单类SVM（One-Class SVM）专门解决只有一种类别数据时的分类问题。传统二分类SVM需要正负两类样本才能找到最大间隔超平面，而单类SVM假设训练集中几乎全部都是正常样本，目标是学习一个紧凑的决策边界，把绝大多数正常数据包裹在边界内部，边界之外的区域就视为异常区域。这个思想最早由Schölkopf等人提出，它把原点当作唯一的异常代表，所有正常样本都要尽量远离原点，从而在特征空间里形成一个半空间或者超球面形状的隔离区域。
单类SVM的优化目标可以写成：最小化权重向量的二范数，同时约束训练样本到原点的距离大于等于某个阈值减去松弛变量。用公式表示就是 minimize 1/2 ||w||² + 1/(νn) Σ ξᵢ - ρ，满足 w·φ(xᵢ) ≥ ρ - ξᵢ。这里的ν（nu）是一个非常重要的参数，取值范围在0到1之间，它给出了训练样本中被允许落在边界之外的比例上限，同时也是支持向量比例的下限。ρ相当于偏置项，决定了边界离原点有多远。通过拉格朗日对偶求解后，决策函数变为 f(x) = sign(Σ αᵢ K(xᵢ, x) - ρ)，其中αᵢ只对支持向量非零，K是核函数。
在实际应用中，线性核只能处理线性可分的正常数据分布，对于复杂的非线性结构，通常会使用RBF核（径向基函数核）。RBF核通过将数据映射到无限维空间，能够构造出非常灵活的封闭边界，特别适合异常检测中的不规则数据形状。不过RBF核引入了一个新的参数gamma，它控制单个样本的影响半径。gamma越大，决策边界越复杂，容易过拟合；gamma越小，边界越平滑，可能漏掉局部异常。理解原理之后，接下来用Python具体实现。
用scikit-learn构建单类SVM模型
Python生态中的scikit-learn库提供了现成的OneClassSVM类，封装了完整的训练和预测接口。使用前需要先安装scikit-learn，如果尚未安装可以执行pip install scikit-learn。下面的示例演示如何生成一组二维合成数据，其中大部分点聚集在中心附近，少量点分布在远离中心的位置，模拟异常检测场景。
import numpy as np
import matplotlib.pyplot as plt
from sklearn.svm import OneClassSVM
from sklearn.preprocessing import StandardScaler
# 生成正常数据：中心聚集的高斯分布
rng = np.random.RandomState(42)
X_normal = 0.3 * rng.randn(200, 2)
# 生成少量异常点：远离中心
X_outliers = rng.uniform(low=-4, high=4, size=(20, 2))
X_train = np.r_[X_normal, X_outliers[:5]] # 训练时只包含极少量异常
X_test = np.r_[X_normal, X_outliers]
# 标准化特征，消除量纲影响
scaler = StandardScaler()
X_train_scaled = scaler.fit_transform(X_train)
X_test_scaled = scaler.transform(X_test)
# 创建单类SVM模型，使用RBF核
model = OneClassSVM(kernel='rbf', gamma=0.1, nu=0.05)
model.fit(X_train_scaled)
# 预测测试集，返回1表示正常，-1表示异常
y_pred = model.predict(X_test_scaled)
# decision_function返回样本到决策边界的带符号距离
scores = model.decision_function(X_test_scaled)
print("预测结果分布:", np.unique(y_pred, return_counts=True))
print("异常样本数量:", (y_pred == -1).sum())
上面的代码首先生成200个服从正态分布的二维点作为正常数据，再生成20个均匀分布在[-4,4]区间的点作为异常候选。训练时只把前5个异常点混入正常数据，模拟实际中训练集存在少量污染的情况。StandardScaler用于将所有特征缩放到零均值和单位方差，这一步对于基于距离的SVM至关重要，否则某个数值范围很大的特征会主导决策边界。fit方法只在训练集上学习支持向量，predict对测试集返回类别标签，decision_function返回连续分数，分数越低表示越可能异常。
可通过绘制散点图直观观察分类效果。正常点用蓝色表示，预测为异常的点用红色表示，同时画出决策边界附近的等值线。由于单类SVM的decision_function在边界处值为0，大于0的区域是正常区域，小于0的区域是异常区域。通过设置nu=0.05，模型允许至多5%的训练样本落在边界外，因此在训练阶段被标记为异常的样本数量不会太多。以下代码继续上面的示例，把结果可视化出来。
# 创建网格用于绘制决策边界
xx, yy = np.meshgrid(np.linspace(-4.5, 4.5, 500), np.linspace(-4.5, 4.5, 500))
Z = model.decision_function(np.c_[xx.ravel(), yy.ravel()])
Z = Z.reshape(xx.shape)
plt.figure(figsize=(8, 6))
plt.contourf(xx, yy, Z, levels=np.linspace(Z.min(), 0, 7), cmap=plt.cm.Blues_r)
plt.contour(xx, yy, Z, levels=[0], linewidths=2, colors='green')
plt.scatter(X_test_scaled[y_pred == 1, 0], X_test_scaled[y_pred == 1, 1], c='blue', s=20, label='Normal')
