企业官网建设流程全解析

多元时间序列异常检测在工业运维、金融风控、IT 系统监控等场景中，往往要同时面对三个问题：模型够不够准、跑得够不够快、出了异常能不能向业务解释清楚。很多深度模型在精度上表现不错，但推理过程像一个黑盒；而基于规则或统计的方法虽然解释性强，却难以捕获复杂的时间依赖和跨变量交互。TKDE 2026 论文中提出的 MOON 方法，核心是通过模态转换和双模态 SHAP，把多元时序数据的表征学习和异常归因放在同一个框架里，试图在精度、效率与可解释性之间取得平衡。这篇文章会从问题背景出发，拆解 MOON 的两个核心机制，再给出一套可参考的环境准备、代码实现和实验验证路径，最后围绕几个典型坑给出排查方法。

1. 多元时序异常检测为什么要同时考虑精度、效率与可解释性

1.1 从问题定义看异常检测的“三元矛盾”

多元时序异常检测的输入通常是一个窗口内的多变量观测，例如某台工业设备上温度、压力、振动、转速等传感器每秒采集一次。异常检测的目标是判断当前时刻或当前窗口是否偏离正常状态，并在可以的情况下定位是哪些变量、哪些时间段导致了异常。

如果只看“准不准”，问题相对简单：训练一个足够复杂的深度模型，拟合正常数据的分布，然后根据重构误差或预测误差打分。但实际工程中，异常检测结果往往要交给值班人员、运维专家或风控策略团队去决策。如果模型只是给出一个 0 或 1 的标签，却不解释为什么异常，业务方很难信任，也无法快速定位根因。反过来，如果为了解释性使用简单的阈值规则，又会因为复杂动态系统的非线性而漏报或误报。

这就是“三元矛盾”：追求高精度可能带来复杂模型，复杂模型容易损失效率；追求可解释性可能不得不简化模型，简化后精度下降；追求高效率则可能限制了模型容量，影响跨变量依赖的建模能力。MOON 的设计思路，不是放弃其中任何一个，而是通过模态转换让模型在更合适的表征空间学习，再通过双模态 SHAP 把归因结果翻译成人们能看懂的信息。

1.2 主流方法的短板：准确率、运算速度与可解释性不可兼得

传统方法中，基于统计过程控制的方案通常会为每个变量设置阈值，一旦某个变量超出三倍标准差，就判定为异常。这类方法速度快、解释直接，但无法捕捉变量之间的相关性。基于 PCA、自编码器的重构方法能利用跨变量信息，但重构误差很难回答“到底哪个变量贡献最大”这个问题，通常只能给出一个笼统的残差向量。

深度学习时代，Transformer 和时序卷积网络在多元时序建模上表现很强。它们能学习长距离依赖和变量交互，但参数量大、推理延迟高。更重要的是，这类模型的预测结果很难直接映射回“温度上升”或“压力波动”这样的根因描述。即使使用梯度热力图，也容易受到梯度噪声影响，解释结果不稳定。

最近几年也出现了不少用 SHAP 解释时序模型的工作。标准 SHAP 值可以量化每个特征对预测结果的贡献，但直接在高维时序数据上计算 SHAP，计算量非常大，而且逐时刻解释的粒度太细，难以形成可操作的结论。MOON 的切入点就在这里：先把时间序列转换到另一种模态，比如二维图像或时频表示，然后在多个模态上分别计算 SHAP，再融合成统一的归因结果。这样做既能保留时间上下文，又能让归因更稳定。

1.3 MOON 的解题思路：先转换模态，再融合双模态归因

MOON 这个名字在论文语境里通常被解读为 “Multi-modal mOdel with mOdal conversion and bimodal SHap” 的缩写，或者被当作一种“月亮”意象，表示在不同表示空间之间切换视角。严格缩写以论文为准，但从方法命名来看，核心动作有两个：模态转换和双模态 SHAP。

