导读

工业传感器、设备运维、金融交易和网络监控都需要回答一个问题：哪些变化意味着异常？时间序列异常检测的难点，不只是找到明显尖峰，还包括识别局部语境中的反常、持续结构变化，以及多个变量之间的协同失常。与此同时，越来越复杂的模型和越来越高的指标分数，并不必然意味着更可靠的告警。 华南理工大学、鹏城实验室等机构研究者撰写的《Future of Time Series Anomaly Detection: From Historical Review to Unified Outlook》，从异常定义、检测范式、模型架构、评估方法和未来方向梳理这一领域。论文特别强调：检测原理与网络骨干应分开讨论；评估规则本身也必须接受检验。

本文按原文七个主要章节及小节顺序整理，并结合作者公开补充材料解释指标实验。阅读重点是三个问题：模型依据什么判异常？评价是否反映真实检测能力？面向多域、多模态和零样本场景，哪些问题仍未解决？ 论文信息：作者为 Zhijie Zhong、Zhiwen Yu、Pengyu Li、Liujian Zhang、Qiaoli Ni、Jiang Jun、Jianming Lv、Kaixiang Yang 和 C. L. Philip Chen。arXiv 编号为 2610.30628，提交于2026年10月22日；据 arXiv 接收说明及作者项目页，论文已被 IEEE Transactions on Artificial Intelligence 接收。 阅读链接：论文摘要页；论文全文；作者项目页；补充材料。

I 引言（Introduction）

时间序列异常检测旨在发现偏离正常时间模式的观测点或片段。它可以帮助识别设备故障、欺诈和网络攻击，但误报、漏报与检测延迟各有成本，因此不能只把它看成一个离线二分类任务。 领域已从统计分析和经典机器学习，发展到循环网络、卷积网络、图网络、Transformer、扩散模型、状态空间模型与大语言模型。原文认为，已有综述对新架构、跨域统一建模、多变量异常以及指标可靠性的覆盖仍不充分，需要一个能将这些问题连接起来的框架。 论文的组织逻辑依次是：定义检测问题，细化异常分类，按检测原则划分范式，讨论评估与架构选型，最后梳理可解释性、零样本、多模态、多域和基础模型。它还提供算法、数据与指标实现资源，支持复现和进一步比较。

图1：综述的整体组织框架。从预备知识与异常分类出发，连接检测范式、算法与评估补充材料，再进入社区问题和未来机会。来源：原文图2，第3页；保留原图内容。 需要注意，原文的文献趋势图来自特定检索式；补充材料说明统计截至2025年6月24日，2025年并非完整年度。因此，相关数量宜用于理解研究关注变化，不宜直接当作精确、完整的年度领域规模。

II 预备知识（Preliminaries）

2.1 相关工作

作者将技术演进概括为四个阶段。第一阶段以经典机器学习为主，借助树模型、分布估计和人工特征识别离群点，通常计算较轻，但对复杂时间依赖和变量耦合的处理能力有限。 第二阶段引入循环神经网络、时间卷积网络和图神经网络等深度表示。原型或记忆模型通过学习正常模式的代表集合，约束异常样本与正常表示之间的关系，试图缓解普通自编码器也能重建异常的过度泛化。 第三阶段包括 Transformer、扩散模型及状态空间模型。注意力机制用于长程关联，扩散模型通过去噪学习复杂分布，选择性状态空间架构则尝试兼顾长序列建模与计算效率。这是表示和生成机制的变化，不能直接替代对异常评分原则的说明。 第四阶段面向跨域统一模型和预训练模型迁移，关注不同数据集共享参数、零样本推断，以及数值信号与文本、图像的结合。四个阶段是作者的梳理视角，并不意味着后来的路线全面取代较早方法。

