2. 核心概念：坏账率定义、哨兵系统架构、告警阈值的基本原理
在开始调优告警阈值之前，必须统一三个基础概念：坏账率是衡量风险的标尺，哨兵系统是承载告警的骨架，告警阈值是触发动作的开关。三者缺一不可，任何一处的定义模糊都会导致后续调优失去基准。
2.1 坏账率定义与计算口径
坏账率（Bad Debt Rate, BDR）指在特定时间窗口内，因行情剧烈波动导致用户穿仓、强制平仓后仍无法覆盖亏损的订单金额占总交易金额的比例。不同业务场景下，坏账率的计算口径存在差异，必须事先约定。
| 口径类型 | 计算公式 | 适用场景 | 特点 |
|---|---|---|---|
| 订单级坏账率 | 坏账订单数 / 总成交订单数 | 逐笔风控、小额高频交易 | 对单笔异常敏感，但易受刷单干扰 |
| 金额级坏账率 | 坏账总金额 / 总交易金额 | 大额交易、机构级风控 | 反映实际资金损失，更贴近财务口径 |
| 用户级坏账率 | 发生坏账的用户数 / 活跃用户数 | 用户信用评估、黑名单策略 | 关注用户行为分布，忽略单笔金额 |
实践建议：哨兵系统默认采用金额级坏账率作为主告警指标，订单级作为辅助排查指标。两种口径同时监控，避免单一视角误判。
2.2 哨兵系统架构
哨兵系统是一个实时流式处理管道，负责从行情数据接入到告警消息推送的全链路。其核心架构分为四层：数据采集层、计算引擎层、阈值判定层、告警分发层。
架构要点：阈值判定层是整个哨兵系统的“大脑”。计算引擎层只负责算出实时坏账率，不负责决策；阈值判定层拿到计算结果后，与预设规则进行比对，决定是否产生告警。这种分离设计使得阈值调优可以独立迭代，不影响底层计算逻辑。
2.3 告警阈值的基本原理
告警阈值本质上是一个决策边界：当实时坏账率超过该边界时，系统判定当前行情处于异常状态，触发告警。阈值设置并非固定不变，而是需要根据历史数据分布、业务容忍度、误报率要求进行动态调整。
2.3.1 阈值的三要素
- 基准值（Baseline）：历史正常行情下的坏账率均值，通常取过去30天或90天的滑动中位数。
- 偏移量（Offset）：允许坏账率在基准值之上波动的安全区间，常用绝对数值或百分比表示。
- 持续时间（Duration）：坏账率持续超过阈值的时长，用于过滤瞬时毛刺，避免频繁误报。
2.3.2 阈值类型对比
| 阈值类型 | 定义方式 | 优点 | 缺点 |
|---|---|---|---|
| 静态阈值 | 固定数值，如坏账率 > 0.5% | 简单直观，部署快 | 无法适应行情波动变化，易漏报或误报 |
| 动态阈值 | 基于统计模型实时计算，如均值 + 3σ | 自适应行情变化，准确率高 | 计算复杂，需要历史数据训练 |
| 分位数阈值 | 取历史数据的P95/P99分位数 | 对极端值不敏感，鲁棒性好 | 对数据分布有要求，不适合稀疏数据 |
常见误区：不要将阈值设得过于激进（如直接使用历史最大值）。过高的阈值会导致漏报，错过风险窗口；过低的阈值则引发告警风暴，运维人员产生“告警疲劳”。阈值调优的核心是在召回率和精确率之间找到平衡点。
2.4 核心概念关系总结
坏账率、哨兵系统、告警阈值三者构成一个闭环：坏账率是哨兵系统的输入指标，哨兵系统提供实时计算和判定能力，告警阈值是系统的决策参数。调优阈值本质上是在调整哨兵系统对坏账率异常的敏感度，使其既能及时捕捉风险，又不会过度反应。