异常识别

识别异常，就是找出明显偏离既定标准或基线的事件或数据点。先了解“正常”是什么样，你就能避免误报——比如，先知道自己平时的静息心率，就不会因为心率暂时升高而慌张。先建立基线，你才能分清哪些是有意义的信号，哪些只是随机噪声。 请检查：选一个你正在追踪的指标，今天就明确它具体的“正常”范围。

要可靠地识别异常，你需要有条理地观察，而不是看到单个事件就立即作出反应。这个过程依靠一个反复比较的循环，依次包括输入、基线核对、偏差分析和输出。

首先，建立可靠的基线。只有先明确定义什么是正常，你才能发现异常值。在网络安全中，这意味着掌握用户通常的登录时间；在制造业中，这意味着知道机器正常运转时的确切振动频率。

其次，设定容许偏差的阈值。并非每次偏离都值得关注。网站流量下降百分之一，可能只是噪声；下降百分之十五，则是一个信号。你需要划定一个“不必关注的范围”，忽略其中的轻微波动，避免因警报过多而感到疲惫。

第三，结合具体情境理解偏差。一旦偏差超出阈值，就要核实外部条件。热浪期间冰淇淋销量突然猛增，并不算异常，而是相关现象。真正的异常往往没有明显的外部诱因，因此需要通过溯因推理，也就是从观察到的现象寻找可能的解释，找出隐藏的原因。

信号检测论（SDT）和统计过程控制领域的研究，重点探讨人和算法如何从背景噪声中区分出真实信号。形式化方法着重于定义概率分布，用来量化某个事件发生的可能性有多低。

• Green 和 Swets（1966）：建立了信号检测论，表明异常检测需要在敏感性（命中率）与特异性（误报率）之间作出权衡 [1]。
• Shewhart（1931）：提出了“可归属原因”与“偶然原因”的概念，为工业中用于识别统计异常的控制图奠定了基础 [2]。
• Kahneman 等人（2021）：认为“噪声”（判断中不希望出现的变异）往往看起来像异常，因此需要在决策过程中严格遵循减少判断噪声的规范，才能识别真正的异常值 [3]。

在“基线”不断变化的动态环境中，严格的异常检测可能会失效，这类数据称为非平稳数据。过度依赖历史基线，可能导致“正常性偏差”：忽略前所未有的威胁，因为它们不符合已知的异常模式，例如黑天鹅事件。