模态转换解决的问题是：原始时间序列是一个低维但长度可变的一维信号，很多空间结构特征很难直接看出来。例如周期性信号在时间域里可能表现为复杂的复合波形，但转换到频域或图像域后，频率峰值和相位关系会变得非常清晰。MOON 通过把多元时序片段映射为二维图像或其他结构化表示，让后续模型可以用 CNN 或视觉 Transformer 提取局部纹理和跨通道交互。

双模态 SHAP 解决的问题是：单模态归因容易“只见树木不见森林”。时间域 SHAP 能给出每个变量在每个时刻的贡献，但数值波动大；图像域 SHAP 能反映模式级特征，但与原始变量之间的映射关系不够直接。双模态 SHAP 把两种模态的归因结果对齐到原始变量维度，然后再聚合，既保留局部细节，又提高稳定性。

可以看到，MOON 不是简单地把异常检测模型和 SHAP 拼接起来，而是用模态转换提升模型表达能力，再用双模态 SHAP 统一解释口径。下面先从技术机制层面讲清楚这两个核心部分。

2. 理解MOON的核心机制：模态转换与双模态SHAP

2.1 模态转换：为什么一维时间序列需要“换一种模态”来看

一维时间序列可以看作连续时间轴上的采样点集合。对于单变量序列，形状、趋势、季节性都能直接画出来；但对于多元序列，变量之间可能存在滞后的因果关系、频率叠加、突发冲击等多种模式。如果只在原始时间域建模，模型必须以较深网络或较宽注意力来隐式学习这些关系。

模态转换的核心思想是：把同一个信号用另一种更利于局部模式识别的表示来表达。常见的转换方式包括：

• 格拉姆角场：把归一化后的时间序列映射到极坐标，再计算不同时间点的余弦夹角，得到二维矩阵。它能把时间顺序编码在矩阵的图像纹理中。
• 马尔可夫转移场：把时间序列的值域划分为若干区间，统计相邻区间之间的转移概率，再生成二维概率场。
• 递归图：基于重构相空间，计算每个状态点和另一个状态点之间的递归关系，能反映动力学系统的周期性。
• 小波变换或短时傅里叶变换：把时间序列转换成二维时频图，同时保留时间和频率信息。
• 符号化编码：把连续值离散成符号序列，再转换成图像或嵌入向量。

MOON 中的“模态转换”在具体实现上可能不是只选其中一种，而是把原始时间模态和转换后的图像模态同时送入模型。这样模型既能看到原始时间轴上的精确数值变化，又能在二维结构中感知跨周期的重复模式。

2.2 双模态SHAP：让异常归因既有全局解释也有局部解释

SHAP 值源自博弈论中的 Shapley 值，核心思想是把每个特征看作一个“玩家”，把模型预测结果看作“收益”，然后计算每个玩家在不同联盟中的边际贡献。对于多元时序异常检测，特征维度可以表示为变量、时刻以及两者的组合。直接计算全特征 SHAP 的复杂度很高，所以需要一个高效的近似或分层计算策略。

双模态 SHAP 的基本做法是：

1. 在原始时间模态上计算 SHAP，得到每个变量在每个时刻的贡献矩阵。
2. 在转换后的图像模态上计算 SHAP，得到图像中每个像素或区域对模型输出的贡献。
3. 将图像域贡献映射回原始变量与时间点，例如通过转换函数的逆映射或注意力权重。
4. 对两个模态的贡献做归一化和加权合并，最终得到每个变量的异常解释分数。

这样做的好处是，图像域归因对模式比较敏感，时间域归因对数值跳变比较敏感。两者互补后，可以缓解单一模态解释的偏差。比如某个异常在时间域上并不突出，但它在图像域表现为一个清晰的纹理断点，那么图像域 SHAP 就能把这个信息补回来。

