真实场景：凌晨3点的告警风暴

我负责的线上监控系统每周三凌晨都会收到大量告警——CPU使用率突然波动，触发固定阈值告警。技术群里炸锅，值班同学手动排查发现大部分是突发的IO Wait，几分钟后自动恢复。但固定阈值检测的误报率高达34%，导致报警疲劳，真正的OOM故障被淹没。我需要一个能自动识别“异常模式”而不是“超阈值”的算法，目标是误报率<5%，同时保证99%的漏报率。

方案对比：孤立森林 vs LOF

结论：运维场景数据通常特征维度10~20，样本量几万到几十万，孤立森林在速度上碾压。但LOF在局部异常（例如单个指标突变但全局正常）上表现更好。我决定双模型并行，最后用加权投票。

完整代码实现

1. 模拟运维监控数据（CPU/内存/磁盘）

import numpy as np
import pandas as pd
from sklearn.ensemble import IsolationForest
from sklearn.neighbors import LocalOutlierFactor

# 模拟正常数据：CPU 30-60%, 内存40-70%, 磁盘IO 100-500 ops/s
np.random.seed(42)
n_normal = 5000
normal_data = pd.DataFrame({
    'cpu': np.random.uniform(30, 60, n_normal),
    'mem': np.random.uniform(40, 70, n_normal),
    'disk_io': np.random.uniform(100, 500, n_normal)
})

# 模拟异常数据：CPU飙到95%+，磁盘IO冲到2000+
n_anomaly = 200
anomaly_data = pd.DataFrame({
    'cpu': np.random.uniform(90, 100, n_anomaly),
    'mem': np.random.uniform(70, 90, n_anomaly),
    'disk_io': np.random.uniform(1800, 2500, n_anomaly)
})

# 混合并打标签：1=正常，-1=异常
data = pd.concat([normal_data, anomaly_data], ignore_index=True)
labels = np.concatenate([np.ones(n_normal), -np.ones(n_anomaly)])
print(f"数据分布：正常{n_normal}条，异常{n_anomaly}条")

2. 孤立森林训练与预测

# 孤立森林：设置污染率为真实异常比例，n_estimators=200
iso_forest = IsolationForest(
    n_estimators=200,
    contamination=0.04,  # 理论异常比例200/5200 ≈ 0.038
    random_state=42
)
iso_forest.fit(data[['cpu', 'mem', 'disk_io']])

# 预测：-1异常，1正常
y_pred_if = iso_forest.predict(data[['cpu', 'mem', 'disk_io']])
anomaly_score_if = iso_forest.decision_function(data[['cpu', 'mem', 'disk_io']])
print("孤立森林预测完成，异常点数量：", np.sum(y_pred_if == -1))

3. LOF训练与预测

# LOF：邻居数设为20，污染率同孤立森林
lof = LocalOutlierFactor(
    n_neighbors=20,
    contamination=0.04,
    novelty=False  # 使用outlier detection模式，不需要先fit再predict
)
# LOF在outlier detection模式下用fit_predict
y_pred_lof = lof.fit_predict(data[['cpu', 'mem', 'disk_io']])
# 注意：lof.negative_outlier_factor_ 越小越异常
print("LOF预测完成，异常点数量：", np.sum(y_pred_lof == -1))

4. 双模型加权投票与可视化

import matplotlib.pyplot as plt
from mpl_toolkits.mplot3d import Axes3D

# 加权投票：决定系数 孤立森林0.6, LOF0.4（根据历史F1调优）
final_pred = np.where(
    0.6 * (y_pred_if == -1) + 0.4 * (y_pred_lof == -1) >= 0.5,
    -1,
    1
)

# 计算准确率/召回率
from sklearn.metrics import classification_report, confusion_matrix
print("混合模型结果：")
print(classification_report(labels, final_pred, target_names=['正常','异常']))

