📖 AI 总结

本文介绍了一种名为 RankShift 的数据库内检测方法，用于识别分类分布中的异常变化。其核心动机在于：某些异常事件（如某来源的失败登录占比从 2% 升至 30%）不会改变事件总量，却会显著改变类别构成，传统基于事件计数的监控对此类变化不敏感。RankShift 直接在分析型数据库内运行，通过比较每个时间窗口的类别份额与良性参考数据，利用皮尔逊分数定位导致变化的具体类别，并同时输出校准后的告警和主要贡献项。在 HDFS、BGL 和 Thunderbird 三个数据集上的评估显示，其性能与复杂的计数向量自编码器相当甚至更优（如 Thunderbird 上 AUROC 达 0.983 对比 0.949），且误报率可控。该方法无需模型训练或独立推理服务，部署体积比自编码器小 137 倍，为日志异常检测提供了更轻量且可解释的替代方案。

🔑 关键词速览