2.3 模态转换和双模态SHAP如何协同工作

从整体流程看，MOON 的输入是长度为 L 的多元时间窗口，维度为 (D, L)。第一步，模态转换模块将该窗口转换为二维图像张量，维度为 (C, H, W)，其中 C 可以是通道数，H 和 W 可以包含时间依赖的二维映射。第二步，异常检测器分别从原始时间序列和转换后图像中提取特征，再融合为窗口级异常分数。第三步，训练阶段优化异常分数和重构损失；推理阶段根据异常分数判断是否告警。第四步，当异常分数超过阈值时，双模态 SHAP 模块启动，分别计算时间模态和图像模态的归因，并输出变量级解释。

关键点在于，模态转换和双模态 SHAP 不是两个互相独立的模块。模态转换的质量会影响双模态 SHAP 的稳定性。如果转换后的图像丢失了原始时间序列中的重要信息，那么图像域 SHAP 的解释就会失真。反过来，双模态 SHAP 也可以作为一种诊断工具，帮助研究者观察哪一类异常模式容易被模态转换保留或丢失。这种“模型训练和解释分析互相反馈”的做法，是 MOON 区别于只做预测或只做解释的方法的核心。

3. 从论文到工程：环境、数据与评价指标准备

3.1 复现MOON需要的环境和依赖

不管是在学习环境复现论文，还是想在自己的业务数据上验证 MOON 思路，建议先建立一个干净的 Python 环境。下表给出作者认为比较稳妥的依赖组合，具体版本可以根据实际环境调整。

如果使用 GPU，还需要确认 CUDA 版本与 PyTorch 匹配。建议按下面的命令创建环境：

conda create -n moon python=3.10 -y conda activate moon pip install torch==2.1.1 torchvision==0.16.1 pip install numpy pandas scikit-learn shap matplotlib tqdm

这里没有把 torchtext 等不必要包装进来，后续如果涉及 Transformer，直接使用 torch 自带模块即可。安装完成后，可以通过下面这段代码验证关键依赖是否可用：

import torch import shap import numpy as np print("torch:", torch.__version__) print("shap:", shap.__version__) print("numpy:", np.__version__)

3.2 公开数据集与数据格式

多元时序异常检测常用的公开数据集包括 SWaT、WADI、MSL、SMAP 等。SWaT 和 WADI 来自水处理测试平台，包含大量传感器通道和不同类型的攻击事件；MSL 和 SMAP 来自航天领域，包含遥测数据和人工标注异常。这些数据集的规模、通道数和异常比例各不相同，适合用来验证 MOON 在不同特点数据上的表现。

数据格式上，通常要求输入是形状为(n_samples, n_channels, seq_len)的张量，同时提供一个标签数组，标签为 1 表示该时刻异常。由于原始数据往往是不定长序列，需要先按固定窗口长度切分。在切分过程中要注意不能跨异常边界滑动得太随意，否则训练集可能混入异常片段。

3.3 适合MOON的评价指标与实验协议

异常检测的评价指标并不是简单地看准确率，因为异常比例通常很低，准确率会失真。常见的做法是：

• 基于点的 F1：先预测每个点是否异常，再按点计算精确率和召回率。
• 基于事件的 F1：将连续异常区间看作一个事件，只要检测到事件的一部分就算检出。
• 修正后的 F1：容忍一定延迟，例如事件命中条件是“预测异常区间与真实异常区间有重叠”。

MOON 论文中如果同时报告基于点和基于事件的指标，通常是为了避免两种评价方式的偏差。复现时要注意读清楚论文使用的评价协议。例如有的工作会将异常区间开始后的 K 个点算作允许延迟，有的不这样做。不同协议下同一个模型的结果差异可能很大。