2.2 基本定义

2.2.1 问题定义

原文将时间序列写为 N×C 的矩阵：N 为时间点数，C 为通道数。C=1 是单变量序列，C>1 是多变量序列。检测器从观测中计算异常分数，再据此预测正常或异常标签。 时间长度是另一个维度：点异常是孤立异常时间点，片段异常是连续区间，长度为区间终点减起点再加一。片段持续时间会影响业务严重程度，也会影响指标计算；不能把不同长度事件简单视作同等数量的独立异常点。 实际数据还可能存在不规则采样和缺失值。异常稀少、标签有限、观测不完备等因素，都会影响训练与检测，预处理方式应与评估协议一同说明。

2.2.2 多域学习

多域数据来自不同系统或场景，序列长度、采样特征和通道数量都可能不同。统一检测器希望通过共享主干参数提取共性知识，必要时加入域适配器，而不是为每个数据集重新训练一个完全独立的模型。 这里需要区分两层泛化：一是同一领域随时间变化时仍然稳健；二是迁移到未见目标领域。能够同时处理若干已知数据集，不等于已经实现无需目标域训练的零样本检测。

III 细化的异常分类（Refined Anomaly Taxonomy）

图2：单变量异常与通道关联异常的类型示意。上排依次为全局、上下文、趋势、形状和季节性异常；下排为相应的通道关联异常，红框标出异常区域。来源：原文图3，第5页；保留原图内容。

3.1 全局异常

全局异常是明显偏离正常范围的观测，例如突发尖峰或大幅水平变化。原文以观测值与期望或重建基线之间的绝对残差超过阈值作为一种表述。这类异常较直观，但“数值很大”仍应相对于具体系统的正常分布理解。

3.2 上下文异常

上下文异常的数值可能落在全局正常范围内，却不符合其所处的局部时间语境。识别它需要考察邻域结构，例如局部方差、密度或周期位置，而不是只看整个数据集的最大最小值。正常范围与正常时机并不是同一件事。

3.3 结构异常

结构异常发生在一段时间内的形态或生成规律上。原文区分三类：趋势异常表现为持续漂移或低频轨迹改变；形状异常表现为局部波形偏离既有模式；季节性异常涉及周期、相位或出现时机的改变，即便振幅仍然正常。 因此，检测目标不能只盯逐点幅值误差，也可能需要比较趋势分量、周期轮廓或局部形状。采用何种表示，决定了哪些异常容易被看见，哪些变化会被平均或压缩掉。

3.4 通道关联异常

多变量系统中的异常可能体现为通道间同步、耦合或联合分布的变化。单独观察每个变量时，它们可能都不明显越界，但组合关系已经偏离正常机制。原文进一步讨论通道关联的全局、上下文、趋势、形状和季节性异常。 作者用单通道分数聚合、联合阈值及通道权重描述一类可操作的识别规则，权重可用于屏蔽无关通道。但应保留其边界：**这些是侧重可观测同步异常的经验评分规则，不是覆盖全部关联异常的生成模型。**单通道超阈值条件也不能完整刻画“边缘正常、联合异常”的所有情况。 在物理系统中，异常还可能违反守恒关系或运动学约束。原文据此讨论物理先验和结构化表示：如果完全依赖无约束数据拟合，模型既可能漏掉物理违规，也可能把建模误差误当成真实故障。

IV 检测范式分类（Taxonomy of Paradigms）

分类首先看“凭什么认定异常”，而不是只看网络名字。原文采用三级规则：先判断检测能力是否根本依赖跨域预训练知识；对其余方法按核心检测假设分类；存在多个评分信号时，再按主导机制归类，并注明混合性质。 其中，大语言模型优先规则是本文采用的分类约定，并非所有研究通用的唯一标准。它也将部分时序预训练基础模型归入相应类别；不能据此把所有基础模型都等同于自然语言大模型。

图3：六类时间序列异常检测范式。由左至右为重建、预测、生成、相似性、大语言模型和统计范式，示意不同方法依据何种信号判定异常。来源：原文图4，第7页；保留原图内容。

