模型先学习什么叫常见
异常检测通常从历史资料建立基线，再判断新样本偏离程度。若历史资料只覆盖夜间或单一设备，模型面对白天团队任务时可能频繁误报。
训练与评估资料必须包含平台真实使用场景，并说明未覆盖的地区、系统和任务类型。
异常分数不是故障结论
高分表示样本与基线不同，不负责解释原因。系统升级、新成员加入或大型资料导入都可能形成合理变化。
提醒页面应同时展示时间、影响对象和相关事件，让使用者能判断是否需要行动。
漏报和误报的成本不同
过度敏感会让用户忽略提醒，过度宽松则可能错过持续问题。阈值应根据任务风险调整，而不是全站只用一个数字。
账号安全、资料完整性与普通性能波动可以采用不同的确认流程。重要事件还需要人工复核。
资料质量决定模型上限
时间戳错误、重复事件、设备离线和版本字段缺失，会让模型把采集问题当成用户行为。
部署模型前先检查资料产生过程，并持续监控输入分布。模型无法自动修复没有记录下来的事实。
解释应指向可验证行动
“检测到异常”不足以帮助用户。有效提醒应说明受影响设备、开始时间、可能关联的任务，以及可以先核对的状态。
如果系统无法解释原因，就应明确保留不确定性，而不是用确定语气替代证据。
什么时候不应该依赖自动判断
样本太少、刚完成重大升级或业务场景突然改变时，历史基线可能暂时失效。
此时可降低自动处置范围，保留人工确认和回滚入口，等新资料积累后再重新校准。
AI Observation观察记录
设备日志与平台公告分别记录本地状态和服务状态，两者需要结合任务结果阅读。
正常基线出现“模型先学习什么叫常见”相关变化时，T+04的现场记录显示队列仍在推进，只是界面刷新较慢。以T+04这个时间点为界，更有价值的动作是同时保存设备时间和服务器时间，并把结果与任务是否完成放在一起判断。
短时波动出现“异常分数不是故障结论”相关变化时，T+08的现场记录显示任务在锁屏后暂停，回到前台才继续。以T+08这个时间点为界，更有价值的动作是查看最后活动时间和待处理数量，并把结果与任务是否完成放在一起判断。
持续偏移出现“漏报和误报的成本不同”相关变化时，T+12的现场记录显示小文件完成而大目录仍在扫描。以T+12这个时间点为界，更有价值的动作是核对服务器版本和接收端打开结果，并把结果与任务是否完成放在一起判断。
采样缺口出现“资料质量决定模型上限”相关变化时，T+16的现场记录显示另一台设备尚未收到最新版本。以T+16这个时间点为界，更有价值的动作是等待队列消化后再比较完成率，并把结果与任务是否完成放在一起判断。
版本变化出现“解释应指向可验证行动”相关变化时，T+20的现场记录显示网络切换后出现一次自动重试。以T+20这个时间点为界，更有价值的动作是比较两个候选版本的来源与修改内容，并把结果与任务是否完成放在一起判断。
权限变化出现“什么时候不应该依赖自动判断”相关变化时，T+24的现场记录显示权限提示没有出现，但目标目录保持只读。以T+24这个时间点为界，更有价值的动作是用相同目录中的代表性文件复查，并把结果与任务是否完成放在一起判断。
高峰时段出现“这一点”相关变化时，T+28的现场记录显示服务恢复后积压任务依次开始。以T+28这个时间点为界，更有价值的动作是重新确认目录授权与成员角色，并把结果与任务是否完成放在一起判断。
恢复阶段出现“这一点”相关变化时，T+32的现场记录显示本地时间与服务器记录存在偏差。以T+32这个时间点为界，更有价值的动作是检查电池、休眠与后台权限，并把结果与任务是否完成放在一起判断。
正常基线出现“这一点”相关变化时，T+36的现场记录显示应用能够打开，后台活动却已经停止。以T+36这个时间点为界，更有价值的动作是比较前台与锁屏后的任务变化，并把结果与任务是否完成放在一起判断。
短时波动出现“这一点”相关变化时，T+40的现场记录显示上传完成后仍出现一个版本冲突。以T+40这个时间点为界，更有价值的动作是保留网络切换发生的准确时间，并把结果与任务是否完成放在一起判断。
持续偏移出现“这一点”相关变化时，T+44的现场记录显示队列仍在推进，只是界面刷新较慢。以T+44这个时间点为界，更有价值的动作是同时保存设备时间和服务器时间，并把结果与任务是否完成放在一起判断。
采样缺口出现“这一点”相关变化时，T+48的现场记录显示任务在锁屏后暂停，回到前台才继续。以T+48这个时间点为界，更有价值的动作是查看最后活动时间和待处理数量，并把结果与任务是否完成放在一起判断。
版本变化出现“这一点”相关变化时，T+52的现场记录显示小文件完成而大目录仍在扫描。以T+52这个时间点为界，更有价值的动作是核对服务器版本和接收端打开结果，并把结果与任务是否完成放在一起判断。
权限变化出现“这一点”相关变化时，T+56的现场记录显示另一台设备尚未收到最新版本。以T+56这个时间点为界，更有价值的动作是等待队列消化后再比较完成率，并把结果与任务是否完成放在一起判断。
高峰时段出现“这一点”相关变化时，T+60的现场记录显示网络切换后出现一次自动重试。以T+60这个时间点为界，更有价值的动作是比较两个候选版本的来源与修改内容，并把结果与任务是否完成放在一起判断。
恢复阶段出现“这一点”相关变化时，T+64的现场记录显示权限提示没有出现，但目标目录保持只读。以T+64这个时间点为界，更有价值的动作是用相同目录中的代表性文件复查，并把结果与任务是否完成放在一起判断。
正常基线出现“这一点”相关变化时，T+68的现场记录显示服务恢复后积压任务依次开始。以T+68这个时间点为界，更有价值的动作是重新确认目录授权与成员角色，并把结果与任务是否完成放在一起判断。
短时波动出现“这一点”相关变化时，T+72的现场记录显示本地时间与服务器记录存在偏差。以T+72这个时间点为界，更有价值的动作是检查电池、休眠与后台权限，并把结果与任务是否完成放在一起判断。
持续偏移出现“这一点”相关变化时，T+76的现场记录显示应用能够打开，后台活动却已经停止。以T+76这个时间点为界，更有价值的动作是比较前台与锁屏后的任务变化，并把结果与任务是否完成放在一起判断。
采样缺口出现“这一点”相关变化时，T+80的现场记录显示上传完成后仍出现一个版本冲突。以T+80这个时间点为界，更有价值的动作是保留网络切换发生的准确时间，并把结果与任务是否完成放在一起判断。
版本变化出现“这一点”相关变化时，T+84的现场记录显示队列仍在推进，只是界面刷新较慢。以T+84这个时间点为界，更有价值的动作是同时保存设备时间和服务器时间，并把结果与任务是否完成放在一起判断。
版本升级后的基线需要重新建立；T+84的观察只适用于版本变化以及当时的设备版本。换到另一种系统、网络或权限后，应从T+84对应的原始记录重新核对，不用推测填补无法确认的原因。