建议在实验前先明确主指标和辅助指标，本文后续示例以点级 F1 和事件级 F1 都输出为例。

4. 核心模块实现思路：Time2Modal、异常检测器与双模态SHAP

4.1 时序片段到图像的模态转换模块

模态转换可以有很多实现方式，这里用格拉姆角场作为示范，因为它实现简单、便于可视化，而且能保持时间顺序。假设输入是单个窗口的多元时间序列，形状为(D, L)。首先对每个变量做 min-max 归一化到 [0,1] 或 [0, pi]，然后用极坐标映射。格拉姆角场矩阵的每个元素表示两个时间点之间角度差的和差余弦。

下面的代码仅用于说明思想，会输出一个形状为(D, L, L)的张量，后续可以作为图像的多个通道。

import numpy as np def gaf_from_series(series): """ 将一段多元时间序列转换为格拉姆角场图像。 输入 series: shape (D, L) 输出 gaf: shape (D, L, L) """ D, L = series.shape # 逐变量归一化到 [0, 1] series_min = series.min(axis=1, keepdims=True) series_max = series.max(axis=1, keepdims=True) normalized = (series - series_min) / (series_max - series_min + 1e-9) # 极坐标映射 phi = np.arccos(normalized) # 范围 [0, pi] # 计算 GAF: cos(phi_i + phi_j) cos_phi = np.cos(phi) # (D, L) sin_phi = np.sin(phi) # 这里使用 cos(a+b) = cos a cos b - sin a sin b # result[d, i, j] = cos(phi[d, i] + phi[d, j]) gaf = np.zeros((D, L, L)) for d in range(D): gaf[d] = np.outer(cos_phi[d], cos_phi[d]) - np.outer(sin_phi[d], sin_phi[d]) return gaf

使用 GAF 时要注意，归一化方式会直接影响图像纹理。如果某个变量在一个窗口内没有明显幅值变化，归一化后可能形成平坦图像，对异常检测的贡献也会变小。实际中可以根据数据特点选择马尔可夫转移场或递归图。

4.2 双模态异常检测器结构

MOON 的异常检测器可以设计为双分支结构：一个分支处理原始时间序列，一个分支处理转换后的图像。时间分支可以使用时序卷积或 Transformer，图像分支可以使用 CNN。两个分支的输出经过融合后，得到窗口级异常分数。

下面是一个基于 PyTorch 的简化结构示例，目的在于展示模块之间的连接关系，不是论文源码。

import torch import torch.nn as nn class TimeEnc(nn.Module): def __init__(self, input_dim, hidden_dim): super().__init__() self.conv = nn.Conv1d(input_dim, hidden_dim, kernel_size=3, padding=1) self.gru = nn.GRU(hidden_dim, hidden_dim, batch_first=True) def forward(self, x): # x: (B, D, L) h = torch.relu(self.conv(x)) # (B, hidden, L) h = h.permute(0, 2, 1) # (B, L, hidden) out, _ = self.gru(h) # (B, L, hidden) return out.mean(dim=1) # (B, hidden) class ImageEnc(nn.Module): def __init__(self, input_channels, hidden_dim): super().__init__() self.conv = nn.Sequential( nn.Conv2d(input_channels, 32, kernel_size=3, padding=1), nn.ReLU(), nn.AdaptiveAvgPool2d((8, 8)), nn.Flatten(), nn.Linear(32 * 8 * 8, hidden_dim) ) def forward(self, img): # img: (B, C, H, W) return self.conv(img) class MOONAnomalyDetector(nn.Module): def __init__(self, input_dim, hidden_dim=64): super().__init__() self.time_enc = TimeEnc(input_dim, hidden_dim) self.img_enc = ImageEnc(input_dim, hidden_dim) self.fuser = nn.Sequential( nn.Linear(hidden_dim * 2, hidden_dim), nn.ReLU(), nn.Linear(hidden_dim, 1) ) def forward(self, x, imgs): # x: (B, D, L) # imgs: (B, D, H, W) t_feat = self.time_enc(x) i_feat = self.img_enc(imgs) feat = torch.cat([t_feat, i_feat], dim=-1) score = torch.sigmoid(self.fuser(feat)) return score, t_feat, i_feat