4.1 重建范式

重建方法将时间窗口编码为潜在表示，再解码还原输入，以均方误差等残差作为异常分数。其基本假设是正常模式能够较好重建，而异常更难恢复。 风险在于模型可能过度泛化，也能把异常重建得很好。因而，小重建误差不必然代表正常，模型容量、正常模式约束和训练数据污染都需要考察。

4.2 预测范式

预测方法根据历史窗口估计未来，再将预测与真实观测比较。它依赖正常动态具有一定可预测性，异常会造成显著偏差。与重建相比，预测明确区分历史输入与未来目标。 但预测难度本身不等于异常程度。噪声、突发但正常的工况变化和预测视野都会影响误差。将预测模型用于检测时，仍需说明误差如何聚合、阈值如何选择，以及何时能够得到告警。

4.3 生成范式

生成方法学习正常数据的概率生成过程，通过低似然、生成偏差或相关评分识别异常。原文涵盖变分自编码器、对抗生成和扩散等路线。 与确定性重建的区别，主要在于概率建模及训练目标，例如证据下界、对抗损失或得分匹配；不能因为某个模型包含重建步骤就只归为重建范式。与统计范式的区别，则在于分布如何表达和学习。 扩散方法能够拟合复杂分布，但迭代去噪可能增加训练与推断开销。分布表达能力、异常评分有效性和实时部署成本，需要分别验证。

4.4 相似性范式

相似性方法认为异常偏离正常群体的几何或统计结构。原文归纳四种机制：基于距离的方法寻找远离正常簇的样本；基于密度的方法识别稀疏邻域；单类边界方法学习正常区域；隔离树利用异常更容易被切分隔离的特点。 对比学习和原型模型即便使用神经网络，只要主要评分依据是嵌入距离或正常原型相似度，也可在这一范式下理解。局部密度和邻域几何与预先指定解析分布并不相同，因此不应仅凭“使用密度”就把方法全部归为统计模型。

4.5 大语言模型范式

这一类别强调利用预训练跨域知识和上下文推断，原文讨论三条路径。 外部知识注入：将数值序列序列化为文本，结合提示、领域知识或检索增强生成，让模型识别异常区间并给出描述。 参数高效适配：冻结大部分预训练参数，调整输入映射、位置表示或部分归一化参数，使数值信号进入模型可处理的表示空间。 多模态与智能体扩展：把序列转换为曲线图供视觉语言模型分析，或联合传感器、日志与图像；多智能体工作流进一步尝试分工诊断和迭代修正。 但这些路线不自动保证零样本能力。文本化可能损失数值精度，图像化可能丢失细粒度时间信息，语言解释也可能与真实故障机制不一致。原文将预训练表示来源纳入分类，不意味着可以免除对实际检测效果的验证。

4.6 统计范式

统计方法依据显式分布或描述统计量判断偏离，例如 Z 分数、三倍标准差、四分位距和参数化密度。其优势是评分含义较清晰，通常计算较轻；限制则来自分布、平稳性或结构假设。 需要避免把某种假设当成数据固有属性：真实序列可能非高斯、非平稳，变量关系也会随工况变化。简单统计规则适合做透明、低成本的参照，但是否足够仍取决于任务。

V 讨论（Discussions）

5.1 评估方法讨论

5.1.1 异常阈值

异常分数与最终告警之间隔着阈值。固定阈值容易实现，却可能在工况变化或分布漂移时失效；输入归一化也不能保证模型输出分数的分布始终稳定。 作者因此提出场景自适应、可学习的动态阈值方向。它应作为需要研究和验证的机制，而不是已被解决的问题。报告检测结果时，必须交代阈值来自训练集、验证集还是其他校准数据；利用测试标签挑选最优阈值，不能直接代表实际部署能力。

5.1.2 有缺陷的指标

原文重点批评点调整 F1，即 F1-PA：只要命中某个真实异常片段中的一个时间点，就把整段补为检出。这会把局部命中扩大成完整覆盖，从而夸大召回与综合分数。 补充材料的合成示例展示了这种偏差：某个候选评分序列的逐点 F1 为22.2，而调整后 F1-PA 达到76.9，均按百分制表示。这是对评分协议的示例分析，不是某个真实检测器的跨数据集成绩。

