FI114749B - Poikkeamien ilmaisujärjestelmä ja menetelmä sen opettamiseksi - Google Patents

Description

114749

Poikkeamien ilmaisujärjestelmä ja menetelmä sen opettamiseksi

Keksinnön tausta

Keksintö liittyy poikkeamien (anomalioiden) ilmaisemiseen tietoko-5 ne- ja tietoliikenneverkoissa, joissa normaalin käyttäytymisen käsite vaihtelee ajan mukana. Tarkemmin sanottuna, keksintö liittyy erityisesti ilmaisujärjestel-män opettamiseen. Eräs esimerkki tällaisesta poikkeaman ilmaisumekanismis-ta perustuu itsejärjestyviin karttoihin (self-organizing maps (SOM)).

Mekanismit epänormaalien tilanteiden ilmaisemiseksi kuuluvat yh-10 teen kahdesta pääkategoriasta, nimittäin sääntöpohjaisiin ilmaisumekanismei-hin ja anomalianilmaisumekanismeihin. Sääntöpohjaiset ilmaisumekanismit yrittävät tunnistaa tiettyjä käyttäytymismalleja, jotka tiedetään virheellisiksi. Sääntöpohjaisilla ilmaisumekanismeilla on siis kaksi vakavaa rajoitusta: ne voivat havaita vain ongelmia, jotka ovat esiintyneet aiemmin ja jotka on ekspli-15 siittisesti opetettu ilmaisujärjestelmälle tai ohjelmoitu siihen. Anomalianil-maisujärjestelmät (anomaly detection systems (ADS)), kuten termiä tässä hakemuksessa käytetään, kääntävät ilmaisuongelman: niille opetetaan, mitä normaali käytös on, ja kaikki normista olennaisesti (ennalta määrätyllä marginaalilla) poikkeava tulkitaan anomaliaksi. ADS-mekanismit kykenevät ilmaise-20 maan potentiaalia ongelmatilanteita ilman, että tällaisia tilanteita opetetaan eksplisiittisesti. Eräs ADS:n esimerkki esitetään lähteessä 1. ADS siis määritellään mekanismina, joka opetetaan kohdejärjestelmän normaalilla käyttäytymi-• sellä. Niin ollen ADS liputtaa jokaisen merkittävän poikkeaman normaalista potentiaalisena anomaliana. Sen sijaan sääntöpohjainen ilmaisumekanismi •j 25 opetetaan tunnetuilla epänormaaleilla käyttäytymismalleilla, ja se ilmaista vain : sille opetetut ongelmat.

. ·. Lähde 1 esittää ADS:n Unix-pohjaiseen tietokonejärjestelmään. Jär jestelmä koostuu tiedonkeruukomponentista, käyttäjän käytöksen visualisointi-komponentista, automaattisesta anomalianilmaisukomponentista sekä käyttö-' ; 30 liittymästä. Järjestelmä vähentää anomalian ilmaisemiseen tarvittavan datan ·’ määrää valitsemalla joukon ominaisuuksia, jotka kuvaavat käyttäjän käyttäy tymistä järjestelmässä. Automaattinen anomalianilmaisukomponentti approk-simoi käyttäjien päivittäisiä profiileja itsejärjestyvillä kartoilla (SOM), jotka on • \t alunperin luonut Teuvo Kohonen. Eräs SOM:in avainparametri on paras kuva- 35 usetäisyys eli Best Mapping Unit (BMU) -etäisyys. SOM:in BMU -etäisyyksiä »» » käytetään ilmaisemaan poikkeamia päivittäisistä profiileista. Eräs tällaisten 2 114749 poikkeamien mitta ilmaistaan anomahan P-arvona. Lähteen 1 mukaan ADS on testattu, ja sen on havaittu pystyvän ilmaisemaan suuri joukko poikkeavia käyttäytymisiä.

