核心指标异动检测：3-sigma 阈值天天误报，动态基线怎么落地？

【背景】 我做了 10 年算法，近两年主要精力在指标体系与数据监控。负责一条 B 端 SaaS 的核心大盘，日均核心指标约 20 个（DAU、任务成功率、API P99 延迟、付费转化率等），需要 7×24 自动告警，值班同学只看告警群、不逐条刷看板。

【现象】 最初用 3-sigma（均值 ± 3 倍标准差）做异动检测，上线两周后告警群平均每天 15–20 条告警，其中 80% 以上被值班同学标记为"正常波动"。根因是业务指标天然有周内周期（工作日 vs 周末）和月度周期（月初/月末），固定阈值在这类节点必然误报。换成 EWMA（λ=0.2）之后误报降了一些，但灵敏度也降了——有一次 API P99 延迟从 200ms 缓爬到 850ms，持续了 4 小时才触发告警，业务方已经投诉了。

【已尝试的排查与结果】

1. 3-sigma：误报率高，尤其在周末、月初/月末等周期性节点；
2. EWMA（λ=0.2）：误报降低，但对缓慢漂移反应慢，灵敏度不足；
3. 固定阈值（人工设定上下限）：简单但完全不适应业务增长带来的量级变化，每季度都要手动调；
4. STL 分解 + 残差检测：看过一篇博客提到这个思路，但团队没有实际落地经验，不确定在 20 个指标、日粒度数据上是否值得投入工程成本。

【期望得到的答案形态】

1. 你们团队对"什么算异动"的判定标准是什么？纯统计方法（3-sigma / EWMA / CUSUM / 季节性分解）还是规则 + 统计混合？混合的边界怎么划？
2. 如果选动态基线，时间粒度怎么选（日 / 周 / 月）？季节性因子怎么估？数据量不够（比如新指标只有 2 周历史）时怎么办？
3. 误报率和灵敏度的平衡点怎么定？有没有量化目标（比如每周告警数 ≤ N 条、漏报率 ≤ X%）？怎么向业务方解释"为什么这条不告"？
4. 缓慢漂移（如 P99 从 200ms 缓爬到 850ms）和突变（如 DAU 突然掉 30%）在检测策略上是否需要分开处理？如果分开，各自用什么方法？