DE19857335A1 - Marketing und Controlling von Netzen durch Anwendung von Methoden der Neuroinformatik auf Netzmanagement-Daten - Google Patents

Abstract

Auf die Log-Dateien, die beim Management eines Netzes entstehen, werden zur Erkennung des Nutzungsverhaltens eines Endkunden oder Angestellten eines Betreibers mehrere Methodenansätzen der Neuroinformatik nämlich das Neuronale Netz mit überwachtem Training, die dichte-basierte Modellierung und das Kausale Netz angewendet sowie die Ergebnisse daraus gegebenenfalls untereinander bzw. mit weiteren Netzdaten kombiniert, um für das Nutzungsverhalten eine Erhöhung der Signifikanz der Aussage mit verringerter Fehlerquote zu erzielen, wodurch eine frühzeitige Erkennung von Unregelmäßigkeiten beim Netzmanagement, Aussagen über die Notwendigkeit eines Netzausbaus sowie signifikate Aussagen über Markttrends und für Marketingzwecke gegeben sind.

Description

Unregelmäßigkeiten beim Netzmanagement eines Netzes (verur­ sacht z. B. von Operatoren, aber auch von Privat- und Ge­ schäftskunden eines Netzbetreibers) können eine Größenordnung erreichen, die die Geschäftsbasis eines Netzbetreibers ge­ fährdet. Derzeit ist es technisch sehr schwierig, solche Nut­ zungsfälle so frühzeitig zu erkennen, daß der angerichtete Schaden gering bleibt.

Der Anmeldungsgegenstand betrifft ein Verfahren zur Erkennung von Unregelmäßigkeiten beim Netz-Management und ein Verfahren zur Erfassung des Nutzungsverhaltens beim Netz-Management von Nutzern eines Netzes denen zufolge die in einem Telekommunika­ tionsnetz auftretenden Vorgänge im Zuge des Netz-Management's auf Log-Dateien protokolliert werden.

Privat- und Geschäftskunden können die Dienste eines Netzes auf unterschiedliche Art managen, z. B. direkt über eine CNM- (CNM = Customer Network Management) oder CSC- (= Customer Ser­ vice Control) Schnittstelle oder indirekt mit Hilfe eines Ope­ rators. Gezielte Marketingaktionen für die unterschiedlichen Nutzungskreise seitens des Netzbetreibers, Erkennen von Markttrends, das Erkennen von Engpässen im Netz oder auch das Bestimmen von Kosteneinsparungspotentialen sind bisher nur recht schwer möglich, da eine genaue Zuordnung eines Privat- oder Geschäftskunden zu diversen Verhaltenskategorien tech­ nisch nur unzureichend unterstützt wird.

Beim Netz-Management werden normalerweise alle durchgeführten Vorgänge im Netz, wie z. B. Operationen, Aktionen und Ereig­ nisse insbesondere auch Alarme, detailliert von den beteilig­ ten Systemen auf Log-Dateien protokolliert.

Es gibt derzeit diverse Software-Arbeitsmittel, die in Fach­ kreisen auch als Tools bezeichnet werden, zur Erkennung von Betrugsfällen. Solche Tools basieren auf verschiedenen Tech­ niken, wie dem regelbasierten Ansatz oder neuronalen Netzen etc. Ausgewertet werden mit diesen Techniken Rufe- Einzelheiten-Aufzeichnungen CDR (Call Detail Records) oder Signalisierungsdaten des Zeichengabesystems CCS7. Zur Auswer­ tung von Log-Dateien gibt es heute nur Applikationen, Befehle oder Tools, die jede Log-Datei separat auswerten.

Dem Anmeldungsgegenstand liegt das Problem zugrunde, ein Ver­ fahren anzugeben, das signifikante Aussagen zu spezifischen Nutzungen eines Netzes auf Basis von Log-Dateien, insbesonde­ re zu Unregelmäßigkeiten beim Netz-Management, mit geringer Fehlerquote liefert.