Ongelmana tunnetuissa SOM-perusteisissa ADS-mekanismeissa 5 on, että ne rajoittuvat ilmaisemaan ongelmia järjestelmissä, joissa on hyvin määritelty normaali käyttäytyminen. Useimmissa tietoliikenneverkoissa ’’normaalin käytöksen” käsite on parhaimmillaankin epämääräinen. Verkkoelementin käytös huippuhetkellä on hyvin erilaista kuin sen käytös hiljaisina aamuyön tunteina. Tarkemmin sanottuna, useimmiten käyttäjät aiheuttavat muutoksen 10 siinä, mitä pidetään normaalina. Toisin sanoen tunnetut ADS-mekanismit eivät helposti sovellu ilmaisemaan ongelmia järjestelmissä tai elementeissä, joiden normaalikäytös vaihtelee ajan mukana.

Keksinnön lyhyt selostus

Keksinnön tavoitteena on siten tuottaa mekanismi opettamaan sel-15 laisia ADS-järjestelmiä, jotka tukeutuvat normaalikäyttäytymisen käsitteeseen järjestelmässä, jossa normaalikäytös vaihtelee merkittävästi ajan mukana.

Tässä yhteydessä ’’merkittävästi” tarkoittaa, että tiettyinä hetkinä normaalina pidettävää käytöstä pidetään muina aikoina poikkeavana.

Tämä tavoite saavutetaan menetelmällä ja laitteistolla, joille on tun-20 nusomaista se, mitä sanotaan itsenäisissä patenttivaatimuksissa. Keksinnön edulliset suoritusmuodot ovat epäitsenäisten patenttivaatimusten kohteena.

• ·· Keksintö perustuu osaksi siihen ajatukseen, että aikaa käytetään : ADS:n ottodatan komponenttina. Mutta ei riitä, että aika sisällytetään ottoda- : taan, jos aika esitetään suureena, joka kasvaa lineaarisesti kiinteästä alkupis-

·;·· 25 teestä. Tämä johtuu siitä, että tällainen ajan esitys ei ole toistuva, eikä ADS

; tietäisi, koska tietty käytös on normaalia ja koska poikkeavaa. Ei myöskään . *. riitä sisällyttää aikaa jaksollisena suureena (kuten 24 tunnin kello), koska päi- vittäiset hyppäykset ajasta 23:59 aikaan 00:00 aiheuttaisivat ottodataan merkit-. tävää epäjatkuvuutta.

; 30 Niinpä keksintö perustuu myös sellaisen ajan esityksen formuloin- ** tiin, joka riittää ratkaisemaan aikariippuvan normaalikäyttäytymisen ongelman ... järjestelmissä, kuten tietoliikenneverkoissa. Keksinnön mukaisesti ottodatan : 'komponenttina käytettävä ajan esitys on 1) jaksollinen, 2) jatkuva ja 3) yksikä-sitteinen (ottodatan jakson puitteissa). Eräs edullinen esimerkki tällaisesta ajan \ 35 (t) esityksestä on projektio x- ja y-komponentteihin siten, että x=sin(27it/L) ja y=cos(2nt/L), missä L on vaihtelun jakso, tyypillisesti vuorokausi tai viikko. En- 114749 3 sinäkemältä tällainen kaksiulotteinen ajan esitys näyttäisi käyttävän kaksiulotteisen SOM-kartan molemmat dimensiot, mutta tällaisia SOM-karttoja käytetään vain visualisointitarkoituksiin ja tietokoneen muistissa SOM-kartalla voi olla mielivaltainen määrä dimensioita.

