3.1 状态诊断与异常检测

3.1 状态诊断与异常检测

本节摘要：异常检测是孪生体最基础的智能能力，它回答“设备现在正不正常”。本节讲三类方法：最简单的阈值法、基于统计的方法（控制图、孤立森林）、基于时序模型的方法。核心是理解不同方法能抓什么类型的异常（点异常、上下文异常、集合异常），以及漏报和误报之间怎么权衡——在工业场景里，这两者的代价往往不对称。

学习目标

阅读完本节，你应当能够：

1. 区分点异常、上下文异常、集合异常三类异常，并各举一个设备场景的例子
2. 用统计方法（控制图、孤立森林）实现基本的异常检测
3. 解释阈值法的局限，以及为什么单变量阈值不够用
4. 在漏报和误报之间做工程权衡，并理解两者代价的不对称性
5. 为一个设备场景设计多层异常检测方案

一、问题与直觉

几乎所有做设备监控的项目，第一步都是异常检测：判断设备现在的运行状态是不是正常的，不正常就报警。听起来简单，但做过的都知道，这事比想象的难。

最朴素的做法是设阈值：温度超过 80 度报警、振动超过 5 毫米每秒报警。这种做法能用，但问题也明显。第一，很多异常不是单变量超限，而是几个变量之间的关系变了——比如温度没超限、振动没超限，但两者的比值异常了，单一阈值抓不到。第二，正常范围本身是随工况变化的——设备在高负荷下振动大一点是正常的，低负荷下同样的振动就是异常，固定阈值分不清。第三，阈值设松了漏报多，设紧了误报多，怎么定是个玄学。

要解决这些问题，得从单纯的阈值，升级到能理解数据分布和变量关系的统计方法，再到能捕捉时序模式的模型方法。这就是这一节要讲的演进路径。

二、核心原理

2.1 三类异常：先搞清楚要抓什么

做异常检测，第一步不是选算法，而是搞清楚你要抓什么样的异常。异常分三类，不同类型适合不同方法。

点异常（Point Anomaly）：单个数据点明显偏离正常范围。比如某次温度读数突然飙到 200 度。这类最简单，阈值法就能抓。

上下文异常（Contextual Anomaly）：单个数据点在特定上下文下是异常的，但数值本身不算极端。比如设备在停机状态下，振动本该是 0，却测到 0.5——这个 0.5 在运行时是正常的，在停机时就是异常。这类要结合上下文（工况、时间）判断，单纯阈值不行。

集合异常（Collective Anomaly）：单个数据点都正常，但一组连续数据点合起来是异常的。比如振动幅值都没超限，但出现了一种特定的周期性模式，预示着轴承早期故障。这类要分析时序模式，单点检测抓不到。

搞清楚要抓哪类异常，方法选型就清楚了一半。只抓点异常，阈值够用；要抓上下文异常，得引入工况信息；要抓集合异常，得上时序模型或频域分析。

2.2 统计方法：控制图与孤立森林

比阈值进一步的，是统计方法。它们不是死盯一个固定边界，而是从历史数据学出“正常分布”，再判断新数据符不符合这个分布。

统计过程控制（SPC）：经典的工业方法。它假设正常数据服从某个分布（常假设正态），用历史数据估计分布参数，然后把控制限设在均值加减三倍标准差处。新数据落在控制限外就算异常。比固定阈值聪明的地方在于，边界是从数据学的，会随数据更新。

孤立森林（Isolation Forest）：机器学习方法。它的思路很巧妙——异常点因为“少且不同”，更容易被随机划分孤立出来。算法用一系列随机划分树，测量每个点被孤立所需的划分次数，次数越少越可能是异常。孤立森林的好处是不需要假设数据分布，能处理高维多变量数据，抓变量关系异常特别在行。

下面是个孤立森林做异常检测的概念骨架，重点是理解它的输入输出和接口，不是具体参数。

from sklearn.ensemble import IsolationForest

class VibrationAnomalyDetector:
    def __init__(self, contamination=0.02):
        # contamination 是预期的异常比例，影响灵敏度
        # 设高了误报多，设低了漏报多
        self.model = IsolationForest(
            contamination=contamination, random_state=42
        )

    def fit(self, normal_features):
        # 用已知正常的多变量特征训练
        # features 每行是一个时间窗口的统计量(均值 方差 峰值等)
        self.model.fit(normal_features)

    def detect(self, features):
        # 返回每个样本是否异常: -1 异常, 1 正常
        return self.model.predict(features)
​

这段代码的关键在于：输入不是原始时序数据，而是从时序窗口里提取的统计特征（均值、方差、峰值、峭度等）。异常检测前，先做特征提取，这一步的好坏往往比选哪个算法更影响效果。

