4、异常检测基础：异常检测定义、常见方法（统计、距离、机器学习）、工业场景中的异常类型与挑战
在工业设备闭环异常检测系统中，异常检测（Anomaly Detection）是数据驱动运维的第一道防线。它的核心任务不是预测设备何时失效，而是在设备运行数据流中识别出那些偏离正常行为模式的样本或模式片段。对于TFLite Micro部署场景而言，异常检测模型最终要运行在内存可能不足512KB、算力有限的MCU上，因此理解异常检测的基础方法论，是后续进行模型选型、特征压缩和量化部署的前提。本章将从异常检测的数学定义出发，梳理统计、距离和机器学习三大类方法的适用边界，并结合工业场景中的实际异常类型，分析部署在边缘设备上时面临的独特挑战。
上图展示了工业异常检测从数据源到方法选择，再到边缘部署约束的完整链路。可以看到，统计、距离和机器学习三类方法并非互斥关系，而是根据数据维度、标注可用性和算力约束形成互补。在MCU级别的部署中，我们往往需要将复杂模型蒸馏为轻量级模型，或者直接采用统计阈值与小型神经网络混合的方案。接下来，我们将逐一拆解各类方法的数学原理与适用场景。
4.1 异常检测的定义与数学表述
异常检测的正式定义是：在给定数据集 \(X = \{x_1, x_2, ..., x_N\}\) 中，识别出那些与绝大多数样本 \(X_{normal}\) 具有显著不同分布特性的样本 \(x_{anomaly}\)。从概率视角看，正常数据服从某个潜在分布 \(P_{normal}(x)\)，而异常数据则偏离该分布，即 \(P_{normal}(x_{anomaly}) < \epsilon\)，其中 \(\epsilon\) 为预设的阈值。
在工业闭环系统中，异常检测通常以滑动窗口方式运行。设当前窗口的特征向量为 \(f_t \in \mathbb{R}^d\)（\(d\) 为特征维度），检测器输出一个异常分数 \(s_t = g(f_t)\)，当 \(s_t > \theta\) 时触发报警。这里的 \(\theta\) 是决策阈值，其选择直接影响误报率（FPR）和漏报率（FNR）。
4.2 统计方法：从单变量到多变量
统计方法是最早应用于工业监控的异常检测技术，其核心假设是正常数据服从某种已知分布（如高斯分布）。这类方法计算开销极小，非常适合MCU部署。
4.2.1 单变量统计方法
- 3σ准则（拉依达准则）：若数据服从正态分布，则落在均值±3倍标准差之外的概率仅为0.27%。该方法适用于特征维度为1或各特征独立的情况。
- IQR（四分位距）法：定义 \(Q_1\) 和 \(Q_3\) 为第一、第三四分位数，IQR = \(Q_3 - Q_1\)。异常判定为 \(x < Q_1 - 1.5 \times IQR\) 或 \(x > Q_3 + 1.5 \times IQR\)。该方法对非正态分布更鲁棒。
4.2.2 多变量统计方法
当多个传感器特征存在相关性时（如振动加速度的X/Y/Z轴），单变量方法会失效。此时采用马氏距离（Mahalanobis Distance）：
MD(x) = sqrt((x - μ)ᵀ Σ⁻¹ (x - μ))其中 μ 为正常样本均值向量，Σ 为协方差矩阵。马氏距离考虑了特征间的相关性，在MCU上可通过预先计算 Σ⁻¹ 并存储为常量矩阵来实现高效推理。
| 方法 | 计算复杂度 | 内存占用 | 适用场景 | 局限性 |
|---|---|---|---|---|
| 3σ准则 | O(1) | 存储均值/方差 | 单一温度/压力阈值监控 | 无法处理多特征相关 |
| IQR法 | O(1) | 存储四分位数 | 非正态分布数据 | 对趋势变化不敏感 |
| 马氏距离 | O(d²) | 存储协方差逆矩阵 | 多轴振动特征融合 | 需保证协方差可逆 |
4.3 距离方法：基于邻近度的异常判定
距离方法不假设数据服从特定分布，而是基于“正常样本在特征空间中密集聚集，异常样本远离群体”的直觉。这类方法适合特征维度较低（d < 20）且正常样本聚类结构明显的场景。
4.3.1 K近邻距离法