5 Ajan esitykseen kohdistuvat jatkuvuusvaatimukset tulisi kuitenkin tulkita tosielämän rajoitusten valossa. Kaikkien digitaalisten järjestelmien resoluutio on äärellinen, mikä tarkoittaa että mikään ajan esitys ei voi olla täydellisen jatkuva. Lisäksi jonkin verran muistia voidaan säästää havaintoja tallennettaessa jättämällä pois joitakin havaintojen vähiten merkitseviä bittejä, toisin 10 sanoen kvantisoinnilla. Keksinnön tarkoituksiin ajan esitys on riittävän jatkuva (-’jatkuva suuressa mittakaavassa”), mikäli se ei sisällä niin suuria epäjatkuvuuksia, että ne vaikuttaisivat päätökseen normaalin ja poikkeavan käytöksen välillä. Esimerkiksi tietoliikenneverkossa, jonka käytön jakso on vuorokausi, noin 10-15 minuutin epäjatkuvuuksia (kvantisointeja) voidaan pitää hyväksyt-15 tävinä, ellei esiinny hetkiä, jolloin käyttäjien käytös muuttuu niin nopeasti, että tietty käytös on tiettynä hetkenä normaalia, mutta 10 tai 15 minuuttia myöhemmin poikkeavaa. Sen sijaan järjestelmässä, joka avautuu tai sulkeutuu (tai muuten radikaalisti muuttaa käyttäytymistään) tarkoin määriteltyinä hetkinä, ajan esityksessä on oltava huomattavasti pienempiä epäjatkuvuuksia.

20 Jonkin verran muistia voidaan säästää, mikäli tiedetään, että muu tokset havainnoitavien elementtien käytöksessä ovat pieniä ja/tai tasaisia tietyissä jakson osissa (kuten öisin) ja selvempiä muissa osissa (kuten päivisin).

: ’* Tässä tapauksessa ajan esitys voi olla sellainen, että resoluutio vaihtelee jak- :· : son puitteissa. Tämä tarkoittaa, että yksi bitti voi vastata esimerkiksi 30 minuut- : 25 tia jakson hiljaisissa osissa ja 5 -15 minuuttia jakson aktiivisemmissa osissa.

Joissakin tapauksissa yksi jakso (tyypillisesti 24 tuntia) riittää, mutta joskus voidaan tarvita kaksi tai kolme sisäkkäistä jaksoa. Esimerkiksi ajan esi-tys voi sisältää yhden komponentin, jolla on 24 tunnin jakso ja toisen, jonka jakso on yksi viikko. Paikoissa tai tilanteissa, joissa vuodenaikojen vaihtelu on 30 merkittävää, saatetaan tarvita kolmas komponentti, jolla on vuoden jakso.

·. Keksintö ei rajoitu itsejärjestyviin karttoihin, vaan sitä voidaan käyt tää muidenkin klusterointitekniikoiden kanssa, kuten k-means ja Learning Vector Quantization.

...: Keksinnön erään edullisen suoritusmuodon mukaisesti kaikki muut- 35 tuja (ottodatat komponentit), ajan esitys mukaan lukien, skaalataan siten, että , ’; kunkin muuttujan varianssi on sama, edullisesti yksi.

4 114749

Keksintö voidaan toteuttaa ohjelmistorutiineina tietokonejärjestelmässä, jolta on pääsy havainnoitaviin elementteihin. Keksinnön mukainen mekanismi kootaan edullisimmin yhteen verkkoelementtiin, kuten käyttö- ja huoltokeskukseen.

5 Kuvioiden lyhyt selostus

Keksintöä selostetaan nyt lähemmin edullisten suoritusmuotojen yhteydessä, viitaten oheisiin piirroksiin, joista:

Kuvio 1 esittää itsejärjestyvää karttaa (SOM);

Kuvio 2 on muunnos kuviosta 1 ja siinä on ympyröitä, joiden keski- 10 pisteet ovat SOM:in neuronien kohdalla;

Kuvio 3 on keksinnön erästä edullista suoritusmuotoa esittävä prosessikaavio; ja

Kuviot 4A - 4C esittävät erilaisia ajan esityksiä.

Keksinnön yksityiskohtainen selostus 15 Keksinnön edullisia suoritusmuotoja selostetaan itsejärjestyvien karttojen (SOM) yhteydessä. Kuvio 1 esittää itsejärjestyvää karttaa (SOM). SOM-anomaliatestin tavoite on testata, onko olion nykyinen käytös poikkeavaa vai ei. Testattava hypoteesi on:

Ho: Viimeisin havainto ei ole poikkeava.