Das Problem wird durch die Merkmale des Anspruchs 1 oder An­ spruchs 2 gelöst.

Das anmeldungsgemäße Verfahren bildet ein Erkennungswerkzeug mit dem bereits frühzeitig spezifische Nutzungen eines Netzes erkennbar werden, insbesondere Verdachtsmomente für Betrugs­ fälle und Manipulationen in Netzen, Markttrends in Netzen und Netzengpässe, die sich aus im Rahmen von Netz-Managementak­ tivitäten ableiten lassen.

Gemäß einer Weiterbildung des Anmeldungsgegenstandes werden die Ergebnisse der unterschiedlichen Methodenansätze der Neu­ roinformatik - gegebenfalls unter Einbeziehung weiterer Daten - zu einer signifikanten Aussage mit äußerst geringer Fehler­ quote miteinander kombiniert (verknüpft, verdichtet).

Der Anmeldungsgegenstand wird im folgenden als Ausführungs­ beispiel in einem zum Verständnis erforderlichen Umfang an­ hand von Figuren näher erläutert. Dabei zeigen:

Fig. 1 eine prinzipielle Blockdarstellung von Elementen und

Fig. 2 deren Zusammenwirken beim Anmeldegegenstand und ein An­ wendungsbeispiel für die Modellierung einer Verhaltens­ kategorie im kausalen Netz.

Der Anmeldungsgegenstand bezieht sich auf das Gebiet des Ma­ nagements von Netzen, insbesondere von Telekommunikations­ netzen und von Intelligenten Netzen. Dabei werden Netz- Management-Operationen sowohl vom Personal des Betreibers als auch von Endkunden (Stichwort: Customer Network Management, Customer Service Control) durchgeführt.

Bei dem in Fig. 1 dargestellten anmeldungsgemäßen Verfahren können die Log-Daten LDAT einer regel-basierten Vorverarbei­ tung PP (für: Preprocessor) unterzogen werden, wobei die Log- Daten korreliert und verdichtet werden und gegebenenfalls auf ein einheitliches Format gebracht werden. Die Log-Daten kön­ nen, gegebenenfalls in vorverarbeiteter Form, als Zwischener­ gebnis einer Zwischenspeicherung LDR (für: Log Data Record) unterzogen werden. Die Log-Daten werden, gegebenenfalls in vorverarbeiteter Form und gegebenenfalls nach Zwischenspei­ cherung, einer Einrichtung Methodenansatz MA zugeführt, die ein neuronales Netz mit überwachtem Training NNUE, eine dich­ te-basierte Profilmodellierung DBPM und ein kausalneuronales Netz KNN, im folgenden kausales Netz genannt, aufweist. Die Einrichtung Methodenansatz MA arbeitet, wie durch zwei dop­ peltgerichtete Pfeile bezeichnet, mit einer Datenbasis MO/TR, in der die Modellierungs-/Trainingsdaten abgespeichert sind, und einer Datenbasis HIST, in der die Auswerteergebnisse des aktuellen und vorangegangener Beobachtungszeiträume abgespei­ chert sind, zusammen. Die von der Einrichtung Methodenansatz MA ausgegebenen bzw. in der Datenbasis HIST gespeicherten Zwischergebnisse können in einer Einrichtung COMB (für: Com­ bination) einer Bewertung unterzogen werden. Bei dieser Be­ wertung können die Daten mit weiteren Daten ADAT (z. B. den Ergebnissen anderer Verfahren, insbesondere einem regel­ basierten Verfahren, den CDRs (= Call Data Records), den Teilnehmerdaten etc.) kombiniert (verknüpft) werden. Sie wer­ den als Ergebnis OUT ausgegeben.

