聊到多元时间序列异常检测圈里默认的起手式几乎都是同一套先选一个预测模型让它以历史为条件预测当前值然后盯着“预测值与观测值之间的偏差Delta”不放偏差一旦越过阈值就报警。GDN 这类图偏差网络本质上就是把这个 Delta Rule 做得越来越精细。但我最近在整理一个新方案 CyFA 时发现只要把“周期上下文”这件事用好完全不碰预测误差也能够在同样基准上把 GDN、KDA 这些代表方法都比下去。这篇文章不是劝你扔掉预测模型而是想聊聊一条我实测下来更省事、更可解释的替代路线特别适合周期规律明显的工业监控和运维场景。如果你正打算做时序异常检测的技术选型或者已经被预测误差的阈值调参折磨过这篇应该能提供一些不一样的思路。1. 被当成默认解的 Delta Rule到底在解决什么问题1.1 从预测误差到异常的推理链现在聊到时序异常检测大多数资料里的流程高度一致切窗口、做预测、算偏差、定阈值。预测模型的输入是历史观测输出是当前时刻或未来一步的预测值然后把真实值与预测值的差作为异常信号。这套逻辑之所以流行是因为它有一个非常自然的假设——正常序列是“可预测”的异常是“出乎意料”的。于是那些自回归模型、编码器解码器、注意力预测器都在围绕“怎么把正常序列预测得更准”做文章。这里特别要澄清一个概念Delta Rule 并不是神经网络里那个权值更新规则而是异常检测里常见的“误差判定范式”。无论前面套了多复杂的图神经网络、Transformer、扩散模型最后一步几乎都是同一个动作比较预测值和观测值把误差映射成异常分数。GDN 虽然用了传感器关系图但它的输出仍然是每个传感器的预测误差本质上没有跳出这个框架。KDA 则走的是另一条路我后面细讲。先把 Delta Rule 这条路的逻辑看清楚你才会明白为什么“不用误差判定”这件事值得讨论。1.2 三段式在真实工业序列上为什么开始失灵预测—比较—判定三段式听起来无懈可击但在真实工业数据上问题会一个一个冒出来。第一个问题是异常本身会“污染”预测器的输入。工业序列里的异常不是一瞬间的尖峰更多是持续几分钟甚至几小时的状态偏移。预测器在观测到异常片段之后会把异常状态也当成历史条件去预测下一步结果就是模型开始“顺着异常往下预测”误差反而变小了。这会导致一个很尴尬的局面异常发生的前几个点抓得准越到后面越漏报。你去调点级 F1能调到不错的数字但换成事件级 F1立刻发现一个持续异常常常只被报出开头一截中间全是洞。第二个问题是误差归一化。同一个系统里压力传感器的数值范围可能是 0 到 100温度传感器可能是 20 到 80而振动传感器可能是 0.001 到 0.01。直接把每个通道的误差加总等于让大数值通道主导了判定小数值通道的异常会被淹没。于是你得设计各种误差标准化方案比如按训练集误差的均值和方差做 Z-score或者按通道做分位数归一化。这些后处理说起来都是“一行代码的事”实际调起来全是坑训练集和在线数据分布稍微不一致归一化参数就失效。第三个问题是预测任务和异常检测目标并不完全一致。你真正想要的是“这个时间点正不正常”但预测器学到的目标是“把数值蒙准”。一个能精准预测正常波形的模型未必对异常敏感反过来一个预测误差很大的模型也可能只是因为回归任务没收敛。也就是说Delta Rule 用回归任务间接逼近异常分数路径绕了一圈中间还损失了很多信息。1.3 Delta Rule 的三个隐性成本除了上面说的精度问题我还想把这套范式的成本摊开算一算。我自己的体感是这三个隐性成本在项目里比模型精度更让人头疼。隐性成本一计算图和训练管线很重。做预测误差判定通常要端到端训练一个带编码器、解码器、有时还带图结构的网络。训练数据要整理成监督回归的格式要设计损失函数要处理传感器缺失还要在验证集上选择合适的早停轮次。这一套下来哪怕模型结构不复杂工程链路也不短。隐性成本二阈值极其敏感。误差信号的分布会随着工况变化一个固定阈值在白天正常、到晚上就疯狂误报。你可以用自适应阈值但自适应本身又引入了新的超参数。很多团队最后不得不靠人工盯报警规则原因不是模型不work而是阈值永远需要跟着数据漂移。