Come Razorpay ha costruito l’anomaly detection in tempo reale con Amazon MSK

Quando processi oltre 500 milioni di transazioni al mese, ogni secondo di anomalia non rilevata significa pagamenti falliti e fiducia dei merchant erosa. Le soglie statiche che funzionavano con migliaia di merchant collassano alla scala di milioni. Razorpay, una delle maggiori società fintech indiane, ha affrontato questo problema costruendo ADA (Anomaly Detection and Alerting), una piattaforma real-time basata su Amazon MSK (Managed Streaming for Apache Kafka) e Apache Flink.

Il caso è rilevante per chi lavora nel data engineering perché mostra un pattern ricorrente nel fintech ad alta scala: un layer di streaming affidabile e ad alto throughput non è un’ottimizzazione, ma un prerequisito. La piattaforma dati di Razorpay elabora oltre 5 miliardi di eventi al giorno, e ogni transazione, settlement e disbursement deve essere monitorato per anomalie sistemiche, regressioni di latenza e frodi come il card-testing.

MSK come backbone, Flink per la detection

Nell’architettura, Amazon MSK svolge quattro funzioni: ingestion con durabilità a tre repliche, distribuzione delle regole di detection (le definizioni AdaDSL vengono pubblicate su un topic snapshot e consumate da Flink come broadcast stream, con aggiornamenti hot-reloadable senza restart), isolamento multi-tenant a livello di topic e disaccoppiamento tra producer e consumer. Apache Flink è il motore stateful: consuma da MSK con semantica exactly-once, calcola aggregati per finestra, arricchisce lo stream con baseline pre-calcolate su ClickHouse e valuta le regole (soglia, ML e CEP per pattern come cinque declini consecutivi seguiti da un successo).

DSL dichiarativo e risultati

Il fulcro è AdaDSL: gli esperti di dominio dichiarano cosa rilevare, non come, e una singola definizione compila sia in Materialized View di ClickHouse sia in pattern Flink CEP. Secondo Razorpay, il sistema rileva anomalie in meno di 30 secondi, mantiene un uptime del 99,99% e ha ridotto i costi di monitoraggio di circa l’80% rispetto all’architettura precedente (che costava circa 500.000 dollari l’anno, metà licenze e metà infrastruttura). Le baseline adattive calendar-aware hanno ridotto i falsi positivi di oltre il 90% rispetto alle soglie statiche.

• Separare la definizione delle regole dall’esecuzione ha permesso di passare da decine a migliaia di regole senza sforzo ingegneristico proporzionale.
• MSK come backbone unico serve trasporto eventi, distribuzione delle regole (broadcast state), isolamento tenant e replay basato su offset.
• L’approccio ibrido Flink + ClickHouse gioca sui punti di forza di ciascun motore: detection stateful sub-minuto e baseline storiche deterministiche.

Fonte: How Razorpay Built Real-Time Anomaly Detection with Amazon MSK — https://aws.amazon.com/blogs/big-data/how-razorpay-built-real-time-anomaly-detection-with-amazon-msk/