2. 异常值基础概念

2.1 异常值的定义

在API发布与运维场景中，异常值是指显著偏离数据集中正常行为模式、不符合预期分布或业务规则的观测点。这些数据点往往暗示着系统故障、配置错误、流量异常或安全攻击。

异常值并非总是错误数据，有时它可能是新业务模式或系统升级后的正常信号。因此，排查异常值的首要任务是区分“真实异常”与“数据漂移”。

2.2 异常值的三大分类

根据异常值在数据集中表现的形式与上下文关系，学术界与工业界将其分为三类：点异常、上下文异常和集体异常。下表对比了它们的核心差异：

2.3 点异常（Point Anomaly）

点异常是最直观的异常类型，指单个数据实例相对于数据集中其他所有实例表现出显著差异。在API发布场景中，点异常通常由瞬时故障、配置错误或突发流量引起。

• 典型表现：
  • 单次请求响应时间从200ms飙升至15s
  • 单个API端点返回HTTP 500错误
  • 单台实例CPU使用率从30%跳变到95%
  • 单次请求体大小超过10MB（正常为1-100KB）
• 排查要点： 点异常通常可以通过固定阈值或统计方法（如Z-score、IQR）快速捕获，但需注意区分“真实异常”与“合法尖刺”。

2.4 上下文异常（Contextual Anomaly）

上下文异常的行为在特定上下文（如时间、地理位置、用户群体）中异常，但在全局数据分布中可能完全正常。这类异常对API发布监控尤为重要，因为许多业务指标具有明显的周期性。

• 典型表现：
  • 凌晨3点（业务低谷期）出现与白天高峰期相当的QPS
  • 周末（低流量日）出现工作日级别的请求量
  • 某地域的API调用量在非业务时段突然激增
  • 新版本发布后，旧版本API在非预期时间被大量调用
• 排查要点： 上下文异常需要建立“正常行为基线”，通常使用时间序列分解、周期性模型或基于历史数据的预测算法。

2.5 集体异常（Collective Anomaly）

集体异常是指一组相关数据实例作为一个整体表现出异常行为，但其中的单个数据点可能完全正常。在API发布场景中，集体异常往往预示着系统性故障或渐进式退化。

• 典型表现：
  • 连续5-10分钟内，API错误率从0.1%逐步攀升至5%
  • 一组相关API端点（如用户服务下的所有接口）同时出现延迟增加
  • 某微服务实例集群的CPU使用率在30分钟内持续上升
  • 新版本发布后，一组特定请求参数组合导致数据库连接池耗尽
• 排查要点： 集体异常检测需要分析数据子序列或子集的联合分布，常用方法包括子序列聚类、马尔可夫模型或基于图结构的异常检测。

2.6 API发布场景中的典型表现对照

下表汇总了三种异常类型在API发布全生命周期中的具体表现，帮助排查人员快速定位异常类别：

2.7 异常值排查的通用原则

在API发布阶段进行异常值排查时，建议遵循以下原则：

1. 先分类，后定位： 根据异常表现判断其属于点异常、上下文异常还是集体异常，选择对应的检测算法和排查路径。
2. 结合业务上下文： 不要仅依赖统计指标，需理解发布计划、流量特征和业务周期。
3. 多维度交叉验证： 单一指标异常可能是误报，需结合延迟、错误率、吞吐量、资源使用率等多维度数据。
4. 建立基线，动态调整： 每次发布后更新正常行为基线，避免旧基线导致误判。