时间序列异常检测算法实战盘点

可视化演示

异常检测入门

老周的仓库有一本运行日志：每小时记录一次进港包裹量，按时间排成一条曲线。这条曲线就是“时间序列”。正常日子里，它像潮汐一样有固定节奏；但如果传送带卡了、大客户突然爆单、或者系统统计出错，曲线上就会出现少数“不合群”的点。异常检测的任务，就是从这些按时间排列的数据里，找出真正需要关注的特殊时刻。

异常可以分成三类。第一类是点异常：某个单点数值突然大幅偏离正常区间，比如凌晨 2 点包裹量飙升到 3000 件。第二类是上下文异常：数值本身还在正常范围，但出现在错误的时间上下文里，比如深夜本该安静的时段出现了午高峰级别的流量。第三类是群体异常：连续多个点组成一段不正常形态，比如传送带卡住三小时，曲线变成一条诡异的水平线。这三类异常在运维监控、金融风控中都很常见。

为什么不用传统的“超过三倍标准差就算异常”呢？因为真实数据有趋势、有周期、有噪声，简单阈值会把节假日的正常峰值误判为故障，也会漏掉隐藏在正常数值中的上下文异常。于是我们需要能“看形状”和“看频率”的算法，这正是孤立森林和频谱残差登场的理由。

回到老周的仓库：他不想给每个小时的数据都贴标签，只想让算法自己去发现“奇怪的小时”。这不就是无监督学习最舒服的场景吗？接下来我们先把视角拉到“拉帘子”的孤立森林上。

孤立森林原理

老周有块空场地，里面堆着许多包裹样本。正常包裹长得都差不多，堆在一起；异常包裹又小又偏，藏在角落。新来的员工想找出怪包裹，既不称重也不看面单，而是随手拉几道帘子把场地切成小块。奇怪的是，普通包裹要经过很多道帘子才能被隔离，而那个角落里的怪包裹几下就被单独隔出来了。孤立森林用的正是这个“少数且不同”的直觉。

算法会随机选一个特征和切分值，把数据空间一切两半，不断重复直到每个样本都被单独分到叶子节点。每棵随机切分树里，样本从根到叶子经过的边数叫路径长度。异常点因为位置偏僻，路径长度往往很短。把所有树上的路径长度取平均，就得到稳定的异常度量。为了让分数好解释，我们把它归一化到 0 到 1 之间。异常分数公式如下：

当 \(\mathbb{E}[h(x)]\) 接近 \(c(n)\) 时，分数接近 0.5，表示普通样本；当路径长度明显短于平均水平时，分数接近 1，老周就会让这个包裹进入复查区。孤立森林不依赖任何标签，也不需要假设数据服从什么分布，这是它最可爱的地方。

孤立森林实战

老周发现，只看单个小时的包裹量有时不够。比如“深夜 2 点出现 800 件”既可能因为爆单，也可能因为传送带积压后集中吐出。要识别这种上下文异常，就得把“最近一小时的走势”也告诉模型。由于孤立森林不关心时间顺序，我们通常用滑动窗口把最近 \(m\) 个时间点拼成一个特征向量，就像老周判断员工状态时，不只看一秒钟的表情，而是看连续十分钟的动作。

在 Python 的 sklearn.ensemble.IsolationForest 中，三个参数最值得关注。n_estimators 控制树的数量，一般 100 到 200 就够，太多只会增加计算量；max_samples 控制每棵树最多使用的样本数，常用 256 或 512；contamination 是“预期异常比例”，它会在训练时帮助模型确定切分边界，相当于告诉老周“你预计 3% 的包裹需要复查”。

阈值如何定？如果数据里没有标签，可以把所有样本的异常分数排序，取 \(1-\text{contamination}\) 分位数作为阈值；如果有一些历史标注，则可以直接在验证集上选一个让 F1 最高的分数边界。需要注意，contamination 是预期比例而不是真实结果，业务变化时它也要跟着调整。

老周把边界定在“最怪异的 2% 包裹必须复查”，果然抓到了几单被系统漏掉的问题件。孤立森林把一个复杂问题变成了随机切分的概率游戏：树多、样本足、窗口合适，异常常常无处可藏。