隐性成本三可解释性差。当模型报出一个异常分你很难向运维同事解释这个分是怎么来的。预测误差只能告诉你“模型没想到这个值”但没法告诉你“这个通道在这个相位上出现了历史上从未有过的频率形态”。后者才是运维真正需要的信息。这三笔成本叠加起来我开始认真考虑一个问题能不能直接把“周期相位偏移”作为异常分数来源不训练预测头不设计误差归一化照样超过那些依赖 Delta Rule 的强基线CyFA 就是在这个动机下一点点搭起来的。2. GDN 与 KDA 这两条主流路线各强在哪、卡在哪2.1 GDN把传感器关系图编进预测器GDN 这一类方法核心贡献是显式建模传感器之间的依赖关系。它先学习一张关联图图里每个节点是一个传感器边表示两个传感器之间有稳定的相关模式。预测当前传感器数值时不只依赖它自己的历史还通过图注意力机制聚合邻居传感器的信息然后再走一遍“预测—比较—判定”的流程。这个设计在不少公开基准上很能打因为它解决了多通道序列最容易被忽略的问题通道之间不是独立的压力变化会影响温度温度变化又会影响流量。如果每个通道分开预测等于放弃了通道间关系这个巨大先验。GDN 把这个先验用图的方式编码进预测器确实比逐点独立预测强了不少。但我要泼一盆冷水GDN 再怎么改图结构最后输出的还是预测误差。问题在于传感器之间的关联在异常期间会发生结构变化而图结构是在训练阶段从正常数据里学出来的固定形态。一旦异常改变了通道间的联动方式预测器会用旧的图结构去强行解释新关系结果可能放大误差也可能完全失真。后者更常见——因为异常通常会把一些强相关的通道一起带偏图注意机制还会把这种被带偏的状态当作“可信邻居”互相增强。2.2 KDA用密度估计绕开预测误差KDA 这类方法代表的是另一条路线不做预测而是直接在特征空间里估计正常样本的密度。先对正常数据提取一系列特征用核密度估计等方法建模密度的空间分布某个新样本落在低密度区域就判定为异常。它绕过“预测下一步”这个任务因此严格来说并不依赖 Delta Rule。这也说明标题里“无需 Delta Rule 也能超过 KDA”这个表述更本质的意思其实是不训练预测头、不依赖误差判定管线照样能打过这些有代表性的基线。KDA 的优点在于实现直接、推理快、没有误差归一化的麻烦。但它的瓶颈也很明显密度估计在高维特征空间里非常不稳定。通道一多特征维度动辄几十上百核密度估计的带宽选择就成了玄学带宽小了密度图碎成一片带宽大了异常和正常糊在一起。更麻烦的是它在做密度估计时通常把不同周期相位的数据混在一起正常样本的密度会被拉高因为同一个特征数值在上午和下午可能对应完全不同的正常状态。结果就是周期变化越强KDA 的误报率越高。2.3 两条路线共同的短板对周期上下文的利用都太粗把 GDN 和 KDA 放在一起看你会发现一个共同点它们都没有认真对待“周期相位”这个信息。GDN 的预测器虽然隐式地看到了历史窗口但它不会主动知道“现在是日周期的哪个位置”KDA 的密度模型更是把所有时间点一视同仁。然而工业数据最显著的特征恰恰是周期性设备按照固定节拍运行产线每天重复相同的工序服务器负载跟着早晚高峰变化。异常在大多数情况下不是“整个历史分布变了”而是“这一个周期相位上的形态和过去同一相位对不上了”。我拿一个例子说明一个空压机每天每隔四小时进入加载阶段加载阶段的振动频谱有稳定的峰值。某一次加载时轴承出现早期磨损频谱里对应频段的能量明显下降但其他频段完全正常。GDN 用整个历史窗口做预测预测出的振动波形是过去几小时的平均形态对“此刻应该是加载段”的相位信息不敏感KDA 把全天不同相位的振动特征混在一起估计密度正常与异常的边界被拉宽。它们都不如一个最朴素的做法有效拿过去 7 天每天同一时刻的窗口来对比看今天的频谱形态是否偏离了那个“同一相位”的模板。CyFA 的核心就是把这种朴素的直觉系统化。3. CyFA 的做法把异常定义成“偏离自身周期的相位上下文”3.1 周期是工业时序最容易拿到、也最容易被浪费的先验设计 CyFA 时我给自己定了一条原则能用统计解决的问题就不引入可学习的重型模型。第一步是估计主周期。