异常检测

适用场景

1 电商大促期间订单量突降或支付失败率飙升的实时告警

2 金融风控场景中交易金额、频次偏离用户历史行为的异常检测

3 制造业产线传感器数据（温度、压力）超阈值或趋势异常预警

4 SaaS产品日活、留存、API调用量等核心指标异常波动监控

核心Prompt（安装配置用）

你是一个企业级异常检测Agent，部署在数据监控平台中。你的角色是7x24小时实时分析数据流，识别偏离正常模式的异常点，并给出可解释的告警与初步根因分析。

任务描述：
1. 接收上游传入的时序数据点（含时间戳、指标名、数值、维度标签）。
2. 基于配置的检测策略（阈值、同比/环比、统计模型、机器学习模型）判断是否异常。
3. 若异常，生成告警事件，包含：异常级别（P0/P1/P2）、异常指标、当前值、预期范围、发生时间、持续时长。
4. 结合关联维度（如地区、渠道、版本）进行下钻分析，输出可能的原因列表（按概率排序）。
5. 将告警和分析结果推送至指定通道（钉钉/企微/邮件/Webhook）。

输出格式：
{
  "alert_id": "唯一ID",
  "level": "P0/P1/P2",
  "metric": "指标名",
  "current_value": 数值,
  "expected_range": [下限, 上限],
  "timestamp": "ISO8601",
  "duration": "持续秒数",
  "possible_causes": [{"cause": "原因描述", "confidence": 0.0-1.0}],
  "suggested_action": "建议操作"
}

约束条件：
- 避免告警风暴：同一指标5分钟内重复异常合并为一条，升级级别。
- 误报控制：连续3个数据点异常才触发P0，单点异常标记为观察。
- 所有输出必须为JSON，不包含额外解释。
- 若数据缺失或质量差，输出数据质量告警而非业务异常。

所需工具 / API对接

需对接：时序数据库（InfluxDB/Prometheus）、消息队列（Kafka）、告警通道（钉钉/企微/邮件/Webhook）、机器学习平台（可选，用于模型推理）、配置中心（Nacos/Apollo）。API包括：数据写入API、告警发送API、模型预测API。

安装部署步骤

11. 环境准备：准备一台4C8G Linux服务器，安装Docker和Docker Compose，确保可访问时序数据库和消息队列。

22. 安装依赖：执行 `docker pull aiagent/anomaly-detection:latest` 拉取镜像，并创建配置目录 `/opt/agent/config`。

33. 配置参数：编辑 `/opt/agent/config/agent.yaml`，填入数据库连接、Kafka地址、告警通道Webhook、检测阈值等。

44. 导入Prompt：将核心Prompt保存为 `/opt/agent/config/prompt.txt`，在agent.yaml中引用该文件路径。

55. 连接工具API：在agent.yaml中配置各API的endpoint和鉴权token，测试连通性：`curl -X POST http://localhost:8080/health`。

66. 测试验证：发送模拟数据 `echo '{"metric":"order_count","value":100,"timestamp":"2025-01-01T00:00:00Z"}' | nc localhost 9999`，观察是否生成告警。

77. 上线部署：执行 `docker-compose up -d` 启动服务，配置开机自启，并接入企业监控大屏。

88. 持续优化：根据误报/漏报情况，定期调整阈值和模型参数，更新Prompt。

配置参数

参数名	说明	默认值
`detection_window`	检测滑动窗口大小（秒）	300
`anomaly_threshold`	异常分数阈值，超过则告警	0.85
`alert_level_p0`	P0告警连续异常点数	3
`alert_channels`	告警通道，逗号分隔	dingtalk,email
`model_type`	检测模型类型：threshold/statistical/ml	statistical

效果示例

输入：Kafka消息 {"metric":"payment_failure_rate","value":0.15,"timestamp":"2025-06-01T10:00:00Z","region":"华东"}。Agent检测到该值超过历史均值+3σ，触发P1告警，输出：{"alert_id":"ALT-20250601-001","level":"P1","metric":"payment_failure_rate","current_value":0.15,"expected_range":[0.01,0.05],"timestamp":"2025-06-01T10:00:00Z","duration":0,"possible_causes":[{"cause":"华东区支付网关超时","confidence":0.75},{"cause":"银行渠道维护","confidence":0.60}],"suggested_action":"检查华东区网关日志，联系银行确认"}，并推送至钉钉群。

常见问题

Q1：Agent支持哪些数据源？
A1：支持Kafka、RabbitMQ、HTTP API、InfluxDB、Prometheus等，可通过插件扩展。
Q2：如何减少误报？
A2：调整anomaly_threshold和detection_window，或启用机器学习模型进行动态基线学习。
Q3：能否自定义告警级别？
A3：可以，在agent.yaml中修改alert_level_p0等参数，或编写规则引擎脚本。
Q4：部署后如何监控Agent自身状态？
A4：Agent暴露/metrics接口，可接入Prometheus，并配置自身存活告警。
Q5：是否支持多租户？
A5：支持，通过配置tenant_id字段隔离数据与告警通道。

企业落地建议

建议采用容器化部署，初期可单机Docker运行，后期K8s集群化。成本估算：服务器约500元/月，人力投入2人周。注意事项：1）先以观察模式运行1周，校准阈值；2）告警通道分级配置，避免打扰；3）定期回顾误报漏报，迭代Prompt和模型。需要与我们合作落地吗？可以试试免费AI诊断→