Das anmeldungsgemäße Verfahren bedient sich dreier unter­ schiedlicher Methodenansätze der Neuroinformatik nämlich dem Neuronalen Netz mit überwachtem Training, der dichte­ basierten Modellierung und dem Kausalen Netz. In Weiterbil­ dung des Anmeldungsgegenstandes werden die drei Methodenan­ sätze kombiniert. Die Modellierung mit diesen drei Methoden werden auf der Basis von diversen Log-Dateien durchgeführt. Das entstehende Modell stellt ein Marketing- und Controlling Werkzeug für Netze dar.

Beim Netz-Management werden alle durchgeführten Vorgänge im Netz, wie z. B. Operationen, Aktionen und Ereignisse insbe­ sondere auch Alarme, im Einzelnen von den beteiligten Syste­ men in Aufzeichnungsdateien, die in Fachkreisen auch als Log- Dateien bezeichnet werden, protokolliert.

Der Inhalt der Log-Dateien hängt in hohem Maße von den einge­ setzten Systemen, der Art der Log-Datei und der Einstellung des Log Diskriminators (administrierbarer Filter) ab. Log- Einträge können z. B. enthalten: - eindeutige Log Id (Identification, Bezeichnung der Aufzeichnungsdatei) - Zeit­ punkt des Logeintrags - Entität, der der Logeintrag zugeordnet wird (z. B. Userid, Application Entity Title) - Art und Umfang eines Dateizugriffs (z. B. Löschen eines Objekts der Objekt­ klasse k mit Objekt-Id n, Erzeugen eines Objekts der Objekt­ klasse k mit Inhaltsbeschreibung, Ändern eines Objekts der Objektklasse k mit Objekt-Id n und Attributwerten) Standards für Logeinträge im Rahmen Netzmanagement sind z. B. in ITU-T X.735 (Log Control Function), ITU-T X.733 (Alarm Report Func­ tion), ITU-T X.740 (Security Audit Trail Function) und ITU-T X.736 (Security Alarm Reporting Function) und in diversen RFCs der IETF beschrieben. Solche Standards erleichtern ein Preprozessing der Logdaten, sind aber nicht notwendige Vor­ aussetzung für die Anwendung neuronaler Methoden.

Um die Verarbeitung der Daten zu beschleunigen, kann optional ein Preprocessor PP eingesetzt werden. Der Preprocessor hat die Aufgabe, die Log-Daten so zu korrelieren und zu verdich­ ten, daß als Ergebnis Datensätze mit den im eigentlichen Ver­ fahren benötigten Attributwerten geliefert werden.

Grundsätzlich kann jeder beliebige Preprocessor verwendet werden, der als Ergebnis LDR eine Obermenge der vom Verfahren benötigten Attributwerte liefert.

In einer bevorzugten Ausführungsform des Anmeldungsgegen­ standes wird ein regel-basierter Preprocessor verwendet. Die Regeln steuern dabei die Korrelation und die Verdichtung der Log-Daten.

Wird im eigentlichen Verfahren ein neues charakteristisches Attribut hinzugefügt oder fällt ein charakteristisches Attri­ but weg, dann können die Auswahlregeln des Preprocessor ein­ fach (automatisch) angepaßt werden. Eine automatische Anpas­ sung der Auswahlregeln kann dabei, wie in der Fig. 1 mit ADAP (für: Adaption) bezeichnet, über Notifications (freilaufende Meldungen) an den Preprocessor gesteuert werden.

Das nachfolgend beschriebene Verfahren kann damit

• - direkt auf den Log-Dateien aufsetzen,
• - auf Ergebnisse eines beliebigen Preprocessors aufsetzen
• - auf Ergebnisse (in Fig. 1 mit INTM bezeichnet) eines spezi­ fischen regel-basierten Preprocessor aufsetzen.

Im Folgenden werden die dem Verfahren zugrundeliegenden Daten Log-Daten genannt.

