การตรวจจับความผิดปกติเพื่อปกป้องบอทเทรด: จาก Z-Score ถึง Transformer

ใครก็ตามที่เคยรันบอทเทรดบนตลาดคริปโตรู้ดีถึงความรู้สึกนั้น: บอททำงานได้อย่างสมบูรณ์แบบมาหนึ่งสัปดาห์ แล้วก็กวาดกำไรทั้งสัปดาห์หายไปภายใน 30 วินาที ด้วย flash crash บนตลาดหนึ่ง กำแพงปลอมใน order book การล้างบัญชี liquidation แบบต่อเนื่อง หรือตลาดแลกเปลี่ยนส่งข้อมูลขยะกลับมาแทนข้อมูลที่ถูกต้อง

ทุกสถานการณ์เหล่านี้มีสิ่งหนึ่งที่เหมือนกัน — นั่นคือความผิดปกติ (anomalies) และหากบอทของคุณไม่สามารถจดจำสิ่งเหล่านี้ได้ ไม่ช้าก็เร็วมันจะกลายเป็นเหยื่อของสิ่งเหล่านั้น

อะไรนับว่าเป็นความผิดปกติในการเทรดคริปโต

ก่อนที่จะไล่ตามความผิดปกติ เราต้องตกลงกันก่อนว่ากำลังมองหาอะไร Machine learning แบ่งออกเป็นสามประเภท และทั้งสามประเภทเกิดขึ้นในตลาดคริปโตทุกวัน

ความผิดปกติแบบจุด (Point anomalies) — เหตุการณ์เดี่ยวที่เบี่ยงเบนอย่างรุนแรงจากบรรทัดฐาน แท่งเทียนที่มีปริมาณสูงกว่าค่าเฉลี่ย 50 เท่า ส่วนต่าง bid-ask ของ BTC/USDT บน Binance พุ่งสูงถึง 0.5% สำหรับบอท market-making แต่ละเหตุการณ์เช่นนี้คือกับดักที่อาจเกิดขึ้น: การเข้าสู่ตำแหน่งที่ราคาปลอม หรือเผชิญกับ slippage ที่กินมาร์จินทั้งหมด

ความผิดปกติแบบกลุ่ม (Collective anomalies) — ชุดของเหตุการณ์ที่ดูปกติทีละอย่าง แต่เมื่อรวมกันแล้วส่งสัญญาณถึงปัญหา ตัวอย่างคลาสสิกคือ spoofing: ใครบางคนวางและยกเลิก limit order ขนาดใหญ่ซ้ำๆ เป็นเวลาหลายนาที แต่ละ order ที่วางเป็นเรื่องธรรมดา แต่รูปแบบ "วาง-ยกเลิก-วาง-ยกเลิก" ที่มีอัตราส่วน order-to-trade 100:1 คือการบิดเบือนตลาด — และบอทที่พึ่งพาความลึกของ order book จะเทรดโดยอาศัยสภาพคล่องที่ไม่มีอยู่จริง

ความผิดปกติตามบริบท (Contextual anomalies) — ค่าปกติในบริบทที่ผิด ปริมาณการเทรด Bitcoin ที่ปกติสำหรับ session ลอนดอน แต่สังเกตพบตอนตี 3 UTC ในวันอาทิตย์ หากไม่พิจารณาบริบท ความผิดปกติเช่นนี้จะมองไม่เห็น — และนี่คือสิ่งที่มักผ่านตัวตรวจจับพื้นฐานไปได้บ่อยที่สุด

การแสดงภาพสามประเภทหลักของความผิดปกติในข้อมูลการเทรด: ยอดแหลมแบบจุด รูปแบบกลุ่ม และการเบี่ยงเบนตามบริบท

เสียงรบกวนเทียบกับความผิดปกติ: ปัญหาของบริบท

ความผิดปกติไม่ใช่แค่ "ข้อมูลที่แปลก" มันคือการเบี่ยงเบนที่มีข้อมูลสำคัญ สิ่งสำคัญคือต้องแยกแยะ:

• เสียงรบกวน (Noise): ความผันผวนแบบสุ่มที่เป็นส่วนหนึ่งของระบอบตลาดปกติ
• การเลื่อน (Drift): การเปลี่ยนแปลงอย่างค่อยเป็นค่อยไปในสภาวะตลาด (เช่น การเปลี่ยนผ่านจากช่วงกลางคืนที่ความผันผวนต่ำไปสู่ช่วงเช้าที่คึกคัก)
• ความผิดปกติ (Anomaly): การละเมิดรูปแบบที่คาดหวังอย่างกะทันหัน

การกำหนดความแตกต่างระหว่างเสียงรบกวนที่ไม่เป็นอันตราย การเลื่อนที่ต่อเนื่อง และความผิดปกติที่อันตราย เป็นความท้าทายสำคัญของตัวตรวจจับทุกชนิด

วิธีการพื้นฐานที่แก้ปัญหาได้ 80%

ไม่จำเป็นต้องแก้ทุกอย่างด้วย neural networks ตัวตรวจจับพื้นฐานสามตัวก็เพียงพอสำหรับบอทเทรดส่วนใหญ่

Z-Score: ตัวกรองสุดขีดที่รวดเร็ว

Z-Score แสดงให้เห็นว่าค่าปัจจุบันเบี่ยงเบนจากค่าเฉลี่ยแบบ rolling กี่ส่วนเบี่ยงเบนมาตรฐาน คำนวณได้ในระดับไมโครวินาที และใช้ได้กับทุก timeframe

เราใช้มันสำหรับสามงาน: การกรองปริมาณที่ผิดปกติ (Z-Score > 3 — สัญญาณให้ขยาย spread หรือหยุดการ quoting), การตรวจสอบ spread (การขยาย bid-ask ที่ผิดปกติมักเกิดขึ้นก่อนการเคลื่อนไหวรุนแรง) และ อัตรา funding ของ futures (ค่าสุดขีดเตือนถึงการล้างบัญชีแบบต่อเนื่องที่น่าจะเกิดขึ้น)

Z-Score ระบุเหตุการณ์สุดขีดโดยการวัดว่าจุดหนึ่งอยู่ห่างจากค่าเฉลี่ยกี่ส่วนเบี่ยงเบนมาตรฐาน ค่าที่เกิน ±3σ ถือเป็น outlier ในระบบเทรดส่วนใหญ่

ข้อจำกัดสำคัญ: ตลาดคริปโตมีการแจกแจงแบบ fat-tailed เหตุการณ์ที่ตามการแจกแจงปกติควรเกิดขึ้นหนึ่งครั้งในล้านปี (6σ) เกิดขึ้นรายเดือนในคริปโต ดังนั้น Z-Score คือตัวกรองความผิดปกติแบบหยาบ ไม่ใช่คำตัดสินขั้นสุดท้าย

Level Shift Detector: เมื่อตลาดเปลี่ยนระบอบ

เราใช้สอง rolling window ต่อเนื่องกันและเปรียบเทียบค่าเฉลี่ย หากความแตกต่างเกินเกณฑ์ — แสดงว่ามีการเปลี่ยนระดับเกิดขึ้น กลยุทธ์ market-making ทำกำไรในตลาดที่เสถียรและขาดทุนในช่วงการเคลื่อนไหวรุนแรง Level Shift Detector บน volume และ volatility เตือนถึงการเปลี่ยนระบอบหลายนาทีก่อนที่มันจะชัดเจนใน price

เราใช้มันกับหลายตัวชี้วัดพร้อมกัน: ขนาดการเทรดเฉลี่ย ความลึกของ order book ที่ 5 ระดับแรก จำนวนการเทรดต่อหน่วยเวลา หาก Level Shift เกิดขึ้นในอย่างน้อยสองตัวชี้วัด — บอทจะเปลี่ยนไปโหมดป้องกัน

Volatility Shift Detector: รับรู้พายุที่กำลังมา

วิธีการที่คล้ายกัน แต่เปรียบเทียบส่วนเบี่ยงเบนมาตรฐานแทนค่าเฉลี่ย การเพิ่มขึ้นอย่างรวดเร็วของความผันผวนคือสัญญาณให้พิจารณาพารามิเตอร์ใหม่ รูปแบบที่น่าสนใจ: ความผันผวน ต่ำ อย่างผิดปกติมักเกิดขึ้นก่อนการเคลื่อนไหวระเบิด Volatility Shift Detector จับทั้งสองกรณี — การบีบตัวและการขยายตัว

