第4章 统计方法入门：均值、标准差、Z-score、箱线图在异常检测中的应用
聊到异常检测，很多朋友第一反应就是“上机器学习”。
其实，最经典、最扛造的，反而是咱们大学就学过的几个统计量。我个人一直觉得，不懂统计的运维，就像不看仪表盘的司机。你连指标“正常值”都定义不了，谈何发现异常？
今天这一章，咱们就掰开了揉碎了，聊聊均值、标准差、Z-score 和箱线图。这几个工具，基本能覆盖你日常80%的单指标异常场景。
4.1 均值与标准差：理解“正常区间”
先说均值（μ）。它就是一组数据的“重心”。但光看均值，信息远远不够。
举个例子。某个接口平均响应时间是200ms。单看这个数，你觉得正常吗？
未必。如果所有请求都在190ms到210ms之间，那200ms确实正常。但如果有50%请求是1ms，另外50%请求是399ms呢？均值还是200ms，但系统表现天差地别。
标准差（σ），就是为了度量这个“波动”的。它告诉我们数据点离均值有多远。
- 标准差小：数据很集中，系统运行平稳。
- 标准差大：数据散得开，可能出现偶发性抖动。
μ + k*σ 来定静态阈值。比如，设置 CPU 使用率告警为 μ + 3σ。这个方法对日常的慢速漂移很有用。
你看，有了均值和标准差，你就能画出一条“正常基线”，而不是凭感觉猜阈值了。
4.2 Z-score：标准化你的异常分数
Z-score 的逻辑非常简单：一个数据点，离均值越远，越可能是异常。
公式就是：
Z = (x - μ) / σ其中 x 是你的观测值，μ 是均值，σ 是标准差。
Z 值表示该数据点偏离了均值几个标准差。
- |Z| > 2：约95%的数据都在这之内，超过就要留意。
- |Z| > 3：这是强信号。我个人习惯把这一档设为严重告警。
但要注意，Z-score 有个前提：数据得近似正态分布。我曾经在监控“用户登录数”时直接用 Z-score，结果正打误撞发现了秒杀活动带来的流量洪峰。但如果是网络延迟那种长尾分布，Z-score 就不太灵了。
4.3 箱线图：抗干扰的“硬汉”
讲完Z-score，你可能觉得“统计挺好，但实操数据都不咋服从正态分布啊...”
没错。所以我不止一次强调：别教条。这时候，就该箱线图登场了。
箱线图的核心驱动力是四分位数：
| 统计量 | 含义 | 我在哪用过 |
|---|---|---|
| Q1（第一四分位数） | 25%的数据小于这个值 | 磁盘I/O等待时间下限 |
| Q2（中位数） | 50%的分水岭 | API响应时间的“典型”表现 |
| Q3（第三四分位数） | 75%的数据小于这个值 | 大部分请求的承受天花板 |
| IQR = Q3 - Q1 | 中间50%数据的宽度 | 衡量核心稳定性 |
箱线图判断异常的标准很简单：
异常上限 = Q3 + 1.5 * IQR
异常下限 = Q1 - 1.5 * IQR
超出这个范围的，就标记为离群点。
因为它不受极端值影响。你想想看，线上突然一个超大的延迟爆点，会把均值和标准差直接带跑偏，但Q1、Q3、中位数几乎不动。所以箱线图对偶发毛刺特别稳定。我在做全链路压测分析时，经常用箱线图来排除“假异常”。
4.4 一张图看懂：统计方法如何协同
你发现没？没有哪种方法是万能的。均值+标准差怕离群值，Z-score依赖正态假设，箱线图则不怕极端值但丢失了一些全局分布信息。
在实际生产运维里，我的习惯是：短期指标（如2小时内的RT）优先看箱线图，长期趋势（如月度流量）可以配合Z-score看突发。两者结合，心里才有底。
4.5 实战避坑：统计方法易错点
理论都通了，但上手还是会踩坑。我简单排几个雷，你遇到了能绕开。
-
数据分布不对称怎么办？
别硬算均值。你可以试试取对数（log）变换，让它看起来更像正态分布后，再用Z-score。 -
数据有周期性怎么办？
我之前的线上监控，凌晨3点的CPU空闲和中午12点一样？当然不。所以你得先对周期做差分，比如每个点减去“24小时前的自己”，再套统计方法。 -
群组里全是异常怎么办？
我记得有一次，宿主机挂了，上面所有容器指标一起飙高。单独看每个容器，Z-score算出来屁事没有，因为大家都一样差。这时候，你需要加入“同比”或“分组统计”，比如容器A vs 容器B。 -
箱线图的“1.5倍”不是真理。
这个1.5是经验值。对于敏感业务（如支付成功率），我有时会缩到1.0倍，宁愿误报也不放过。对于不太敏感的指标（如日志量），我可能会放大到2.0倍。经验要灵活。
import numpy as np
# 假设一组响应时间数据
data = [102, 105, 98, 110, 125, 99, 300, 102, 101, 107]
mean = np.mean(data)
std = np.std(data)
z_scores = [(x - mean) / std for x in data]
# 箱线法
Q1 = np.percentile(data, 25)
Q3 = np.percentile(data, 75)
IQR = Q3 - Q1
lower_bound = Q1 - 1.5 * IQR
upper_bound = Q3 + 1.5 * IQR
print("Z-score异常点：", [x for z, x in zip(z_scores, data) if abs(z) > 2])
print("箱线图异常点：", [x for x in data if x < lower_bound or x > upper_bound])嗯，今天的统计方法就聊到这儿。记住，统计不是死的，它是你和数据对话的工具。多结合业务场景来看，少一点教条，多一点观察。你想想看，这些方法的价值，恰恰在于帮我们做出更靠谱的判断，而不是算出一个“标准答案”。