对多元序列的每个通道做自相关分析在滞后阶数轴上找到第一个显著峰值那个滞后数就是主周期长度。多通道可以投票大部分通道都指向同一个周期那基本可以认定这个系统有稳定的规程或节拍。工业场景里常见的情况是多周期叠加比如设备既有 24 小时日周期又有 7 天周周期还可能叠加一个 40 分钟的批次周期。你不需要在一个方法里把所有周期都塞进去但至少要处理两到三个最显著的周期。这个周期信息不需要任何标签纯无监督就能拿到属于“摆在眼前你却没用”的先验。如果你面对的数据经过自相关检测后根本没有显著周期那我劝你直接关掉这篇文章往下翻到适用边界部分——CyFA 不是为完全非周期序列设计的。3.2 频谱相位投影不预测、不重建只度量失配CyFA 的异常分数不来自预测误差而来自“当前窗口频谱在多大程度上能被历史同期窗口频谱线性表出”。我把这个操作叫做相位投影。具体流程分五步第一步滑窗截取当前时间点附近的片段窗口长度设为一个周期的整数倍保证频谱不混叠。第二步对每个通道做 FFT取幅值谱丢掉相位谱。第三步取历史中同一相位的时间点——也就是过去第 1 个、第 2 个……第 K 个周期之前同样长度的窗口同样提取幅值谱。第四步把历史 K 个幅值谱向量当成一组基底用最小二乘去拟合当前窗口的幅值谱。第五步算拟合残差残差越大代表当前窗口越“偏离这个相位的历史正常形态”。用生活类比来说你是一个鼓手乐队每首歌的副歌部分你踩底鼓的力度和频率都有固定模式。现在某一次副歌你踩下去的力度突然减半。如果把过去十次副歌的力度频谱叠在一起当模板这次实际输出的频谱往模板上投影就会留下很大的残差。这个残差就是异常分数。这里有两个细节值得展开。第一为什么用幅值谱而不是原始波形因为同一通道在相似相位下仍然存在微小的时间偏移和噪声直接逐点比较原始波形会被这些无关差异干扰而幅值谱天然对微小时间抖动不敏感更聚焦在频率形态是否改变上。第二为什么用最小二乘投影而不是直接算平均距离因为平均距离会受个别历史异常窗口影响而最小二乘投影相当于把当前窗口表示为历史形态的组合再考察哪部分历史形态解释不了。这要比简单求欧氏距离稳健得多。3.3 为什么它能天然规避 Delta Rule 的调参地狱用 CyFA 之后你会发现之前被 Delta Rule 折磨的那些问题大多消失了。不需要误差归一化。每个通道都单独计算相位投影残差再用统一的聚合策略合成多通道分数。因为每个通道的分数都是“残差/当前窗口频谱范数”的相对值天然落在 0 到 1 之间不会被数值量纲带偏。我在实验里直接用所有通道分数的归一化 top-k 平均没有再额外做标准化。不需要担心异常污染预测器。预测误差范式最怕异常状态进入历史窗口后让模型“适应异常”CyFA 不存在这个循环。历史周期窗口是固定的离线参考就算某一个历史周期窗口本身就是异常你也可以在构建基底时对它做剪枝只保留自洽的 K 个正常窗口。阈值设定简单。因为分数分布相对稳定直接在训练数据上取 95 到 99 分位数就能得到可用的阈值。当然这不等于完全不用调阈值但比起误差信号的分布漂移相位残差的分布要规矩得多。我实测下来同一套阈值在三个不同数据集上都能保持可用的误报率这是 Delta Rule 很难做到的。3.4 一个可以直接跑的计算流程伪代码下面这个基础版本没有任何可学习参数只用到 FFT 和最小二乘我建议你先把它跑通再去补多通道聚合等工程细节。import numpy as np def _fft_amplitude(seg, eps1e-6): # 输入一段一维信号返回归一化幅值谱 amp np.abs(np.fft.rfft(seg)) return amp / (amp.sum() eps) def compute_phase_projection_score(x, period, window_len, n_context8): # x: 一维通道序列 # period: 自相关估计出的主周期长度 # window_len: 滑窗长度建议是 period 的整数倍 n len(x) scores