Darts时间序列库中的滚动窗口异常检测实现方案

背景概述

在工业物联网和智能运维场景中，设备空闲状态检测是一个常见需求。传统方法通常直接检测零值，但更复杂的场景需要识别"异常空闲"状态——即在设备通常应该活跃的时间段出现的非预期空闲。这种需求引出了基于时间序列预测的异常检测方案。

核心挑战

实现生产级异常检测系统时，必须考虑以下关键因素：

1. 滚动窗口机制：模型需要定期用最新数据重新训练，避免概念漂移
2. 避免数据泄露：确保任何时间点的预测和检测都仅基于历史信息
3. 计算效率：系统需要支持大规模时间序列的实时检测

Darts库的解决方案架构

1. 预测模型训练

使用RegressionModel配合随机森林算法：

• 设置合理的滞后特征(lags=[-1,-12,-24]捕捉小时、半天和全天周期)
• 添加时间特征作为未来协变量(小时、天、周等三角函数)
• 配置output_chunk_length=1实现单步预测

model = RegressionModel(
    lags=[-1, -12, -24],
    lags_future_covariates=[0],
    model=RandomForestRegressor(),
    output_chunk_length=1
)

2. 滚动预测实现

利用historical_forecasts方法：

• train_length设置训练窗口大小
• retrain设置重新训练间隔
• forecast_horizon=1确保单步直接预测(非自回归)

historical_preds = model.historical_forecasts(
    series=y,
    train_length=24*7*2,  # 2周数据
    retrain=24*7,        # 每周重训练
    forecast_horizon=1,
    stride=1
)

3. 异常分数计算

采用KMeansScorer多窗口策略：

• 不同窗口大小(12/24小时)捕捉不同时间尺度的异常
• 窗口内不聚合以保留局部特征
• 聚类中心数根据业务场景调整

scorers = [
    KMeansScorer(window=12, k=2),
    KMeansScorer(window=24, k=2)
]

4. 异常判定逻辑

使用ThresholdDetector而非QuantileDetector：

• 避免固定比例误报
• 通过业务知识设置合理阈值
• 结合原始信号进行最终判定

detector = ThresholdDetector(high_threshold=3.0)
anomalies = detector.detect(anomaly_scores)

生产部署建议

1. 冷启动策略：初始阶段需要足够长的正常数据训练期
2. 概念漂移处理：设置模型性能监控和自动重训练机制
3. 结果可解释性：记录异常评分构成要素，便于人工分析
4. 计算优化：对于大规模部署，考虑使用更轻量的模型如LightGBM

最佳实践总结

1. 预测模型和异常检测器应该分开训练时间窗口
2. 异常检测训练数据必须确保无异常
3. 多尺度检测器组合可以提高鲁棒性
4. 生产环境建议采用硬阈值而非动态分位数
5. 定期评估模型性能，建立反馈闭环

这种基于Darts的实现方案既考虑了时间序列特性，又满足了生产环境的实时性要求，为设备异常空闲检测提供了可靠的技术路径。