图4：点调整与不同指标的评分偏差示例。比较真实标签、简单基线及两组候选分数，带有 PA 标记的行为点调整后的预测；右侧列出不同评价分数。来源：补充材料图S1，第12页；保留原图内容。 片段指标虽然能更好体现事件范围，也并非天然可靠。误报惩罚、时间容忍、延迟处理和长片段权重都可能改变排序。因此，不能把一个指标替换成另一个指标，就认定评估问题已经解决。

5.1.3 指标实验分析

这篇综述包含指标实验，不只是文献罗列。补充材料构造30组合成序列配置，并使用 MSL、Creditcard、SWAT 及三组 SMD 序列共6组真实数据；通过具有不同名义准确率的合成评分器，考察评分器水平、序列长度、异常片段数量与平均持续时间的影响。 这里的受控评分器用于隔离指标行为，不等于对所有现有模型做了一次统一性能排名；其名义准确率也不能直接等同于特定阈值后的最终逐点检测准确率。 作者报告的主要现象包括：F1-PA 对评分扰动和阈值敏感，可能产生不稳定排序；一些区间指标在特定准确率范围内区分度有限；PATE 在长序列、事件密集设置中的评估开销较大；异常持续时间及其方差会改变多种指标的偏差。 在作者所测条件下，归一化或校正的邻近性指标，以及 VUS 类指标，对长片段或高长度方差场景更稳定。但这不是对所有任务的普遍优越性证明；VUS 的事件缓冲区大小仍会影响绝对分数，跨方法比较必须统一配置。 实际报告宜组合互补视角：逐点与区间、阈值相关与阈值无关指标，并说明误报、延迟、片段切分与缓冲区规则。核心结论不是找到一个万能指标，而是让评价与真实告警需求对应。

5.2 算法架构讨论

图5：检测范式与模型架构之间的映射。左侧按检测假设组织，右侧列出统计、经典机器学习、深度网络及统一或预训练架构，连线表示主要实现关系。图中的能力梯度是作者的概括，不是统一实验排行榜。来源：原文图5，第9页；保留原图内容。 同一网络骨干可以承载不同评分机制，同一种范式也可以有多种实现。Transformer 可用于预测、重建或表示学习；图网络突出变量拓扑；循环和时间卷积结构带有时序归纳偏置；状态空间模型面向长序列效率；原型模型则显式约束正常表示。 作者的选型建议可概括为：跨域、多模态和零样本需求优先考察统一或预训练路线；复杂长程依赖和通道关系需要较强表示能力；严格透明性要求下考虑解析统计评分；资源受限时先比较轻量统计、经典机器学习及小型时序网络。 原文还提出，以检测精度为首要目标时可重点考察 Transformer，而扩散、状态空间和基础模型未必适合作为最简参照基线。这些属于作者综合文献形成的建议，不是本文给出的全架构统一实测排名。状态空间架构的线性复杂度、扩散的迭代成本以及注意力的资源占用，也应结合具体实现测量。

5.3 通用技术讨论

时间序列数据增强可以通过噪声、合成异常、遮蔽或插值扩充监督。但随意混合序列可能破坏时间因果、相位对齐和物理约束，生成现实中不可成立的样本。原文建议使用受结构或约束引导的扰动，使增强服务于目标异常，而非只追求更多数据。 通道独立建模便于共享参数、处理不同通道数量，也可能降低过拟合；代价是忽略跨传感器耦合。对通道关联异常，一味拆分会失去关键信号。未来方向是把单通道时间建模与自适应跨通道信息交换结合，例如轻量交叉注意力或图结构层，而不是在“全部独立”和“全部混合”之间简单二选一。

