如何定位Isolation Forest检出的单个异常值的最偏离特征

这个需求完全合理，是异常检测落地场景中非常普遍的根因定位诉求。全局特征重要性只能解释模型整体的决策偏好，而单条异常的高影响特征定位，是把异常检测结果落地到业务排查的必要环节，完全符合孤立森林的算法设计逻辑，不存在实现层面的原理冲突。

你可以从「贴合模型决策逻辑的贡献计算」和「基于统计偏离的校验补充」两个维度落地，前者匹配模型实际判断依据，后者匹配你提到的相对中位数/聚类中心偏离的需求：

• 基于孤立森林分裂路径的特征贡献计算（优先用这个方法，结果完全匹配模型的判定逻辑）
  孤立森林判定样本异常的核心规则是：异常样本会在树的更浅层被划分到独立叶子节点。对单条异常样本来说，某特征在它的全部分裂路径上被用作分裂规则的频次越高、对应分裂节点覆盖的样本量越少、分裂位置越浅，这个特征对该样本被判为异常的贡献就越高。
  你不需要手动遍历每棵树的结构，直接调用sklearn模型自带的decision_path接口就能拿到单样本在所有树上的分裂路径，核心实现代码参考：

  import numpy as np
  
  # 说明：iforest为训练完成的孤立森林模型，target_sample为待分析的单条异常样本，需保持和训练集一致的二维数组格式
  path_matrix, node_sample_counts = iforest.decision_path(target_sample)
  feature_contribution = np.zeros(iforest.n_features_in_)
  
  # 遍历所有孤立树，累加单样本路径上的特征贡献
  for tree_idx, base_tree in enumerate(iforest.estimators_):
      # 提取当前树中，目标样本经过的所有节点ID
      tree_node_start = tree_idx * base_tree.tree_.node_count
      tree_node_end = (tree_idx + 1) * base_tree.tree_.node_count
      passed_node_ids = path_matrix[:, tree_node_start:tree_node_end].indices
      # 遍历所有非叶子节点（叶子节点无分裂规则，跳过）
      for node_id in passed_node_ids[:-1]:
          split_feature = base_tree.tree_.feature[node_id]
          # 权重规则：节点覆盖样本量越少，该次分裂对异常判定的贡献越高
          split_weight = 1 / (base_tree.tree_.n_node_samples[node_id] + 1)
          feature_contribution[split_feature] += split_weight
  
  # 归一化得到每个特征的贡献占比，取最大值对应的特征即为影响最高的特征
  feature_contribution = feature_contribution / feature_contribution.sum()
  top_impact_feature = np.argmax(feature_contribution)
  

• 基于统计偏离度的补充校验
  这个方法用来交叉验证上述模型计算结果的业务合理性，避免单棵树的随机分裂带来的偏差，也完全匹配你提到的和中位数、均值、聚类中心对比的需求：
  1. 优先使用所有正常样本（即模型标记为1的样本）的中位数、中位数绝对偏差（MAD）做稳健Z-score计算，不要直接用全量样本的均值、标准差——全量样本里混的异常值会拉偏均值和标准差，导致偏离度计算失真
  2. 计算目标异常样本每个特征的Z-score绝对值，数值越大说明该特征相对正常群体的偏离越高
  3. 如果要对比聚类中心，可以先对正常样本做KMeans聚类，找到离目标异常样本最近的正常簇中心，计算样本到中心每个特征维度的相对距离，排序得到偏离最高的特征

实操提示：如果两种方法得到的Top1特征一致，基本可以直接定位为该异常的核心根因特征；如果结果不一致，优先看模型路径计算的结果，再结合统计偏离度看是否存在多个特征共同导致异常的情况。

内容的提问来源于stack exchange，提问作者Turrini Marco