Anomaly detection as a one-class problem in discrete event systems

Technische Systeme werden immer komplexer, sodass Experten das Verhalten der Systeme nicht vollstaendig verstehen. Daher ist es schwer, Regeln aufzustellen, die Fehler im System erkennen. Durch den Preisverfall von Sensoren koennen viele Maschinen mit diesen ausgestattet werden, ihre Messungen werden ueberall hin gesendet und ihr Zustand wird praezise bestimmt. Um Fehler im System zu erkennen, beschreiben Experten nur das normale Verhalten eines Systems. Abweichungen von diesem Verhalten koennen entdeckt werden, wenn ausschliesslich Daten der normalen Bedienung vorliegen. Wir modellieren Systeme als Diskrete Ereignis Systeme (DES), die den realen Maschinenzustand abstrahieren, die wichtigsten Informationen jedoch enthalten. Dabei beobachten wir Sequenzen von Aktionen und die Zeit zwischen diesen. Wir nehmen an, dass alle beobachteten Sequenzen das Normalverhalten der Maschinen beschreiben, wodurch das beschriebene Problem einem Ein-Klassen Problem entspricht. Wir praesentieren einen dreiteiligen Ansatz basierend auf zeitlichen Automaten: Zuerst entwickeln wir den PDTTA, der das Normalverhalten von DES abbildet. Dann entwickeln wir ProDTTAL, der bei Eingabe einer Menge von normalen, zeitlichen Sequenzen einen PDTTA lernt. Dazu wird zuerst die Ereignisreihenfolge gelernt, gefolgt von dem Zeitverhalten von Sequenzen. Abschliessend loest der Algorithmus AmAnDA das Problem der Anomalieerkennung, indem eine gegebene Sequenz als normal oder anormal gekennzeichnet wird. Verglichen mit bestehenden Automatenmodellen repraesentiert der PDTTA das Zeitverhalten zwischen Ereignissen genauer. AmAnDA ist der erste Algorithmus zur Anomalieerkennung, der fuer verschiedene Automatenmodelle genutzt werden kann. In der experimentellen Evaluation entwickeln wir einen systematischen Ansatz, um sequenzbasierte Anomalieerkennungsalgorithmen zu evaluieren. ...Technical systems have become complex. Even human experts cannot fully understand the behavior of some systems and cannot define rules to detect when a system fails. Simultaneously, sensors have become very cheap and machines can send measurements to any place in the world where the data is analyzed. The price decay allows incorporating lots of sensors into machines and perceiving their state very accurately. Solely using data of the normal operation, a deviation from this normal behavior can be detected. Additionally, machines often repeatedly execute a sequence of actions. To model systems, discrete event systems (DES) are a feasible system class that abstract from the real machine states but preserve the important information. We model machines as DES, observe sequences of machine events and the time between two subsequent events and assume that the observed sequences only describe the normal behavior of the machines. Thus, the described failure detection problem corresponds to a one-class problem. In this thesis, we present a timed-automata-based approach consisting of three steps: We start with developing the PDTTA that represents the normal behavior of a DES. Then, we develop ProDTTAL that learns a PDTTA given a set of normal timed sequences by learning the order of events followed by the time behavior of subsequent events. Our algorithm AmAnDA solves the anomaly detection problem and labels a given sequence as normal and abnormal. Compared to existing timed automaton models, the PDTTA represents the time behavior more accurately but is inferior in some scenarios. AmAnDA is the first anomaly detection algorithm that can be used for various automaton models while improving the anomaly detection performance. In the experimental evaluation, we develop a systematic approach to evaluate sequence-based anomaly detection algorithms. ...Timo KlerxTag der Verteidigung: 15.05.2017Universität Paderborn, Univ., Dissertation, 201