3. 异常检测模型分类：五大主流范式

聊异常检测，最基础的问题就是：用什么模型？我个人习惯先把算法归个类，这样选型时脑子不乱。异常检测模型五花八门，但主流范式就五种——统计、距离、密度、树、神经网络。说白了，每种范式背后都是用一种不同的视角去看“什么是正常”。下面我一一拆开来说，结合我踩过的坑和实际经验。

3.1 基于统计的方法：最老派，但最稳

统计方法的核心假设是：正常数据服从某个已知分布（比如高斯分布），偏离分布尾巴太远的，就是异常。Z-score、Grubbs检验、3σ原则，都是这类。

我刚开始做异常检测时，总觉得统计方法太简单，看不上。直到有一次做设备传感器监控，数据规律性极强，我用了一个简单的泊松分布模型，效果吊打那些复杂的黑盒算法。嗯，这里要注意：统计方法对数据分布假设敏感。如果你的数据不是单峰高斯，硬用Z-score会漏掉大量异常。

3.2 基于距离的方法：近朱者赤，远者必异

距离范式的逻辑很简单：一个点离它的邻居越远，就越可能是异常。KNN距离、k-最近邻距离和，都是常用指标。你想想看，正常点往往抱团，异常点孤零零的。

我记得有一次做信用卡欺诈检测，数据维度很高（几十个特征），用欧氏距离算KNN，效果出乎意料地好——虽然计算量有点大，但准确率吊打当时流行的孤立森林。不过距离方法有两个硬伤：一是对高维数据容易“距离失效”（所有点都差不多远），二是计算复杂度随样本量平方增长。

3.3 基于密度的方法：局部看问题

距离方法看的是全局远近，而密度方法更聪明——它看局部。LOF（局部离群因子）就是典型代表。如果一个点周围的密度明显低于它邻居的密度，那它就是异常。说白了，密度方法能处理那些“全局看正常，局部看奇怪”的情况。

我做电商刷单检测时遇到过一个头疼场景：某些大促时段，整体流量暴增，全局距离法把所有大流量都判成异常，但密度方法（LOF）却能识别出那些流量模式与周围用户不一样的真“刷手”。为什么？因为密度方法只跟局部邻居比，不受整体数据波动影响。

• 优点：能发现局部异常，适应多种密度分布。
• 缺点：参数敏感（邻域大小k），计算量大，不适用于大样本。

3.4 基于树的方法：快，就一个字

孤立森林（Isolation Forest）是树范式的代表。它的思想反常识：不是先描述正常，而是直接隔离异常。异常点因为特征稀疏，更容易被随机切分出来。所以树越浅就分裂出来，越可能是异常。

我做过一个实时流量的异常检测，日流水千万级，用LOF根本跑不动。换成孤立森林后，训练时间从小时级降到分钟级，而且精度没怎么掉。我建议：当数据量大、维度中等（几十维）时，优先试孤立森林。它天生支持并行，还抗噪声。

3.5 基于神经网络的方法：深度，但不是万能

神经网络范式这两年很火，Autoencoder（自编码器）是经典做法。训练一个编码-解码网络，让它只能重构正常数据；异常数据重构误差会很大，我们就拿这个误差判异常。还有GAN、变分自编码器（VAE），思路类似。

我在做网络安全流量异常检测时试过Autoencoder。数据维度高（几百维），非线性关系复杂，传统方法根本搞不定。Autoencoder训练好之后，重构误差分布清晰分布成两簇，异常检测AUC达到0.98。但要注意：神经网络容易过拟合，需要大量正常样本。我之前在一个小数据集（只有几千条）上训Autoencoder，结果模型记住了所有正常点，连一个噪音都重构得很好，异常检测变成瞎猜。

对比总览：一张表帮你选

这张表是我在实际项目中总结的参考。你千万别照搬——数据尺度、分布特征、业务容忍度都会影响最终选择。我习惯是：先用树快速跑一版作为基线，再根据结果决定要不要上更复杂的。嗯，很多时候孤立森林就够用了，别总想着炫技。