📚 课程目录第3章异常检测概述

3、异常检测概述：异常检测的定义、类型（点异常、上下文异常、集合异常）及在IoT中的典型应用

在TinyML异常告警闭环中，异常检测是数据进入模型推理前的第一道核心工序，也是决定后续告警、本地执行动作是否有效的关键前提。简单来说，异常检测（Anomaly Detection）是从大量正常数据中识别出显著偏离预期模式的数据点、数据段或数据集合的过程。在IoT与TinyML场景下，异常检测并非简单的阈值比较，而是需要在资源受限的MCU（微控制器）上，以极低功耗、极小内存占用和可接受的延迟完成对传感器流数据的实时判断。本章将系统梳理异常检测的定义、三大类型（点异常、上下文异常、集合异常），并结合工业振动监测、智能楼宇、可穿戴设备等典型IoT场景，说明如何将异常检测嵌入到告警闭环的本地执行链路中。

上图展示了IoT异常检测从数据采集到本地执行的整体链路。在TinyML场景中，异常检测模型通常部署在MCU上，直接对传感器原始数据或轻量特征进行推理，输出异常分数或类别标签，进而触发本地告警或执行动作（如断电保护、数据重传、声光报警）。理解异常检测的类型是选择合适算法、设计特征工程和设定告警阈值的基础。

3.1 异常检测的核心定义与数学表达

异常检测的本质是一个无监督或半监督学习问题：给定一个以正常数据为主的数据集，学习其正常模式（Normal Profile），然后对新的观测样本计算其偏离正常模式的程度。在IoT场景中，正常模式往往具有时变性和周期性，因此异常检测需要同时考虑静态分布和动态时序特征。

从数学角度看，假设正常数据服从某种分布 \(P_{normal}(x)\)，异常检测的目标是定义一个异常分数 \(S(x)\)，使得当 \(S(x) > \theta\) 时判定为异常，其中 \(\theta\) 为阈值。常见的异常分数包括：

距离度量：如欧氏距离、马氏距离，适用于基于聚类的方法（如K-means、DBSCAN）。
概率密度：如高斯分布下的概率密度值，低密度区域视为异常。
重构误差：如自编码器（Autoencoder）对输入的重构误差，误差大则异常。
预测误差：如时序预测模型（ARIMA、LSTM）对下一时刻的预测误差。

在TinyML环境中，由于内存和算力限制，通常采用轻量级方法，如基于统计的Z-score、基于距离的KNN、基于树的孤立森林（Isolation Forest）的简化版本，或量化后的轻量神经网络（如TinyML专用的异常检测模型）。

经验提醒：在MCU上部署异常检测时，不要直接使用原始高维数据。建议先进行轻量特征提取（如均值、方差、峰值、频谱能量等），将维度降至5~20维，再送入异常检测模型。这能显著降低内存占用和推理延迟。

3.2 异常检测的三大类型

根据异常的表现形式，异常检测可分为点异常、上下文异常和集合异常。三者的核心区别在于异常判定的上下文范围：点异常只看单个数据点，上下文异常依赖时间或空间条件，集合异常则关注数据序列的整体行为。

类型	定义	典型示例	常用方法	TinyML适用性
点异常（Point Anomaly）	单个数据点与全局正常分布显著偏离	电机电流瞬时尖峰、温度传感器单次跳变	Z-score、IQR、固定阈值、单类SVM	高（计算量小，适合MCU）
上下文异常（Contextual Anomaly）	在特定上下文（时间/空间）下异常，但全局看可能正常	夜间室温异常升高、工作日早高峰流量异常低	滑动窗口统计、时序预测残差、条件概率模型	中（需存储上下文窗口，内存开销增加）
集合异常（Collective Anomaly）	一组数据点的联合行为异常，单个点可能正常	传感器缓慢漂移、周期性信号丢失、多传感器相关性破坏	序列模式匹配、聚类、协方差分析、LSTM序列模型	低~中（需处理序列，计算复杂度较高）

3.2.1 点异常：最基础的检测形式

点异常是最常见也最容易实现的异常类型。在IoT中，点异常通常对应传感器读数突变、通信干扰或设备瞬时故障。例如，一个温度传感器在正常25°C±2°C的环境中突然读到80°C，这就是典型的点异常。检测点异常的核心是建立正常数据的分布模型，然后计算新样本的偏离程度。

在TinyML中，点异常检测常用Z-score方法：

// 轻量Z-score点异常检测伪代码
float mean = 25.0f;   // 正常均值（可在线更新）
float std = 2.0f;     // 正常标准差
float threshold = 3.0f; // 3σ阈值

float z_score = (current_sample - mean) / std;
if (fabs(z_score) > threshold) {
    // 触发异常告警
    trigger_alarm();
}

这种方法的优点是计算量极小（仅需一次减法、一次除法和一次比较），适合在MCU上以高频率执行。但缺点是假设数据服从高斯分布，且对缓慢漂移不敏感。

3.2.2 上下文异常：结合时间与空间条件

上下文异常需要结合数据点所处的环境来判断。例如，在智能楼宇中，白天室内温度30°C是正常的，但如果在凌晨2点检测到30°C，则属于异常——可能意味着空调故障或门窗未关。上下文异常的关键在于建立“上下文-正常值”的映射关系。

在TinyML实现中，上下文异常通常采用滑动窗口统计方法：维护一个长度为N的窗口，计算窗口内的均值、方差或趋势，然后判断当前点是否偏离窗口内的局部模式。另一种方法是使用轻量级时序预测模型（如指数平滑），将预测值与实际值比较，残差超过阈值则判定为异常。

