时序异常检测入门到实战（十四）· 时序大模型：不训练，直接挑异常
本文是「码海寻道」《时序异常检测入门到实战》系列的第 14 篇，也是模型篇的最后一站。前面十三篇，无论统计、机器学习还是深度学习，都遵循同一个套路：为你的数据训练一个模型 。这一篇的主角彻底打破它------一个在海量序列上预训练 好的大模型，面对你从没见过的新数据 ，不训练、直接 zero-shot 挑出异常。这是异常检测的"大模型时刻"。但激动之余，我照例给你泼一盆比预测更凉的冷水。
一、范式转变：预训练一次，到处 zero-shot
预测系列第 15 篇讲过时序基础大模型（TimesFM、Chronos、Moirai）------在千百万条异构序列上预训练，学到跨领域通用的时序规律，对新序列直接 zero-shot 预测。异常检测能不能也搭上这趟车？
能，而且思路特别顺。回想本系列反复强调的重构派/预测派内核 ：先学会"正常长什么样"，凡是偏离正常的就是异常 。而一个时序大模型，早已在海量数据里把"正常的时序动态"学得滚瓜烂熟------它天生就是一个现成的、通用的"正常"模型。于是异常检测最自然的一条路呼之欲出：
让大模型 zero-shot 预测这条序列"本该是什么样"，实际值偏离预测越远，就越异常。
这不就是第 10 篇的"预测残差法"吗？只不过那个预测器要你自己训，现在换成了一个不用训、开箱即用的大模型。封面画的就是这幅图：大模型给出一条"预期正常"的走廊，实际值老实待在走廊里就正常，冷不丁窜出去就是异常。
二、两条 zero-shot 路线
路线一：预测-比对（最主流）。 直接复用成熟的预测大模型（Chronos、TimesFM、Moirai）：用它 zero-shot 预测下一步（或一段），预测和实际的残差 当异常分数。好处是直接白嫖预测领域已经很成熟的大模型，无缝迁移。
路线二：概率/似然打分。 有些大模型能给出"这个观测有多出人意料"的概率------似然越低，越异常（呼应第 11 篇生成派的"低概率即异常"）。
补一句行业现状：专门为异常检测预训练 的基础模型还比较年轻、仍在快速发展；而预测大模型已经很成熟，所以"预测-比对"这条路目前最实用、最省事。
为什么 zero-shot 能work？ 和预测系列同一个道理：时序的"正常语法"是跨领域通用的 ------趋势、周期、平滑动态、均值回归，在电力、流量、温度里长得都差不多。大模型见得足够多，就把"正常该怎么演化"内化成了本能。面对你没见过的新序列，它其实是在做"这种走势接下来通常怎么走"的模式匹配，一旦实际走势打破了这种普适的正常，残差就冒出来了。
三、用起来有多简单
以预测-比对为例，没有训练这一步 ，加载完直接滑动打分（以 Chronos 为例，示意，实跑请 pip install chronos-forecasting）：
python
import numpy as np, torch
from chronos import ChronosPipeline
pipe = ChronosPipeline.from_pretrained("amazon/chronos-t5-small", device_map="cpu")
def zeroshot_scores(series, ctx_len=256):
"""zero-shot 异常分数：用过去 ctx_len 步预测下一步，残差=异常分。无需任何训练。"""
s = np.asarray(series, dtype=float)
scores = np.zeros(len(s))
for t in range(ctx_len, len(s)):
ctx = torch.tensor(s[t - ctx_len:t])
fc = pipe.predict(ctx, prediction_length=1) # 预测下一步（采样若干条）
pred = np.median(fc[0].numpy()) # 取中位数当"预期正常"
scores[t] = abs(s[t] - pred) # 偏离预期 = 异常分数
return scores
# 提示：逐点预测偏慢，生产中会批量/并行；这里为讲清思路用最直白的写法对一个全新的、从没训练过的序列，几行就得到了异常分数。冷启动场景的吸引力可想而知------新上线的服务，一天历史都没有，传统方法根本没数据可训，而大模型张口就来。
四、泼盆冷水（比预测那盆更凉）
zero-shot 很酷，但作为技术人，别被 demo 冲昏头。异常检测这边的冷水，比预测还凉几分：
- 未必更准 ：在特定 数据集上，一个专门训练的简单模型（隔离森林、调好的自编码器，甚至第 3 篇的移动窗口 3σ）常常打得过 zero-shot 大模型。大模型赢在"通用、免设置"，不一定赢在"你这条流"。
- 成本压在最痛的地方 ：异常检测的主战场是监控 ------成千上万条流、7×24 实时。而大模型大、慢、要下权重 ，恰恰最不适合这种高并发、低延迟、持续运行的场景。预测偶尔跑一次无所谓，监控可是永不停机，这盆冷水因此更凉。
- 上下文污染 ：如果你喂给它的历史窗口里已经包含了异常，大模型可能"顺着"这个异常预测，把异常当成新常态，于是漏报。
- 它的"正常"未必是你的正常：预训练数据里若混过异常、或你的正常本身很小众，大模型的"预期正常"就会偏。
- 评估的老坑还在 ：point-adjust 那套注水问题，在 zero-shot 的 benchmark 上一样适用------别只看漂亮数字（第 2 篇的警钟，最后再响一次）。
它的甜点场景很明确 ：冷启动 （新系统、新指标，没历史可训）、海量异构序列 要一个模型统一兜底、快速原型 、少样本。这些地方它真香。
结论 （和预测系列一字不差的态度）：时序大模型做异常检测是激动人心的方向，但不是万能药。 在很多有充足历史、要低延迟高并发的监控场景里，一个调好的传统模型仍然更准、更快、更省。把它当工具箱里新增的一件利器，而不是替换掉整个工具箱。
小结
- 新范式：预训练一次，对新序列 zero-shot 检测异常，无需训练，天然适配冷启动。
- 最主流的路是预测-比对 ：复用成熟预测大模型（Chronos/TimesFM/Moirai），预测残差 = 异常分数 ------就是第 10 篇预测残差法的"免训练版"；另一路是低似然即异常。
- 能work的根源：时序的"正常语法"跨领域通用，大模型见得多、内化成了本能。
- 冷水（比预测更凉）：特定数据未必更准 、大而慢最不适合高并发实时监控 、上下文含异常会漏报、评估注水的老坑仍在。
- 甜点：冷启动、海量异构、快速原型、少样本。
到这里，从 3σ 到大模型，16 篇里的模型版图 终于铺满。但你有没有发现------前面所有方法，吐出来的都只是一个"异常分数"，而不是"要不要报警" 。从分数到告警的这最后一步，恰恰决定了系统能不能真正上线。下一篇，我们讲这门最工程、也最被忽视的手艺 ------阈值的艺术。
思考题：预测-比对法把"大模型预测残差"当异常分数。可如果你的序列里，异常持续了很长一段（不是一个点），当这段异常慢慢进入大模型的上下文窗口后，会发生什么？它还报得出来吗？（提示：上下文污染。）
模型篇到此收官。下一篇讲那门最被低估的手艺------如何把"异常分数"变成"报不报警"，让你的检测器真正能上线。