防护平台接入前建立业务基准流量画像，关键不是记下一个“日均请求量”，而是留下可按时间、业务类型和数据来源复查的对照基线。这样，接入后遇到流量变化时，才能区分正常业务波动、计划任务和需要进一步核查的异常。
先划分时段，再确定采样范围
不要把全天数据压成一个平均值。先查看业务日历、发布安排和已有访问日志，按实际规律标出工作日、周末、节假日、促销或活动时段，以及批处理、报表生成等计划任务。对没有固定高峰的服务，也应分别观察日间、夜间和低活跃时段。
采样周期应覆盖完整的业务循环。对每周重复运行的业务，可先采集至少两个完整周，条件允许时延长至两至四周；遇到月末结算、季度任务或季节性活动，应另行标注，不能用普通工作日代替。聚合数据可按一分钟至五分钟记录一次，短时突发明显的服务则需保留更细粒度记录。具体间隔取决于现有日志能力和流量变化速度。
采哪些指标，才能描述真实业务
优先采用接入前已经可信的数据源，例如应用访问日志、负载均衡器统计和服务端监控。记录数据来源、时区、采样间隔、缺失时段及统计口径；若各系统时钟不同，先核对时间同步情况。画像至少覆盖以下几类信息：
- 流量规模：每个采样区间的请求数、连接数或传输字节数，并区分入站与出站口径。
- 请求构成：按路径或接口类别、请求方法、响应状态码汇总。对动态参数和用户标识先做归并或脱敏，避免高基数数据淹没规律。
- 服务表现：记录响应时间分布、错误率和超时情况。除了平均值，可同时保存中位数及较高分位值，便于发现少量慢请求被平均值掩盖的问题。
- 业务背景：为发布、批量导入、定时任务、活动开始等事件标注起止时间和负责人或记录来源，供后续核对。
用一套可重复步骤生成基线
- 选定范围：列出纳入画像的域名、服务或接口组，并注明排除项。范围发生变化时，另建版本，不直接覆盖旧数据。
- 建立时段标签：把工作日、周末、夜间和已知业务事件写入日历；避免仅凭流量曲线猜测业务原因。
- 统一统计口径：确认请求如何计数、错误率的分母是什么、响应时间从哪个环节开始计算。相同指标不要混用不同数据源。
- 采集并检查：按固定间隔汇总数据，检查日志缺口、重复记录、时间偏移和突发尖峰；异常点先保留并附注，不要为了得到平滑曲线而删除。
- 形成版本并复核：保存原始汇总、查询条件、时间范围和变更说明，由业务或运维人员核对计划任务及发布记录，再确认基线是否可用于比较。
让画像能解释变化，而不只是画图
报告可以按时段展示请求量、请求构成、错误率和响应时间分布，并同时给出常见范围与已知峰值。若某个定时导出任务每周固定时段造成短时上升，应把它标注为可解释的正常模式；如果峰值只出现一次且没有对应业务记录，则应保留为待核查事件，而不是直接写成新的常态。
基线也不是永久阈值。业务发布、接口改版、用户规模变化或新增计划任务后，应记录变更日期，并评估是否需要重新采样。防护平台接入前建立业务基准流量画像，最终交付的不只是图表，还应包含数据口径、采样窗口、业务标签和复核记录；这些材料能让接入后的告警判断有据可查。
常见问题
只有一周日志，可以先做基线吗？
可以作为临时参考，但应标明覆盖不足；它可能漏掉周末差异、月度任务或偶发活动，不能据此断言长期规律。
采样间隔越短越好吗？
不一定。间隔越短，越容易看到瞬时峰值，也会增加存储和分析负担。按业务突发速度与现有采集能力选择，并在报告中固定口径。
接入后流量变大，是否说明出现异常？
不能只凭总量判断。应对照同一业务时段、接口构成、计划任务和发布记录，再查看错误与响应表现，必要时回查原始日志。