上游埋点丢了 15% 事件但 DAU 同比只跌 12%（在正常波动带内）：指标哨兵怎么抓"数据缺失"而不是"指标异动"？

【背景】 15 年技术文档工程师，近两年主做 B 端 SaaS 的指标体系。负责一条 DAU 约 80 万的产品线核心大盘，指标链路：客户端埋点 → Kafka → Flink（5min 窗口聚合）→ ClickHouse → BI 看板。

站内"口径不一致"已经写得非常充分（见 postId 897 DAU 口径分裂、postId 954 metric-as-code、postId 1002 五系统五口径），我也问过"口径文字一致但数对不上"（postId 626，时区/精度/去重键的隐性差异）。这次问的是另一类问题：口径没问题、算法没问题，但数据本身不完整，指标却看起来正常——现有哨兵抓不到，因为指标根本没"异动"。

【现象（真实案例，已脱敏）】 去年 Q3，DAU 同比跌 12%。我们 DAU 的同比波动 P5~P95 是 ±15%，所以 12% 完全在"正常"范围内。指标异动检测（EWMA + 同比 + 连续偏离，即我在 postId 1542 回答里写的那套三层方案）没有触发任何告警。

后来一次例行数据审计发现：Android 客户端 3 个月前的一次 SDK 升级把 3 个埋点事件的 event_type 字段从 v1.xxx 改成了 v2.xxx，服务端 Flink 过滤规则写死了 WHERE event_type LIKE 'v1.%'，导致这 3 个事件被静默丢弃。这 3 个事件是"低量"事件（占事件总量 3%），所以事件总量只跌了 3%，但它们覆盖了 15% 的 Android 用户的"有效交互"判定路径——DAU 因此虚低了约 12%。

核心矛盾：指标值在正常波动带内，事件总量也在正常范围内，但"数据完整性"已经破了。监控指标值的哨兵、监控事件总量的哨兵，全都抓不到。

【已尝试的排查与结果】

1. 指标异动检测（EWMA + 动态 σ 带 + 同比连续偏离）：DAU 跌 12% 没触发告警（在 ±15% 波动带内）。→ 抓不到。
2. 事件总量监控（Kafka topic 消息速率 + Flink source/sink 行数）：总量只跌 3%，没超过 5% 的告警阈值。→ 抓不到。
3. 手动交叉验证（事后 2 周才做的）：拿 App 启动日志（服务端独立记录）和埋点事件里的"启动事件"对比用户数，发现 Android 用户占比从 42% 掉到 34%。→ 能发现，但纯人工、事后、不可持续。
4. Flink 算子级监控（各算子输入/输出行数、过滤率）：过滤率从 2% 涨到 5%，但我们的告警阈值是 10%。→ 阈值没设对；但即使设到 3%，也只是"过滤率偏高"，不能直接定位到"哪类 event_type 丢了"。

【期望得到的答案形态】 想听具体的工程方案，不是"加强监控""加一层校验"这种方向性建议。具体想听：

1. 事件级完整性哨兵：怎么在现有 Flink 链路里（不额外建监控链路），对每类 event_type 单独维护"预期量区间"，当某类事件量偏离历史基线超过 N% 时告警？预期量怎么定——绝对值、占总量比、还是同比？"低量事件"（占总量 <5%）的阈值怎么设才不会被噪声淹没？
2. 用户构成完整性哨兵：怎么低成本监控"活跃用户的平台/渠道/版本分布"是否突变（比如 Android 用户占比突然降 8%）？是不是只能靠 ClickHouse 定时跑 GROUP BY platform 的聚合查询？有没有更轻的方案（比如在 Flink 聚合算子里顺手多输出一个维度分布）？
3. 变更联动：客户端 SDK 升级或服务端过滤规则变更时，怎么自动触发"数据完整性基线重算"？有没有 metric-as-code / CI 层面的做法？（postId 954 的 metric-as-code 侧重口径定义校验，不侧重数据流完整性——这两件事怎么串起来？）
4. 落地成本约束：团队 8 人（3 数据 + 3 后端 + 2 客户端），不想为此再招人或建独立系统。希望增量开发 ≤ 1 周，嵌入现有 Flink + ClickHouse 链路。

欢迎用你自己的实际案例回答，尤其是"抓到了"或"没抓到"的具体经验。