20 Hi: Viimeisin havainto on poikkeava.

Olion käytös voi olla hyvin yhdenmukaista, mikä tarkoittaa että se V: keskittyy ominaisuusavaruuden yhteen tai muutamaan alueeseen. Toisaalta käytös voi hajaantua enemmän ominaisuusavaruudessa, mikä tarkoittaisi epä- säännöllisempää käytöstä. SOM-anomaliatestin ajatus on approksimoida olion .··. 25 normaalikäytöstä pienellä oliokohtaisella SOM:illa. Aiemman käytöksen olete- ♦ · ,·*, taan edustavan olion normaalia käytöstä. Poikkeavat havainnot aiemmassa • » käytöksessä voidaan jättää huomiotta, kun SOM:ia opetetaan.

Kuviossa 1 näytetty SOM on yksiulotteinen (8*1) SOM, jossa on 200 ·;;; pistettä keinotekoista dataa, joita yhteisestä osoitetaan viitenumerolla 13. Ku- » · *· ·* 30 viossa 2 näytetään sama SOM, johon on piirretty ympyrät tai ellipsit 21, joiden !*·.. keskipisteinä ovat SOM:in neuronit 14. Selkeyden vuoksi kuvioissa 2 näyte- tään vain kaksi ominaisuutta 11 ja 12, mutta todellisuudessa havaittavien omi-naisuuksien määrä voi olla paljonkin suurempi kuin kaksi.

• · I

: * 200 pistettä keinotekoista dataa kahdesta ominaisuudesta on piirret- »1*1» 35 ty tasolle yhdessä datalla opetetun 8*1 -kokoisen kartan neuronien kanssa.

5 114749

Yksiulotteinen SOM approksimoi melko hyvin kahta klusteria (joista kummallakin on neljä ellipsiä 21). Huomattakoon, että kuvion 1 data on kaksiulotteista visualisoinnin mahdollistamiseksi ihmisille. Tietokonejärjestelmässä ulottuvuuksien määrä voi olla paljon suurempi kuin kaksi.

5 Datapisteen ik Best Matching Unit (BMU) SOM:issa on neuroni w„ josta on pienin etäisyys datapisteeseen. Tämä ilmaistaan yhtälössä (1), missä ”dist” tarkoittaa etäisyyttä: BMU = argminldist^Wi)} (1) i Tässä oletetaan, että euklidista etäisyyttä BMU:hun käytetään mit-10 taamaan, kuinka paljon havainto poikkeaa normaalista oliokohtaisesta käytöksestä, mutta muunkinlaisia etäisyyden mittauksia voidaan käyttää. Anomalian P-arvo mittaa havainnon anomalian määrää. Tämän arvon perusteella hypoteesi Ho hyväksytään tai hylätään. Anomalian P-arvon laskenta selostetaan SOM-perusteisen ADS:n käyttövaiheen yhteydessä.

15 ADS-mekanismiin kuuluu kolme vaihetta: suunnittelu, opetus ja käyttö. Suunnitteluvaiheeseen kuuluu tyypillisesti ihmisen päätöksiä, ja se käsittää seuraavat vaiheet: 1. Valitaan kohdeoliota kuvaava ominaisuusjoukko. Oliota kuvaavaa ominaisuusvektoria merkitään kirjaimella f. (Kohdeolio on havaittava olio, kuten 20 verkkoelementti.) Tämä vaihe selostetaan yksityiskohtaisesti lähteessä 1. Tämän keksinnön tarpeisiin riittää sanoa, että ominaisuudet ovat parametreja, ; ·· joita voidaan käyttää tekemään ero normaalin ja poikkeavan käytöksen välillä.

: 2. Formuloidaan hypoteesi poikkeavan käytöksen ilmaisemiseksi.

