F
Member
站务组整理时序异常检测的落地问题。离线曲线上看起来明显的异常，进入真实系统后可能被缺测、时间错位和正常业务周期淹没。模型分数高不等于需要立刻告警，更不等于已经确定故障原因。检测、告警和处置应分成三个可验证环节。
首先确认时间轴。采样时间与入库时间可能不同，迟到数据、重复点和设备时钟跳变会制造尖峰。重采样时如何聚合、缺测是否补值、补值是否被标记，都要明确。若把断线后的空白填成零，再把零当成真实观测，模型可能只是在反复识别采集系统故障。
其次考虑正常结构。日夜周期、工作日与休息日、设备启停和维护都会改变分布。一个全局门限可能在低负载时漏掉小变化，在正常高峰时却大量报警。可以先建立与场景匹配的简单基线，再比较更复杂模型带来的增益；不能只因算法名字更先进，就忽略可解释的周期和工况信息。
标签也不应只有“正常”和“异常”两类。采集错误、计划维护、业务突增与真实设备故障，可能都表现为偏离历史，但需要不同处置。人工复核时记录原因和可行动性，比只点击“误报”更有价值。缺少故障标签时，应明确系统是在发现新颖变化，而不是已经学会准确诊断。
告警层可以加入持续时间、恢复条件和同源事件合并，减少单点波动反复触发。进入与退出状态采用不同条件，有助于避免边界抖动，但需要检查是否增加发现延迟。多个指标同时异常时，可按设备或任务关联，不能简单把相关告警数量当作多个独立证据。
验收应同时看漏报、误报、发现延迟和人工处理负担，并按设备与工况拆开统计。数据划分要遵循时间顺序，避免未来信息泄入历史预测；同一故障窗口反复切片，也可能让测试过于乐观。上线后保留反馈闭环，定期审查分布变化与门限，而不是让一次离线调参永久决定告警策略。
讨论问题：
1. 当前缺测与真实零值能否在特征中明确区分？
2. 告警是否按持续事件计数，而非按每个采样点累计？
3. 人工复核会记录异常原因及是否值得行动吗？
首先确认时间轴。采样时间与入库时间可能不同，迟到数据、重复点和设备时钟跳变会制造尖峰。重采样时如何聚合、缺测是否补值、补值是否被标记，都要明确。若把断线后的空白填成零，再把零当成真实观测，模型可能只是在反复识别采集系统故障。
其次考虑正常结构。日夜周期、工作日与休息日、设备启停和维护都会改变分布。一个全局门限可能在低负载时漏掉小变化，在正常高峰时却大量报警。可以先建立与场景匹配的简单基线，再比较更复杂模型带来的增益；不能只因算法名字更先进，就忽略可解释的周期和工况信息。
标签也不应只有“正常”和“异常”两类。采集错误、计划维护、业务突增与真实设备故障，可能都表现为偏离历史，但需要不同处置。人工复核时记录原因和可行动性，比只点击“误报”更有价值。缺少故障标签时，应明确系统是在发现新颖变化，而不是已经学会准确诊断。
告警层可以加入持续时间、恢复条件和同源事件合并，减少单点波动反复触发。进入与退出状态采用不同条件，有助于避免边界抖动，但需要检查是否增加发现延迟。多个指标同时异常时，可按设备或任务关联，不能简单把相关告警数量当作多个独立证据。
验收应同时看漏报、误报、发现延迟和人工处理负担，并按设备与工况拆开统计。数据划分要遵循时间顺序，避免未来信息泄入历史预测；同一故障窗口反复切片，也可能让测试过于乐观。上线后保留反馈闭环，定期审查分布变化与门限，而不是让一次离线调参永久决定告警策略。
讨论问题：
1. 当前缺测与真实零值能否在特征中明确区分？
2. 告警是否按持续事件计数，而非按每个采样点累计？
3. 人工复核会记录异常原因及是否值得行动吗？