ตัวตรวจจับ Level Shift และ Volatility Shift เป็นกุญแจสำคัญในการระบุ 'การเปลี่ยนระบอบ' — การเปลี่ยนแปลงโครงสร้างตลาดอย่างกะทันหันที่ต้องการพารามิเตอร์การเทรดที่แตกต่างกัน

HBOS: การวิเคราะห์หลายมิติที่รวดเร็ว

เมื่อต้องการตรวจสอบตัวชี้วัดมากกว่า 10 ตัวพร้อมกันโดยไม่มีค่าใช้จ่ายของ ML ที่ซับซ้อน HBOS (Histogram-Based Outlier Selection) คือตัวเลือกที่ดีที่สุด มันถือว่าคุณสมบัติต่างๆ มีความเป็นอิสระและสร้าง histogram สำหรับแต่ละตัว คะแนนความผิดปกติคือผลคูณของความหนาแน่นผกผันทั่วทุก histogram

HBOS เร็วกว่าวิธีที่ใช้ระยะทางอย่าง LOF อย่างมีนัยสำคัญ ทำให้เหมาะสมกับการกรองความถี่สูงของเวกเตอร์สถานะหลายมิติ

Machine Learning: เมื่อสถิติไม่เพียงพอ

วิธีพื้นฐานทำงานกับตัวชี้วัดทีละตัว แต่ความผิดปกติที่แท้จริงมักแสดงออกเป็น ชุดผสม ที่ผิดปกติของตัวชี้วัด: volume ปกติ spread ปกติ แต่ volume + spread + อัตราการเปลี่ยนแปลงราคา + ความไม่สมดุลของ order book รวมกัน — ผิดปกติ นี่คือจุดที่ ML จำเป็น

ภาพรวมที่มีโครงสร้างของวิธีการตรวจจับความผิดปกติ: จากอัลกอริทึมแบบ unsupervised แบบคลาสสิกถึงสถาปัตยกรรม deep learning

Isolation Forest: สมดุลที่ดีที่สุดสำหรับ Production

ในบรรดาวิธีการตรวจจับความผิดปกติด้วย ML ทั้งหมด Isolation Forest เข้ากับระบบเทรดได้ดีที่สุด อัลกอริทึมสร้าง ensemble ของ decision trees ที่แบ่งพื้นที่คุณสมบัติแบบสุ่ม จุดที่ผิดปกติซึ่ง "หายากและแตกต่าง" จะถูกแยกออกมาด้วยจำนวนการแบ่งที่น้อยกว่า

ทำไมต้องใช้ Isolation Forest? มันไม่ต้องการข้อมูลที่มีป้ายกำกับ — การติดป้ายกำกับความผิดปกติในตลาดคริปโตเป็นไปได้ยากมากในทางปฏิบัติเนื่องจาก flash crash ทุกครั้งมีความเฉพาะตัว การ inference ที่รวดเร็วในหน่วยมิลลิวินาทีทำให้ใช้งานแบบ near-real-time ได้จริง และสำคัญอย่างยิ่งสำหรับ production: การทำนายสามารถอธิบายได้ผ่านค่า SHAP — คุณไม่เพียงแค่รู้ว่าช่วงเวลาหนึ่งผิดปกติ แต่ยัง เข้าใจว่าเพราะอะไร

บนข้อมูล Bitcoin Isolation Forest ตรวจพบไม่เพียงแค่ความผิดปกติที่ชัดเจนอย่างยอดความผันผวนเมื่อ Tesla ปฏิเสธการชำระเงินด้วย BTC ในปี 2021 แต่ยังรวมถึงความผิดปกติที่ละเอียดอ่อน — ช่วงเวลาที่การเคลื่อนไหวราคาไม่ได้รับการสนับสนุนจาก volume ซึ่งบ่งชี้ถึงการบิดเบือนจากภายนอก เมื่อวิเคราะห์ spoofing SHAP แสดงให้เห็นว่าตัวชี้วัดหลักคือการ quote order book ที่ไม่สมดุลและกิจกรรมการยกเลิกที่สูงอย่างผิดปกติ