Gemäß dem Anmeldungsgegenstand sind verschiedene Methoden der Neuroinformatik auf Log-Daten anwendbar. Bei der Methode "Neuronales Netz mit überwachten Training" wird das Neuronale Netz mit einem Satz von Beispielen trainiert. Die Vorausset­ zung für das Training ist, daß zu jedem Beispiel der zugehö­ rige Zielwert gegeben ist, d. h. es muß zum Zeitpunkt des Trainings bekannt sein, ob für das betrachtete Beispiel eine Unregelmäßigkeit, insbesondere Betrug, vorlag. Ein Beispiel besteht aus einer Reihe von Attributen, die das Verhalten ei­ nes Nutzers hinsichtlich bestimmter Loginhalte charakterisie­ ren. Dabei müssen die zu untersuchenden Zielwerte und die für das Beispiel charakteristischen Attribute vorgegeben werden. Die charakteristischen Attribute bestimmen das Verhalten ei­ nes Nutzers. Das Verhalten wiederum ist abhängig von bestimm­ ten Attributwerten (den Daten selber).

Zu jedem Nutzer wird ein Beispiel generiert. Die charakteri­ stischen Attribute sind z. B.: - mittlere Anzahl der von einem Nutzer an einem Tag durchgeführten Managementoperationen über einen Beobachtungszeitraum (z. B. vier Wochen) - Streuung der Anzahl der von einem Nutzer an einem Tag durchgeführten Ma­ nagementoperationen über einen Beobachtungszeitraum (z. B. vier Wochen) - maximale Anzahl der von einem Nutzer an einem Tag durchgeführten Managementoperationen über einen Beobach­ tungszeitraum (z. B. vier Wochen) - minimale Anzahl der von einem Nutzer an einem Tag durchgeführten Managementoperatio­ nen über einen Beobachtungszeitraum (z. B. vier Wochen) - mittlere Anzahl der von einem Nutzer an einem Tag durchge­ führten spezifischen Managementoperationen über einen Beob­ achtungszeitraum (z. B. vier Wochen) - Streuung der Anzahl der von einem Nutzer an einem Tag durchgeführten spezifischen Ma­ nagementoperationen über einen Beobachtungszeitraum (z. B. vier Wochen) - maximale Anzahl der von einem Nutzer an einem Tag durchgeführten spezifischen Managementoperationen über einen Beobachtungszeitraum (z. B. vier Wochen) - minimale An­ zahl der von einem Nutzer an einem Tag durchgeführten spezi­ fischen Managementoperationen über einen Beobachtungszeitraum (z. B. vier Wochen) - mittlere Anzahl der von einem System an einem Tag ausgesen­ deten Alarme über einen Beobachtungszeitraum (z. B. vier Wo­ chen) - Streuung der Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeitraum (z. B. vier Wochen) - maximale Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeitraum (z. B. vier Wochen) - minimale Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeit­ raum (z. B. vier Wochen) - mittlere Anzahl der von einem System an einem Tag gesendeten Spezialalarme über einen Beobach­ tungszeitraum (z. B. vier Wochen) - Streuung der Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeitraum (z. B. vier Wochen) - maximale Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeitraum (z. B. vier Wochen) - minimale Anzahl der von einem System an einem Tag ausgesendeten Alarme über einen Beobachtungszeitraum (z. B. vier Wochen) etc. Ziel der Trai­ ningsphase (Vorabschritte) des Neuronalen Netzes ist es, ein Modell zu erstellen, welches für einen Nutzer anhand des ge­ gebenen Beispiels entscheidet, ob eine Nutzung hinsichtlich eines oder mehrerer definierter Zielwerte stattfindet oder nicht. Die Modellerstellung erfolgt durch das überwachte Training, dessen Grundlagen in Rumelhart, D. E., Hinton, G. E. und Williams, R. J. Learning internal representation by error backpropagation, Parallel Distributed Processing, S. 318-362, Cambridge, MA, MIT Press, 1986 detailliert beschrieben sind. In der Trainingsphase werden folgende Schritte durchge­ führt: Jedem Nutzer wird ein Verhaltensmuster in Form von At­ tributen zugeordnet, das ein gewisses (Verhaltens-) Profil über einen längeren Zeitraum beschreibt. Der dem Verhaltens­ muster zugrundeliegende Zeitraum sollte nicht kürzer als vier Wochen sein und vor dem Zeitpunkt liegen, in dem die Methode für Marketing und Controllingszwecke angewendet wird.

