时间序列异常检测常用“均值±N倍标准差”，MongoDB中需用$stdDevSamp（样本）或$stdDevPop（总体）配合$group计算；建议先$match过滤非数值/null值，按时间窗口（如小时）分组以避免全局漂移，并可用$setWindowFields实现滑动窗口统计或$percentile（7.0+）基于IQR提升非正态数据鲁棒性。
用 $stdDevPop 或 $stdDevSamp 计算标准差来识别偏离均值的点
时间序列异常检测最常用思路是“均值 ± N 倍标准差”，MongoDB 聚合中需先分组计算整体或滑动窗口内的统计量。注意：$stdDevPop 适用于全量数据（总体标准差），$stdDevSamp 更适合样本场景（如最近 100 条），但两者都要求字段为数值类型且非空。若字段含 null 或字符串，会直接被忽略——这容易导致标准差偏小，误判异常。建议在 $group 前加 $match 过滤掉非法值：
{
$match: { "value": { $type: "number" }, "value": { $ne: null } }
}
再用 $group 计算均值和标准差：
{
$group: {
_id: null,
avg: { $avg: "$value" },
std: { $stdDevSamp: "$value" }
}
}
按时间窗口分组做局部异常检测（避免全局漂移干扰）
全量统计对长期趋势或周期性变化敏感，比如服务器 CPU 使用率白天高、夜间低，全局标准差会拉大，漏掉夜间突增。更稳妥的是按小时/天分组，每组独立计算阈值。用 $dateTrunc（MongoDB 5.0+）对 timestamp 字段截断：
{
$set: {
window: { $dateTrunc: { date: "$timestamp", unit: "hour" } }
}
}
然后按 window 分组：
{
$group: {
_id: "$window",
avg: { $avg: "$value" },
std: { $stdDevSamp: "$value" },
data: { $push: "$$ROOT" }
}
}
后续用 $unwind + $addFields 标记每条原始记录是否超出 avg ± 2 * std。注意：窗口太小（如 5 分钟）会导致样本不足，$stdDevSamp 返回 null；建议单窗口至少有 10–20 个点。
用 $percentile 替代标准差处理非正态分布序列
IoT 传感器数据常有长尾或双峰分布，标准差法容易把高频正常值当异常。MongoDB 7.0+ 支持 $percentile，可直接用四分位距（IQR）：下界 = Q1 − 1.5×IQR，上界 = Q3 + 1.5×IQR。关键点：
-
$percentile必须配合$group使用，不能在$project中直接调用 - 输入必须是数组，所以得先
$push所有value，再用$percentile计算：
{
$group: {
_id: null,
values: { $push: "$value" },
count: { $sum: 1 }
}
},
{
$set: {
q1: { $percentile: { input: "$values", p: [0.25], method: "approximate" } },
q3: { $percentile: { input: "$values", p: [0.75], method: "approximate" } }
}
}
method: "approximate" 是必须项（精确模式仅限内存排序且不支持流式管道），且 p 必须是数组。
聚合结果里保留原始文档结构并标记异常
别只输出统计值，要让每条原始记录带一个 is_anomaly 字段。常见错误是分组后丢失细节，正确做法是：先 $group 得到统计量，再 $lookup 回源集合或用 $facet 并行处理。更轻量的方式是用 $setWindowFields（5.0+）——它能在不打乱顺序前提下计算滑动窗口统计：
{
$setWindowFields: {
sortBy: { timestamp: 1 },
output: {
window_avg: {
$average: "$value",
window: { documents: [-24, 0] } // 向前24条
},
window_std: {
$stdDevSamp: "$value",
window: { documents: [-24, 0] }
}
}
}
}
之后直接 $addFields 判断：
{
$addFields: {
is_anomaly: {
$or: [
{ $gt: ["$value", { $add: ["$window_avg", { $multiply: [2, "$window_std"] }] }] },
{ $lt: ["$value", { $subtract: ["$window_avg", { $multiply: [2, "$window_std"] }] }] }
]
}
}
}
注意：窗口大小需根据采样频率调整，1 分钟一采就别用 24 条——可能才过去 24 分钟，覆盖不了完整周期。