频谱残差原理

老周还有一顶神奇的“频谱眼镜”。戴上它看包裹曲线，原本上下起伏的潮汐被拆成一堆不同频率的波浪：有每天一次的日周期，有每周一次的周周期，还有一些高频小抖动。正常数据在频率图里往往呈现出平滑的“常见节奏”，而突然出现的异常，会在很多频率上留下不协调的尖刺。频谱残差方法就是把这些“不协调”单独抠出来。

具体来说，把时间序列做傅里叶变换，得到幅度谱 \(A(f)\)。对幅度谱取对数，可以压缩动态范围，让大周期和小细节都能被看清。正常的时间序列，其对数幅度谱在局部应该是平滑的；我们用移动平均 \(h_n(f)\) 去拟合这个“平滑常态”，再把它从原始对数谱里减掉，剩下的就是异常带来的频谱残差。公式如下：

得到残差谱后，把它与原始相位结合，再做逆傅里叶变换，就能把频率上的“不协调”翻译回时间轴上的每个点，形成一条异常显著度曲线。曲线越高的地方，越可能是老周要找的异常时刻。

频谱残差实战

频谱残差的实战流程像老周查监控一样清晰，总共五步。第一步，对整段序列做 FFT，得到幅度谱和相位谱；第二步，对幅度谱取对数，得到对数幅度谱；第三步，用一个长度为 \(n\) 的滑动平均窗口拟合常态谱；第四步，用对数谱减去常态谱得到残差谱；第五步，将残差谱配合原始相位做 IFFT，还原出每个时间点的显著度分数。

参数选择上，滑动平均窗口 \(n\) 是关键。窗口太小，平滑谱会跟着原始谱抖动，异常尖刺容易被当成常态；窗口太大，平滑谱过于迟钝，小异常会被抹平。实践中一般从 3 到 10 之间尝试，再结合业务周期调整。如果数据有明确的日周期，可以先按 24 小时切片，再对每一列做检测，效果往往更好。

阈值设定可以用“均值加三倍标准差”这种保守策略，也可以用训练集上的分位数。老周对一天 1440 个分钟级数据做检测，把显著度超过 \(\mu + 3\sigma\) 的点标红，结果正好对应传送带卡住的那几分钟。

频谱残差最大的优势是计算快、无需训练标签，适合作为第一道“粗筛”；但它对缓慢漂移不敏感，所以工程上常让它和孤立森林形成互补。

模型评估调优

老周不能只凭感觉说“抓得准”，他需要量化评估。最基础的工具是混淆矩阵：把真实情况和预测结果交叉统计成四种格子：真正例 \(TP\)、假正例 \(FP\)、假负例 \(FN\)、真负例 \(TN\)。有了这四个数，就能计算精确率和召回率。

精确率回答“报警里有多少是真异常”，召回率回答“所有真异常里我们抓到了多少”。两者常常此消彼长：阈值调高，报警变少，误报少了但漏报变多；阈值调低，异常更容易被发现，但噪音也会跟着进来。为了综合权衡，常用 F1 分数：

老周把报警阈值想象成一个“灵敏度旋钮”：往左拧，更多异常被暴露，但半夜误报也多了；往右拧，群聊安静了，但可能漏掉大故障。调优不是让某个指标无限高，而是在业务容忍度下找到平衡点。运维场景更在意少漏报，故意把阈值调低；风控场景更在意误报成本，通常把阈值调高。

风控运维落地

在运维监控里，老周把两种算法装进监控室，形成一条完整链路：采集指标、滑窗预处理、并行打分、融合判断、告警通知。对于服务器 CPU、QPS、响应时间这类指标，频谱残差擅长发现“频率上的突变”，孤立森林擅长发现“特征组合上的离群”。两个模型都报警时，基本可以确认是真实故障；只有一个报警时，再结合业务规则决定是否升级。