อัลกอริทึม Isolation Forest ทำงานโดยการแบ่งพื้นที่แบบสุ่ม: outlier ถูกแยกออกด้วยจำนวนการแบ่งที่น้อยกว่าอย่างมีนัยสำคัญเมื่อเทียบกับจุดในกลุ่มที่หนาแน่น

LOF: ตัวเลือกที่ดีที่สุดสำหรับการตรวจสอบหลายตลาด

Local Outlier Factor ประเมินความผิดปกติของจุดโดยการเปรียบเทียบความหนาแน่นในพื้นที่กับของเพื่อนบ้าน การศึกษา (Springer, 2024) ที่เปรียบเทียบ LOF, Isolation Forest และ One-Class SVM บนข้อมูลสกุลเงินดิจิทัลพบว่า LOF มีประสิทธิผลสูงสุด — มันพบความผิดปกติที่แท้จริงด้วย false positive น้อยที่สุด ทำงานได้เสถียรทั้งบน Bitcoin และ Dogecoin

ทำไม LOF ถึงสำคัญสำหรับโครงสร้างพื้นฐานหลายตลาด? ข้อมูลจากตลาดต่างๆ มีความ "หนาแน่น" ที่แตกต่างกัน — Binance เห็นการเทรดหลายพันครั้งต่อวินาที ตลาดเฉพาะกลุ่มเห็นหลักสิบ วิธีการแบบ global อย่าง Z-Score จะให้ false positive บนตลาดเฉพาะกลุ่มหรือพลาดความผิดปกติบนตลาดใหญ่ LOF ปรับตัวตามบริบทในพื้นที่

LOF เปรียบเทียบความหนาแน่นในพื้นที่ของจุดกับเพื่อนบ้าน ซึ่งช่วยให้ค้นหา outlier ที่ผิดปกติ 'ในพื้นที่' แม้ว่าจะสอดคล้องกับรูปแบบข้อมูลโดยรวม

ข้อจำกัดคือความซับซ้อนแบบ quadratic เทียบกับจำนวนจุด สำหรับข้อมูล tick-level แบบ real-time มันช้าเกินไป แต่สำหรับข้อมูลรวมรายนาทีของตลาดกว่า 100 แห่ง — เหมาะอย่างยิ่ง

Autoencoders: การวิเคราะห์ Order Book เชิงลึก

autoencoder คือ neural network ที่บีบอัดข้อมูลเป็นการแสดงผลที่กระชับและสร้างขึ้นใหม่ เมื่อฝึกบนข้อมูล "ปกติ" ข้อผิดพลาดในการสร้างใหม่ที่สูงจะส่งสัญญาณถึงความผิดปกติ

สำหรับการวิเคราะห์ order book นี่คือเครื่องมือที่ทรงพลังที่สุด order book ที่มี 20 ระดับ bid และ 20 ระดับ ask คือเวกเตอร์ 40 มิติที่อัปเดตหลายร้อยครั้งต่อวินาที LSTM Autoencoder พิจารณาไม่เพียงแค่สถานะปัจจุบันแต่ยังรวมถึงพลวัต — ว่า order book เปลี่ยนแปลงอย่างไรใน N tick ที่ผ่านมา วิธีการแบบ hybrid "LSTM Autoencoder + One-Class SVM" แยกความรับผิดชอบ: neural network จัดการการสกัดคุณสมบัติ ML แบบคลาสสิกจัดการการตัดสินใจ ข้อเสียหลักคือต้นทุนการคำนวณ: การ inference แบบ real-time ต้องการ GPU

Autoencoders เรียนรู้การแสดงผล 'latent' ที่บีบอัดของข้อมูลปกติ ความผิดปกติไม่สามารถสร้างใหม่ได้อย่างแม่นยำ ส่งผลให้มีคะแนนข้อผิดพลาดสูงที่ใช้สำหรับการตรวจจับ

สถาปัตยกรรมแบบต่อเนื่อง: นำทุกอย่างมารวมกัน

ไม่มีวิธีการเดียวที่แก้ปัญหาทั้งหมด วิธีที่รวดเร็วพลาดความผิดปกติที่ซับซ้อน วิธีที่แม่นยำช้าเกินไปสำหรับ real-time ทางออกคือสถาปัตยกรรมแบบต่อเนื่องที่แต่ละชั้นถัดไปจับสิ่งที่ชั้นก่อนหน้าพลาด

