2. 阈值类型与分类：静态阈值、动态阈值、基于百分位数的阈值、基于统计模型的阈值

在风控哨兵系统中，告警阈值的设定方式直接决定了监控的灵敏度和误报率。错误的阈值类型选择会导致大量无效告警或关键风险遗漏。本章系统梳理四种核心阈值类型，帮助你在不同业务场景下做出最优选择。

2.1 阈值类型全景对比

四种阈值类型在计算逻辑、适用场景、维护成本上存在显著差异。下表从六个维度进行横向对比：

2.2 静态阈值

静态阈值是最基础的告警方式，设定一个固定数值或比率作为触发条件。例如：CPU 使用率超过 90% 触发告警、单笔交易金额超过 100 万元触发审核。

• 优点： 实现简单、计算开销为零、业务人员容易理解。
• 缺点： 无法适应业务量变化（如大促期间流量暴涨导致误报）、需要人工定期调整。
• 典型代码实现：

# 静态阈值告警示例
def check_static_threshold(metric_value, threshold=90.0):
    if metric_value > threshold:
        return "ALERT: 指标值 {:.2f} 超过静态阈值 {:.2f}".format(metric_value, threshold)
    return "OK"

2.3 动态阈值

动态阈值基于滑动时间窗口内的统计量（如均值、中位数、移动平均）实时计算告警边界。它能够自动跟随业务趋势变化，减少因周期性波动导致的误报。

• 常见算法： 简单移动平均（SMA）、指数加权移动平均（EWMA）、Holt-Winters 季节性模型。
• 适用场景： 日活用户数、API 调用量、订单创建速率等具有明显趋势或周期的指标。
• 注意事项： 窗口长度选择至关重要——窗口过短易受噪声干扰，窗口过长则响应滞后。

# 基于 EWMA 的动态阈值示例
import numpy as np

def ewma_threshold(series, alpha=0.3, multiplier=3.0):
    ewma = series[0]
    for i in range(1, len(series)):
        ewma = alpha * series[i] + (1 - alpha) * ewma
    # 动态上界 = EWMA + 3 * 残差标准差
    residuals = np.abs(series - ewma)
    std_resid = np.std(residuals)
    upper_bound = ewma + multiplier * std_resid
    return upper_bound

2.4 基于百分位数的阈值

百分位数阈值利用历史数据的排序分布来划定告警边界。例如，将 P99（第 99 百分位数）作为告警线，意味着只有 1% 的极端值会触发告警。

• 计算方式： 对历史窗口内的数据升序排列，取指定分位点对应的值。
• 优势： 对数据分布无假设，天然适应长尾分布；可通过调整分位点灵活控制告警量。
• 常见分位点： P50（中位数）、P95、P99、P99.9。
• 风险： 需要足够的历史数据（建议至少 1000 个样本点）；对突发性全局漂移反应较慢。

# 百分位数阈值计算示例
import numpy as np

def percentile_threshold(historical_data, percentile=99.0):
    threshold = np.percentile(historical_data, percentile)
    return threshold

# 使用最近 24 小时数据计算 P99 阈值
recent_data = [12.3, 15.7, 11.2, 18.9, 13.4, ...]  # 实际数据
p99_limit = percentile_threshold(recent_data, 99.0)
print("P99 阈值:", p99_limit)

2.5 基于统计模型的阈值

统计模型阈值通过拟合数据的概率分布，利用假设检验或置信区间来动态确定告警边界。这是四种类型中数学基础最严谨的方法。

• 常用模型： 正态分布（3σ 原则）、Grubbs 检验、MAD（中位数绝对偏差）、ARIMA 时间序列模型。
• 核心思想： 假设正常数据服从某种分布，当新数据点落在分布尾部（如超出 99.7% 置信区间）时触发告警。
• 优势： 可量化告警置信度；能检测到微小的系统性偏移。
• 挑战： 数据需满足模型假设（如正态性）；计算复杂度高；参数调优需要专业知识。

# 基于 3σ 原则的统计阈值示例
import numpy as np

def three_sigma_threshold(data, new_value):
    mean = np.mean(data)
    std = np.std(data)
    upper = mean + 3 * std
    lower = mean - 3 * std
    if new_value > upper or new_value < lower:
        return "ALERT: 值 {:.2f} 超出 3σ 区间 [{:.2f}, {:.2f}]".format(new_value, lower, upper)
    return "OK"

2.6 阈值类型选择决策流程

以下 SVG 流程图展示了从业务需求到阈值类型选择的完整决策路径：

2.7 混合阈值策略

在实际风控系统中，单一阈值类型往往难以覆盖所有场景。推荐采用分层混合策略：

1. 第一层（快速过滤）： 静态阈值拦截明显异常（如金额超过 500 万）。
2. 第二层（动态适应）： 动态阈值捕捉趋势变化（如日交易量突增 3 倍）。
3. 第三层（精准识别）： 统计模型或百分位数阈值进行深度分析（如检测账户行为模式偏移）。