Monitoring & Drift Detection: 解释监控告警的设计（阈值/异常检测/降噪）。

Core Concept: 静态阈值简单但僵化；动态基线（同比/环比）与异常检测更灵敏；关键是降噪（分级/聚合/抑制/静默）。

数学机理：<strong>告警设计的三个问题</strong>——(1) <strong>触发规则</strong>——(a) <strong>静态阈值</strong>——'延迟 > 200ms 则告警'；<strong>优点</strong>——简单、可解释；<strong>缺点</strong>——(i) <strong>不适应周期性</strong>（'晚高峰延迟天然高' → 误报）；(ii) <strong>不适应趋势</strong>（'流量增长导致绝对值上升'）；(iii) 阈值难定（太松则漏报、太紧则误报）；(b) <strong>动态基线</strong>——(i) <strong>同比</strong>（与'上周同一时刻'对比）；(ii) <strong>环比</strong>（与'上一周期'对比）；(iii) <strong>预测区间</strong>（用历史数据建模'正常范围'——如'均值 ± 3σ'或'分位数'）；<strong>优点</strong>——适应周期性；<strong>缺点</strong>——需历史数据（冷启动难）；(c) <strong>异常检测（ML）</strong>——(i) <strong>统计方法</strong>（3-sigma、IQR、EWMA）；(ii) <strong>时序模型</strong>（ARIMA/Prophet——建模趋势与季节性）；(iii) <strong>无监督异常检测</strong>（Isolation Forest/自编码器）；(iv) <strong>变点检测</strong>（CUSUM/Page-Hinkley——检测'突变'）；<strong>优点</strong>——更灵敏；<strong>缺点</strong>——更复杂、可能'黑箱'。(2) <strong>降噪（noise reduction）</strong>——(a) <strong>告警疲劳（alert fatigue）</strong>——告警太多导致'麻木'（重要告警被淹没）；(b) <strong>手段</strong>——(i) <strong>分级（severity）</strong>——P0（立即处理）/P1（工作时间）/P2（记录）；(ii) <strong>聚合（grouping）</strong>——同一根因的多个告警合并（如'GPU 故障'触发的多个服务告警）；(iii) <strong>抑制（suppression）</strong>——上游故障时不发下游告警（如'数据库挂了'时不发'服务延迟告警'）；(iv) <strong>静默（silence）</strong>——计划内维护时静默；(v) <strong>去重（dedup）</strong>——相同告警只发一次；(vi) <strong>聚合窗口</strong>（N 分钟内同类告警只发一次）；(vii) <strong>动态阈值</strong>（减少误报）；(viii) <strong>'持续时间'条件</strong>（'持续 5 分钟才告警'——过滤瞬时抖动）。(3) <strong>告警的内容</strong>——(a) <strong>是什么</strong>（指标/值/阈值）；(b) <strong>影响</strong>（哪些用户/服务受影响）；(c) <strong>上下文</strong>（相关指标、最近变更）；(d) <strong>可操作</strong>（runbook 链接——'怎么处理'）；(e) <strong>负责人</strong>（谁处理）。(4) <strong>告警的评估</strong>——(a) <strong>准确率</strong>（真阳性/假阳性）；(b) <strong>召回率</strong>（是否漏报）；(c) <strong>MTTD</strong>（发现时间）；(d) <strong>信噪比</strong>（有效告警/总告警）；(e) <strong>'告警疲劳'</strong>（人是否还在看）；(f) <strong>行动率</strong>（多少告警带来了行动）。<strong>与其他问题的关系</strong>——(a) 与'监控体系分层'（哪些指标要告警）；(b) 与'漂移检测'（漂移告警）；(c) 与'事故复盘'（告警是否及时）。<strong>实践建议</strong>——(a) <strong>动态基线优于静态阈值</strong>（适应周期性）；(b) <strong>'持续时间'条件</strong>（过滤抖动）；(c) <strong>分级 + 聚合 + 抑制</strong>（降噪）；(d) <strong>告警含'可操作信息'</strong>（runbook）；(e) <strong>定期审查告警</strong>（删掉'从不行动'的告警）；(f) <strong>监控'告警本身'</strong>（信噪比、MTTD）。<strong>度量</strong>——(a) 信噪比；(b) MTTD/MTTR；(c) 行动率；(d) 漏报率。

深度剖析与工程权衡：① <strong>'静态阈值不适应周期性'</strong>——故需动态基线；面试中能指出是深度理解的标志。② <strong>'告警疲劳'是核心问题</strong>——太多告警导致麻木；需分级/聚合/抑制。③ <strong>'抑制（上游故障时不发下游告警）'很实用</strong>——避免告警风暴。④ <strong>'持续时间条件'过滤抖动</strong>——简单有效。⑤ <strong>'告警要可操作'</strong>——含 runbook 与上下文。⑥ <strong>面试要点</strong>——被问'怎么设计告警'，应给出'<strong>触发（静态阈值 vs 动态基线 vs 异常检测）+ 降噪（分级/聚合/抑制/静默/持续时间）+ 内容（可操作）+ 评估（信噪比/MTTD）</strong>'；能指出'告警疲劳'是深度理解的标志。