AI 术语表 · 基础 · 经典机器学习、推荐与搜索
异常检测
异常检测（Anomaly Detection）是一种机器学习技术：先学习大多数数据所呈现的“平常模式”，再自动找出明显偏离该模式的罕见情况。
关于这个术语
- 难度
- 基础 · AI 新闻中常见的技术术语
- 分类
- 数据、运维与平台
- 加入时间
- 2026-10-08
工作原理
异常情况非常罕见，种类也无法事先全部知道，所以标注为“这是异常”的数据往往不足。因此，通常采用只用正常数据学习平常模式的无监督学习方法。新数据进来后，会根据它偏离平常模式的程度打出“异常分数”，超过预先设定的基准线（阈值）就发出警报。具体方法包括：衡量与平均值相距多远的统计方法；寻找几乎没有近邻的点的基于距离的方法（KNN 等）；随机切分数据、寻找容易被单独分离出来的点的基于树的方法（Isolation Forest）；以及先压缩再还原正常数据、把难以还原的数据视为异常的深度学习方法等。
异常检测发出警报的过程
- 1收集正常数据以平时记录为主
- 2学习平时模式统计、距离、树、深度学习
- 3计算异常分数与平时相差多远
- 4与基线比较超过即报警
- 5人工确认将结果反馈回去
为什么重要
它被用于捕捉银行卡盗刷、工厂设备故障征兆、服务器故障、安全入侵等虽然罕见、但一旦漏掉就损失巨大的事件。在数据源源不断涌入的环境中，人无法查看所有记录，因此先挑出可疑对象的作用十分重要。即使事先不完全知道异常情况的正确答案也能使用，这是它的一大优势。即便是从未见过的攻击或故障类型，也能仅凭“与平常不同”而被发现。
注意事项
基准线设得太低，正常情况也会触发警报，让负责人员疲于应付；设得太高，又会漏掉真正的问题。根据业务成本确定这一平衡，是实际落地中最难的部分。此外，“平常”会随时间变化。季节、新品上市、客户群变化等引起数据漂移时，需要重新调整模型。最后，“异常”并不等于“问题”。也有像节日前销售额激增这样有原因的变化，因此通常会同时采用人在回路结构，由人确认警报并把结果再反馈给模型。
示例
信用卡公司会学习每位客户平常的消费金额、时间段、地区和商户类型，并实时标记明显偏离模式的交易，例如凌晨在从未见过的境外商户发生大额消费。对于分数高的交易，会暂停支付或向客户发送确认短信。在制造现场，则用于监测设备传感器的振动·温度时间序列，一旦出现与平常不同的抖动，就在故障发生前请求检修。