Das neuronale Netz wird anhand von Trainingsdaten auf die Nutzung hinsichtlich der definierten Zielwerte hin trainiert. Nach Abschluß der Trainingsphase beginnt die Anwendungsphase des neuronalen Netzes, in der kontinuierlich folgende Schrit­ te durchgeführt werden: Zu jedem Nutzer wird aus den zugehöri­ gen Logeinträgen eines Beobachtungszeitraums neue Attribut­ werte (ein Beispiel pro Nutzer) ermittelt. Wird die Methode für Controllingzwecke angewendet, dann wird der Beobachtungs­ raum sehr klein gewählt (z. B. ein Tag). Wird die Methode für Marketingzwecke angewendet, dann wird der Beobachtungszeit­ raum größer gewählt (z. B. vier Wochen). Das Neuronale Netze entscheidet auf Basis der Beispiele, ob die Nutzung im Beob­ achtungszeitraum einem bestimmten Zielwert zugeordnet werden kann oder nicht. Diese Entscheidung wird nutzer-spezifisch als Ergebnis des Beobachtungszeitraumes angezeigt und optio­ nal in einer Datenbasis HIST protokolliert. Voraussetzung hierfür ist, daß sich die Daten eindeutig einem Nutzer zuord­ nen lassen. Diese Voraussetzung läßt sich auf unterschiedli­ che Art erfüllen:

• - der Name des Nutzers ist in anonymisierter oder nicht an­ onymisierter Form Bestandteil der Log-Daten, oder
• - der Name des Nutzers ist nicht Bestandteil der Log-Daten, aber die Daten lassen sich eindeutig einem spezifischen realen Nutzer (z. B. einer Person oder einer Applikati­ on)zuordnen, oder
• - der Name des Nutzers ist nicht Bestandteil der Log-Daten, aber die Daten lassen sich eindeutig einem spezifischen virtuellen Nutzer (wie z. B. Nutzer 1, Nutzer 2, . . .) zuord­ nen; eine solche Zuordnung reicht z. B. für Statistiken und für Aussagen von Markttrends aus

etc.

Das neuronale Netz wird bei Bedarf mit neuen Zielwerten hin­ sichtlich seiner Nutzung trainiert, insbesondere mit bis da­ to noch nicht bekannten Betrugs-/Manipulationsfällen. Bei der Methode "dichte-basierte Profilmodellierung" handelt es sich um eine probabilistische Modellierung des Verhaltens ei­ nes Nutzers (probabilistische Profilmodellierung). Das Ver­ halten eines Nutzers wird in Form von Verhaltensmustern be­ schrieben. Jedes Verhaltensmuster wird in Form eines Modells anhand von zugehörigen Beispielen erstellt. Diese Beispiele bestehen aus mehreren, charakteristischen Attributen, die auf bestimmten Loginhalte basieren, wie sie z. B. bei der Methode "Neuronales Netz mit überwachtem Training" beschrieben sind. In der Trainingsphase der dichte-basierten Profilmodel­ lierung werden folgende Schritte durchgeführt: Jedem Nutzer werden Verhaltensmuster in Form einer Menge von Beispielen zugeordnet, die die Verhaltensweise des Nutzers über einen längeren Zeitraum beschreiben. Der den Verhaltensmuster zu­ grundeliegende Zeitraum sollte nicht kürzer als vier Wochen sein und vor dem Zeitpunkt liegen, in dem die Methode für Marketing- und Controllingzwecke angewendet wird. Für jeden Nutzer wird ein probabilistisches Profil erstellt. Diese Er­ stellung erfolgt durch die Dichteschätzung mit dem EM- Algorithmus. Die genaue Beschreibung ist in Chris Bishop, Neural Networks in Pattern Recognition, Oxford Press, 1996 enthalten.