Tavoite on testata viimeisin havainto fn+i anomalian suhteen. Testattava hypo-. 25 teesi on H0: Viimeisin havainto ei ole poikkeava. Vaihtoehtoinen hypoteesi on , ·. H-ι: Viimeisin havainto on poikkeava. (Lopuke n selostetaan käyttövaiheen yh- ^ teydessä.)

Opetusvaihe käsittää tyypillisesti seuraavat vaiheet: ' · , 1. Havaitaan kohdeolion normaalikäytöstä. Esimerkiksi kerätään 30 ominaisuusvektorin n mittausta (f-ι, h, , fn)· ·· 2. Opetetaan SOM, jossa on m neuronia käyttäen mittauksia (f-ι, f2, % .,· ... , fn) opetusdatana Neuronien määrä kartalla, m, valitaan paljon pienemmäk si kuin n, esimerkiksi n/10.

: Käyttövaihe käsittää tyypillisesti seuraavat vaiheet: 6 114749 1. Jätetään huomiotta SOM:in neuronit, jotka eivät ole Best Mapping

Unit -yksiköitä (BMU) millekään datapisteelle (f-ι, f2.....f„).

2. Lasketaan BMU-etäisyydet datapisteille (fi, f2, ... , fn) opetetusta SOM:ista. Näitä etäisyyksiä merkitään tunnuksilla (D-ι, D2.....Dn).

5 3. Lasketaan BMU-etäisyys havainnolle W Dn+i merkitsee tätä etäisyyttä.

4. Lasketaan anomalian P-arvo. Olkoon B niiden BMU-etäisyyksien (D^ D2.....Dn) määrä, joka on suurempi kuin Dn+i. Anomalian P-arvo tietylle oliolle lasketaan sitten kaavasta: 10 P,^-n (2) 5. Hyväksytään tai hylätään nollahypoteesi anomalian P-arvon perusteella. Jos anomalian P-arvo on suurempi kuin anomalian P-arvon kynnysarvo, niin nollahypoteesi H0 hyväksytään, (viimeisin havainto katsotaan normaaliksi). Toisaalta, jos anomalian P-arvo on pienempi kuin anomalian P- 15 arvon kynnysarvo, niin nollahypoteesi H0 hylätään ja viimeisin havainto oletetaan poikkeavaksi.

Jos testi osoittaa, että olion käytös on poikkeavaa (H0 hylätään), k merkitsevimmin poikkeavaa ominaisuutta voidaan määrittää. Ne k ominaisuutta (ominaisuusvektorin) komponentit, joilla on suurin absoluuttinen vaikutus 20 BMU-etäisyyteen, ovat k merkitsevimmin poikkeavaa ominaisuutta. Yhtälö (3) näyttää, kuinka eniten poikkeavat ominaisuudet voidaan laskea. Tälle ominai-: ·· suusvektorin komponentille annetaan alaindeksi md yhtälössä (3). Yhtälössä T ·* (3) BMU tarkoittaa ominaisuusvektorin fn+i Best Mapping Unit -etäisyyttä ja j saa arvoja nollasta ominaisuuksien lukumäärään asti. Muut k-1 eniten poik-·; · 25 keavaa ominaisuutta lasketaan vastaavalla tavalla.

: ; fn+i,,w = argmax {abs(fn+Uj-BMU,)} (3) . '. j

Kuviossa 1 näytettyä tilannetta voidaan käyttää esimerkkinä. Kuvio 1 näyttää kaksi anomaliaa, joita osoitetaan yhteisesti viitenumerolla 15. Anomalian 1 anomalia-P-arvo on 0/200 = 0. Koska datapisteiden yksikään BMU-30 etäisyys ei ylitä anomalla 1:n BMU-etäisyyttä, osoittajan arvo on nolla. Vastaavasti anomalian 2 anomalia-P-arvo on 7/200 = 0,035.

