1. 课程导入与问题界定

在盘口数据分析的实际工作中，我们经常遇到这样的困惑：某个时刻的买一挂单量突然放大到平时的三倍，这到底算不算异常？上午十点出现的撤单频率与下午两点出现的同样数值，是否应当用同一把尺子衡量？如果只用一条固定的阈值线去判断，往往会在开盘阶段频繁误报，而在午后清淡时段大量漏报。这正是本课程要解决的核心问题——盘口异常检测不能脱离时段背景，基线必须随交易时段动态构建。

先把两个容易混淆的概念分清。盘口异常检测回答的是“当前这一刻的盘口状态是否偏离常态”，它是一个判断动作，输出的是异常与否的结论以及异常类型；而基线构建回答的是“常态长什么样”，它是一个建模动作，输出的是各时段、各维度下的参考分布或参考区间。没有可靠的基线，异常检测就失去了比较的标尺；而基线如果忽略时段差异，检测结果就会系统性偏移。二者的关系可以概括为：基线是检测的前提，检测是基线的应用与检验，检测中积累的误报与漏报又反过来驱动基线修正。

上图展示了本课程的整体结构：盘口原始数据经过时段切分，进入分时段基线建模，再用于异常判定，而判定结果又通过误报与漏报的复核反馈回基线，形成闭环。底部曲线强调了一个关键事实——同一个指标在开盘、午间、尾盘的自然波动水平并不相同，用一条水平阈值线横切，必然在波动大的时段误报、在波动小的时段漏报。

业务场景与核心目标

本课程面向的场景主要有三类。第一类是盘中实时监控：需要在交易进行中及时发现挂单异常撤挂、虚假挂单、瞬时流动性抽离等行为，要求判定延迟低、误报可控。第二类是盘后复盘分析：对全天盘口做逐时段扫描，定位异常时间点并归类，用于合规核查或策略归因。第三类是策略风控前置：在做市或高频策略运行前，先确认当前盘口状态是否处于常态区间，避免在异常环境下继续按常态假设下单。

三类场景对基线的要求不同：实时监控要求基线更新快、计算轻；盘后复盘要求基线覆盖全时段、可追溯；风控前置要求基线有明确的置信区间和触发条件。因此本课程的核心目标可以界定为三点：其一，能够按盘口波动特征把交易日切分为若干有意义的时段；其二，能够为每个时段、每个关键指标构建可更新的参考基线；其三，能够基于基线计算偏离度并给出可解释的异常判定，同时通过复核机制控制误报与漏报。

关键指标与时段划分的初步认识

盘口异常基线通常围绕几类指标展开：买一卖一挂单量、五档累计深度、撤单率（单位时间内撤单笔数占委托笔数比例）、价差、盘口不平衡度（买一量与卖一量之差除以两者之和）。这些指标的量纲和分布形态不同，基线方法也应有所区别。例如挂单量适合用分位数区间描述，撤单率适合用比例分布，盘口不平衡度本身已在 −1 到 1 之间，适合用均值加标准差或分位数刻画。

时段划分不应简单按整点等分。合理的做法是先观察指标在全天的波动形态，把波动特征相近的连续区间合并为一段。以某只标的的示例数据为例（以下数值为教学假设，非实测）：集合竞价段（9:15–9:25）挂单量剧烈变化且不稳定，宜单独成段；开盘后 9:30–10:00 波动高，撤单率常在 0.25 附近；10:00–11:30 逐步平稳，撤单率回落到 0.12 左右；13:00–14:30 为全天最平稳段，撤单率约 0.08；14:30–15:00 尾盘活跃度回升，撤单率升至 0.18 左右。若把 10:00 与 14:00 的数据混在一起建一条基线，基线的区间会被拉宽，导致午间真实异常被掩盖。

学习路径与常见误区

本课程后续将沿着“数据准备—时段切分—基线建模—偏离度计算—异常判定—复核修正”的路径展开，每一环都会给出可操作的方法与示例参数。学习时建议按顺序推进，因为后一环的输入依赖前一环的输出：没有干净的盘口数据，时段切分就会失真；没有合理的时段切分，基线就会混杂；基线不可靠，偏离度与判定就无从谈起。

需要提前警惕几个误区。一是把基线当成固定阈值：基线是分布或区间，不是一条写死的数字线，它应随样本滚动更新。二是忽略样本量：某时段样本过少时，分位数估计不稳定，应设置最小样本量门槛或采用平滑处理。三是只建不验：基线建好后必须用历史数据回放检验误报率与漏报率，否则无法判断基线是否可用。四是混淆检测与基线：检测规则调整不等于基线修正，二者应分开管理、分别记录变更。

下面给出一份可直接用于起步的时段与指标基线登记表示例，字段按实际需要设置，便于在后续章节中逐项填充与复核。