3、异常检测基础：异常类型与常见应用场景

在TinyML异常检测模型评估指标的选择过程中，首先需要建立对“异常”本身的清晰认知。异常检测并非一个笼统的“找不同”问题，而是需要根据异常的结构特征、时间上下文以及业务场景，选择不同的建模策略与评估指标。本章将系统梳理异常检测的三大基础类型——点异常、上下文异常、集合异常，并结合工业预测维护、可穿戴设备、智能家居三个典型TinyML落地场景，分析不同异常类型对评估指标选择的直接影响。理解这些基础概念，是后续章节中正确选用准确率、召回率、F1-score、AUC-ROC、误报率等指标的前提。

上图展示了异常类型与TinyML应用场景之间的映射关系。可以看到，不同场景往往同时涉及多种异常类型，但各有侧重。例如工业预测维护以点异常和上下文异常为主，而可穿戴设备则更依赖上下文异常和集合异常。这种差异直接决定了我们在评估模型时，需要优先关注哪些指标维度。

3.1 点异常：最基础的异常形态

核心原理

点异常（Point Anomaly）是指单个数据实例与整体数据分布相比呈现出显著差异。在TinyML场景中，点异常通常表现为传感器读数的瞬时突变，例如电机轴承温度在正常波动范围内突然出现一个远超历史分布的尖峰，或者电流信号中出现一个幅值异常高的脉冲。点异常检测的核心假设是：正常数据集中在高概率密度区域，而异常点落在低概率密度区域。

从数学角度看，点异常检测通常基于距离度量（如欧氏距离、马氏距离）或密度估计（如高斯分布、核密度估计）。在资源受限的MCU上，常用的实现方式包括固定阈值比较、移动平均残差分析、以及轻量级孤立森林（Isolation Forest）的简化版本。点异常检测的优点是计算开销小、实时性强，非常适合TinyML设备的在线推理。

判断方法与操作流程

在实际工程中，点异常检测的建模流程通常包括以下步骤：

1. 数据采集与预处理：以固定采样率（如100Hz）采集传感器原始数据，进行去噪、归一化处理，消除量纲差异。
2. 正常基线建模：在设备正常运行状态下采集足够长的数据（建议至少覆盖一个完整工作周期），计算均值、方差、分位数等统计特征，建立正常行为基线。
3. 阈值设定：根据基线分布设定异常判定阈值。常用方法包括3σ原则（均值±3倍标准差）、百分位数法（如99.7%分位数）或基于最小误报代价的动态阈值。
4. 在线检测：实时计算新样本与基线的偏离程度，当偏离度超过阈值时触发异常告警。
5. 评估与调优：使用标注数据评估检测效果，根据混淆矩阵调整阈值或模型参数。

案例拆解：电机轴承温度点异常检测

某工厂在电机轴承上部署了TinyML温度传感器节点，采样频率为1Hz，MCU为Cortex-M4内核，Flash仅256KB。初始目标是检测轴承润滑失效导致的温度异常升高。

初始现象：传统固定阈值法（设定85°C为报警线）在夏季高温环境下频繁误报，因为环境温度升高导致正常运行时轴承温度也能达到80°C以上。

分析过程：工程师采集了连续30天的运行数据，发现正常工况下轴承温度呈现明显的周期性波动（白天高、夜间低），且与负载率强相关。单纯使用绝对温度阈值无法区分“正常高温”和“异常高温”。

解决方案：改用残差检测法——建立基于负载率的温度回归模型，实时计算实际温度与预测温度的残差。当残差超过动态阈值（如残差均值+4倍标准差）时判定为点异常。

结果对比：改进后误报率从原来的12次/天降至0.3次/天，同时成功捕获了3次早期轴承磨损故障（温度残差持续超过阈值）。代价是模型复杂度略有提升，Flash占用增加约8KB，推理时间增加0.2ms，仍在实时性要求范围内。

复盘经验：点异常检测的阈值设定必须考虑工况变化，静态阈值在复杂环境下往往失效。评估指标应重点关注误报率与检测延迟的权衡，而非单纯追求准确率。

常见误区与总结

• 误区一：认为点异常检测只需要简单阈值即可。实际上，在TinyML场景中，传感器噪声、环境干扰都可能导致误报，需要结合滤波和上下文信息。
• 误区二：忽略数据分布的非平稳性。设备老化、季节变化都会使正常基线漂移，需要定期更新模型。
• 误区三：评估时只关注准确率。在异常样本极度稀少的情况下（通常不足1%），准确率会虚高，必须使用混淆矩阵、PR曲线等更细致的指标。