plt.scatter(X_test_scaled[y_pred == -1, 0], X_test_scaled[y_pred == -1, 1], c='red', s=30, label='Anomaly')
plt.legend()
plt.title('One-Class SVM Decision Boundary')
plt.show()
这段绘图代码中，meshgrid生成覆盖全平面的网格点，decision_function计算每个网格点的分数，contourf画出蓝色深浅表示正常程度，contour在分数为0处画出绿色边界线。散点图展示了哪些测试点被判定为正常或异常。通过调整nu和gamma，可以看到边界形状和异常判定数量的变化。在实际项目中，数据维度往往远高于二维，无法直接可视化，此时需要依赖评估指标来量化模型性能。
关键参数调优与评估策略
单类SVM最敏感的两个参数是nu和gamma。nu控制训练集中可以被拒绝的正常样本比例上限，也就是模型对训练数据中噪声的容忍度。如果正常数据本身含有一些离群个体，nu可以设置得稍大一些，比如0.1；如果训练数据非常干净，nu可以设得很小，比如0.01。需要注意的是，nu同时也是支持向量比例的下界，设置过小会导致支持向量数量过少，模型过于简单；设置过大则会把太多正常样本当作异常，降低真正异常的检出率。一般建议从0.01到0.1之间尝试，并结合业务场景选择。
gamma是RBF核的参数，它决定了单个训练样本的影响范围。gamma越大，每个样本的影响半径越小，决策边界会变得更加曲折，容易将噪声和局部波动都包围进去，导致过拟合；gamma越小，边界越平滑，但可能无法捕捉复杂的数据结构。一个常用的经验值是设置gamma为1/n_features，即特征数量的倒数。对于高维数据，建议使用较小的gamma，配合交叉验证来搜索最佳值。除了手动调参，还可以使用GridSearchCV在参数网格上进行搜索，但需要自定义评分函数，因为单类SVM没有天然的监督标签，通常可以根据已知的少量异常样本计算F1分数，或者使用无监督的轮廓系数来评估边界质量。
评估单类SVM的检测效果时，如果手头恰好有少量已标注的异常样本，可以构造一个带标签的测试集，计算精确率、召回率和F1分数。使用sklearn.metrics中的classification_report可以快速得到这些指标，但要注意预测标签需要映射为0和1，因为OneClassSVM输出的是1和-1。通常把-1映射为1表示异常，1映射为0表示正常。在欺诈检测、故障预测等场景中，异常样本往往极度稀缺，此时召回率比精确率更重要，因为漏掉一个欺诈交易或设备故障的代价远高于误报。可以通过调整decision_function的阈值来平衡二者，例如不直接使用predict，而是根据分数设定自定义阈值，小于阈值的判定为异常。
特征工程对单类SVM的性能影响极大。由于算法基于距离或密度来区分正常与异常，输入特征的质量直接决定边界是否合理。对于数值型特征，标准化或归一化是必须的前置步骤；对于类别型特征，需要进行合适的编码，如独热编码或目标编码。对于时间序列数据，则要提取统计特征（均值、方差、峰值等）或频域特征，将原始时间窗口转化为固定长度的特征向量。此外，高维数据会遭遇维度灾难，导致距离度量失效，此时可以先用PCA、自编码器等方法降维，再输入单类SVM。实际部署时，还可以将单类SVM与孤立森林、局部异常因子等无监督算法进行集成，通过投票或加权方式提升鲁棒性。
实战中的边界阈值与在线检测
在离线训练完成后，模型会保存支持向量和决策函数参数，可用于在线实时检测。对于流式数据，每次收到一条新记录，先经过相同的预处理管道（包括标准化、特征提取等），然后调用decision_function计算异常分数。比起predict返回的离散标签，连续分数更适合设置动态告警阈值。一个常见的做法是使用训练集中正常样本分数的分布来设定阈值，比如取正常样本分数的第1百分位数作为阈值，当新样本的分数低于该值时触发告警。这样可以避免因为固定阈值不适应数据漂移而导致的误报或漏报。
模型上线后还需要定期更新。因为数据分布会随时间变化，静态的单类SVM可能逐渐失效。可以采用滑动窗口重训练策略，每隔固定时间或收集到一定量新正常样本后，重新训练模型，保持决策边界的时效性。在更新时要注意剔除已知的异常样本，避免污染训练集。对于高吞吐量的应用场景，可以考虑将模型序列化为文件，然后用轻量级推理服务加载，例如使用joblib或pickle保存模型对象。Python中保存OneClassSVM模型非常简单，代码如下。
import joblib
# 保存模型和标准化器
joblib.dump(model, 'one_class_svm.pkl')
joblib.dump(scaler, 'scaler.pkl')
# 加载模型进行预测
loaded_model = joblib.load('one_class_svm.pkl')
loaded_scaler = joblib.load('scaler.pkl')
new_sample = np.array([[0.5, -0.2]])
new_sample_scaled = loaded_scaler.transform(new_sample)
score = loaded_model.decision_function(new_sample_scaled)
print("异常分数:", score[0])
通过这种方式，训练环境和生产环境可以分离，模型推理延迟通常很低，适合毫秒级响应场景。不过需要注意，单类SVM在训练样本量很大时，求解对偶问题的复杂度较高，可能不适合百万级以上的数据。此时可以采样一部分正常数据进行训练，或者使用近似算法如随机傅里叶特征近似RBF核。对于大规模在线异常检测，还可以考虑使用SGDOneClassSVM，它基于随机梯度下降，支持增量学习，但参数调优更加复杂。总之，单类SVM是一个强大的基础工具，掌握其原理和Python实现后，能够灵活应对多种异常检测任务。