业务突然升温时，访问量上涨可能来自促销、内容传播，也可能夹杂异常请求。判断账单不能只看流量总量：业务高峰与攻击流量混合时的计费规则，通常取决于服务商按什么指标收费、攻击流量经过何种处理，以及合同是否明确排除或减免相关费用。
先看计费口径：账单按什么计算
常见的计费方式有三类。第一类按带宽峰值计费，账单依据计费周期内记录的峰值或约定统计值；若正常访问和攻击请求都进入同一计量点，未被识别、隔离的流量可能一并计入。第二类按流量总量计费，重点是周期内传输了多少数据。第三类按请求数、连接数或防护服务规格计费，流量大小并非唯一决定因素。
不同服务商、产品和合同条款的统计窗口、取值方式及超额价格可能不同。有的按固定周期采样，有的按月累计；有的在入口处计量，有的在清洗后计量。因此，不能仅凭“攻击流量”这个名称推断它一定免费，也不能仅凭带宽突增认定全部都是攻击。
流量混合后，费用如何归属
未启用防护或没有费用约定
如果业务与异常流量共用同一计量链路，服务商又按入口峰值或总流量收费，异常流量可能抬高账单。此时，业务高峰与攻击流量混合时的计费规则，实质上要看合同定义的“计费流量”覆盖到哪里，而不是事后给流量贴上了什么标签。
启用清洗或专项防护
启用防护后，部分异常请求可能被拦截或清洗，费用也可能拆分为防护服务费、清洗流量费和正常业务的带宽或流量费用。具体是按清洗前还是清洗后的流量计费，是否包含在套餐内，是否设有触发门槛，都要以服务说明和订单条款为准。所谓“清洗流量”不必然免费，需确认费用承担方和计算方式。
正常高峰与攻击同时发生
例如，电商促销期间，商品页和结算请求增加，同时出现大量重复访问。监控上的总流量上涨并不能直接区分两者；可结合请求特征、源地址分布、响应状态、业务订单和防护日志判断。若攻击被拦截，但计费点位于拦截之前，账单仍可能记录进入系统的流量；若按清洗后流量计量，结果则可能不同。
核账与确认的可执行步骤
- 找到计费依据。查看合同、产品订单和账单说明，标出计费单位、统计周期、峰值取值方法、免费额度、超额单价及异常流量条款。
- 对齐时间范围。将账单中的计量时段与业务监控、防护告警、访问日志对照。注意时区、采样间隔和账单周期可能不一致。
- 区分入口与处理结果。分别核对入口流量、拦截量、清洗后流量和实际回源量；服务商没有提供某项指标时，不要用其他指标直接替代。
- 提交可复核证据。向服务商提供账单时段、监控截图或导出记录、告警编号及对应配置，要求说明峰值或流量的计量点和计算口径。
- 为下次高峰留痕。提前确认防护是否自动启用、触发条件、费用上限和通知方式；重要变更保留工单或书面确认。
比较方案时看清取舍
按峰值计费，便于预算与容量规划，但短时突发流量可能显著影响当期账单；按总量计费，费用更贴近实际传输量，却需要关注突发事件造成的额外数据；流量包或固定规格便于控制常规开支，但超出额度后的计费方式仍需核实。若业务峰值规律明确，可评估扩容或套餐；若异常流量造成的费用风险更突出，应优先确认防护覆盖范围及计量点，而非只比较基础价格。
归根结底，业务高峰与攻击流量混合时的计费规则没有适用于所有服务的统一算法。拿到账单后，先确认计费口径，再按相同时间段核对入口、拦截与清洗数据，并以合同条款和服务商可复核的计量记录判断费用归属。
常见问题
攻击流量一定不收费吗？
不一定。是否收费取决于产品条款、计量位置和防护服务约定，应以合同及账单说明为准。
业务高峰的流量能否从攻击流量中扣除？
只有在服务商能提供相应分类数据，且合同规定可按该口径调整时，才可能核算或更正。仅凭总流量曲线通常无法完成区分。
账单异常时先向谁核实？
先联系提供计费服务的一方，申请对应时段的计量明细，并同时整理业务监控和防护日志，便于逐项核对。