3、异常检测概述：异常检测定义、类型、常用方法及在端侧的优势

异常检测（Anomaly Detection）是数据挖掘与机器学习领域中的一个核心分支，其目标是在数据集中识别出那些与绝大多数样本行为模式显著不同的数据点、事件或模式。在工业物联网、设备预测性维护、智能安防等场景中，异常往往意味着故障前兆、安全威胁或系统退化。对于TFLite Micro端侧推理而言，异常检测不仅是算法问题，更是资源约束下的系统工程问题。本章将系统梳理异常检测的定义、类型、主流方法，并重点剖析在微控制器（MCU）端侧部署异常检测模型的独特优势与挑战。

3.1 异常检测的定义与核心原理

异常检测，又称离群点检测或新颖性检测，其本质是一个非均衡分类问题。在绝大多数实际场景中，正常样本的数量远大于异常样本，且异常样本往往难以预先穷举。因此，异常检测通常被建模为“正常行为建模”任务：系统通过学习大量正常数据的分布特征，构建一个“正常边界”，凡是落在边界之外的样本即被判定为异常。

从数学角度看，给定一个数据集 \(X = \{x_1, x_2, ..., x_n\}\)，异常检测的目标是找到一个判定函数 \(f(x)\)，使得当 \(f(x) = 1\) 时表示样本 \(x\) 为异常，\(f(x) = 0\) 时表示正常。这个判定函数可以基于概率密度估计（如高斯分布）、距离度量（如KNN）、重构误差（如自编码器）或预测残差（如时序预测）来构建。

3.2 异常检测的三大类型

根据异常的表现形式和数据维度，异常检测通常被划分为以下三种类型。理解这些类型对于选择合适的算法和特征工程策略至关重要。

在端侧推理场景中，上下文异常和集体异常更为常见。例如，一个振动传感器在机器启动阶段的高幅值振动是正常的，但在稳定运行阶段出现同样幅值则属于上下文异常。因此，在TFLite Micro模型设计中，通常需要引入滑动窗口或轻量级时序编码器来捕获上下文信息。

3.3 常用异常检测方法详解

异常检测算法经过数十年发展，形成了四大主流技术路线。每种方法在计算复杂度、内存占用和检测精度上各有取舍，这直接决定了其在MCU端侧的适用性。

3.3.1 统计方法

统计方法是最早的异常检测技术，它假设正常数据服从某种已知的概率分布（如高斯分布、泊松分布）。常用的统计方法包括：

• Z-score方法：计算数据点与均值的标准差倍数，通常 \(|Z| > 3\) 视为异常。
• 箱线图（IQR）方法：利用四分位距（IQR）定义正常范围 \([Q1 - 1.5 \times IQR, Q3 + 1.5 \times IQR]\)，超出范围即为异常。
• Grubbs检验：针对单变量数据的迭代离群点检测方法。

统计方法的优点是计算量极小（仅需维护均值和方差），非常适合MCU端侧部署。但其局限性在于对数据分布假设较强，对于高维或复杂分布的数据效果不佳。

3.3.2 距离方法

距离方法基于“异常点远离其邻居”的假设。代表性算法包括：

• K最近邻（KNN）：计算每个样本到其第k个最近邻居的距离，距离超过阈值即为异常。
• 局部离群因子（LOF）：通过比较样本与其邻居的局部密度来判定异常，能够处理密度不均的数据集。

距离方法在端侧部署时面临的主要挑战是内存开销——需要存储全部训练样本或距离矩阵。对于RAM通常只有几十KB的MCU而言，直接使用KNN并不现实，通常需要先进行原型选择或量化压缩。

3.3.3 重构方法

重构方法的核心思想是：正常数据能够被模型很好地压缩和重建，而异常数据在重建时会产生较大的误差。典型算法包括：

• 主成分分析（PCA）：将数据投影到主成分空间后再重建，计算重建误差。
• 自编码器（Autoencoder）：通过编码器-解码器结构学习数据的低维表示，异常样本的重构误差显著高于正常样本。

重构方法在端侧部署时具有天然优势：推理阶段仅需前向传播，无需存储训练数据。TFLite Micro对自编码器支持良好，一个隐藏层为16维的浅层自编码器模型大小可控制在20KB以内，非常适合MCU部署。

3.3.4 预测方法

预测方法主要针对时序数据，通过预测下一个时间点的值并与实际值比较，残差超过阈值即判定为异常。常用模型包括ARIMA、指数平滑和LSTM等。在端侧场景中，由于LSTM参数量较大，通常采用轻量级的TCN（时间卷积网络）或单层GRU来替代。