这个结构里，时间分支和图像分支的输出维度都是hidden_dim，融合时直接拼接。异常分数用一个二分类输出。由于正常样本和异常样本比例悬殊，实际训练时需要配合异常样本加权或自监督重构损失。

4.3 双模态SHAP计算与归一化

双模态 SHAP 在推理阶段使用。一个可行的方案是：对时间分支的输出计算 SHAP，对图像分支的输出计算 SHAP，然后把两个分支各自的 SHAP 值映射回原始变量维度。

计算 SHAP 的模型函数可以定义为“该窗口的异常分数”，特征可以定义为原始时间序列中的所有时刻点。为了控制计算量，通常会使用采样近似，例如 Kernel SHAP 或 Permutation SHAP。

import shap def explain_with_moon(model, x, imgs, baseline_x, baseline_imgs, num_samples=100): model.eval() # 对时间分支定义预测函数 def time_predict(x_batch): b, d, l = x_batch.shape with torch.no_grad(): imgs_batch = torch.tensor(imgs) if imgs_batch.ndim == 3: imgs_batch = imgs_batch.unsqueeze(0) _, t_feat, _ = model(x_batch, imgs_batch) return t_feat.cpu().numpy() # 对图像分支定义预测函数 def img_predict(img_batch): with torch.no_grad(): x_batch = torch.tensor(x) if x_batch.ndim == 2: x_batch = x_batch.unsqueeze(0) _, _, i_feat = model(x_batch, img_batch) return i_feat.cpu().numpy() # 这里只是为了展示 API 写法，实际使用需要先构造解释器并调用 time_explainer = shap.KernelExplainer(time_predict, baseline_x) img_explainer = shap.KernelExplainer(img_predict, baseline_imgs) shap_time = time_explainer.shap_values(x, nsamples=num_samples) shap_img = img_explainer.shap_values(imgs, nsamples=num_samples) return shap_time, shap_img

上面的代码省略了 baseline 构造和图像与时间维度对齐。实际项目中，更常见的做法是先利用代理模型或深度解释器计算近似归因，再做时间维度的聚合。双模态 SHAP 的“双”体现在两路归因都算出来，最终可以用加权平均或乘积归一化得到变量级分数。

一个常用的聚合方式是：

variable_score[d] = w * mean_t(shap_time[d, :]) + (1 - w) * mean_hw(shap_img[d, :, :])

其中 w 可以在验证集上搜索。如果某个数据集的异常更多表现为数值突变，w 接近 1；如果更多表现为频率或纹理异常，w 可以调小。

4.4 训练流程与损失函数

MOON 的完整训练目标通常包含异常分类损失和重构损失两部分。分类损失用于让模型区分正常窗口和异常窗口；重构损失可以让时间分支和图像分支都学到“正常数据长什么样”。

实际训练时，异常窗口可能很少。一种做法是在训练集中只使用正常窗口，通过重构误差作为异常分数。另一种做法是使用少量带标签异常窗口做二分类。MOON 如果想兼顾无监督和监督，可以采用混合损失：

import torch.nn.functional as F def moon_loss(score, label, recon_loss, alpha=0.7): cls_loss = F.binary_cross_entropy(score, label.float()) return alpha * cls_loss + (1 - alpha) * recon_loss

这里的recon_loss需要由解码器计算。两个分支都可以各自重建输入，例如时间分支重建原始窗口，图像分支重建 GAF 图像。重建误差越大，说明该窗口越不符合正常模式。

训练时还要注意，模态转换模块可能会引入较大的计算量。GAF 矩阵是 LxL，当窗口长度 L 较大时，内存会快速膨胀。建议在训练时限制最大窗口长度，或使用滑动缓存。

