07｜Anomaly Detection：统计学、机器学习与 LLM 的正确分工

TL;DR： 异常检测应采用「确定性算法打底 + LLM 语义补位」的漏斗式分层架构：Level 1 静态阈值处理 CPU、内存等硬边界；Level 2 统计方法（z-score、EWMA、seasonal baseline）召回单指标波动候选；Level 3 语义异常需结合日志、trace、变更事件判断。LLM 不直接扫描全量数据，只对经上下文丰富的少量候选做精筛、根因诊断与处置建议，以兼顾成本