Nach Abschluß der Trainingsphase beginnt die Anwendungsphase der dichte-basierten Profilmodellierung, in der kontinuier­ lich folgende Schritte durchgeführt werden: Die Logdaten eines Beobachtungszeitraumes (beispielsweise eines Tages) werden hinsichtlich der für die probabilistische Profilmodellierung bestimmten Loginhalte analysiert (ein neues Beispiel wird er­ zeugt). Das dichte basierte Profilmodell gibt einen Wert aus, der eine Wahrscheinlichkeit für die Nutzung des Netzes des betrachteten Nutzers hinsichtlich der definierten Verhaltens­ muster darstellt. Mit dem aktuellen Beispiel wird das Profil­ modell nachadaptiert. Das nachadaptierte Profilmodell wird nutzer-spezifisch als Ergebnis des Beobachtungszeitraums an­ gezeigt und optional in einer Datenbasis protokolliert. Vor­ aussetzung hierfür ist, daß sich die Daten wie oben beschrie­ ben eindeutig einem Nutzer zuordnen lassen. Basis für die Me­ thode des kausalen Netz' ist die Modellierung typischer Ver­ haltensszenarien in Form von kausalen Abhängigkeiten und Wahrscheinlichkeiten bestimmter Loginhalte wie z. B. in Fig. 2 in Form eines Betrugsszenarios dargestellt sind.

Sowohl der jeweilige Wochentag WD/WE (für: working day, Werktag/week end, Wochenende) als auch das jeweilige Be­ trugszenario BS haben Einfluß auf die Objektklasse OK, die Anzahl der Zugriffe AZ, die Dauer der Zugriffe DZ und die Zu­ griffsart ZA.

(1) Wird auf die Objektklasse "Billing-Daten" an einem belie­ bigen Tag mehr als 1 mal oder keinmal zugegriffen, dann han­ delt es sich mit Wahrscheinlichkeit 0,8 um eine Unregelmäßig­ keit bei der Vergebührung (Gebührenbetrug). (2) Wird auf die Objektklasse "Billing Daten" mit einer Zugriffsart ungleich FTP (File Transfer Protocol) oder FTAM (File Transfer Access Method) zugegriffen, dann handelt es sich mit Wahrscheinlich­ keit 0,5 µm einen Gebührenbetrug. (3) Dauert die Übertragung einer Gebührendatei mit der Zugriffsart FTAM mehr als n mal (n < 1) der durchschnittlichen Übertragungsdauer, dann han­ delt es sich mit der Wahrscheinlichkeit max(1, n.0,2) um einen Gebührenbetrug.

Die kausalen Abhängigkeiten basieren auf der Auswertung be­ kannter Nutzungsfälle. Sie können sich auf mehrere Log- Dateien beziehen. Sie sind nicht spezifisch einzelnen Nutzern zugeordnet. Modellierung des kausalen NetzesIn dieser Phase werden folgende Schritte durchgeführt: Für alle am Netzmanage­ ment beteiligten Log-Dateien werden für alle betrachteten Verhaltensszenarien die kausalen Abhängigkeiten hinsichtlich der Log-Inhalte formuliert. An den Stellen, wo die kausalen Abhängigkeiten existieren, werden entsprechende Wahrschein­ lichkeiten zugeordnet. In der Modellierungsphase ist das Do­ mänewissen des Fachexperten notwendig. Die Grundlage über das kausale Netz ist in Finn V. Jensen, An Introduction to Baye­ sian Networks, UCL Press 1996 beschrieben. In der Anwendungs­ phase des kausalen Netzes werden kontinuierlich folgende Schritte durchgeführt: Die Logdaten werden kontinuierlich auf die formulierten kausalen Abhängigkeiten hin untersucht. Für jeden Nutzer bzw. jedes Ereignis wird entschieden, mit wel­ cher Wahrscheinlichlichkeit eine spezifische Nutzung hin­ sichtlich der definierten Verhaltensszenarien vorliegt. Die­ se Entscheidung wird als Ergebnis angezeigt und optional in einer Datenbasis HIST protokolliert. Die Wahrscheinlichkeiten hinter den kausalen Abhängigkeiten können nachadaptiert wer­ den. Die kausalen Abhängigkeiten von neuen, bis dato noch nicht betrachteten Verhaltensszenarien werden bei Bedarf den existierenden kausalen Abhängigkeiten hinzugefügt.

