4. 行为基线建模：正常行为模式定义、周期性行为提取、基线模型构建方法

设备画像的核心，说白了就是回答一个问题：这台设备“正常”的时候长什么样？

我做了这么多年设备运维，见过太多团队一上来就搞异常检测，结果误报率奇高。为什么？因为他们根本不知道什么是“正常”。没有基线，异常就是空中楼阁。

这一章，我们就来聊聊怎么给设备建一条靠谱的行为基线。我会把正常行为模式的定义、周期性行为的提取，以及统计和机器学习两种建模方法，掰开揉碎了讲清楚。

4.1 正常行为模式定义：先搞清楚“正常”是什么

你想想看，一台泵在启动瞬间电流冲到额定值的 1.5 倍，算不算异常？

当然不算。那是正常的启动冲击。

但如果这台泵在稳定运行阶段，电流突然跳了 30%，那就有问题了。所以，定义正常行为模式，关键不是看单个数值，而是看设备在特定工况下的行为范围。

我个人习惯把正常模式拆成三个维度来定义：

• 稳态模式：设备在恒定负载、恒定转速下的运行表现。比如一台风机在 1500 RPM 下，振动值稳定在 2.3-2.8 mm/s 之间。
• 瞬态模式：设备启停、负载切换、加减速过程中的行为。比如电机启动电流的峰值、持续时间、回落曲线。
• 环境耦合模式：设备行为受温度、湿度、电网波动等外部因素影响的变化。比如夏天冷却水温升高，换热器效率下降 5%，这是正常的。

我在项目中遇到过最典型的翻车案例：某团队给压缩机建基线，只采集了冬季数据，结果到了夏天，冷却水温度一上来，振动值全线飘红，误报率直接飙到 60%。

4.2 周期性行为提取：设备也有“生物钟”

设备的行为不是随机的。它有自己的节奏。

一台空压机，白天负载高，晚上负载低，这是日周期。一条产线，周一早上开机，周五下午关机，这是周周期。一套制冷系统，夏天满负荷，冬天低负荷，这是年周期。

提取这些周期性行为，是建基线的前提。我常用的方法有三种：

方法	适用场景	优点	缺点
自相关分析	发现数据自身的重复模式	简单直观，计算快	对噪声敏感，周期不清晰时效果差
傅里叶变换	提取固定频率的周期成分	适合稳态周期性信号	对非平稳信号效果不好
时序分解	分离趋势、周期、残差	结果可解释性强	需要较长的历史数据

嗯，这里要注意。傅里叶变换虽然经典，但设备数据往往不是纯平稳的。我建议先用时序分解打个底，把趋势和周期拆开，再针对周期成分做进一步分析。

举个例子，我用 Python 的 statsmodels 库做季节性分解，代码大概长这样：

import pandas as pd
from statsmodels.tsa.seasonal import seasonal_decompose

# 假设 df 是设备振动值的时序数据，索引为时间戳
result = seasonal_decompose(df['vibration'], model='additive', period=1440)

# 提取周期成分
seasonal = result.seasonal
trend = result.trend
residual = result.resid

# 可视化检查
result.plot()

这里的 period=1440 是什么意思？如果你的数据是每分钟一条，1440 就是 24 小时，对应日周期。如果是 10 分钟一条，那 period 就是 144。

4.3 基线模型构建方法：统计 vs 机器学习

基线模型，就是用一个数学框架把“正常行为”给框起来。我把它分成两派：统计方法和机器学习方法。

4.3.1 统计方法：简单、可解释、够用

统计方法的核心思想是：用历史数据的分布来描述正常范围。

最常用的就是 3σ 原则。假设设备某个指标服从正态分布，那么 99.7% 的正常数据会落在均值 ±3 个标准差之内。超出这个范围，就算异常。

但现实往往不这么理想。设备数据经常是偏态的，或者有多个峰值。这时候我会用 箱线图法，用四分位距（IQR）来定义边界：

• 上边界 = Q3 + 1.5 × IQR
• 下边界 = Q1 - 1.5 × IQR

我在项目中遇到过一台离心泵，振动数据明显右偏。用 3σ 法，上边界设得太高，漏报了很多早期故障。换成箱线图法，效果立竿见影。

统计方法的优点是计算快、可解释性强。你给业务人员解释“这个值超过了 3 个标准差”，他们能听懂。但缺点也很明显：它假设数据分布是固定的，无法适应设备老化或工况漂移。

4.3.2 机器学习方法：灵活、自适应、但需要数据

当设备行为复杂，或者工况变化频繁时，统计方法就有点力不从心了。这时候我会请出机器学习。

我个人最常用的基线建模方法有三种：

1. 孤立森林：适合高维数据，速度快，对异常点敏感。我拿它做过 50 个传感器维度的基线，效果不错。
2. 单类 SVM：适合边界清晰的场景。说白了，就是画一个超球面，把正常数据包在里面。
3. 自编码器：适合非线性、复杂关联的数据。用正常数据训练，让模型学会“重构”正常行为。重构误差大的，就是异常。

举个例子，用自编码器建基线，核心代码大概是这样：

from tensorflow.keras.models import Sequential
from tensorflow.keras.layers import Dense

# 构建自编码器
model = Sequential([
    Dense(32, activation='relu', input_shape=(n_features,)),
    Dense(16, activation='relu'),
    Dense(8, activation='relu'),   # 瓶颈层
    Dense(16, activation='relu'),
    Dense(32, activation='relu'),
    Dense(n_features, activation='linear')
])

model.compile(optimizer='adam', loss='mse')

# 只用正常数据训练
model.fit(X_train_normal, X_train_normal, epochs=50, batch_size=32)

# 计算重构误差作为异常分数
reconstructions = model.predict(X_test)
mse = np.mean(np.square(X_test - reconstructions), axis=1)

嗯，这里有个坑。自编码器对训练数据的质量要求很高。我曾经用一批含有少量异常的数据训练，结果模型把异常也学进去了，基线直接“污染”了。

4.4 方法选型：到底用哪个？

很多学员问我：“老师，到底用统计方法还是机器学习？”

我的回答是：看场景，别炫技。

我整理了一个选型指南，供你参考：

场景	推荐方法	理由
单指标、分布稳定	3σ 或箱线图	简单、可解释、零成本
多指标、线性相关	马氏距离	考虑变量相关性，比单变量强
多指标、非线性、数据量大	自编码器	能学到复杂模式，自适应强
工况频繁切换	孤立森林	对多模态分布鲁棒性好
需要实时、低延迟	统计方法	计算开销小，毫秒级响应

你想想看，如果设备只有温度和压力两个指标，工况也稳定，你非得上个深度学习，那不是杀鸡用牛刀吗？

反过来，如果设备有 100 个传感器，工况一天变八回，你还用 3σ 一个个指标去卡，那误报率能让你怀疑人生。

4.5 本章知识体系总览

下面这张图，是我对本章核心逻辑的总结。你可以把它当作一个思维导图来用：

这张图把本章的三个核心模块串起来了。从左到右，从定义到提取再到建模，是一个完整的流水线。你建基线的时候，就按这个顺序走，不会乱。