2. 统计方法检测异常：Z-Score方法、IQR方法、3σ原则、正态分布假设与局限性

在异常值规则灰度发布与模型Serving的实战场景中，统计方法是检测数值型特征异常的最基础手段。本章深入剖析四种经典统计检测方法的核心原理、适用场景与工程陷阱，帮助你在灰度发布前准确识别数据分布中的离群点。

2.1 正态分布与3σ原则

3σ原则基于正态分布假设：若数据服从正态分布 N(μ, σ²)，则约 99.73% 的数据落在均值 ±3σ 范围内。超出该范围的点被视为异常。

2.2 Z-Score方法

Z-Score（标准分数）衡量数据点与均值的偏离程度，以标准差为单位。Z-Score的绝对值越大，数据点越可能是异常。

工程实践步骤：

1. 计算样本均值 μ 和标准差 σ。
2. 对每个数据点计算 Z-Score。
3. 设定阈值（通常为 |Z| > 3），标记异常。

2.3 IQR方法（四分位距法）

IQR方法不依赖正态分布假设，基于数据的分位数，对偏态分布和含异常的数据集更稳健。它使用中位数和四分位距来定义异常边界。

2.4 三种方法对比与选型

2.5 正态分布假设的局限性

在真实生产环境中，严格服从正态分布的数据极为罕见。以下局限性直接影响异常检测效果：

• 偏态分布失效： 当数据右偏或左偏时，3σ原则会将大量正常点误判为异常（假阳性），或漏掉真实异常（假阴性）。
• 多模态分布： 数据存在多个聚集中心时，全局均值和标准差失去意义，Z-Score检测结果不可靠。
• 厚尾分布： 金融、网络延迟等数据常具有厚尾特征，3σ边界过于保守，会漏检大量极端值。
• 小样本偏差： 样本量小于30时，样本标准差对总体标准差的估计误差大，检测稳定性差。

2.6 工程实现要点

# Python 示例：Z-Score 与 IQR 异常检测
import numpy as np

def zscore_detection(data, threshold=3.0):
    """Z-Score异常检测"""
    mean = np.mean(data)
    std = np.std(data)
    z_scores = np.abs((data - mean) / std)
    return z_scores > threshold

def iqr_detection(data, multiplier=1.5):
    """IQR异常检测"""
    q1 = np.percentile(data, 25)
    q3 = np.percentile(data, 75)
    iqr = q3 - q1
    lower_bound = q1 - multiplier * iqr
    upper_bound = q3 + multiplier * iqr
    return (data < lower_bound) | (data > upper_bound)

# 灰度发布中的使用模式
def detect_anomalies_serving(feature_value, stats_cache):
    """模型Serving中的实时异常检测"""
    # stats_cache 预计算了均值和分位数
    if stats_cache['method'] == 'zscore':
        z = (feature_value - stats_cache['mean']) / stats_cache['std']
        return abs(z) > 3.0
    elif stats_cache['method'] == 'iqr':
        return (feature_value < stats_cache['lower']) or \
               (feature_value > stats_cache['upper'])
    return False