3、异常检测概述：异常检测的定义、分类及在SRE中的应用

异常检测（Anomaly Detection）是可观测性与智能运维（AIOps）的核心基础能力。在《Metric Design 异常检测支撑配置环境一致性发布》课程中，理解异常检测的本质与分类，是后续设计检测规则、配置告警策略、保障发布一致性的前提。

3.1 异常检测的定义

异常检测是指在数据集中识别出不符合预期模式或显著偏离正常行为的数据点的过程。在 SRE 场景下，这些数据点通常来自指标（Metrics）、日志（Logs）或链路追踪（Traces）。

异常检测并非简单的“超过固定阈值”，而是需要结合时间序列特征、周期性、趋势和季节性进行综合判断。例如，业务高峰期的 QPS 为 10000 是正常，而凌晨 3 点的 QPS 为 10000 则可能是异常。

3.2 异常检测的三大分类

根据异常数据点的形态与上下文关系，异常检测通常分为三类：点异常、上下文异常和集体异常。下表总结了它们的核心差异：

分类	定义	SRE 典型场景	检测难度
点异常	单个数据点显著偏离整体分布	单次请求超时、CPU 瞬时飙高	低（固定阈值即可）
上下文异常	在特定上下文（时间/空间）下异常，但在其他上下文正常	凌晨时段流量突增、节假日 QPS 骤降	中（需考虑时间窗口）
集体异常	一组数据点整体行为异常，但单个点可能正常	慢查询集群、内存泄漏导致的渐进式增长	高（需序列模式匹配）

3.3 三类异常的详细解析

3.3.1 点异常（Point Anomaly）

点异常是最直观的异常类型。单个数据点与全局数据分布存在显著差异。在 SRE 中，点异常通常对应瞬时故障或突发抖动。

• 示例：某台服务器的内存使用率在 1 分钟内从 40% 跳变到 95%。
• 检测方法：3σ 原则、Z-Score、IQR（四分位距）、固定阈值。
• 局限性：无法区分“正常波动”与“真实异常”，容易产生误告。

3.3.2 上下文异常（Contextual Anomaly）

上下文异常的行为在全局统计上可能正常，但在特定时间窗口或空间维度下表现为异常。这是 SRE 中最常见也最容易被忽视的异常类型。

• 示例：某电商平台在周二下午 2 点的订单量是 5000，这个数值在全局看是正常的；但如果历史同期（周二下午 2 点）的订单量是 8000，则 5000 属于上下文异常（下降 37.5%）。
• 检测方法：季节性分解（STL）、动态时间规整（DTW）、基于周期的滑动窗口。
• 关键点：必须引入“时间上下文”或“分组上下文”作为检测条件。

3.3.3 集体异常（Collective Anomaly）

集体异常是指一组数据点作为一个整体表现出异常行为，但单个数据点可能完全正常。这类异常通常对应系统性的退化或渐进式故障。

• 示例：数据库的慢查询数量从 10 个/分钟逐渐增长到 200 个/分钟，持续 30 分钟。单个时间点的慢查询数（如 50 个）可能仍在正常范围内，但整体趋势明显异常。
• 检测方法：序列模式匹配、子序列聚类、马尔可夫模型、LSTM 时序预测。
• 挑战：需要较长的观测窗口，对实时性要求高。

3.4 三类异常的关系与可视化

下图展示了三类异常在时间序列上的典型形态：

3.5 异常检测在 SRE 中的应用矩阵

在 SRE 实践中，三类异常对应不同的检测策略与告警优先级。下表总结了它们在配置环境一致性发布场景中的具体应用：

异常类型	发布场景示例	推荐检测算法	告警优先级	误报率
点异常	发布后某节点 CPU 瞬时 100%	Z-Score、固定阈值	P0（立即处理）	高（易受毛刺干扰）
上下文异常	发布后同环比 QPS 下降 30%	STL 分解、同比检测	P1（需确认）	中（需排除业务波动）
集体异常	发布后错误率持续上升 15 分钟	趋势检测、EWMA	P0（自动回滚）	低（趋势稳定）

3.6 异常检测在一致性发布中的核心价值

在《Metric Design 异常检测支撑配置环境一致性发布》课程中，异常检测承担以下关键角色：

1. 发布前基线校验：通过历史数据建立正常行为基线，为发布后的对比提供参考。
2. 发布中实时检测：在灰度发布或金丝雀发布过程中，实时检测三类异常，触发自动回滚。
3. 发布后一致性验证：检测新版本与旧版本在相同上下文下的指标差异，确保配置环境一致性。
4. 误报抑制：通过上下文感知和集体趋势分析，过滤掉因业务正常波动导致的误告。