📚 课程目录第3章早期预警信号识别

3. 早期预警信号识别：信号分类、特征提取与优先级划分

早期预警信号是概率影响矩阵（PIM）的输入源。在自动化运维与业务监控体系中，信号并非孤立存在，而是以多维度、多类型的方式涌现。本章聚焦于如何对原始信号进行系统化分类、提取可量化的特征，并依据风险等级划分优先级，从而为PIM的自动化配置提供高质量的数据基础。

3.1 信号分类：技术 / 业务 / 安全

根据信号来源与影响域，早期预警信号可划分为三大类别。不同类别的信号在采集方式、时效性要求与处理策略上存在显著差异。

信号类别	典型来源	示例	采集频率
技术信号	基础设施、中间件、应用层	CPU 使用率突增、内存泄漏、磁盘 IO 延迟、线程池耗尽	秒级 ~ 分钟级
业务信号	交易系统、用户行为、订单流	订单失败率上升、支付超时、用户登录失败、核心接口 QPS 骤降	分钟级 ~ 小时级
安全信号	网络流量、认证日志、WAF	异常登录尝试、SQL 注入告警、DDoS 流量特征、敏感数据外传	秒级 ~ 实时

分类原则： 信号分类应遵循“唯一归属”原则。若一个信号同时具备技术与业务特征（如支付接口响应时间飙升），应优先归入业务信号，因为其对业务连续性的影响更为直接。

3.2 信号特征提取

原始信号必须经过特征提取，才能转化为PIM可识别的结构化数据。特征提取的核心目标是量化信号的“异常程度”与“可预测性”。

3.2.1 核心特征维度

幅度（Magnitude）： 偏离基线的或相对值。例如：CPU 使用率从 30% 飙升至 85%，幅度为 +55%。
持续时间（Duration）： 异常状态持续的时间窗口。持续 30 秒的抖动与持续 10 分钟的持续高负载，风险等级截然不同。
增长率（Rate of Change）： 单位时间内的变化斜率。陡峭的增长率往往预示着更紧急的故障。
重复模式（Pattern）： 是否呈现周期性或规律性。例如：每天 10:00 出现的业务高峰属于正常模式，而非预警信号。
关联性（Correlation）： 该信号与其他信号之间的联动关系。例如：数据库连接数增加 + 慢查询增多 = 高概率的数据库瓶颈。

3.2.2 特征提取流程

数据清洗： 去除噪声、补全缺失值、归一化时间戳。
基线计算： 基于历史窗口（如过去 7 天同一时段）计算均值与标准差。
异常检测： 采用 3σ 法则、移动平均或更复杂的时序模型（如 Prophet）标记偏离点。
特征向量化： 将上述核心维度组合成固定长度的特征向量，供下游优先级计算使用。

# 特征向量示例（伪代码）
{
  "signal_id": "cpu_usage_host_01",
  "magnitude": 0.85,        # 归一化幅度
  "duration_sec": 120,      # 持续秒数
  "roc": 0.35,              # 变化率
  "is_recurring": false,    # 是否重复模式
  "correlation_score": 0.92 # 关联性得分
}

3.3 信号优先级划分原则

优先级划分决定了哪些信号应被优先注入PIM进行概率与影响评估。划分原则需兼顾“紧急程度”与“影响范围”。

3.3.1 三维优先级矩阵

我们采用 紧急度（Urgency）、影响度（Impact）、置信度（Confidence） 三个维度进行综合评分。每个维度分为低、中、高三档，最终优先级由加权总分决定。

维度	低（1分）	中（2分）	高（3分）
紧急度	变化率 < 5%/min	变化率 5%~20%/min	变化率 > 20%/min 或直接导致服务不可用
影响度	影响单个非核心节点	影响核心模块或 10% 用户	影响全站或 50%+ 用户
置信度	单一信号源，无关联验证	两个独立信号源交叉验证	三个及以上信号源或历史模式匹配

  优先级计算公式：

  Priority_Score = (Urgency × 0.4) + (Impact × 0.4) + (Confidence × 0.2)

  得分 ≥ 2.4 为 P0（最高优先级），1.6 ~ 2.4 为 P1，< 1.6 为 P2。

3.4 信号分类与优先级自动化流程

下图展示了从原始信号采集到优先级输出的完整自动化链路，其中特征提取与优先级计算是核心环节。

3.5 优先级划分的避坑指南

常见误区：

过度依赖单一维度： 仅凭“幅度高”就判定为 P0，忽略了持续时间与置信度，容易产生误报。
忽略信号衰减： 同一信号在短时间内重复出现，若未得到处理，其置信度应随时间衰减，避免优先级持续堆积。
静态阈值陷阱： 业务高峰期与低峰期的基线不同，优先级阈值应随基线动态调整，而非使用固定值。

通过上述分类、特征提取与优先级划分机制，早期预警信号能够以标准化、可量化的形式进入概率影响矩阵，为后续的自动化配置与性能调优奠定坚实的数据基础。