金融风控是另一个典型场景。支付平台每分钟的交易笔数或金额，天然是时间序列。盗刷、营销事件、接口故障都会让序列出现尖峰或骤降。传统规则引擎只能识别已知模式，而异常检测不需要先验知识，能抓住从未见过的异常形态。发现异常后，风控系统会自动生成工单，让审核人员介入，形成“检测—预警—复核—处置”的业务闭环。

告警本身也要降噪。老周最讨厌半夜被同一故障连续轰炸，所以系统会做去重和聚合：同一个异常源在 10 分钟内只发一次告警，等确认恢复后再重置状态。这样，告警不再是噪音，而是一份高质量的“问题清单”。

易错点与工程化

老周踩过不少坑，第一个就是未来数据泄漏。离线分析时可以用整段序列的均值做平滑，但在线检测时，当前时刻只能用历史数据，不能拿未来数据帮忙。比如频谱残差的滑动平均，在线模式要用因果窗口或滚动 FFT，否则模型会“偷看答案”，上线后性能暴跌。

第二个坑是低频高幅误区。很多指标有强烈的周期性，比如每天早上八点准时上涨。如果不先消除趋势或周期，算法会把这种正常峰值当成异常。解决方法是先做差分、按周期切分，或者把“同期对比值”作为一个特征送入模型，让模型知道这个点只是“今天的正常早高峰”。

第三个坑是模型“过期”。业务会漂移，节假日的模式与工作日不同，老周的仓库旺季和淡季也完全不同。因此需要定期用最近数据重训模型，或者让基线随着滑动窗口自动更新。孤立森林和频谱残差的融合也是工程化的关键：前者擅长高维空间中的离群样本，后者擅长频率域上的突变，两者投票可以让误报率明显下降。

最后，老周把检测结果沉淀成一张“异常事件日历”，每个季度复盘哪些异常是故障、哪些是误报、哪些是业务变化。这不仅是模型优化，更是组织和流程的持续改进。

AI 应用场景

Python 演示

import numpy as npfrom sklearn.ensemble import IsolationForest def make_series():    rng = np.random.default_rng(42)    t = np.linspace(0, 6 * np.pi, 720)    series = 10 * np.sin(t) + 3 * np.sin(12 * t) + rng.normal(0, 0.8, 720)    series[180] = 32    series[481] = -28    return series def spectral_residual_score(series, smooth=7):    fft = np.fft.fft(series)    log_amp = np.log(np.abs(fft) + 1e-8)    kernel = np.ones(smooth) / smooth    avg_log_amp = np.convolve(log_amp, kernel, mode='same')    residual = log_amp - avg_log_amp    restored = np.exp(residual + 1j * np.angle(fft))    score = np.abs(np.fft.ifft(restored))    return score def detect_by_score(score, k=3):    thr = score.mean() + k * score.std()    return score > thr, thr def main():    series = make_series()    sr_score = spectral_residual_score(series)    sr_anom, sr_thr = detect_by_score(sr_score)    print("频谱残差异常点:", np.where(sr_anom)[0].tolist())    print("频谱残差阈值:", round(sr_thr, 4))     X = np.vstack([series[i:i + 10] for i in range(len(series) - 10)])    model = IsolationForest(n_estimators=200, contamination=0.03, random_state=42)    labels = model.fit_predict(X)    if_anom = (labels == -1)    print("孤立森林异常样本数:", int(if_anom.sum())) if __name__ == "__main__":    main()

1. rng = np.random.default_rng(42)固定随机种子，让实验结果可复现。
2. series[180] = 32在序列中人为埋入两个异常点，模拟真实突发。
3. np.fft.fft(series)把时域序列变换到频域，得到幅度谱和相位谱。
4. np.convolve(log_amp, kernel, mode='same')对对数幅度谱做滑动平均，得到“常态谱”。
5. np.exp(residual + 1j * np.angle(fft))用残差谱和原始相位重构信号，再逆变换得到显著度。
6. IsolationForest(n_estimators=200, contamination=0.03)构建 200 棵孤立树，并假设约 3% 的样本为异常。
7. model.fit_predict(X)无监督训练并返回每个样本的标签，-1 表示异常。

常见误区

面试题