5. 运行验证与结果解读

5.1 训练与评估的命令行入口

假设已经把数据整理成train.npz和test.npz，内部包含X和y。可以直接写一个训练脚本train_moon.py，核心逻辑如下：

from sklearn.metrics import precision_recall_fscore_support # 加载数据 data = np.load("train.npz") X_train, y_train = data["X"], data["y"] test_data = np.load("test.npz") X_test, y_test = test_data["X"], test_data["y"] # 转换模态 X_train_img = np.stack([gaf_from_series(x) for x in X_train], axis=0) X_test_img = np.stack([gaf_from_series(x) for x in X_test], axis=0) # 构造模型 model = MOONAnomalyDetector(input_dim=X_train.shape[1]) # 训练... # 评估 y_pred_score, _, _ = model(torch.tensor(X_test), torch.tensor(X_test_img)) y_pred = (y_pred_score.squeeze().numpy() > 0.5).astype(int) precision, recall, f1, _ = precision_recall_fscore_support(y_test, y_pred, average="binary") print(f"F1: {f1:.4f}, precision: {precision:.4f}, recall: {recall:.4f}")

运行命令可以用：

python train_moon.py --data_dir ./data --window_size 64 --batch_size 128 --epochs 50 --gpu 0

这里把超参数通过命令行传入，便于在多个数据集上做网格搜索。

5.2 输出指标怎么读

当训练完成后，控制台会输出类似下面的内容：

Epoch 50/50, loss 0.0213 Test set: point F1=0.8671, event F1=0.9320, latency=3

关键点在于同时看多个指标。如果一个模型的点级 F1 很高但事件级 F1 很低，可能说明它把正常点中的零星波动误报成了异常，但没有完整探测出连续异常区间。如果事件级 F1 高但点级 F1 低，可能说明算法对异常区间边界定位不准确。

另外，还需要记录推理耗时和显存占用。MOON 如果图像分支使用了 LxL 的 GAF 输入，窗口长度增加时显存会增长很快。建议固定窗口长度，不要在生产环境直接使用训练时的超长窗口。

5.3 可解释性可视化：异常区间与变量贡献

双模态 SHAP 的输出可以画成两类图。第一类是变量级贡献柱状图，横坐标是传感器名称，纵坐标是聚合后的 SHAP 值；第二类是热力图，横坐标是时间点，纵坐标是变量，颜色表示贡献大小。下面的代码用 matplotlib 画一个变量贡献图：

import matplotlib.pyplot as plt def plot_variable_importance(variable_names, shap_values): plt.figure(figsize=(8, 4)) plt.bar(variable_names, shap_values) plt.xticks(rotation=45) plt.ylabel("bimodal SHAP value") plt.title("Variable-level anomaly explanation") plt.tight_layout() plt.savefig("shap_importance.png") plt.show()

可视化时要特别注意尺度。双模态 SHAP 的两路值可能处于不同量纲，必须先归一化再画图，否则某个通道会完全主导解释。归一化方式可以在验证集上固定，不能在每一条推理样本上动态归一化，否则会破坏解释结果的可比性。

5.4 效率对比的注意点

如果在论文复现中需要比较不同模型的效率，要使用相同的批大小、相同 GPU 型号，并统计完整推理时间而不仅是模型前向时间。SHAP 解释阶段通常非常耗时，因此如果要比较“异常检测+解释”的总耗时，MOON 在双模态 SHAP 上可能比单模态 SHAP 更慢。

建议从三个角度看效率：

• 训练效率：以 epoch 为单位，记录每个 epoch 的时间。
• 纯推理效率：只计算异常分数，不计算 SHAP。
• 解释效率：计算一条异常样本的双模态 SHAP 需要多长时间。