3.2 上下文异常：时序与场景中的“不合时宜”

核心原理

上下文异常（Contextual Anomaly）是指某个数据点在全局范围内可能处于正常区间，但在特定的时间或空间上下文中却显得异常。例如，智能家居中夜间2点的卫生间用水量激增（正常夜间用水量应接近零），或者可穿戴设备中静坐状态下心率突然飙升至150bpm。上下文异常检测的关键在于建立“条件正常模型”——即给定上下文条件（时间、位置、前序状态等），预测该条件下的正常数据分布。

在TinyML实现中，上下文异常通常需要引入时间窗口机制。常见方法包括：滑动窗口统计特征（均值、方差、斜率）、循环神经网络（RNN/LSTM的轻量级变体）、以及基于状态机的上下文建模。由于MCU算力有限，实际部署中更倾向于使用轻量级时序特征+决策树或逻辑回归的组合。

判断方法与操作流程

上下文异常检测的工程实现需要遵循以下流程：

1. 上下文定义：明确哪些因素构成“上下文”。对于时间序列数据，上下文通常包括时间戳（小时、星期、季节）、前序数据窗口、外部环境变量（温度、湿度）等。
2. 条件基线建模：将数据按上下文分组，分别建立每个上下文子集的正常分布模型。例如，将一天分为24个小时段，分别统计每个小时段的正常用水量分布。
3. 异常判定：对于新样本，先确定其所属上下文，再计算该样本与对应上下文模型的偏离程度。
4. 窗口参数调优：窗口长度直接影响检测效果。窗口过短无法捕捉长期依赖，窗口过长则引入噪声且增加计算开销。
5. 评估与迭代：使用时间序列交叉验证方法评估模型，特别注意时间顺序不能打乱。

案例拆解：可穿戴设备心率上下文异常监测

一款医疗级可穿戴手环需要检测用户在日常活动中的心率异常。设备搭载心率传感器和加速度计，MCU为Cortex-M0+，内存仅16KB，需连续运行7天以上。

初始目标：检测运动状态下心率超过180bpm（可能为室上性心动过速）以及静息状态下心率低于40bpm（可能为心动过缓）。

关键输入数据：心率（1Hz采样）、三轴加速度（25Hz采样）、时间戳。通过加速度计计算活动量（MET值），将用户状态分为静息、轻度活动、中度活动、剧烈活动四档。

分析判断过程：简单使用全局心率阈值（如40-180bpm）会导致大量误报——剧烈运动时心率超过180bpm是正常生理反应。因此，必须结合活动状态进行上下文判断。

实际操作步骤：

1. 使用加速度数据实时计算MET值，每5秒更新一次活动状态。
2. 为每个活动状态建立心率正常范围模型（基于群体统计和个体校准）。
3. 当心率超出当前活动状态对应的正常范围时，触发持续3秒的确认窗口（防止瞬时噪声干扰）。
4. 确认后发出告警，并记录前后各30秒的传感器数据用于后续分析。

结果对比：引入上下文后，误报率从每天5.2次降至0.4次，召回率保持在92%以上。代价是算法复杂度增加，Flash占用增加12KB，但仍在设备容量范围内。电池续航从8天降至7.2天，仍在可接受范围。

风险与代价：上下文模型依赖加速度计的准确性，如果用户佩戴方式不正确（如手环松动），加速度数据失真会导致上下文判断错误，进而影响异常检测效果。

复盘经验：上下文异常检测的评估不能只看整体指标，还需要按上下文分层评估。例如，静息状态下的检测召回率应达到95%以上，而剧烈运动状态下的召回率可以适当放宽至85%。

常见误区与总结

• 误区一：将上下文异常当作点异常处理，使用全局阈值。这会导致大量误报或漏报。
• 误区二：上下文划分过于粗糙。例如只区分“白天/黑夜”，而忽略了工作日/周末的差异。
• 误区三：评估时忽略时间依赖性。使用随机打乱的交叉验证会高估模型性能，必须使用时间序列的滚动窗口验证。

3.3 集合异常：群体行为中的“不和谐音”

核心原理

集合异常（Collective Anomaly）是指一组相关数据点作为一个整体呈现出异常模式，但其中每个单独的数据点可能都在正常范围内。集合异常在TinyML场景中常见于多传感器协同监测：例如智能家居中多个环境传感器（温度、湿度、CO₂浓度、人体红外）的读数单独看都正常，但它们的组合模式却暗示着异常事件（如室内无人但CO₂持续上升，可能意味着燃气泄漏）。

