Как объяснить сработку детектора: что показать дежурному вместе с алертом?

Алерт без объяснения — это просьба к дежурному провести расследование с нуля, и через месяц такие алерты закрывают не читая. Минимальный набор, который делает сработку разбираемой: что именно отклонилось — два-три признака с наибольшим вкладом в скор; насколько — фактическое значение против ожидаемого с интервалом; на каком фоне — график метрики за период, где виден и обычный ритм, и текущая точка; что похожего было раньше — ссылки на прошлые срабатывания с тем же профилем и их вердикты. Технически вклад признаков получают по-разному: у Isolation Forest — через глубину изоляции по признакам или SHAP для деревьев, у автоэнкодера — через покомпонентную ошибку реконструкции, у Mahalanobis — через вклад каждой координаты в квадратичную форму. Отдельно полезен контрфакт: «при значении признака ниже 4200 сработки бы не было» — такая формулировка сокращает разбор в разы.