如果解释耗时不可接受，可以考虑只对少数高置信度异常启动 SHAP，或者用 DeepSHAP 等近似方法降低计算量。

6. 常见问题排查：模态转换失真、SHAP开销大、可解释性与精度冲突

6.1 模态转换后异常特征反而变模糊

现象：加入 GAF 图像分支后，点级 F1 不升反降。

可能原因：

• GAF 对幅值归一化过于敏感，不同窗口的局部最大值不一致。
• 窗口长度太短，图像中时间结构不明显。
• 图像分支和时序分支的融合方式不合适，图像特征掩盖了原始时域特征。

检查方式：

• 把 GAF 图像可视化，观察正常窗口和异常窗口是否存在肉眼可见差异。
• 分别输出时间分支和图像分支单独训练的 F1，确认哪个分支出现问题。
• 尝试替换为马尔可夫转移场或时频图，看看表现是否变化。

处理建议：

• 对每个变量单独做缩放，而不是对整批数据做全局缩放。
• 在融合层使用注意力权重，让模型自动决定时间特征和图像特征的贡献比例。
• 加入重构损失，确保图像分支没有丢失关键信息。

6.2 SHAP计算占用时间过长

现象：一条样本的双模态 SHAP 需要几秒甚至几分钟。

常见原因：

• 特征维度过大（例如 64 个时间点乘 10 个变量，共 640 维）。
• 使用了逐特征的精确 Shapley 计算。
• baseline 设置不当，导致采样路径很长。

处理方式：

• 使用 shap.DeepExplainer 或 shap.GradientExplainer 代替 KernelExplainer。
• 先按变量聚合，再计算 SHAP，而不是对每个时间点单独计算。
• 引入 top-k 特征筛选，只对模型贡献最大的前几个变量做细粒度归因。
• 离线计算一批正常样本的 SHAP 分布，推理时只计算当前样本与分布的偏差。

预防建议：

• 对高实时性场景，把 SHAP 频次降低，例如每 5 个可疑窗口解释一次。
• 在 GPU 上批量计算 SHAP，能把多条样本的采样过程合并。

6.3 双模态解释结果不一致

现象：时间模态 SHAP 认为变量 A 最重要，图像模态 SHAP 认为变量 B 最重要，最终聚合结果不稳定。

原因：

• 两个分支学习的特征并不完全对齐。
• 图像模态的 SHAP 没有正确映射回原始变量坐标。
• 时间模态对瞬间尖峰敏感，图像模态对连续模式敏感，两者侧重点不同。

检查：

• 打印两个模态各自的前 3 个重要变量，对比是否重合。
• 检查图像分支中不同通道是否与不同变量一一对应。
• 绘制异常窗口的 GAF 图像，确认图像中的异常区域确实与变量 B 的模式相关。

处理建议：

• 在融合层增加对齐约束，例如让两个分支对同一样本的特征向量余弦相似度更高。
• 将双模态 SHAP 的聚合权重 w 当作超参数，在验证集上优化。
• 如果业务只需要报告一个根因变量，可以选用“任意一个模态认为最重要且对应重构误差大”的变量。

6.4 数据划分与归一化导致的泄漏

现象：训练时 loss 很低，测试时 F1 很差；有时训练集异常样本极多，导致评估虚高。

原因：

• 切分窗口时没有严格按时间顺序划分，导致训练集和测试集有重叠。
• 归一化使用了整个数据集的统计量。
• 异常样本被复制增强后，与训练集中正常样本高度重叠。

处理建议：

• 必须按时间先后切分训练集和测试集，先训练后测试，绝对不要随机打乱。
• 仅用训练集的均值和方差做归一化，并在测试时保存这些统计量。
• 如果做异常样本过采样，要确保生成的样本没有跨到测试时间范围。

# 错误的做法 scaler = StandardScaler() X_all = np.vstack([X_train, X_test]) scaler.fit(X_all) # 推荐的写法 scaler = StandardScaler() X_train_scaled = scaler.fit_transform(X_train.reshape(-1, D)) X_test_scaled = scaler.transform(X_test.reshape(-1, D))