สถาปัตยกรรมการตรวจจับความผิดปกติแบบหลายชั้น: จาก hard limits ในระดับมิลลิวินาทีไปสู่การวิเคราะห์ deep learning แบบ background

ชั้นที่ 1 — Fast Path (ต่ำกว่า 1 ms) Z-Score บน volume, spread และการเปลี่ยนแปลงราคา การตรวจสอบ persistence Hard limits เมื่อเกิดการเตือน — การหยุดเทรดทันที ชั้นนี้ป้องกันจาก flash crash, ข้อผิดพลาด API และการบิดเบือนแบบหยาบ ใช้งานในลูปหลักของบอทโดยไม่มีการพึ่งพาภายนอก

ชั้นที่ 2 — Near Real-Time (1–100 ms) Isolation Forest บนคุณสมบัติรวม ตัวตรวจจับ Level Shift และ Volatility Shift เมื่อเกิดการเตือน — การเปลี่ยนโหมดการเทรด การปรับพารามิเตอร์ รันในเธรดแบบขนาน

ชั้นที่ 3 — Background Analysis (1–60 วินาที) LOF บนข้อมูลหลายตลาด LSTM Autoencoder บนสถานะ order book การวิเคราะห์ residual ของ seasonal decomposition เมื่อเกิดการเตือน — การแจ้งเตือน การปรับพารามิเตอร์กลยุทธ์

ชั้นที่ 4 — Batch Analysis (รายชั่วโมง/รายวัน) DBSCAN สำหรับการตรวจจับ wash trading PCA สำหรับการตรวจสอบความสัมพันธ์ข้ามตลาด การฝึกโมเดลใหม่ทั้งหมด ผลลัพธ์ — รายงาน การอัปเดตโมเดล การปรับเกณฑ์สำหรับชั้นก่อนหน้า

แต่ละชั้นทำงานอิสระ หากชั้นที่ 3 ล้มเหลว — ชั้นที่ 1 และ 2 ยังคงป้องกันบอท ความทนทานต่อความผิดพลาดและ graceful degradation เป็นคุณสมบัติบังคับของโครงสร้างพื้นฐานการเทรดทุกชนิด

คำแนะนำในทางปฏิบัติ

บทเรียนสองสามอย่างจาก production

เริ่มต้นแบบง่าย Z-Score + Level Shift + Volatility Shift สามารถใช้งานได้ภายในหนึ่งวัน สิ่งนี้ครอบคลุมสถานการณ์การขาดทุนส่วนใหญ่ที่เกิดจากสภาวะตลาดผิดปกติ คลัสเตอร์ GPU จะมาทีหลัง

พารามิเตอร์ contamination คือ hyperparameter ที่สำคัญที่สุด ใน Isolation Forest มันกำหนดสัดส่วนความผิดปกติที่คาดหวัง สำหรับตลาดคริปโตเราใช้ 0.01–0.05 ขึ้นอยู่กับคู่และตลาด ต่ำเกินไป — คุณพลาดความผิดปกติที่แท้จริง สูงเกินไป — false positive ทำให้การเทรดหยุดชะงัก

เกณฑ์แบบ adaptive แทนแบบคงที่ ตลาดคริปโตไม่ stationary เกณฑ์ที่ใช้ได้ในเดือนมกราคมจะสร้าง false positive ในเดือนมีนาคม ใช้ EWMA เพื่ออัปเดตเกณฑ์ หรือฝึกโมเดลใหม่เป็นระยะบน rolling window

บันทึกความผิดปกติทั้งหมด แม้ว่าคุณจะไม่ตอบสนองโดยอัตโนมัติ — บันทึกป้ายกำกับพร้อมบริบท ในหนึ่งเดือนคุณจะมี dataset สำหรับฝึก supervised models และวิเคราะห์ว่าความผิดปกติใดที่เกิดขึ้นก่อนการขาดทุน

ทดสอบกับเหตุการณ์จริง สร้างคอลเลกชันของความผิดปกติในอดีต: flash crash เดือนพฤษภาคม 2021 การล้างบัญชีของ FTX การล่มสลายของ LUNA รันตัวตรวจจับใหม่ทุกตัวผ่านสถานการณ์เหล่านี้ หากมันไม่จับเหตุการณ์ที่รู้จักได้ — มันไม่มีประโยชน์