2.3 时序模型：抓集合异常

点异常和上下文异常，统计方法够用。但集合异常——那种“每个点都正常、合起来才异常”的模式——得用时序模型。

常用的是自回归类模型（ARIMA、VAR）或循环神经网络（LSTM）。思路是：用历史数据训练模型预测下一个时刻的值，如果实际值和预测值偏差大，说明出现了正常模式无法解释的异常。这种方法的本事在于它理解时序依赖，能抓那些只有看一段序列才能发现的异常。

时序模型的代价是训练和调优都比统计方法复杂，需要更多数据和算力。所以工程上通常是分层用：第一层用阈值和统计方法抓明显的点异常，第二层用时序模型抓隐蔽的集合异常，分工协作。

三、工程实践要点

3.1 漏报与误报的不对称代价

异常检测绕不开一对矛盾：漏报（有异常没报）和误报（没异常乱报）。这俩此消彼长，阈值调严了误报多，调松了漏报多。

关键的认识是：在工业场景里，这两者的代价往往不对称。一个关键设备的故障漏报，代价是停产损失，可能是百万级；一次误报，代价是派个人去检查，几百块。这种情况下，宁可误报多一点也不能漏报，阈值要往严了调。

反过来，如果是非关键设备，误报频繁会让操作员麻木，最后真报警也不看了（“狼来了”效应），这种情况下要控制误报率。所以阈值不是拍脑袋定的，要根据设备关键性和误报承受度算出来。

⚠️ 常见坑：只盯着准确率调模型，结果把漏报压低了但误报暴涨，操作员被淹没在告警里，最后把告警全屏蔽了。异常检测的评估必须把漏报代价和误报代价分开加权，不能只看一个准确率数字。

3.2 多层异常检测体系

单一方法很难覆盖所有异常类型，工程上的做法是多层叠加。第一层轻量的阈值法，抓最明显的点异常，实时性最好；第二层统计方法（孤立森林），抓多变量关系异常，近实时；第三层时序模型，抓隐蔽的集合异常，批量或低频。

这种分层既保证了实时性（明显的异常秒级抓住），又保证了覆盖度（隐蔽的异常不会漏），还控制了成本（重模型只在必要时跑）。

💡 关键直觉：异常检测的价值不在“报得准”，而在“报得让人敢信、敢用”。一个准确率 95% 但误报少、每条告警都有解释的模型，比一个准确率 98% 但黑箱、误报多的模型，在实际部署里有用得多。可解释性是异常检测能不能被运维接受的关键。

3.3 告警必须带上下文

一条光秃秃的“设备 A 振动异常”告警，对运维没什么用。有用的告警要带上下文：是哪个测点、异常的程度、可能的原因、建议的动作。异常检测的输出不能只是个“是/否”，而要是一段可读的诊断信息。这就要求检测算法尽量可解释，或者配一个解释模块。

诊断环节的要点打包

• 三类异常：点异常（单点偏离）、上下文异常（上下文相关）、集合异常（模式异常），不同类型用不同方法。
• 统计方法：控制图假设分布、孤立森林不假设分布能抓多变量关系，比固定阈值聪明。
• 时序模型：用预测残差抓集合异常，能发现单点看不出的模式异常，但训练复杂。
• 漏报误报：工业场景两者代价不对称，关键设备宁误报不漏报，评估要分开加权。
• 多层体系：阈值+统计+时序三层叠加，兼顾实时性、覆盖度、成本。
• 告警带上下文：有用的告警要带测点、程度、原因、建议，可解释性决定运维敢不敢用。

下一节我们往未来看一步，讲怎么预测设备什么时候会坏——这就是预测性维护和剩余寿命预测。

四、多源数据的诊断融合实战

补一段诊断环节最容易被低估的内容：多源信息融合。真实设备的状态诊断极少依赖单一信号——振动、温度、电流、声音各自携带不同侧面的事实，融合它们的方式直接决定诊断的鲁棒性。工程上有三级融合策略：数据级融合（原始信号对齐后一起进模型，信息最全但要求时钟严格同步、量纲统一）、特征级融合（各自提特征后拼接，工程最常用，容忍度较高）、决策级融合（各模态独立诊断再投票或加权，最鲁棒但信息损失最大）。一个风电齿轮箱的诊断案例值得记住：振动模型对早期点蚀敏感、油液铁谱对磨损进程敏感、温度对晚期恶化敏感，三个模型的决策级加权融合比任何单一模型的召回率高了两成，而且对单传感器的临时失效免疫。融合级别选择的判断依据是"你能把数据治理到什么程度"——数据级融合在时钟不同步的车间里是灾难，决策级融合在数据质量参差的现实里是安全垫。