3. 异常检测概述
在端侧智能与物联网（IoT）系统设计中，异常检测是数据质量保障与主动告警的核心前置环节。无论是工业设备的振动监测、安防摄像头的行为识别，还是智能家居中的传感器数据流，异常检测的目标都是从“正常”的基线中识别出“偏离预期”的模式。本章将系统梳理异常检测的定义、三大异常类型（点异常、上下文异常、集合异常）以及其在工业、安防、IoT三大核心场景中的落地路径，为后续MQTT告警联动项目打下理论基础。
3.1 异常检测的定义与核心原理
异常检测（Anomaly Detection）是指从数据集中识别出不符合预期行为模式的过程。在端侧系统中，这一过程通常运行在资源受限的MCU或边缘处理器上，需要兼顾检测精度与计算开销。异常检测的本质是建立“正常行为”的基线模型，然后通过度量新数据与基线之间的偏差程度来判断是否异常。
核心原理包含三个关键要素：正常基线、偏差度量和判定阈值。正常基线可以通过统计方法（均值、方差）、机器学习模型（聚类、孤立森林）或领域规则（设备额定参数）来构建。偏差度量则常用欧氏距离、马氏距离、Z-score或重建误差等指标。判定阈值决定了检测的灵敏度——阈值过严会导致误报率升高，过松则可能漏报真实异常。
3.2 常见异常类型：点异常、上下文异常、集合异常
根据异常数据的粒度与上下文关系，异常检测领域将异常分为三大类。理解这些类型是设计检测策略的前提，因为不同类型的异常需要不同的特征提取方式和检测算法。
3.2.1 点异常（Point Anomaly）
点异常是指单个数据实例相对于整体数据分布呈现显著偏离。这是最直观、最常见的异常类型。例如，工业温度传感器在正常工作时读数在50°C~60°C之间，某时刻突然读到95°C，这就是一个典型的点异常。点异常检测通常使用Z-score、IQR（四分位距）或基于距离的方法。
在端侧实现时，点异常检测的计算成本最低，只需维护均值和标准差的滑动窗口即可。但需要注意，点异常检测对“全局正常”的假设较强，如果数据本身具有周期性或趋势性，单纯的点异常检测会产生大量误报。
3.2.2 上下文异常（Contextual Anomaly）
上下文异常是指某个数据点在全局范围内可能正常，但在特定上下文（如时间、位置、环境条件）下却显得异常。例如，一个工厂车间的电力消耗在白天为200kW是正常的，但如果同样数值出现在凌晨3点，则可能意味着设备异常运行或存在安全隐患。上下文异常检测需要引入上下文特征，如时间戳、季节、环境温度、设备状态等。
端侧实现上下文异常检测时，通常采用“上下文窗口”的方式：将当前读数与同时段的历史数据（如过去7天同一时刻）进行对比。这种方法在智能电表、环境监测等场景中非常有效。
3.2.3 集合异常（Collective Anomaly）
集合异常是指一组连续的数据点作为一个整体表现出异常模式，而单个数据点本身可能看起来正常。例如，网络流量在10分钟内从正常的100Mbps逐步攀升到500Mbps，虽然每个时间点的流量值都在合理范围内，但整体趋势却表明发生了异常（如DDoS攻击或数据泄露）。集合异常检测需要分析序列的时序相关性、趋势或周期性变化。
端侧实现集合异常通常使用滑动窗口上的统计特征（如窗口内方差、斜率、自相关系数）或轻量级序列模型（如LSTM的简化版本）。由于集合异常涉及多个数据点，计算复杂度相对较高，需要合理设计窗口大小和特征维度。
| 异常类型 | 定义 | 典型示例 | 常用检测方法 | 端侧实现难度 |
|---|---|---|---|---|
| 点异常 | 单个数据点显著偏离全局分布 | 温度传感器瞬间读数超限 | Z-score、IQR、距离度量 | 低（适合MCU） |
| 上下文异常 | 在特定上下文中偏离正常模式 | 夜间用电量突增 | 上下文窗口对比、条件概率 | 中（需存储上下文数据） |
| 集合异常 | 一组数据整体呈现异常模式 | 连续10分钟流量持续攀升 | 时序特征、滑动窗口统计 | 中高（需序列分析） |
3.3 应用场景深度解析
异常检测在工业、安防和IoT三大领域有着截然不同的数据特征、检测目标和部署约束。理解这些差异有助于在项目实战中做出正确的技术选型。
3.3.1 工业场景：预测性维护与质量管控
在工业制造中，异常检测主要用于设备健康监测和生产质量管控。以旋转机械为例，振动传感器以1kHz~10kHz的采样率采集加速度信号，温度传感器以1Hz~10Hz的采样率采集轴承温度。异常检测的目标是在设备发生严重故障前，提前识别出早期退化迹象。
工业场景的典型异常模式包括：
- 点异常：轴承温度瞬间超过90°C（正常为60°C±5°C），可能表示润滑失效。
- 上下文异常：设备在低负载时段（如夜间）振动值高于高负载时段，可能表示共振或松动。
- 集合异常：振动频谱中某个频段的能量持续上升，预示轴承磨损加剧。
工业场景的端侧部署通常采用“传感器+MCU”的架构，MCU上运行FFT（快速傅里叶变换）提取频域特征，再结合阈值判断或轻量级分类器进行异常检测。由于工业环境电磁干扰强、温度变化大，检测算法需要具备一定的鲁棒性。
3.3.2 安防场景：入侵检测与行为识别