สิ่งที่ต้องติดตามต่อไป

สามทิศทางที่ควรติดตาม

โมเดลที่ใช้ Transformer สำหรับ order books การวิจัยล่าสุดแสดงให้เห็นว่า Transformer autoencoder + OC-SVM บนข้อมูล Limit Order Book มีประสิทธิภาพเหนือกว่าวิธีการก่อนหน้าทั้งหมดอย่างมีนัยสำคัญสำหรับการตรวจจับ spoofing Staged Sliding Window Transformer บนข้อมูลความถี่สูง EUR/USD (315 ล้านระเบียน) บรรลุความแม่นยำ 0.93, F1 0.91, AUC-ROC 0.95 — ดีกว่า Random Forest, LSTM และ CNN อย่างมีนัยสำคัญ

สถาปัตยกรรม Transformer ที่มี multi-head attention แสดงให้เห็นถึงความสามารถที่ยอดเยี่ยมในการระบุรูปแบบเวลาที่ซับซ้อนในข้อมูล Limit Order Book ความถี่สูง

GAN สำหรับการสร้างความผิดปกติสังเคราะห์ หนึ่งในความท้าทายหลักคือการขาดข้อมูลที่มีป้ายกำกับ GAN สามารถสร้างสถานการณ์การบิดเบือนที่สมจริงสำหรับการฝึก supervised models มีสถาปัตยกรรมที่บรรลุความแม่นยำ 94.7% ด้วย latency ต่ำกว่า 3 ms และ throughput 150,000 transactions ต่อวินาที

Generative Adversarial Networks (GAN) สามารถใช้เพื่อเพิ่มข้อมูลในชุดข้อมูลโดยการสร้างความผิดปกติสังเคราะห์ที่สมจริง แก้ปัญหาการขาดแคลนป้ายกำกับที่สำคัญในการเทรด

Change Point Detection (CPD) แทนที่จะมองหาแค่ outlier CPD มุ่งเน้นที่การระบุจุดที่แน่ชัดเมื่อคุณสมบัติทางสถิติของสัญญาณเปลี่ยนไป สิ่งนี้สำคัญอย่างยิ่งสำหรับการสลับระหว่างระบอบ market-making (เช่น จาก mean-reversion ไปสู่ trend-following)

Change Point Detection ระบุการเปลี่ยนแปลงเชิงโครงสร้างในข้อมูลอนุกรมเวลา โดยเน้นขอบเขตระหว่างระบอบตลาดที่แตกต่างกัน

ความผิดปกติไม่ใช่คุณสมบัติทางเลือก มันคือรากฐานที่ขาดไม่ได้ในการ algo trading ที่ไม่ใช่การพนัน และยิ่งคุณสร้างมันเร็วเท่าไร ตลาดก็ยิ่งต้องสอนบทเรียนราคาแพงให้คุณน้อยลงเท่านั้น

อ้างอิง

1. Anomaly detection in cryptocurrency markets using Isolation Forest
2. LOF: Identifying local outliers in high dimensional space
3. Isolation Forest for Anomaly Detection (Sklearn Documentation)
4. PyOD: A Comprehensive Python Toolbox for Outlier Detection
5. Transformer-based models for Limit Order Book anomaly detection
6. Ethical Issues and Market Manipulation in Cryptocurrency

การอ้างอิงทางวิชาการ

@software{soloviov2026anomalydetectionalgotrading,
  author = {Soloviov, Eugen},
  title = {Anomaly Detection for Trading Bot Protection: From Z-Score to Transformer},
  year = {2026},
  url = {https://marketmaker.cc/th/blog/post/anomaly-detection-algotrading},
  version = {0.1.0},
  description = {วิธีการตรวจจับความผิดปกติใดที่ได้ผลจริงในการเทรดคริปโตแบบ algo trading วิธีสร้างสถาปัตยกรรมการป้องกันแบบต่อเนื่อง และเหตุใดสิ่งนี้จึงเป็นรากฐานที่ขาดไม่ได้ในการ algo trading}
}