np.full(n, np.nan) for t in range(window_len, n - window_len): cur_seg x[t - window_len : t window_len 1] cur_amp _fft_amplitude(cur_seg) # 收集同一相位的历史窗口 context [] for k in range(1, n_context 1): start t - k * period - window_len end t - k * period window_len 1 if start 0 or end n: continue context.append(_fft_amplitude(x[start:end])) if len(context) 3: continue # 把历史幅值谱拼成基底做最小二乘投影 base np.vstack(context).T # (频点数, 历史窗口数) coeff, _, _, _ np.linalg.lstsq(base, cur_amp, rcondNone) recon base coeff # 相对残差 异常分数 residual np.linalg.norm(cur_amp - recon) norm np.linalg.norm(cur_amp) 1e-8 scores[t] residual / norm return scores这段代码只是单通道版本。对多元序列我会对每个通道算一遍分数然后对每个时间点取所有通道分数的 top-k 平均。取 top-k 而不是直接平均是为了避免噪声大的通道用高残差把真正异常的通道稀释掉。这个细节在后面踩坑部分会再展开。4. 在同样的数据集和指标上和 GDN、KDA 硬碰硬4.1 实验设置与评估口径为了不让对比停留在口头上我在三个公开类型的时序数据上做了对照实验。这里我不方便直接贴具体数据集名称分别用数据集 A、B、C 代替。数据集 A 来自流程工业回路包含压力、温度、流量等数十个测点周期性很强数据集 B 是服务器监控指标有日周期和周周期的双重叠加异常类型以突刺和缓慢漂移为主数据集 C 是能源消耗记录周期性中等噪声较大。三者覆盖了流程型、IT 型和能源型场景周期性强弱不同适合检验 CyFA 在不同条件下的表现。评估指标用了两个点级 F1 和事件级 F1。点级 F1 统计每个时间点是否被判对但单独看它容易产生“异常首点报出、后续全漏”的假繁荣事件级 F1 按连续异常事件整体判定只要一个事件里报出了至少一段就算这个事件命中。做运维监控的朋友应该都知道事件级 F1 才更贴近真实告警体验。阈值统一在验证集上取分数分布的 99 分位所有方法都使用同一套评估代码避免因后处理不同造成偏差。对比的三个方法里GDN 用的是公开实现基础上自己复现的版本KDA 用核密度估计路线里的典型配置。我承认这两个基线不一定被我调到了各自的最优状态但实验的目的不是证明谁“绝对更强”而是看同一个工程师用相同时间预算能做出什么效果——CyFA 能省下大量训练和调参时间这本身就是公平竞争的一部分。4.2 结果点级 F1、事件级 F1、训练成本先看点级 F1数值越高越好数据集GDN 点级 F1KDA 点级 F1CyFA 点级 F1数据集 A0.740.680.83数据集 B0.810.770.89数据集 C0.700.730.78再看事件级 F1这个指标更贴近真实的告警评估数据集GDN 事件级 F1KDA 事件级 F1CyFA 事件级 F1数据集 A0.610.520.70数据集 B0.690.650.78数据集 C0.550.580.63训练成本这块差距更明显。GDN 因为要端到端训练图结构加预测头在数据集 B 上跑完一个完整训练流程大约要 25 分钟KDA 因为不需要训练预测器只做特征提取和密度建模大约 2 分钟CyFA 只需要 FFT 和矩阵求解大约 40 秒跑完全部计算并得到分数。这个差距不是无关紧要的在监控方案里模型上线后工程团队每个月都要面对数据分布漂移重训模型训练一次便宜和贵长期下来差的是人力和算力成本。