集合异常检测的核心挑战在于建模多变量之间的相关性。在资源受限的TinyML设备上，常用的方法包括：主成分分析（PCA）的轻量级实现、基于相关性的距离度量、以及多通道自编码器的简化版本。集合异常检测通常需要同时处理多个传感器的时间序列，因此对内存和计算的要求更高。

判断方法与操作流程

集合异常检测的工程实现流程如下：

1. 多通道数据同步：确保所有传感器数据在时间上对齐，采样率不一致时需要进行重采样或插值。
2. 特征提取：对每个通道提取统计特征（均值、方差、峰值、频谱能量等），形成特征向量。
3. 相关性建模：使用正常数据训练相关性模型（如PCA、协方差矩阵、典型相关分析），学习正常状态下各通道之间的耦合关系。
4. 残差计算：对于新样本，计算其与相关性模型的偏离程度（如重构误差、马氏距离）。
5. 异常判定与评估：设定残差阈值，超过阈值则判定为集合异常。

案例拆解：智能家居多传感器集合异常检测

某智能家居系统部署了温湿度、CO₂、PM2.5、人体红外、门窗磁共5类传感器，网关MCU为ESP32（双核240MHz，520KB SRAM）。目标是在本地实时检测异常事件，包括火灾前兆、非法入侵、燃气泄漏等。

初始现象：单传感器阈值检测方案误报率极高——夏季开窗通风时，室内CO₂和PM2.5同时下降，但门窗磁显示窗户关闭，这种矛盾模式被单传感器方案忽略，而温度传感器在阳光直射时误报火灾。

关键输入数据：5类传感器每10秒上报一次数据，网关缓存最近10分钟的数据窗口（60个时间点×5通道）。

分析判断过程：工程师发现，正常家庭活动（做饭、洗澡、开关门）会导致多个传感器同时变化，但变化模式具有规律性。例如做饭时：温度上升、湿度上升、CO₂上升、PM2.5上升、人体红外触发。而燃气泄漏时：CO₂上升但温度变化不大、人体红外无触发、门窗磁状态不变。

实际操作步骤：

1. 在网关端部署轻量级PCA模型，输入为5通道×10分钟窗口的统计特征（每个通道提取均值、方差、最大值、最小值，共20维特征）。
2. 使用正常家庭活动数据训练PCA模型，保留前6个主成分（解释90%以上方差）。
3. 实时计算新样本的重构误差（欧氏距离），设定阈值为正常数据重构误差分布的99%分位数。
4. 当重构误差超阈值时，进一步使用规则引擎判断异常类型（如CO₂上升+人体红外无触发→燃气泄漏嫌疑）。

结果对比：集合异常检测方案将误报率从每天3.2次降至0.2次，同时成功检测出2次真实异常事件（一次燃气微泄漏、一次夜间非法入侵）。代价是网关CPU占用率从15%升至35%，内存占用增加40KB，仍在ESP32的容量范围内。

风险与代价：PCA模型对传感器漂移敏感——使用半年后，PM2.5传感器基线漂移导致重构误差整体增大，需要重新校准模型。此外，当家庭结构变化（如新增婴儿、养宠物）时，正常行为模式改变，需要定期更新训练数据。

复盘经验：集合异常检测的评估必须包含“正常模式多样性”的考量。建议在训练集中覆盖尽可能多的正常生活场景（工作日/周末、白天/夜晚、有人/无人），否则模型会将某些正常模式误判为异常。

常见误区与总结

• 误区一：忽略传感器之间的时间同步问题。不同传感器上报延迟不同，直接拼接数据会导致虚假的相关性。
• 误区二：使用全局阈值判定集合异常。不同时间段（如白天/夜晚）的正常相关性模式不同，应使用分时段阈值。
• 误区三：评估时只关注检测率，忽略误报的“代价不对称性”。在智能家居场景中，一次误报可能导致用户关闭整个报警系统，后续真实异常反而被忽略。

3.4 异常类型与评估指标的映射关系

为了帮助课程学习者更清晰地理解异常类型与评估指标之间的对应关系，下表总结了不同异常类型在TinyML场景下的关键评估维度、推荐指标以及注意事项。

从表中可以看出，不同异常类型对评估指标的侧重点存在显著差异。点异常检测更关注“不要打扰正常操作”（低误报率），上下文异常检测更关注“不要漏掉真正的风险”（高召回率），而集合异常检测则需要在整体检测能力和误报控制之间取得平衡。