异常检测

是什么

异常检测（anomaly detection；亦称离群检测）是在已声明的参照常态、邻域或规则下，为显著偏离模式的观测赋分或提出待核查候选的任务。异常可以是单点、只在特定情境异常的观测，或合在一起才异常的集合。有些文献把novelty detection当近义词，另一些实现则专指用假定干净的正常参照集拟合、再判断新样本的设置，使用时须交代训练样本口径。[1, §§1–3]

为何出现

欺诈、设备故障、罕见事件等正例通常少、类型会变化，完整标签难以取得。与其假定已有稳定二分类标签，系统常先排序最值得检查的对象。

如何工作

先定义样本、时间和“正常”参照，再用邻居距离、局部密度、隔离难度、单类边界或重构误差产生连续分数；随后按漏报代价、误报代价和复核容量设阈值，并用按时间回放和调查结果验证。

能做什么与不能做什么

它能筛选异常候选、监测数据漂移并安排人工复核；不能仅凭高分判断原因，也不能把分数直接解释为欺诈或事故概率。密度与距离依赖尺度、邻域和维度，代表性不足的少数群体还可能被系统性过度告警。

在本书中

见第11章：异常检测、密度与部署边界。