3.4 端侧部署异常检测的四大优势

将异常检测模型部署在TFLite Micro端侧（而非云端），并非简单的技术选型，而是由实际业务需求驱动的架构决策。其核心优势体现在以下四个方面：

1. 超低延迟实时响应：端侧推理无需网络传输，从数据采集到异常判定可在毫秒级完成。对于旋转机械的故障保护（如电机堵转），50ms的响应延迟可能意味着设备损坏与生产事故的差别。
2. 数据隐私与安全：工业数据往往涉及工艺参数、设备健康状态等敏感信息。端侧推理确保原始数据不出设备，仅上传异常事件摘要，从根本上规避了数据泄露风险。
3. 离线与弱网环境可用：矿山、海上平台、野外监测站等场景网络条件差，端侧异常检测保证了系统在完全离线状态下依然能够持续监控并触发本地告警。
4. 带宽与能耗节省：持续上传高频传感器数据（如1kHz振动数据）会消耗大量带宽和电量。端侧检测仅上传异常事件，可将数据量降低99%以上，显著延长电池供电设备的续航时间。

3.5 案例拆解：电机轴承早期故障的端侧检测

为了更直观地理解上述概念，我们以一个典型的工业场景——电机轴承早期故障检测为例，完整展示从问题定义到端侧部署的闭环过程。

背景与约束：某工厂的传送带驱动电机（额定功率7.5kW，转速1450rpm）频繁发生轴承故障，导致非计划停机。工厂希望部署一套实时监测系统，要求：① 检测准确率不低于95%；② 告警延迟小于100ms；③ 使用电池供电的无线传感器节点（采用STM32L4系列MCU，内置Cortex-M4内核，RAM 64KB，Flash 256KB）；④ 节点需连续工作6个月以上。

初始现象与数据采集：在电机轴承座处安装三轴加速度传感器（采样率2kHz），连续采集正常运行状态下的振动数据。初始采集了10分钟正常数据作为训练集，同时人为模拟了轴承外圈点蚀故障（通过电火花加工在轴承外圈制造0.5mm凹坑）采集故障数据用于验证。

关键参数与特征分析：对振动信号进行频谱分析发现，正常状态下振动能量主要集中在1倍频（24.2Hz）和2倍频（48.3Hz）；故障状态下，在轴承故障特征频率（BPFO≈87.3Hz）处出现明显峰值。然而，直接进行FFT计算在MCU上开销较大（1024点FFT约需15ms），且需要较大的存储空间。

方案设计与模型选择：考虑到MCU资源限制，采用时域统计特征 + 浅层自编码器的方案：

// 特征提取（每50ms窗口计算一次）
float features[6] = {
    RMS(accel_x),      // 均方根值
    Peak(accel_x),     // 峰值
    Kurtosis(accel_x), // 峭度
    RMS(accel_y),
    Peak(accel_y),
    Kurtosis(accel_y)
};
// 自编码器结构：6 -> 3 -> 6（全连接，tanh激活）
// 模型大小：约1.2KB（量化后）
// 推理时间：约3ms @ 80MHz

训练与阈值确定：在PC端使用TensorFlow训练自编码器，仅使用正常数据训练。训练完成后，计算正常样本的重构误差（MSE），取99.9%分位数作为异常判定阈值。经测试，正常样本重构误差均值为0.0021，故障样本重构误差均值为0.087，阈值设定为0.015。

部署与验证：将模型转换为TFLite格式，使用TFLite Micro在STM32L4上运行。实际测试结果：

风险与代价：在验证过程中发现，当电机负载突变时（如传送带突然加载），振动信号会出现短暂波动，导致误报率上升。解决方案是增加连续N次超过阈值才触发告警的确认机制（N=3），将误报率从4.2%降至0.8%，但告警延迟增加至约170ms，仍在可接受范围内。

复盘经验：① 端侧异常检测的特征工程比模型结构更重要，时域统计特征在MCU上计算成本极低且有效；② 阈值设定必须基于正常数据的统计分布，而非经验值；③ 需要设计防抖机制来平衡误报率和响应延迟；④ 模型量化（从FP32到INT8）后准确率仅下降0.7%，但推理速度提升4倍。

3.6 常见误区与总结复盘

在端侧异常检测项目的实际落地中，开发者常陷入以下误区，需要特别警惕：