接入清洗服务时，基线设得过低，正常突发可能被误判；设得过高，异常流量又不易识别。高防清洗服务接入前的正常流量基线测算，重点不是挑一个历史最高值，而是核实数据来源、业务周期和峰值成因。下面这八项可逐一检查。
先把数据口径对齐
1. 确认统计边界与采集位置
明确统计的是单个公网地址、业务集群还是整个出口，并确认计数器位于清洗前还是清洗后。路由器接口计数、主机监控与应用日志观察的边界不同，不能直接拼成一条曲线。记录入口、出口及计量单位，避免把双向流量重复相加。
2. 同时核对 bps、pps 与连接数
bps反映带宽占用，pps反映每秒数据包数量，并发连接数反映同时维持的会话规模。小包可能造成pps较高而带宽不大；大文件传输则可能带宽高、连接数不多。逐项与服务商的计量口径对应，不要只用带宽峰值代表全部负载。
3. 选择能覆盖业务周期的时间窗
先取连续两至四周的记录作为初步样本，并核对是否包含工作日、周末和已知业务周期；若有月度结算或定期发布任务，应补看相应日期。优先保留一分钟级数据观察短时波动，同时用五分钟或更长窗口检查持续趋势。采样过粗会抹平短峰，采样过细则更容易受瞬时噪声影响。
再判断峰值是否属于正常业务
4. 区分日常水平、常见高位与极端点
不要把单个最大值直接当作常态基线。分别统计中位数、95分位数和最大值：中位数代表典型水平，95分位数便于观察较常见的高位，最大值用于追查特殊事件。分位数不能替代业务判断，尤其要检查高位持续时间及出现频率。
5. 给每次明显尖峰找到时间和原因
将峰值时间与发布记录、促销或公告、定时任务、监控告警对照。以一次正常版本发布为例，若请求量随发布开始上升、结束后回落，且请求路径与业务日志吻合，可单独标记为发布峰，而不是直接剔除。无法解释的尖峰应保留并继续核查，不要未经验证地纳入或删除。
6. 分开统计协议、端口和业务对象
HTTPS、DNS等流量的正常模式可能不同；若多个业务共用公网入口，应在日志或流量监控允许的范围内拆分对象、协议与端口。基线既要有总体值，也要保留关键业务的分项值，否则某个高流量服务可能掩盖其他服务的异常变化。
把结果变成可复核的接入参数
7. 排除污染数据，但保留证据
检查扫描、已确认的攻击、监控缺口和重复计数。被确认的异常时段可从正常样本中分开，但需记录判断依据、起止时间与处理方式；数据中断则应标注缺失，不能把缺失区间当作零流量。清洗前后数据也要分开保存，避免把已经过滤后的流量误作原始需求。
8. 复核阈值、余量与后续调整方式
整理出典型值、常见高位、已解释的正常峰值，以及bps、pps和连接数的单位。若需预留余量，应根据观察到的正常峰值、业务增长计划和服务商阈值配置方式确定，不套用一个固定百分比。约定接入后的复核周期；若告警反复落在已确认的正常时段，再复查采样口径和业务变化。
实际操作可按顺序完成：一导出统一边界的监控数据；二补齐业务日历与事件记录；三计算中位数、95分位数和最大值；四核查异常点并按协议、业务拆分；五与清洗服务的计量口径逐项确认。这样形成的高防清洗服务接入前的正常流量基线测算结果，才便于解释和后续调整。
常见问题
样本只有一周，可以先接入吗？
可以先用于初步评估，但覆盖不了完整周周期时，应标注局限，并在接入后继续补充样本。
基线是否等于清洗阈值？
不一定。基线描述正常流量，阈值还受服务商检测策略、业务余量和计量单位影响，应逐项确认。
历史最大值明显异常，应该删除吗？
先查明来源。确认是攻击或采集错误时，可从正常样本分开处理并留存记录；原因不明时不要直接删除。
什么时候需要重新测算？
业务入口、访问模式或流量监控口径明显变化后，应重新核对；平时也可按约定周期复查高位时段。
