4、特征工程：时间窗口特征、统计特征、频域特征、特征选择方法
特征工程这章，说实话，是智能运维模型能不能落地的分水岭。我见过太多团队，算法选得再好，数据喂进去乱七八糟，结果就是模型在训练集上自嗨，一上线就崩。说白了，特征工程就是把原始数据里的“信号”提炼出来，把“噪声”过滤掉。咱们运维场景下的数据，大多是时间序列，所以这章我重点讲时间窗口、统计、频域这三类特征，最后聊聊怎么挑出真正有用的特征。
4.1 时间窗口特征：捕捉局部模式
时间窗口特征，说白了就是看“最近一段时间”发生了什么。比如CPU在过去5分钟的平均利用率，或者过去1小时的峰值。这类特征能帮模型感知到短期的趋势变化。
核心思路：滑动窗口。窗口大小怎么定？我个人的习惯是先看业务周期。比如监控系统每1分钟采集一次数据，那窗口可以设成5、15、60分钟。太小了噪声多，太大了又平滑掉异常。
常见的时间窗口特征：
- 滑动平均值：比如过去10分钟的CPU平均利用率。能平滑掉瞬时抖动。
- 滑动最大值/最小值：捕捉窗口内的极端值。比如过去1小时内的最大内存使用率。
- 滑动标准差：衡量窗口内的波动程度。波动突然变大，往往是异常的前兆。
- 滑动变化率：当前值相比窗口起始值的变化百分比。能反映趋势。
嗯，这里要注意：窗口特征的计算，在实时推理场景下会有延迟。你想想看，如果窗口是1小时，那模型至少要等1小时才能拿到这个特征。所以线上部署时，我建议用“截至当前时刻”的窗口，而不是“未来时刻”。
# 伪代码示例：计算滑动窗口特征
def compute_window_features(series, window_size=10):
features = {}
features['mean'] = series.rolling(window=window_size).mean()
features['max'] = series.rolling(window=window_size).max()
features['std'] = series.rolling(window=window_size).std()
features['rate'] = (series - series.shift(window_size)) / series.shift(window_size)
return features
4.2 统计特征：全局分布的画像
统计特征，是对整个时间序列或者某个时间段的“画像”。比如均值、中位数、分位数、偏度、峰度。这些特征能帮模型理解数据的整体分布形态。
我在项目中遇到过一个问题：某次磁盘IO的监控数据，均值看起来很正常，但实际已经频繁出现短时尖刺了。后来我加了“99分位数”这个特征，模型才真正捕捉到问题。所以，均值有时候会骗人，分位数才是硬道理。
| 统计特征 | 含义 | 运维场景示例 |
|---|---|---|
| 均值 | 中心趋势 | 平均响应时间 |
| 中位数 | 抗噪的中心趋势 | 排除异常后的平均延迟 |
| 标准差 | 离散程度 | 请求延迟的波动性 |
| 偏度 | 分布对称性 | 判断是否有长尾延迟 |
| 峰度 | 分布尖峭程度 | 检测是否有极端值聚集 |
我的经验：统计特征不要只算全局的，要分时段算。比如白天和晚上的统计特征分开，因为业务负载不同。我曾经把全天数据混在一起算，结果模型在凌晨误报了一堆告警，因为凌晨的“低负载”被模型当成了异常。
4.3 频域特征：发现周期性规律
频域特征，很多人觉得玄乎，其实说白了就是把时间序列从“时间轴”映射到“频率轴”。比如，你的CPU利用率是不是每天中午12点准时飙升？这就是一个周期为24小时的信号。频域分析能帮你把这些周期找出来。
常用的工具是傅里叶变换（FFT）。我建议重点关注几个频域特征：
- 主频分量：能量最大的频率，对应最明显的周期。比如24小时、7天。
- 频谱能量：某个频段的总能量。比如高频段能量突然增加，可能意味着系统出现了抖动。
- 频谱熵：衡量频谱的混乱程度。熵值高，说明信号没有明显周期，可能是随机噪声。
为什么会这样？因为很多运维指标都有周期性。比如电商网站的流量，白天高、晚上低。如果你不做频域分析，模型可能把“晚上流量低”当成异常，那就尴尬了。
# 伪代码示例：提取频域特征
import numpy as np
from scipy.fft import fft
def compute_freq_features(series, sample_rate=1/60): # 假设每分钟一个点
n = len(series)
fft_vals = fft(series)
freqs = np.fft.fftfreq(n, d=sample_rate)
# 只取正频率
pos_mask = freqs > 0
freqs = freqs[pos_mask]
magnitudes = np.abs(fft_vals[pos_mask])
# 主频
dominant_freq = freqs[np.argmax(magnitudes)]
# 频谱能量（低频段 0-0.01 Hz）
low_freq_energy = np.sum(magnitudes[freqs < 0.01])
# 频谱熵
prob = magnitudes / np.sum(magnitudes)
spectral_entropy = -np.sum(prob * np.log(prob + 1e-10))
return {'dominant_freq': dominant_freq,
'low_freq_energy': low_freq_energy,
'spectral_entropy': spectral_entropy}
避坑指南：我曾经在计算频域特征时，忘了做去趋势处理。结果低频分量被趋势项严重干扰，主频分析完全失效。所以，做FFT之前，一定要先对序列做差分或减去线性趋势。
4.4 特征选择方法：去粗取精
特征造了一大堆，但并不是每个都有用。冗余特征会拖慢训练速度，还会导致过拟合。特征选择，就是帮你从一堆特征里挑出“真金”。
我个人习惯用三种方法，按顺序来：
- 过滤法：先快速筛掉明显没用的特征。比如方差接近0的（所有值都一样），或者缺失率超过80%的。还有相关性太高的两个特征，留一个就行。
- 包裹法：用模型来评估特征组合的效果。比如递归特征消除（RFE），每次去掉一个最不重要的特征，看模型效果变化。这个方法计算量大，但效果好。
- 嵌入法：用带正则化的模型（如Lasso、树模型）直接输出特征重要性。我常用XGBoost的feature_importances_属性，一目了然。
| 方法 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 过滤法 | 速度快，独立于模型 | 不考虑特征交互 | 特征数量极大时（如>1000） |
| 包裹法 | 考虑特征组合，效果好 | 计算开销大 | 特征数量较少时（如<50） |
| 嵌入法 | 平衡速度和效果 | 依赖模型选择 | 大多数场景，推荐首选 |
我的建议：别一上来就用包裹法，太慢了。先用过滤法把特征数量降到100以内，再用嵌入法挑出Top 20。如果业务要求极致精度，再对Top 20用包裹法做精细调优。这套流程我在多个项目里验证过，效率很高。
4.5 本章知识体系
下面这张图，是我梳理的特征工程核心逻辑。从原始时序数据出发，经过三类特征提取，再通过特征选择，最终得到高质量的特征集。你想想看，每一步都踩实了，模型效果自然差不了。
好了，特征工程这部分就聊到这儿。记住一句话：特征决定了模型效果的上限，算法只是逼近这个上限。把时间花在特征上，永远不亏。