6.5 排查清单

7. 从复现到落地：MOON的生产级实践建议

7.1 学习环境与生产环境的差异

学习环境下，可以在一张消费级 GPU 上跑通 MOON 的小型实验，比如 SWaT 数据集。但生产环境面临的是长期持续采集的流式数据，窗口滑动的频率、模型推理的延迟、SHAP 解释的耗时都会成为瓶颈。学习阶段可以忽略这些细节，但上线前必须做三类改造：

• 将模态转换做成批量流处理，避免在推理线程中反复生成高维图像。
• 将训练和推理分离。生产环境通常只加载训练好的权重，SHAP 解释模块单独部署在一个异步服务中。
• 建立阈值校准机制。异常分数不是固定阈值，而是要按时段、按业务场景动态调整。

7.2 部署MOON时的工程化改造

推荐把 MOON 拆成三个服务：数据消费与窗口管理服务、异常检测推理服务、可解释归因服务。数据消费服务负责读取 Kafka 或工业总线中的原始数据，按窗口缓存；推理服务只做纯前向计算，输出异常分数；归因服务只在分数超过阈值时被触发。

这样做可以避免 SHAP 计算阻塞主流程。下面是一个简化的接口定义：

class MoonPredictionService: def __init__(self, model_path: str): self.model = load_model(model_path) def predict(self, x: np.ndarray) -> float: imgs = gaf_from_series(x) score, _, _ = self.model(x, imgs) return float(score.squeeze()) class MoonExplainerService: def __init__(self, model_path: str): self.model = load_model(model_path) def explain(self, x: np.ndarray) -> dict: imgs = gaf_from_series(x) shap_time, shap_img = compute_bimodal_shap(self.model, x, imgs) variable_score = aggregate_to_variable(shap_time, shap_img) return {"score": variable_score}

生产环境还需要给每个样本附加时间戳、数据源标识和模型版本号。这样即使后续模型更新，也可以回溯解释报告。

7.3 可解释性报告的可信度检查

双模态 SHAP 给出的结果不一定是绝对正确的根因。它反映的是“模型认为哪些变量最重要”，而不是“业务上真正的根因”。因此，上线前要做可信度检查：

• 构造人工注入异常的数据，确认 SHAP 能定位到被注入的变量。
• 在正常样本上运行解释模块，观察 SHAP 值是否接近零或随机波动。
• 对比多模型解释的一致性，如果两个结构类似的模型得到的根因变量差异很大，说明归因不稳定。
• 和业务专家抽检 50 条历史异常样本，统计解释报告中 top1 变量与专家判断一致的占比。

如果一致性低于 60%，建议调整双模态 SHAP 的聚合权重，或者改用更稳定的整合方式，例如对多次解释取均值。

7.4 扩展方向：在线异常检测、新模态融合、大模型协同

MOON 的框架本身并不限制模态转换的具体形式。未来可以从三个方向扩展：

• 在线异常检测：引入在线归一化、滑窗缓存和增量更新，让模型适应缓慢漂移的正常状态。
• 新模态融合：除了 GAF 图像，还可以把传感器原始信号与音频、振动频谱、文本日志融合成更多模态，让双模态 SHAP 变成多模态 SHAP。
• 大模型协同：使用时序大模型或 LLM 生成异常描述文本，再用 MOON 的双模态 SHAP 作为引用证据，让解释从数值重要性升级为自然语言描述。

对研究者而言，最有价值的练习不是直接追求更高的 F1，而是先复现 MOON 的基本流程，再在公开数据集上分解消融：只保留模态转换、只保留双模态 SHAP、去掉图像分支，分别观察精度和解释稳定性的变化。这样能真正理解每个模块在整体框架中扮演的角色。落地时，也建议先把 MOON 当作一个可解释性辅助工具，而不是完全替代现有监控系统中的告警规则。待模型在业务数据上表现稳定后，再逐步提高告警自动化程度。