·. Jos anomalia-P-arvo on pienempi kuin anomalia-P-arvon kynnysar- ^ vo, nollahypoteesi H0 hylätään ja Hipaistaan hälytys. Anomalia-P-arvon kyn- ‘. nysarvo voidaan tulkita osuutena havainnoista, jotka hylätään mikäli valvotta- 7 114749 van olion käytös ei poikkea sannan olion aiemmasta käytöksestä, jota käytettiin opetusvälineessä. Toisin sanoen, mikäli nollahypoteesi pätee: hälytysten määrä = P-arvon kynnysarvo * havainnot (4)

Toisaalta, jos nollahypoteesi ei päde (uusi data on poikkeavaa), hyi-5 käysten (hälytysten) määrä on suurempi.

Kuvio 2 näyttää, kuinka valittua P-arvon kynnysarvoa voidaan havainnollistaa oliolle / käyttäen d-ulotteisia palloja (d-palloja), jotka on keskitetty oliokohtaisen kartan neuronien kohdalle. Kaksiulotteisella ottodatalla d-pallot ovat ympyröitä. Tässä d tarkoittaa dimensioiden määrää ottodatassa (fi, h, , 10 fn). Toisin sanoen jokainen ottodatan elementti fi - fn on itse vektori, jolla on d dimensiota. Niiden olion / havaintojen määrä, jotka lankeavat pallojen ulkopuolelle, vastaa osoittajaa B yhtälössä (2). Kuvion 2 kaksiulotteinen esimerkki näyttää tällaisen tilanteen. Tässä B on 13, mikä vastaa melko korkeaa P-arvon kynnysarvoa n. 6.50.

15 Kuvio 3 on prosessikaavio, joka esittää keksinnön erästä edullista suoritusmuotoa. Viitenumero 302 osoittaa elementtiin fysikaalisessa järjestelmässä kuten tietoliikenneverkossa (joka on eri asia kuin neuroverkko). Fyysinen elementti voi käsittää useita havaittavia elementtejä. Esimerkiksi jos fyysisen järjestelmän elementti 302 on tietoliikennekeskus, sen havaittaviin ele-:*' · 20 mentteihin voi kuulua läpäisykyky, odotusaika, epäonnistuneiden puhelujen : määrä (tai prosenttiosuus) jne. Kutakin ajan yksikköä kohti osoittimien kerääjä : 306 kerää osoitinmonikkoa 304. Monikot tallennetaan osoitintietokantaan 310.

.. : Viite 312 osoittaa neuroverkon (tai muun oppivan järjestelmän) 314 opetuk- .· . sessa käytettyä datajoukkoa. Datajoukon 312 tulisi osoittaa fyysisen elementin 25 302 normaalikäytöstä. Muisti 318 sisältää opetettuja neuroverkkoja. Kun fyysistä elementtiä 302 havainnoidaan, vastaava opetettu neuroverkko 320 noudetaan muistista johdetaan yhtenä syötteenä anomalianilmaisumekanismille 322.

; Anomalianilmaisumekanismin toinen syöte on osoitinjoukko 324, jota testataan poikkeavan käytöksen suhteen. Jos anomalianilmaisumekanismi 322 päättää, 30 että osoitinjoukon 324 kuvaama käytös on poikkeavaa, anomalian P-arvo ja eniten poikkeavat osoittimet 326 tallennetaan anomaliahistoriatietokantaan 328. Samalla annetaan hälytys 330 valvontalaitteelle 332, kuten tietokoneen näytölle.

8 114749

Kuviot 4A - 4C esittävät erilaisia ajan esityksiä, joista jotkut ovat hyväksyttäviä ja toiset eivät ole. Kuviossa 4A vaaka-akseli on aika yksiköissä L, missä L on ottodatan periodi, jonka oletetaan olevan 24 tuntia. Viiva 400 esittää suoraa ajan esitystä. Viitteet 401 - 403 osoittavat kolmea toistuvan tapah-5 tuman instanssia, jotka esiintyvät 24 tunnin välein. Tämän ajan esityksen ongelmana on, että aikojen esitykset ovat erilaiset, eikä ADS pysty tunnistamaan tapahtumia 401 - 403 toistuvaksi tapahtumaksi.