  案例拆解：智能楼宇夜间温度异常检测

  背景：某办公楼部署了20个无线温度传感器，每5分钟上报一次数据。物业希望检测夜间（22:00-06:00）的异常温度事件，以发现空调故障或窗户未关。

  初始现象：某日凌晨3点，传感器#7上报温度28°C，而该时段正常温度应为22°C±1°C。

  分析过程：

  首先排除传感器故障：检查传感器#7在白天数据是否正常（白天正常，排除硬件故障）。
使用上下文异常检测：以过去7天同一时段（凌晨2:00-4:00）的温度均值作为上下文基线，计算当前值与基线的偏差。
计算偏差：28°C - 22°C = 6°C，超过预设阈值3°C，判定为上下文异常。

  实际操作：在MCU上维护一个轻量级查找表，存储每个时段（每30分钟一个槽位）的正常温度范围。当新数据到达时，根据当前时间索引查找对应槽位的阈值范围，判断是否越界。

  结果：系统触发告警，物业值班人员远程查看监控，发现该楼层窗户未关，导致夜间冷气外泄。修复后温度恢复正常。

  风险与代价：上下文异常检测需要存储至少一周的时段统计信息，在MCU上约需存储 7天×48槽位×4字节 = 1.3KB，可接受。但若季节变化导致正常温度偏移，需要定期更新基线。

3.2.3 集合异常：捕捉序列整体行为

集合异常关注的是数据序列的整体模式是否异常，即使每个单独的数据点都在正常范围内。典型的例子包括：传感器缓慢漂移（每天偏移0.1°C，一周后偏移0.7°C，但单日变化在噪声范围内）、周期性信号丢失（电机振动信号每隔10分钟丢失一段）、多传感器相关性破坏（两个传感器本应同步变化，但其中一个突然不再跟随）。

在TinyML中，集合异常检测通常需要更复杂的算法，如：

滑动窗口自相关分析：检测序列的周期性是否被破坏。
轻量级聚类：将窗口内的数据点聚类，观察聚类结构是否发生显著变化。
基于重构误差的轻量自编码器：在MCU上部署量化后的自编码器，输入一个窗口的数据，输出重构误差，误差大则判定为集合异常。

集合异常检测的计算开销较大，在TinyML中通常需要权衡检测精度与资源消耗。一种折中方案是：先使用点异常检测快速过滤明显异常，再对通过点异常检测的数据进行集合异常分析，以降低计算频率。

3.3 IoT中的典型应用场景

异常检测在IoT领域应用广泛，以下三个场景最能体现TinyML异常检测的价值：

应用场景	传感器类型	异常类型	检测方法	本地执行动作
工业电机预测性维护	振动、电流、温度	点异常（冲击）、集合异常（轴承磨损趋势）	振动频谱能量+Z-score、滑动窗口FFT	本地报警、降低电机转速、上传诊断数据
智能农业环境监测	土壤湿度、光照、CO₂	上下文异常（夜间湿度异常）、点异常（传感器故障）	时段基线+阈值、IQR	触发灌溉、发送短信告警
可穿戴跌倒检测	加速度计、陀螺仪	集合异常（连续动作序列异常）	轻量LSTM或决策树	本地触发SOS、发送定位

3.3.1 工业电机振动监测：点异常与集合异常的组合

在工业电机上部署加速度传感器，以10kHz采样率采集振动信号。TinyML设备（如Cortex-M7 MCU）每秒钟处理一个窗口（1024个采样点），提取频谱特征（如1倍频、2倍频幅值、高频能量）。点异常检测用于捕捉瞬时冲击（如齿轮打齿），集合异常检测用于捕捉轴承磨损导致的频谱能量缓慢变化。

实际部署中，MCU先计算窗口内振动信号的有效值（RMS）和峰值，若峰值超过预设阈值（点异常），立即触发告警并执行本地保护动作（如切断电机电源）。若RMS在正常范围内，则进一步计算频谱能量分布，与历史基线比较，若高频能量持续上升超过20%，则判定为集合异常（轴承磨损），执行本地报警并建议维护。

风险提示：在TinyML中部署集合异常检测时，要特别注意模型的内存占用和推理延迟。例如，一个LSTM模型即使量化后也可能占用50-100KB内存，在低端MCU上可能无法实时运行。建议优先使用基于统计的方法（如滑动窗口协方差、频谱能量比），仅在资源充足的MCU上使用轻量神经网络。

3.4 常见误区与总结复盘

在设计和部署TinyML异常检测系统时，开发者常犯以下错误：

误区一：忽略数据的时间上下文。将点异常方法直接用于上下文异常场景，导致大量误报。例如，用全局阈值检测夜间温度，必然会在白天正常高温时误报。
误区二：阈值设置过于固定。IoT环境具有时变性和季节性，固定阈值无法适应长期变化。应设计阈值自适应更新机制，如滑动窗口分位数更新。
误区三：忽视传感器自身故障。传感器漂移、电池电压下降、通信干扰都可能导致数据异常，但这些并非设备故障。需要区分“传感器异常”和“被监测对象异常”，否则会产生大量无效告警。
误区四：在MCU上部署过重模型。试图在资源受限设备上运行复杂深度学习模型，导致推理延迟过高或内存溢出。应优先选择轻量级算法，或使用模型量化、剪枝技术。

总结复盘：异常检测是TinyML告警闭环的基石。点异常适合快速响应瞬时故障，上下文异常适合结合时间条件判断，集合异常适合捕捉缓慢演变的故障趋势。在实际项目中，应根据传感器类型、数据特性、MCU资源约束和业务需求，选择合适的异常类型组合。建议先使用点异常做快速过滤，再对疑似异常数据进行上下文或集合异常分析，以平衡检测精度与计算开销。同时，务必设计阈值自适应更新机制和传感器健康监测，确保异常检测系统在长期运行中保持稳定可靠。