4. 命中率定义与计算：策略命中率的数学定义、统计口径

在 IDP 与 Crossplane 策略联动场景中，命中率是衡量策略有效性的核心指标。它直接反映了策略规则对真实流量的覆盖能力，也是后续误报分析的基础。本节从数学定义出发，明确三种统计口径及其计算边界。

4.1 命中率的数学定义

设网络设备或 IDP 引擎在观测周期 T 内处理的总流量事件集合为 U，其中被某条 Crossplane 策略规则匹配的事件集合为 M，由匹配事件触发告警的事件集合为 A。则命中率 H 定义为：

H = |M ∩ A| / |U| × 100%

其中：

• |U|：总流量事件数（统计口径一）
• |M|：匹配策略规则的事件数（统计口径二）
• |M ∩ A|：既匹配策略又产生告警的事件数（有效命中）

4.2 三种统计口径对比

实际工程中，命中率计算依赖不同的分母选择，直接影响指标解读方向。下表列出三种主流口径及其适用场景：

4.3 统计口径选择与计算流程

在 Crossplane 策略编排环境中，推荐按以下步骤确定命中率统计口径：

1. 确定观测窗口：通常取 5 分钟、1 小时或 24 小时，与 IDP 告警聚合周期对齐。
2. 采集原始数据：从 IDP 引擎导出 U（总流量日志）、M（策略匹配日志）、A（告警日志）。
3. 关联去重：以五元组（源 IP、目的 IP、源端口、目的端口、协议）加时间戳为键，关联 M 与 A，得到 M ∩ A。
4. 计算三组命中率：分别代入上述公式，得到三个维度的指标。
5. 选择主指标：日常监控推荐使用匹配流量命中率作为策略有效性的主指标，辅以告警流量命中率用于误报排查。

4.4 命中率计算示例（SVG 流程）

下图展示一个具体的命中率计算流程，假设某 IDP 设备在 1 小时内处理了 10,000 条流量事件：

4.5 命中率与误报率的联动关系

命中率并非孤立指标，它与误报率存在直接数学关联。在固定策略规则集下，命中率升高通常伴随误报率上升，反之亦然。下表展示两者在不同场景下的典型表现：

4.6 统计口径的工程实现要点

• 数据源对齐：确保 IDP 引擎、Crossplane 策略控制器、告警平台使用同一时钟源，避免因时间偏差导致关联失败。
• 去重策略：同一流量事件可能被多条策略匹配，此时应取优先级最高的策略作为命中来源，避免重复计数。
• 采样影响：若 IDP 启用流量采样（如 sFlow），需在命中率计算时乘以采样比进行校正，否则会低估总流量命中率。
• 周期对齐：Crossplane 策略的评估周期应与 IDP 的统计窗口一致，推荐统一为 60 秒或 300 秒。

spec:
  metrics:
    hitRate:
      type: Gauge
      period: 300s
      denominator: totalFlows
      numerator: effectiveAlerts
    matchRate:
      type: Gauge
      period: 300s
      denominator: matchedFlows
      numerator: effectiveAlerts
  slo:
    targetHitRate: 0.50
    maxFalsePositiveRate: 0.10