Saha-aaltoviiva 405 on 24-tuntinen ajan esitys, tai toisin sanoen ajan modulofunktio. Tässä esityksessä samaan vuorokaudenaikaan esiintyvillä 10 tapahtumilla on identtiset esitykset, mutta vuorokauden vaihdot aiheuttavat epäjatkuvuutta ottodataan.

Kuviossa 4B siniaalto 410 on periodinen ja jatkuva, mutta se ei ole yksikäsitteinen. Tapahtumat 411 ja 412 esiintyvät eri aikoina, mutta niillä on identtiset ajan esitykset. Jos oletetaan, että tapahtuma 411 on normaalia aa-15 mulla, niin ADS ei tunnistaisi samanlaista tapahtumaa anomaliaksi, jos se esiintyisi illalla.

Kuvio 4C esittää kolmea hyväksyttävää ajan esitystä. Ne kaikki perustuvat siihen ajatukseen, että aika esitetään koordinaattiparina x,y. Ympyrä 420 edustaa aikaa muodossa {x=sin(27it/L); y=cos(27rt/L)}, missä L on vaihte-20 luperiodin pituus, ja 2nt/L on kulma x-akselilta. Ellipsi 422 on myös hyväksyttävä, kunhan se ei ole niin litteä, että se aiheuttaisi epävarmuuden, onko piste ellipsin ylä- vai alapuoliskossa. Jopa suorakulmiota 424 voidaan käyttää. Vaik-:‘i*: ka usealla pisteellä on identtiset x- tai y-koordinaatit, millään kahdella suora- . ·; ·. kulmion pisteellä ei ole identtisiä x/y -koordinaattipareja.

25 Ympyrän 420 sini/kosini -yhdistelmää pidetään edullisena ajan esi- tyksenä, koska tapahtumat, jotka ovat yhtä etäällä ajassa, ovat yhtä etäällä • · il! myös ajan esityksessä. Kuitenkin sini/kosini -yhdistelmä on laskennallisesti vaativa, ja joitakin approksimaatioita, kuten saha-aaltojen funktiopareja, joiden välillä on 90 asteen vaihesiirto, voidaan käyttää.

I * ·· : 30 Kuten aiemmin todettiin, joissakin tilanteissa ajan esitys saattaa vaatia useamman kuin yhden komponentin. Voi esimerkiksi olla jopa kolme |' ,, sini/kosini -paria, joiden periodit ovat yksi vuorokausi, yksi viikko ja yksi vuosi.

• ’ ·" Vaikka keksinnön edullisia suoritusmuotoja on esitetty neuroverkko- i’ jen ja itsejärjestyvien karttojen yhteydessä, keksintö ei rajoitu näihin esimerk- ·:·· 35 keihin. Eräänä vaihtoehtona keksintö voidaan yleistää muihinkin klusterointi 9 114749 tekniikoihin, kuten k-means ja Learning Vector Quantization, missä tapauksessa neuronit korvataan koodikirjavektoreilla.

Lähde: 1. Höglund, Albert: An Anomaly Detection System for Computer 5 Networks, diplomityö H:gin Teknillisessä korkeakoulussa 1997.

Lähde 1 sisältyy tähän viittauksena.

» I I I

• • t 1

• · I

• « I

• « 1 • •111 • »

• I

• ·

MM

» · · » · · I I · t · t • · »

Claims (10)