安防领域的异常检测主要依赖视频流、红外传感器、门磁传感器等多模态数据。与工业场景不同，安防数据具有高维度、强时空关联的特点。例如，智能摄像头需要检测画面中是否出现人员闯入、物品遗留或异常聚集等事件。
在端侧安防设备（如智能门铃、IPC摄像头）中，异常检测通常分为两个阶段：
- 前端轻量检测：在设备端运行运动检测（帧差法）或轻量级目标检测（如MobileNet-SSD），筛选出可能包含异常的视频片段。
- 后端确认：将筛选出的片段发送到边缘网关或云端进行更精确的异常分类。
安防场景中的上下文异常尤为常见：同一人物在白天出现在办公区域是正常的，但在深夜出现在同一区域则可能构成安全威胁。因此，安防异常检测系统需要融合时间、位置、门禁记录等上下文信息。
3.3.3 IoT场景：智能家居与环境监测
IoT场景是异常检测应用最广泛的领域，涵盖智能家居（温湿度、空气质量、能耗）、智慧农业（土壤湿度、光照）、智慧城市（噪声、交通流量）等。IoT设备通常以低功耗、低带宽方式运行，数据以固定频率上报，异常检测需要在设备本地完成，以减少不必要的网络传输。
以智能家居中的漏水检测为例：水浸传感器每30秒上报一次状态，正常情况下为0（干燥），当检测到漏水时变为1（潮湿）。这是一个简单的点异常检测。但更复杂的场景是：水浸传感器持续上报0，但室内湿度传感器显示湿度从40%逐渐上升到70%，这可能是缓慢漏水的集合异常信号。
3.4 案例拆解：工业设备轴承温度异常检测
为了将上述概念落地，我们以一个具体的工业案例来展示异常检测的完整流程。该案例将贯穿本章核心概念，并为后续MQTT告警联动章节提供数据基础。
背景与约束：某工厂有一套大型鼓风机系统，用于车间通风。鼓风机轴承安装有温度传感器（采样率1Hz）和振动传感器（采样率2kHz）。工厂要求在不增加额外硬件成本的前提下，利用现有传感器实现轴承早期故障预警。端侧设备为STM32F407 MCU（168MHz主频，192KB RAM），需要将检测结果通过MQTT上报到工厂监控中心。
初始现象：在连续运行3个月后，轴承温度出现间歇性升高，但未超过厂家设定的90°C硬报警阈值。维护人员希望能在温度达到85°C之前获得预警，以便安排计划性停机检修。
关键数据与参数：
- 正常温度基线：55°C~65°C（随负载变化）
- 硬报警阈值：90°C（厂家设定）
- 目标预警阈值：85°C
- 振动速度有效值（RMS）：正常为2.5mm/s~4.0mm/s
分析判断过程：
单纯使用点异常检测（温度>85°C）虽然简单，但存在两个问题：一是当温度快速攀升时，可能从65°C直接跳到88°C，留给维护的时间窗口太短；二是温度在负载波动时本身会有±5°C的正常变化，固定阈值容易误报。因此，我们设计了一个组合检测策略：
- 点异常检测：计算滑动窗口（5分钟）内的温度Z-score，当Z-score>3时触发预警。
- 上下文异常检测：将当前温度与过去7天同一时刻的温度均值对比，偏差超过10°C时触发预警。
- 集合异常检测：监测振动RMS值的趋势斜率，如果连续10分钟斜率>0.1mm/s/min，触发预警。
实际操作步骤：
// 伪代码：端侧异常检测逻辑
void check_anomaly() {
float temp = read_temperature();
float vib_rms = read_vibration_rms();
// 1. 点异常检测
float z_score = (temp - temp_mean) / temp_std;
if (z_score > 3.0) {
publish_mqtt("ANOMALY_POINT", temp);
}
// 2. 上下文异常检测
float baseline = get_historical_mean(current_hour);
if (temp - baseline > 10.0) {
publish_mqtt("ANOMALY_CONTEXT", temp);
}
// 3. 集合异常检测
float slope = calculate_slope(vib_history, 10);
if (slope > 0.1) {
publish_mqtt("ANOMALY_COLLECTIVE", vib_rms);
}
}结果对比：实施该策略后，系统在轴承温度达到82°C时（比目标预警阈值提前3°C）成功触发集合异常预警（振动斜率持续上升），维护团队在4小时内完成轴承更换，避免了非计划停机。相比之前仅依赖90°C硬报警，预警时间提前了约6小时。
风险与代价：该策略增加了误报的可能性（尤其是上下文异常检测在季节交替时可能产生偏差），需要定期更新历史基线数据。此外，振动斜率计算需要存储至少10分钟的振动RMS历史数据，增加了约2KB的RAM占用。
复盘经验：单一类型的异常检测往往不够全面，组合使用点异常、上下文异常和集合异常可以覆盖更多故障模式。但需要根据实际数据分布调整各检测器的权重和阈值，避免“狼来了”效应导致维护人员对告警麻木。
3.5 常见误区与总结复盘
在端侧异常检测项目的实际落地中，工程师常陷入以下误区：