计算样本 \(x_i\) 到其第k个最近邻的距离 \(d_k(x_i)\)，若该距离大于阈值，则判定为异常。在MCU部署时，需要存储全部正常样本作为参考集，内存开销为 \(O(N \times d)\)，其中N为参考样本数。对于1MB Flash的MCU，若特征维度d=8，float32存储，最多可存储约32K个参考样本。
4.3.2 局部离群因子（LOF）
LOF不仅考虑样本自身的邻近距离，还比较其邻居的局部密度。若样本的局部密度远低于其邻居，则LOF值高，判定为异常。LOF的优点是能检测出局部异常（即相对于局部区域而非全局的偏离），但计算复杂度较高（O(N²)），通常不直接部署在MCU上，而是用于离线训练时筛选异常样本。
4.4 机器学习方法：从浅层到深度
机器学习方法通过训练数据自动学习正常模式的边界或重构规则。在TFLite Micro部署中，主要考虑三类模型：孤立森林、自编码器和单类SVM。
4.4.1 孤立森林（Isolation Forest）
核心思想：异常样本容易被随机分割孤立。通过构建多棵随机树，记录样本被孤立所需的路径长度，路径越短越可能是异常。孤立森林的优势在于线性时间复杂度，且不需要计算距离矩阵。在MCU上部署时，可将训练好的树结构转换为决策规则数组，每棵树仅需存储分裂特征索引和阈值。
// 孤立森林单棵树在MCU上的伪代码表示
typedef struct {
int8_t feature_idx; // 分裂特征索引
int16_t threshold; // 分裂阈值（量化后）
int8_t left_child; // 左子节点索引
int8_t right_child; // 右子节点索引
} IsolationTreeNode;
// 推理时：从根节点遍历到叶子，累加路径长度
int8_t path_length = 0;
int8_t node = 0;
while (node != LEAF) {
if (feature[node.feature_idx] < node.threshold) {
node = node.left_child;
} else {
node = node.right_child;
}
path_length++;
}
// 异常分数 = 2^(-path_length / average_path_length)4.4.2 自编码器（Autoencoder）
自编码器通过编码器将输入压缩到低维潜空间，再由解码器重构。训练时仅使用正常数据，使重构误差最小化。推理时，若重构误差超过阈值，则判定为异常。自编码器适合捕捉非线性特征关系，但参数量较大。在TFLite Micro上，通常使用全连接层且隐藏层维度不超过32，量化后模型大小可控制在50KB以内。
4.4.3 单类SVM（One-Class SVM）
单类SVM在特征空间中寻找一个超平面，将正常数据与原点分离。其决策函数为 \(f(x) = sign(w \cdot \phi(x) - \rho)\)。由于需要核函数计算，在MCU上通常使用线性核或RBF核的近似实现。单类SVM的优点是泛化能力强，但推理时需要计算支持向量的内积，内存开销与支持向量数量成正比。
| 模型 | 参数量 | 推理延迟(MCU) | 量化友好度 | 适用场景 |
|---|---|---|---|---|
| 孤立森林 | 低（每棵树仅分裂节点） | 低（树遍历） | 高（阈值可直接量化） | 高维稀疏异常 |
| 自编码器 | 中（全连接层） | 中（矩阵乘法） | 中（需量化感知训练） | 非线性特征重构 |
| 单类SVM | 中（支持向量） | 中（内积计算） | 低（核函数难量化） | 小样本边界学习 |
4.5 工业场景中的异常类型与部署挑战
工业环境中的异常远比教科书中的“离群点”复杂。根据异常的结构特征，可分为三类：
- 点异常（Point Anomaly）：单个数据点偏离正常范围。例如，电机电流瞬时尖峰、振动传感器受到电磁干扰产生的脉冲。这类异常最容易检测，统计方法即可应对。