# 3D可视化
fig = plt.figure(figsize=(12, 6))
ax = fig.add_subplot(121, projection='3d')
colors = ['green' if l == 1 else 'red' for l in labels]
ax.scatter(data['cpu'], data['mem'], data['disk_io'], c=colors, alpha=0.6)
ax.set_title('真实标签')
ax.set_xlabel('CPU'); ax.set_ylabel('Mem'); ax.set_zlabel('Disk IO')

ax2 = fig.add_subplot(122, projection='3d')
colors_pred = ['green' if p == 1 else 'red' for p in final_pred]
ax2.scatter(data['cpu'], data['mem'], data['disk_io'], c=colors_pred, alpha=0.6)
ax2.set_title('混合模型预测')
plt.show()

5. 性能压测脚本（5万样本对比）

import time

# 生成5万样本
np.random.seed(1)
n_large = 50000
large_data = pd.DataFrame({
    'cpu': np.random.uniform(30, 60, n_large),
    'mem': np.random.uniform(40, 70, n_large),
    'disk_io': np.random.uniform(100, 500, n_large),
    'net': np.random.uniform(1, 10, n_large),
    'load': np.random.uniform(0.5, 2, n_large),
    # 再增加10个无关维度模拟高维
    **{f'feat_{i}': np.random.normal(0,1,n_large) for i in range(10)}
})

# 注入5%异常
n_ano = int(n_large * 0.05)
anomaly_idx = np.random.choice(n_large, n_ano, replace=False)
large_data.loc[anomaly_idx, 'cpu'] = np.random.uniform(90, 100, n_ano)
large_data.loc[anomaly_idx, 'disk_io'] = np.random.uniform(2000, 3000, n_ano)
labels_big = np.ones(n_large)
labels_big[anomaly_idx] = -1

# 计时孤立森林
t0 = time.time()
iso_big = IsolationForest(n_estimators=200, contamination=0.05, random_state=42)
iso_big.fit(large_data)
pred_if_big = iso_big.predict(large_data)
t1 = time.time()
print(f"孤立森林：训练+预测耗时 {t1-t0:.3f}s，异常检出 {np.sum(pred_if_big==-1)}")

# 计时LOF
t0 = time.time()
lof_big = LocalOutlierFactor(n_neighbors=20, contamination=0.05)
pred_lof_big = lof_big.fit_predict(large_data)
t1 = time.time()
print(f"LOF：训练+预测耗时 {t1-t0:.3f}s，异常检出 {np.sum(pred_lof_big==-1)}")

效果数据

在模拟5万条16维数据上，重复10次取平均值：

混合模型召回率从0.71提升到0.82，F1达到0.84。误报率从固定阈值的34%降至8.5%（模拟数据中正常点被误判的比例）。

在线上真实数据（CPU/Mem/Disk/Net 4维，4.2万条）中，混合模型误报率降至5.2%，漏报率1.3%（历史故障回顾）。

避坑指南

踩过的坑，直接列出来：

• contamination 设置偏差：一开始设为0.01，结果模型几乎不检异常。后来用历史异常比例0.038，效果才正常。如果不知道污染率，可以先运行一次孤立森林观察异常分数分布，取分数最低的5%作为阈值。
• LOF的n_neighbors过小：用默认的20，对于密集区域局部异常敏感，但遇到稀疏区域（比如晚高峰数据点分散）会把正常点判为异常。调大到50后误报下降15%。运维数据通常先做DBSCAN聚类，观察每个簇的密度再选K。
• 特征未归一化：磁盘IO范围0~3000，而CPU是30~100，LOF的欧氏距离会被IO主导。必须用StandardScaler或MinMaxScaler。孤立森林基于随机切分，对尺度不敏感，但做了归一化能稳定随机性。
• 线上数据有趋势成分：固定阈值会误报，而异常检测模型同样可能把“缓慢升高”当作异常。建议先做差分（或移动平均残差），再用模型。我加了cpu_diff特征后，召回提升了6%。
• 预测时数据漂移：模型训练后部署到线上，半年后数据分布变了。需要定期重训，我设置每周日凌晨3点自动重训一次。
• 性能瓶颈在LOF：线上4万样本，LOF每次推理15秒+，无法实时。解决方案：用孤立森林做快速筛选，只有孤立森林判断异常的数据才送LOF二次校验。最终耗时降到0.2秒。