Kaspersky Machine Learning for Anomaly Detection

Об элементах ML-модели на основе эллиптического конверта

Эллиптические конверты используются для выявления аномальных состояний объекта мониторинга.

В отличие от предиктивного элемента эллиптический конверт не пытается установить, как поведение входных тегов ML-модели влияет на поведение выходных тегов. Эллиптический конверт использует предположение, что совокупность тегов, включенных в ML-модель, в каждый конкретный момент времени описывает состояние объекта мониторинга, и наблюдаемые состояния имеют нормальное распределение (далее также "распределение по Гауссу") в фазовом пространстве.

Во время обучения эллиптический конверт подбирает параметры этого нормального распределения с учетом того, что обучающая выборка может содержать некоторый процент аномальных состояний. В результате обучения ML-модели в фазовом пространстве формируется эллиптическая область такая, что состояния, попадающие в эту область, считаются нормальными, а все остальные считаются выбросами (аномалией). Чем дальше от границ эллипса находится состояние, тем более аномальным оно является. Тег, значение которого в составе аномального состояния, внесло наибольший вклад в удаление от эллипса, считается топ-тегом.

Эллиптический конверт более прост в построении, чем предиктивный элемент, быстро обучается и требует меньше ресурсов по время инференса. Однако эллиптический конверт показывает хороший результат только при применении к стационарному режиму работы оборудования, не предполагающему множественности рабочих диапазонов и резкого изменения значений тегов.