监控体系搭建：指标设计、KRI与KPI的区别、阈值设定

好，咱们进入正题。监控体系怎么搭？我见过不少团队，一上来就铺几百个指标，结果真正出问题时，该看的没看，不该看的堆成山。说白了，监控不是越多越好，而是要「准」。

我个人习惯，搭建监控体系前，先问自己三个问题：

• 我要监控什么？（业务目标还是风险信号）
• 怎么看才算「异常」？（阈值怎么定）
• 异常了然后呢？（谁来响应、怎么响应）

这三个问题想清楚，监控体系的大框架就有了。下面咱们拆开讲。

监控指标设计原则

指标设计，我总结过四个字：少、精、准、稳。

少——别贪多。我在项目中遇到过，一个团队搞了200多个监控指标，每天告警邮件几百封，最后大家直接「免疫」了。真正有效的监控指标，核心层不超过10个。

精——每个指标都要能回答一个具体问题。比如「支付成功率」回答的是「用户能不能付成钱」，「数据库连接数」回答的是「系统会不会挂」。

准——指标定义要清晰。我见过一个坑：有人把「用户活跃度」定义为「登录次数」，结果刷子用户一天登录100次，数据很好看，业务却毫无起色。指标定义错了，监控就是白搭。

稳——指标采集要稳定。别今天能取到数据，明天接口改了取不到。我曾经因为第三方API字段变更，监控数据断了两天，那叫一个被动。

KRI与KPI的区别

很多人搞混这两个概念。我简单说：KPI是看「好不好」，KRI是看「会不会出事」。

维度	KPI（关键绩效指标）	KRI（关键风险指标）
关注点	目标达成情况	风险暴露程度
时间视角	回顾性（过去做得好不好）	前瞻性（未来会不会出问题）
典型例子	月活跃用户数、收入增长率	异常登录次数、数据延迟时间
触发动作	考核、奖励、改进计划	告警、应急响应、风险缓释
数据来源	业务系统、财务系统	安全日志、监控系统、审计线索

举个例子你就明白了。你想想看，一个电商平台：

• KPI：日订单量10万单，转化率3%——这是业务目标。
• KRI：支付接口响应时间超过2秒，库存数据不一致次数——这是风险信号。

KPI好看了，不代表没风险。我见过一个项目，KPI全线飘红，但KRI早就爆了——数据延迟了4小时没人管，最后对账时发现差了300万。嗯，这里要注意：KRI往往是KPI的「刹车」。

监控阈值设定方法

阈值怎么定？这是门手艺活。定太松，风险漏掉；定太紧，告警疲劳。我踩过不少坑，分享几个实用方法。

方法一：统计基线法

这是最常用的方法。收集历史数据，算均值和标准差。比如：

阈值 = 均值 ± 3 × 标准差

为什么是3倍？正态分布下，3倍标准差覆盖99.7%的正常情况。超出这个范围，基本可以认定是异常。

但要注意：数据要干净。我遇到过有人拿包含故障期的数据算基线，结果阈值被拉得特别宽，异常全被「正常化」了。算基线前，先清洗掉异常数据。

方法二：百分位法

有些指标不是正态分布，比如响应时间、请求量。这时候用百分位更靠谱：

P99 阈值 = 过去7天第99百分位的值

什么意思？就是99%的请求都在这个值以下。超过P99的，就是那1%的「长尾异常」。

我个人习惯，核心指标用P99，非核心用P95。这样既保证敏感度，又不会告警太多。

方法三：同比/环比法

有些指标有周期性，比如工作日和周末差异很大。这时候用同比更准：

异常判定 = 当前值 vs 上周同一天同一时刻的值
变化率 > 30% 则告警

我曾经用这个方法抓到一个数据造假案例：某业务线周末数据突然暴涨200%，但同比上周只涨了5%，明显有问题。一查，果然是手动刷数据。

小结一下

监控体系搭建，说白了就是三件事：

1. 选对指标——少而精，KRI为主
2. 分清角色——KPI看业绩，KRI看风险
3. 定好阈值——用数据说话，别拍脑袋

我做了这么多年审计，最大的体会是：监控不是为了看数据，而是为了在出事前发现苗头。指标设计得再好，阈值定得再准，没人看、没人响应，一切都是零。

下一节，咱们聊聊监控数据怎么落地、怎么跟审计流程打通。到时候我会分享一个我亲手搭过的监控看板，从指标到告警到响应，一条龙讲清楚。