VI 未来与机遇（Future and Opportunity）

6.1 可解释性

可解释性不只是画一张注意力热图或列出高相关通道。原文提出三个层次：定位准确时间边界与关键通道；识别根因变量及其向下游传播的路径；把异常与具体正常子序列、形状或物理背景联系起来。 相应地，评估资源也应升级：构造带可验证解释的受控数据集；在二元标签之外标注类型、通道和根因；用规范化语言记录异常边界、关键片段和级联影响；评价解释稀疏性及其对轻微噪声的稳定性。 大语言模型可把复杂统计输出转为运维人员能读懂的描述，但语言通顺并不等于因果解释正确。根因分析需要机制依据和可验证标注，不能仅从相关性跳到因果结论。

6.2 零样本学习

可靠零样本检测面临四个障碍：异常稀少且标签缺乏故障语义；不同领域的行为和异常形态存在差异；采样率、长度和通道数量不一致；少样本微调与真正无需目标域训练之间仍有性能差距。 原文特别指出，使用目标域一小部分样本微调后得到的好结果，不能称为真正零样本。需要区分源域预训练、目标域校准与微调各自用了什么信息，验证首次部署到陌生系统时能否可靠工作。 结构化知识和受约束合成扰动可能拓宽训练覆盖，但这仍是研究方向，并非对未知故障必然有效的保证。

6.3 多模态学习

数值序列常伴随维护日志、设备拓扑、操作手册、图像和人工经验。多模态检测的目标不应只是把附加特征拼接进去，而是利用这些信息解释正常工况与真实故障之间的差别。 作者提出三类机会：在训练中融入上下文元数据；通过多轮对话吸收操作者对误报的纠正；支持自然语言、图表标注和时间窗口选择等联合提示。数值、文本和视觉信息应深度对齐，同时保留数值精度和时间定位能力。 这样的交互式系统还需检验反馈如何改变置信度和后续判断，而不是只生成一次性的诊断文字。

6.4 多域学习

统一模型需要处理不同长度和变量数量，在共享参数的同时学习跨域表示。它不仅要“一个模型运行多个数据集”，还应在新域上保持迁移能力，并对不同场景校准异常边界。 原文归纳三项要求：尽可能实现无需微调的零样本能力；按照当前领域和运行状态动态选阈值；为告警提供可用于根因分析和后续处置的解释。三者相互关联：仅共享骨干，却仍需逐域大量调参和人工设阈值，不能充分体现统一建模的价值。

6.5 基础模型

原文区分两条路线。原生时间序列基础模型直接在大规模数值序列上预训练，擅长学习时间动态；将多变量拆成单变量有利于适配不同通道数量，却可能丢失通道关系，并受高质量开放数据规模限制。 适配语言模型的路线利用预训练知识和文本能力，但标准文本分词不天然适合连续数值，可能难以保留精确幅度、高频振荡和相位关系。参数规模更大，不等于数值建模就更可靠。 作者看好的方向是统一多模态基础模型：结合原生数值编码器的精度、系统拓扑的结构约束与语言骨干的上下文能力。这是未来路线，而不是已有模型已经完成的能力清单。

VII 结论（Conclusion）

这篇综述把时间序列异常检测组织成一条完整链路：先明确异常是什么，再区分检测假设与表示架构，随后检查阈值、指标和部署条件，最后讨论跨域统一与基础模型。 最值得保留的判断是：**模型复杂度不能替代问题定义，漂亮分数不能替代可信评估，通用化也不能只看预训练规模。**对真实系统而言，发现哪些异常、产生多少误报、何时告警、能否解释，以及迁移到新工况时是否仍然可靠，需要共同回答。 本文主体依据用户提供的 arXiv 版本，指标实验结合作者公开补充材料核对。该 arXiv 版本的部分补充材料交叉引用仍显示占位符，查阅详细设置时建议同时阅读下列补充文件。本文不把尚待解决的未来方向写成已验证能力，也不据综述性建议虚构模型排名。 原文与资源：论文全文；摘要与版本信息；补充材料；项目主页；代码与基准资源；期刊 DOI。