3. 尖峰告警问题定义
在贷后预警场景中，尖峰（Spike） 是指某个监控指标在极短时间内出现远超历史正常波动范围的剧烈跳变，随后可能快速回落或持续异常。与缓慢的趋势漂移不同，尖峰具有突发性、短暂性和高振幅特征，是贷后风险中最需要即时响应的信号之一。
3.1 什么是尖峰（Spike）
尖峰在金融时序数据中通常表现为：
- 突发性：指标值在 1~3 个时间窗口内急剧上升或下降。
- 高振幅：偏离历史均值的幅度超过 3σ（标准差）或预设阈值。
- 短暂性：异常状态持续时间短，通常不超过 5 个连续采样点。
- 业务含义：可能对应集中逾期、批量欺诈、系统故障或外部冲击事件。
典型贷后尖峰示例： 某产品每日首逾率从 0.8% 突然跳升至 3.2%，持续 2 天后回落至 1.0%。这种形态即为尖峰，而非趋势性恶化。
3.2 尖峰检测的数学定义
从数学角度，尖峰检测可形式化为以下问题：
给定时间序列 X = {x₁, x₂, ..., xₙ}，定义滑动窗口 W(t) = {x_{t-k}, ..., x_{t-1}} 为历史参考窗口，当前观测值为 x_t。若满足以下条件之一，则判定 x_t 为尖峰：
- Z-Score 方法：
|x_t - μ(W)| / σ(W) > θ，其中 μ 为均值，σ 为标准差，θ 为阈值（通常取 3~5）。 - 中位数绝对偏差（MAD）方法：
|x_t - median(W)| / MAD(W) > θ，对异常值更鲁棒。 - 百分比变化法：
|x_t - x_{t-1}| / x_{t-1} > δ，适用于非平稳序列。 - 残差检测法：先拟合预测模型（如 ARIMA、XGBoost），计算残差
e_t = x_t - ŷ_t，若|e_t| > threshold则标记为尖峰。
| 方法 | 公式核心 | 适用场景 | 优点 | 局限 |
|---|---|---|---|---|
| Z-Score | (x_t - μ) / σ | 正态分布数据 | 计算简单，解释性强 | 对异常值敏感，σ 被污染 |
| MAD | |x_t - median| / MAD | 含离群点的数据 | 鲁棒性强 | 计算量稍大 |
| 百分比变化 | |Δx| / x_{t-1} | 非平稳、趋势明显 | 无需分布假设 | 对低基数敏感 |
| 残差检测 | |x_t - ŷ_t| | 有预测模型时 | 可捕捉复杂模式 | 依赖模型质量 |
3.3 尖峰检测与常规异常检测的区别
常规异常检测（如离群点检测、漂移检测）与尖峰检测在目标、方法和业务含义上存在本质差异。下表从多个维度进行对比：
| 对比维度 | 尖峰检测 | 常规异常检测 |
|---|---|---|
| 时间尺度 | 极短（1~5 个时间点） | 可短可长，包含持续性异常 |
| 形态特征 | 突发跳变，快速起落 | 点异常、上下文异常、集合异常 |
| 检测目标 | 捕捉瞬时剧烈波动 | 识别偏离正常模式的任何点 |
| 误报容忍度 | 较低（需即时告警） | 视场景而定 |
| 业务响应 | 触发紧急干预流程 | 可能仅记录或分析 |
| 常用算法 | Z-Score、MAD、残差检测 | 孤立森林、LOF、Autoencoder |
| 贷后示例 | 单日逾期率从 1% 跳至 5% | 连续 7 天逾期率缓慢上升 |
常见误区： 很多团队将常规异常检测模型直接用于尖峰告警，导致大量误报或漏报。尖峰检测需要特别关注时间局部性和振幅突变性，而非全局分布偏离。
3.4 尖峰检测在贷后预警中的定位
在贷后预警体系中，尖峰检测承担着 第一道防线 的角色：
- 实时性优先：要求在分钟级或小时级内完成检测并触发告警。
- 高召回要求：宁可误报不可漏报，因为漏掉一个尖峰可能导致重大损失。
- 可解释性：需要明确告知风控人员“哪个指标、何时、跳变幅度多大”。
- 与趋势检测互补：尖峰检测负责突发信号，趋势检测负责慢性恶化，两者共同构成完整预警体系。
3.5 尖峰检测的挑战与应对
在实际贷后场景中，尖峰检测面临以下核心挑战：
- 噪声干扰：节假日、营销活动、系统延迟等造成大量伪尖峰。
- 阈值选择：固定阈值无法适应不同指标的量纲和波动性。
- 多指标联动：单一指标尖峰可能为假，多指标同时尖峰才具业务意义。
- 时效性要求：检测延迟超过 1 小时，告警价值大幅下降。
实战建议： 在 XGBoost 尖峰告警方案中，我们采用 多窗口特征 + 残差学习 的方式，将尖峰检测转化为二分类问题，利用树模型自动学习不同指标的最佳阈值和组合模式，有效降低误报率。