- 上下文异常（Contextual Anomaly）：数据点在全局范围内正常，但在特定上下文中异常。例如，设备在低速运转时，某振动频率分量出现，虽然幅值不高，但相对于该转速下的正常模式是异常的。这类异常需要结合工况信息（如转速、负载）进行条件建模。
- 集合异常（Collective Anomaly）：单个数据点正常，但一组连续数据点共同构成异常模式。例如，轴承磨损初期的微弱冲击序列，每个冲击幅值都在阈值内，但冲击频率和间隔模式异常。这类异常需要序列建模或频域分析。
4.5.1 部署挑战分析
在TFLite Micro设备上部署异常检测模型，面临以下核心挑战：
- 标注稀缺：工业设备正常运行时，异常样本极少，且人工标注成本高。这要求模型训练采用半监督或无监督方式，仅使用正常数据训练。
- 非平稳性：设备老化、环境温度变化、润滑状态改变都会导致正常数据分布缓慢漂移。模型需要具备在线自适应能力，但MCU上无法运行复杂的重训练算法。
- 信噪比低：工业现场电磁干扰、机械噪声会污染传感器信号。异常特征可能被噪声淹没，需要有效的信号预处理和特征增强。
- 量化误差：将float32模型量化为int8后，精度损失可能导致异常分数偏移。需要在量化感知训练阶段加入噪声模拟，并在部署前进行阈值重新校准。
背景与约束：某工厂的异步电机（功率7.5kW，转速1450rpm）需部署异常检测系统。MCU为STM32F446（Cortex-M4，128KB RAM，512KB Flash），采样率20kHz，每次处理1秒数据窗口（20000点）。
初始现象：轴承出现早期点蚀时，振动信号中会出现周期性冲击，但幅值仅比正常水平高5%~8%，传统3σ阈值无法稳定检测。
关键输入数据：加速度传感器（灵敏度100mV/g），采集X/Y/Z三轴振动。正常数据采集200小时，包含启停、负载变化等工况。
分析判断过程：直接使用时域特征（RMS、峰值）无法区分早期故障。对频谱分析发现，故障特征频率为78.5Hz（外圈点蚀），但该频率处幅值仅比噪声底高3dB。
实际操作步骤：
1. 特征提取：对1秒窗口计算FFT，提取0~1kHz频段的频谱包络，降维至64个频带能量特征。
2. 使用孤立森林训练（仅正常数据），树数量50，每棵树深度限制为8。
3. 将模型转换为TFLite格式，进行int8量化，模型大小约12KB。
4. 在MCU上实现滑动窗口（重叠50%），每500ms输出一次异常分数。
5. 阈值设定：使用正常数据的异常分数分布，取99.5%分位数作为报警阈值。
结果对比：传统3σ方法漏报率38%，误报率2.1%；孤立森林方法漏报率4.5%，误报率0.8%。
风险与代价：孤立森林对未知故障类型（如润滑退化）不敏感，需要定期用新数据更新模型。更新过程在网关上完成，MCU仅负责推理。
复盘经验：频带能量特征比原始时域特征更适合量化部署；孤立森林的树深度限制为8时，在MCU上推理延迟仅0.3ms，远低于实时要求。
4.6 常见误区与总结复盘
在异常检测基础部分，工程师常陷入以下误区：
- 误区一：追求高精度而忽略实时性。在MCU部署中，一个需要200ms推理的复杂模型可能不如一个5ms推理的简单模型实用，因为后者允许更短的检测周期。
- 误区二：忽视数据分布漂移。模型在实验室数据上表现良好，但部署后因设备工况变化导致误报率飙升。解决方法是设计周期性模型更新机制。
- 误区三：将异常检测与故障诊断混为一谈。异常检测只输出“是否异常”，不输出“什么故障”。在闭环系统中，异常检测触发后应进入诊断流程，而不是直接停机。
- 误区四：阈值设置过于固定。工业场景中，不同工况下的正常数据分布不同。建议采用多阈值策略，根据设备运行状态（如转速、负载）切换不同的异常判定阈值。
总结而言，异常检测是TFLite Micro设备闭环系统的感知层核心。统计方法适合简单场景的快速部署，距离方法在低维特征空间中表现稳定，机器学习方法则能处理复杂的非线性关系。在实际项目中，建议采用“统计基线 + 机器学习增强”的混合策略：先用统计方法建立基线，再用孤立森林或自编码器捕捉统计方法遗漏的复杂异常模式。同时，必须从项目初期就考虑量化、内存和延迟约束，避免模型在PC上表现优异但无法部署到MCU的尴尬局面。