4.3 把“为什么能赢”放回数据里归因只看表格还不够我想回到数据本身聊一聊 CyFA 赢在哪、输在哪。在数据集 A 上CyFA 的优势最明显。这里的异常大多是“某个测点在特定工序阶段发生频带转移”也就是说正常状态是分阶段的每个阶段有各自的频谱形态。GDN 的预测误差在阶段切换的瞬间会被误拉升造成大量误报KDA 把不同阶段的样本混进了同一个密度模型边界自然糊掉。而 CyFA 只拿当前窗口和“过去同一阶段”的窗口对比阶段切换本身不会产生残差只有阶段内的形态突变才会成为异常。这个设计直接对应了数据的真实结构。数据集 C 上 CyFA 领先最少原因是这里周期性中等、噪声大有时候异常和正常之间的频谱差异还不如白噪声波动明显。在这个场景里GDN 虽然没有大胜但它的预测机制能对局部上下文做更细的建模在某些通道上确实比 CyFA 更敏感。我不觉得这是 CyFA 的失败它恰恰说明了方法的边界周期先验越强CyFA 越舒服周期先验弱就必须回到更精细的上下文建模上去。5. 我踩过的坑与适用边界5.1 周期估计不准时整个分数就废了一半第一次在数据集 B 上跑 CyFA我以为只要把日周期 1440 个点填进去就完事了结果分数分布乱成一团。后来用自相关图细看发现负载指标除了日周期还叠加了一个 7 天周期而且两个周期的峰在频谱上有谐波干扰。如果只取单一主周期很多同一位置的历史窗口其实处在完全不同的周内状态投影基底内部自相矛盾残差就失去了意义。我的解决方案是并行使用多个周期尺度。对数据集 B我同时维护日周期和周周期两套上下文基底分别计算相位投影残差然后取两个分数中更激进的那个值作为最终异常分。这样既能捕捉日内的异常也能捕捉周维度的异常。这里要提醒一句窗口长度最好设成所取周期的一到两倍并且必须是周期的整数倍。窗口长于周期太多会抹掉短期异常短于周期则频谱分辨率不足。5.2 频谱距离被白噪声带偏误报集中在噪声大的通道CyFA 的另一类坑来自噪声。某个通道如果本身信噪比低它的幅值谱在高频段全是随机抖动相位投影残差也会随机波动。最开始我做的是所有通道分数直接平均结果噪声最大的一个通道几乎主导了全局分数把正常时间段也报成异常。后来我做了两个改动。第一每个通道的分数在进入聚合之前用滚动中位数做平滑滤掉单点尖刺。第二聚合时不取平均取归一化后的 top-k 平均。具体做法是先把每个通道的分数都映射到 0 到 1 区间然后对每个时间点按通道排序取前三名的平均值作为最终分数。这样异常通道会被突出而多个噪声通道同时形成高残差的概率被压下去。另外分数分布通常右偏直接取 99 分位数做阈值容易偏高漏报我建议先对分数做一次 log 变换再选阈值或者用中位数绝对偏差MAD做鲁棒标准化。5.3 适用边界哪些场景别硬上 CyFA我必须把适用边界讲清楚否则就是不负责任的宣传。CyFA 适合的典型场景有三类设备按照固定规程启停、产线有明确节拍、流量或负载有明显日周期。这些场景里“同一相位的历史状态”是稳定且可对比的CyFA 几乎是一招鲜。不适合的场景我也踩过。第一完全没有周期性的随机过程比如某些一次性实验的传感器记录自相关分析找不到显著峰CyFA 的投影基底就是一团散沙不如直接退回 Delta Rule 或密度估计。第二异常表现为均值整体缓慢漂移、而不是相位形态改变的场景。因为 CyFA 对比的是同一相位的历史形态如果每个周期的相位形态都在同步缓慢变高残差会被抵消异常根本浮不出来。第三通道间存在强耦合关系但通道本身不具备周期性时CyFA 无法像 GDN 那样显式利用通道关系图效果会打折扣。这种情况下更合理的设计是在 CyFA 的分数之上再接一个通道关系建模模块而不是直接硬套。最后再分享一个小技巧在确定窗口长度之前先花十分钟画出目标通道的自相关图找到主峰的宽度而不是只看最高峰的位置。主峰宽度代表周期抖动的范围窗口至少要能覆盖这个抖动范围否则同一相位的历史窗口会因周期抖动而对不齐投影残差凭空变大。这个细节不起眼但在我自己的实验里它对最终 F1 的影响比调整上下文个数 K 还要明显。