114749

1. Menetelmä poikkeamien havaintomekanismin opettamiseksi järjestelmässä, johon kuuluu havaittavia elementtejä (302), joista ainakin yhdellä on periodinen aikariippuva käytös, joka poikkeamien havaintomekanismi käsit- 5 tää tietokonepohjaisen oppimismekanismin (314), jolla on syöteavaruus syöte-datakomponenteista (11, 12) koostuvan syötedatan määrittelemiseksi; jossa menetelmässä: - kerätään indikaattoreita (304), jotka indikoivat havaittavien elementtien (302) käytöstä ja järjestetään kerätyt indikaattorit siten, että kunkin 10 havaittavan elementin indikaattorit osoitetaan samalle syötedatakomponentille; - opetetaan oppimismekanismi (314) siten, että sen syötedata käsittää syötedatakomponentteja, jotka perustuvat kerättyihin indikaattoreihin (304); - sijoitetaan syötedataa approksimoivia pisteitä (14) syöteavaruu- teen; 15 tunnettu siitä, että: - sisällytetään ainakin yhteen syötedatakomponenttiin (11, 12) ajan esitys (420 - 424); - missä ajan esitys (420 - 424) on periodinen, jatkuva ja yksikäsitteinen mainitun ainakin yhden elementin jakson puitteissa, jolla on periodinen 20 aikariippuva käytös.

2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, '; että oppimismekanismi on tai siihen kuuluu itsejärjestyvä kartta.

’ 3. Patenttivaatimuksen 1 tai 2 mukainen menetelmä, tunnettu ‘ : siitä, että ajan esityksellä on ensimmäinen periodi ja ainakin yksi toinen pe- t I I 25 riodi, joka on ensimmäisen periodin monikerta. • ·«

4. Jonkin edellisen patenttivaatimuksen mukainen menetelmä, tunnettu siitä, että syötedatakomponentit skaalataan siten, että kunkin va-rianssi on sama, edullisesti yksi.

5. Jonkin edellisen patenttivaatimuksen mukainen menetelmä, '··. 30 tunnettu siitä, että ajan esityksellä on muuttuva resoluutio siten, että yksi * · bitti vastaa erilaisia ajan yksiköitä riippuen aikariippuvan käytöksen muutoksis-: ta. M · M 114749

6. Järjestely poikkeamien havaitsemiseksi järjestelmässä, johon kuuluu havaittavia elementtejä (302), joista ainakin yhdellä on periodinen aikariippuva käytös, joka järjestely käsittää: 5. tietokonepohjaisen oppimismekanismin (314), jolla on syöteava- ruus syötedatakomponenteista (11, 12) koostuvan syötedatan määrittelemiseksi; - välineet keräämään indikaattoreita (304), jotka indikoivat havaittavien elementtien (302) käytöstä ja järjestetään kerätyt indikaattorit siten, että 10 kunkin havaittavan elementin indikaattorit osoitetaan samalle syötedatakom-ponentille; - välineet opettamaan oppimismekanismi (314) siten, että sen syö-tedata käsittää syötedatakomponentteja, jotka perustuvat kerättyihin indikaattoreihin (304); 15. välineet sijoittamaan syötedataa approksimoivia pisteitä (14) syö- teavaruuteen; tunnettu siitä, että järjestely käsittää: - ainakin yhden syötedatakomponentin (11, 12), johon kuuluu ajan esitys (420 - 424); 20. missä ajan esitys (420 - 424) on periodinen, jatkuva ja yksikäsittei nen mainitun ainakin yhden elementin jakson puitteissa, jolla on periodinen i ’ ’ . aikariippuva käytös. • *

7. Patenttivaatimuksen 6 mukainen järjestely, tunnettu siitä, et- ’· , tä oppimismekanismi on tai siihen kuuluu itsejärjestyvä kartta. : 25

8. Patenttivaatimuksen 6 tai 7 mukainen järjestely, tunnettu sii- : tä, että ajan esityksellä on ensimmäinen periodi ja ainakin yksi toinen periodi, joka on ensimmäisen periodin monikerta.

9. Jonkin patenttivaatimuksen 6-8 mukainen järjestely, tunnet-: t u siitä, että se on koottu yhteen verkkoelementtiin.

10. Tietokoneella luettava muistiväline, joka käsittää tietokoneoh- jelman, tunnettu siitä, että ohjelman suorittaminen tietokoneessa saa tä-män suorittamaan patenttivaatimuksen 1 mukaisen menetelmän vaiheet. • » I I 114749