半监督异常检测是一种机器学习方法，它结合少量标记数据和大量未标记数据来识别异常模式或离群点。与需要完全标记数据集（包括正常和异常示例）的监督方法或仅依赖未标记数据的无监督技术不同，半监督方法利用有限的标记数据来指导检测过程。这在实际场景中特别有用，因为在这些场景中获取标记的异常数据可能很困难、昂贵或耗时，但却可以获得一些标记的正常数据（或少数已知异常）。其目标是与纯粹的无监督方法相比提高检测准确性，同时避免完全监督方法对标记数据的苛刻要求。
一种常见的实现方法是使用标记的正常数据训练模型来理解系统的“正常”行为，然后将这种理解应用于未标记数据以检测偏差。例如，在网络安全中，可以利用标记的正常网络流量模式数据集来训练半监督模型。该模型学习正常活动的边界，例如典型的带宽使用或连接频率，并将偏差（例如，流量的突然激增）标记为潜在的异常。自编码器（autoencoders）等技术常用于此：自编码器可以重建输入数据并突出重建错误，擅长重建正常数据但难以重建异常数据，从而导致离群点具有较高的错误率。另一种方法是单类支持向量机（One-Class SVM），它在标记的正常数据周围定义决策边界，将此边界之外的任何内容都分类为异常。
半监督异常检测的优势包括实用性和效率。例如，在制造业中，系统可以使用来自正常运行机械的标记传感器数据来建立基线，然后监控未标记的传感器流以检测指示设备故障的偏差。然而，挑战也确实存在。如果标记数据未能代表所有正常场景（例如，用户行为的季节性变化），模型可能会产生误报。此外，标记数据的质量直接影响性能——精心整理的标记可能导致结果偏差。开发者应专注于确保标记数据具有代表性，并使用数据增强或主动学习等技术来缓解限制。Scikit-learn（用于单类 SVM）或 TensorFlow（用于自编码器实现）等库提供了易于使用的工具来试验这些方法。