件次数、类目分布
□ 比率类：互动率（互动/曝光）、阅读完成率
□ 时间类：活跃时段分布（小时直方图）、活跃天数
□ 序列类：行为路径、主题漂移（近期关注变化）
□ 文本类：搜索词、发帖内容的主题分布

特征计算窗口：
□ 实时窗口：近 5 分钟/1 小时（用于实时推荐特征）
□ 短窗口：近 1/7 天（兴趣近期变化）
□ 长窗口：近 30/90 天（稳定画像）
□ 全量：历史累计（长期属性）

特征质量保障：
□ 数据完整性：事件丢失/乱序 → 特征失真
□ 口径一致：同类事件在离线/在线计算口径统一
□ 特征校验：统计分布监控（均值/分位数漂移报警）
□ 回溯能力：特征可离线重算（支持模型重训）

特征存储：
□ 在线特征：Redis/内存（毫秒级取）
□ 离线特征：特征库（宽表/Hive）批量使用
□ 特征服务：统一特征 API，模型在线读取

实时画像（在线）：
□ 输入：实时事件流（Kafka → Flink）
□ 计算：增量更新热点标签（如刚点赞的技术类目加权）
□ 输出：实时画像层，供推荐/风控即时取用
□ 价值：捕捉「此刻兴趣」，支撑实时推荐

离线画像（批量）：
□ 输入：历史全量事件（Hive/数仓）
□ 计算：复杂标签（聚类、模型推断、关系分析）
□ 输出：全量画像层 + 标签集市更新
□ 价值：复杂模型、全量计算、长周期画像

协同设计：
□ 实时画像给「短期信号」，离线画像给「稳定画像」
□ 两套合并：最终画像 = 离线基础 + 实时增量
□ 冲突处理：离线覆盖/实时叠加要有明确优先级

调度与管道：
□ 离线调度：每日/每周全量画像更新（批处理）
□ 实时管道：事件 → 聚合 → 增量写正排
□ 数据湖/仓库：原始事件长期保留，支持重算与回溯

画像血缘与版本：
□ 每次画像更新带版本 + 时间戳
□ 标签来源可追溯（哪批数据、哪个模型算的）
□ 画像事故可回滚（算法错了能回退到上一版）

合规红线：
□ 最小化：只收集实现功能所必需的行为数据
□ 透明：告知用户收集什么、用来做什么（隐私政策）
□ 授权：敏感数据的收集使用需用户同意（opt-in）
□ 删除权：用户可查看/导出/删除自己的画像数据
□ 不碰的禁区：精确位置、通讯录、生物特征（除非必要）

脱敏与匿名化：
□ 脱敏：数据展示前替换/模糊（手机号、设备标识）
□ 聚合：只保留群体统计，不保留个体明细
□ 差分隐私：查询结果加噪，保护个体
□ 假名化：uid 替换为随机标识，切断外部关联

工程落地：
□ 数据分类分级：敏感数据字段打标，不同等级不同管控
□ 访问控制：画像数据按角色/用途授权，全链路审计
□ 留存周期：画像数据设置 TTL，过期自动删除
□ 画像导出/删除 API：响应用户「被遗忘权」请求
□ 跨境合规：数据出境需评估与备案（地区差异）

产品侧：
□ 画像偏好设置：用户可关闭个性化推荐（退订）
□ 透明界面：「为什么推荐这个」的解释
□ 申诉通道：对画像标签有异议可申诉修正

质量维度：
□ 准确性：标签是否反映真实情况（与事实/用户自评比对）
□ 覆盖度：多少用户有有效画像（冷启动用户覆盖）
□ 新鲜度：画像是否跟上最近行为变化
□ 一致性：不同口径算出的同义标签是否冲突
□ 时效衰减：长期不活跃用户的画像是否还有效

质量评估方法：
□ 抽样人工标注：抽用户看画像是否符合实际
□ 行为回验：画像预测的行为是否发生（如标签-技术 用户后续是否读技术内容）
□ 用户反馈：用户对推荐的负反馈率（画像错误的间接信号）
□ 覆盖率监控：新用户多久能形成可用画像（冷启动时长）

质量治理：
□ 标签置信度阈值：低置信标签不入库（宁缺毋滥）
□ 画像缺失兜底：冷启动用户用「热门偏好 + 相似人群」填充
□ 定期重算：画像按周期重算，清除陈旧标签
□ 质量看板：准确性/覆盖度/新鲜度/一致性四项监控

冷启动画像：
□ 新用户：用注册信息 + 热门标签兜底
□ 行为积累后：渐进补充，别用「猜的」冒充「算的」
□ 冷启动画像单独标记（低置信），下游不能当真实画像用

画像在推荐链路中的位置：
□ 召回阶段：兴趣标签 → 候选内容池
  · 「爱技术」→ 召回技术类内容
  · 行为画像 → 相似人群在看什么
□ 排序阶段：画像特征进入排序模型
  · 兴趣强度、活跃时段、类目偏好作为特征
□ 解释阶段：画像标签提供推荐理由
  · 「因为你关注了 AI」→ 提升推荐信任

画像 vs 模型的关系：
□ 画像标签给「可解释的粗粒度」信号
□ 排序模型给「高精度的数值」信号
□ 两者配合：标签召回 + 模型精排

画像驱动的推荐策略：
□ 兴趣召回：标签-内容类目匹配
□ 新鲜度加权：近期兴趣标签权重高（捕捉热点迁移）
□ 多样性控制：画像聚合度太强 → 信息茧房
  · 画像要同时保留「稳定偏好」与「探索空间」

应用工程：
□ 画像特征实时取：排序模型在线读取画像特征
□ 标签权重：不同标签对推荐的影响可调
□ 画像实验：推荐实验里画像策略可 A/B（见实验篇）

信息茧房治理：
□ 画像只是偏好，不是牢笼：保留探索类目配额
□ 画像分层展示：推荐结果兼顾「喜欢」与「新鲜」

风控画像场景：
□ 账号可信度：新号/僵尸号/水军的特征画像
  · 注册时间、行为模式、关系结构
□ 异常行为画像：刷量、恶意互动、违规内容生产者
□ 用户风险分层：正常 / 可疑 / 高风险（处置参考）

风控信号画像化：
□ 行为统计：发布频率、互动频率、操作速度异常
□ 关系结构：粉丝构成、互关网络、集中度
□ 设备指纹：设备复用、多账号同设备
□ 内容特征：发布内容的相似度、违规率

画像与风控的结合：
□ 风险标签入库：供实时风控决策（见限流/治理篇）
□ 风控画像动态更新：异常行为实时标记
□ 风险画像分级：预警（观察）→ 处置（限流/封禁）

工程实现：
□ 实时风险画像：事件驱动更新（命中规则即时加权）
□ 离线风险分析：图分析发现水军网络
□ 处置联动：画像 → 风控引擎 → 处置动作 → 画像回写
□ 误伤控制：风险画像要有置信度，低置信不触发处置

伦理边界：
□ 风控画像只用于平台安全，不用于歧视性决策
□ 处置透明可申诉：用户对封禁/限流可复核
□ 画像数据与推荐/广告隔离使用（用途分离）