常见报警占比过高提示存在待整改的坏演员报警
别名: 坏演员报警 · chattering alarm · bad actor
概念解释
坏演员报警（bad-actor alarm）指的是极少数几个标签贡献了不成比例的报警到达总量，常见的成因是阈值抖动导致反复触发、状态判定逻辑没有正确匹配实际工况，或者设备本身长期存在没有解决的问题。这条只讨论如何识别和处理这一小撮高频报警，均值该怎么看、峰值窗口该怎么算、复核周期该怎么定，分别是同组另外三叶的内容。高集中度是一条值得调查的线索，但它本身并不能自动证明这条报警没用，需要先查清楚具体原因。
机制
重复出现的少数报警项目，一方面持续消耗操作员确认动作和界面上的列表空间，另一方面还会主导计算出来的总体报警率，让这个均值看起来比实际情况更糟。按贡献量做帕累托排序，是找到最大整改杠杆的最快方式——往往修好排名前几位的几个标签，就能大幅降低总体负荷。但在动手修之前必须先分清楚这几种表面相似、实际成因不同的情况：持续不消退的报警、在阈值附近反复进出触发的报警，以及同一个真实事件被多个源头分别上报造成的重复项，这几类各自需要不同的修复方式。
边界
高频出现有时候恰恰真实反映了一个反复出现的危险工况，这种情况下如果直接对这条报警做抑制或者屏蔽，反而会把过程本身存在的问题掩盖掉，让人误以为问题已经解决。另外，按标签名称去做聚合统计的时候，也可能把好几台不同的设备实例错误地当成了同一个来源，导致排出来的坏演员名单本身就是错的，需要先核实聚合口径是否正确。
怎么落地
按标签、具体资产、当前运行模式和触发形态这几个维度分别排出贡献量的名次，同时回去查看原始的时间序列数据和现场实际工况，而不是只看排行榜数字本身。针对死区设置不当、延迟时间不足、状态逻辑没有覆盖到的工况，或者设备本身的根因问题，分别采用相应的修复方式；整改完成之后要重新核对是否出现了新的漏报，也要重新看一下整体报警潮的结构有没有跟着改善。