异常检测
机器学习技术路径之一，通过建立正常行为的基准模型，标记与之显著偏离的异常案例，可用于识别强迫劳动等异常劳动关系
时间轴 (近 90 天)
320 万条环境变量被读取而未触发任何告警，说明平台对“谁在大量读取客户凭据”缺乏基本感知。
基线建模是异常检测的常见范式：先为每个实体建立其正常行为的统计画像，再将实时行为与基线比对，用偏离程度量化异常。
异常检测器识别的是异常信号（如突然聚集的帖子、消息量突变），这只是进一步调查的线索，不等于帖子为虚假信息；异常检测与事实核查应分开评估，异常内容应被优先送去分析，但不该被自动当作虚假信息。
重试循环的典型特征是调用频率短时陡增、失败率同步升高、单次金额小但笔数极多，因此需同时监控单位时间调用次数、失败调用占比和单位时间支出速度三个维度。
行为画像将多源数据聚合为员工长期特征向量，通过聚类或异常检测算法找出偏离群体模式的个体，输出风险分数而非明确结论。
异常检测算法默认多数行为正常，会将任何少数派模式（包括合法的组织化活动）结构性视为偏差，这是算法设计层面的偏向。
在预测性维护中，异常检测通常采用无监督学习，如自编码器、孤立森林等算法；故障分类依赖有监督学习，用随机森林、梯度提升或时序深度学习模型。
异常检测常见方法包括基于统计的Z-score、基于密度的孤立森林，以及基于时间序列残差阈值的检测。
异常检测方法对未知缺陷类型更友好但误报率偏高；合成数据能扩充样本量但与真实缺陷分布存在域差距。
学术界和工业界应对小样本缺陷检测的常用方法包括异常检测（如自编码器重构误差法）、数据增强与合成缺陷生成、迁移学习以及半监督/自监督学习。
还有 17 条时间轴事件
全部知识事实 (20)
可利用机器学习技术进行异常检测，在故障发生前识别风险信号
60%待验证320 万条环境变量被读取而未触发任何告警，说明平台对“谁在大量读取客户凭据”缺乏基本感知。
50%待验证基线建模是异常检测的常见范式：先为每个实体建立其正常行为的统计画像，再将实时行为与基线比对，用偏离程度量化异常。
50%待验证异常检测器识别的是异常信号（如突然聚集的帖子、消息量突变），这只是进一步调查的线索，不等于帖子为虚假信息；异常检测与事实核查应分开评估，异常内容应被优先送去分析，但不该被自动当作虚假信息。
50%待验证重试循环的典型特征是调用频率短时陡增、失败率同步升高、单次金额小但笔数极多，因此需同时监控单位时间调用次数、失败调用占比和单位时间支出速度三个维度。
50%待验证异常检测算法默认多数行为正常，会将任何少数派模式（包括合法的组织化活动）结构性视为偏差，这是算法设计层面的偏向。
50%待验证行为画像将多源数据聚合为员工长期特征向量，通过聚类或异常检测算法找出偏离群体模式的个体，输出风险分数而非明确结论。
50%待验证在预测性维护中，异常检测通常采用无监督学习，如自编码器、孤立森林等算法；故障分类依赖有监督学习，用随机森林、梯度提升或时序深度学习模型。
50%待验证异常检测常见方法包括基于统计的Z-score、基于密度的孤立森林，以及基于时间序列残差阈值的检测。
50%待验证异常检测方法对未知缺陷类型更友好但误报率偏高；合成数据能扩充样本量但与真实缺陷分布存在域差距。
50%待验证学术界和工业界应对小样本缺陷检测的常用方法包括异常检测（如自编码器重构误差法）、数据增强与合成缺陷生成、迁移学习以及半监督/自监督学习。
50%待验证重叠窗口导致的样本膨胀问题适用于任何'窗口宽于步长'的滑窗评估，包括传感器数据处理、电力负荷预测、异常检测和医疗监护。
50%待验证对于局部篡改检测，应把任务从收据级二分类重新建模为 patch 级异常检测或分割任务
50%待验证异常检测面临误报率、基线漂移、冷启动等工程挑战，并非银弹
50%待验证RADAR 提出用异常检测来弥补传统监控的盲区
50%待验证异常检测关注指标模式相对于历史基线的偏离，即使绝对数值仍在正常范围内也能识别异常行为模式
50%待验证解决基线漂移和冷启动的常见做法包括滑动窗口动态更新基线、发布事件后触发基线重置、设置最短观测期再开启检测
50%待验证机器学习模型可以学习系统的正常行为基线，动态识别偏离常态的信号，从而在故障爆发前发出预警
50%待验证传统监控依赖预先设定的静态阈值，静态阈值要么过于敏感产生大量误报，要么过于宽松错过真正的问题
50%待验证通过固定光照、机械定位、图像配准等手段控制输入一致性，可在进入异常检测模型前消除环境干扰，显著降低误报
50%