Diese Methode läßt ist auch dann anwendbar, wenn der Nutzer nicht Bestandteil des Logeintrags ist. In diesem Fall kann aber eine erkannte Nutzung keinem spezifischen Nutzer, insbe­ sondere ein Betrugs- und Manipulationsverdacht keinem Verur­ sacher, zugeordnet werden.

Grundsätzlich ist es möglich, die Einzelergebnisse der ein­ zelnen Verfahren auszugeben. In weiterer Ausgestaltung des Anmeldungsgegenstandes werden die Einzelergebnisse der ein­ zelnen Verfahren zu einem Gesamtergebnis verdichtet. Diese Verdichtung bezieht die Einzelergebnisse der verschiedenen Verfahren ein. Die Einzelergebnisse können sowohl aus dem aktuellen als auch aus vergangenen Beoabachtungszeiträumen stammen. Zusätzlich können bei der Verdichtung weitere Daten (wie z. B. die Ergebnisse von anderen Verfahren, insbesondere einem regel-basierten Verfahren, Teilnehmerdaten, Daten über das Rechnungsverhalten der Teilnehmer, schwarze Listen von Teilnehmern, weiße Listen von Teilnehmern, CDRs etc.) berück­ sichtigt werden. Ein Beispiel für eine solche Verdichtung ist die Erkennung, wie bestimmte eingerichtete Dienste auch tat­ sächlich genutzt werden. Dies kann zu einer Markttrenderken­ nung durch Auswertung von Ergebnissen verschiedener Beobach­ tungszeiträume führen.

Claims (17)

1. Verfahren zur Erkennung von Unregelmäßigkeiten beim Netz- Management demzufolge

• - die in einem Telekommunikationsnetz auftretenden Vorgänge im Zuge des Netz-Managements auf Log-Dateien protokolliert werden
• - eine Log-Datei oder mehrere Log-Dateien unter Anwendung mindestens einer der folgenden Methoden ausgewertet werden:
• - neuronales Netz, überwacht trainiert,
• - dichte basierte Profilmodellierung,
• - kausalneuronales Netz

derart, daß eine signifikante Abweichung von einem Ergeb­ nis, wie es bei regulärem Nutzerverhalten auftritt, ausge­ geben wird.

2. Verfahren zur Erfassung des Nutzungsverhaltens beim Netz- Management von Nutzern eines Netzes demzufolge

• - die in einem Netz auftretenden Vorgänge im Zuge des Netz- Management's auf Log-Dateien protokolliert werden
• - eine Log-Datei oder mehrere Log-Dateien unter Anwendung mindestens einer der folgenden Methoden ausgewertet werden:
• - neuronales Netz, überwacht trainiert,
• - dichte basierte Profilmodellierung,
• - kausales Netz

derart, daß eine Zuordnung eines Nutzers nach Maßgabe sei­ nes Nutzer-Verhaltens zu einer Kategorie von Nutzungsver­ halten (Verhaltensmuster, Verhaltensszenario) ausgegeben wird.

3. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Log-Dateien vor der Auswertung einer Vorbehandlung unter­ zogen werden.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Daten durch die Vorbehandlung auf ein einheitliches, standardisiertes Format nach ITU X.735, X.733, X.740 oder X.736 gebracht werden.

5. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Daten durch die Vorbehandlung auf ein einheitliches, standardisiertes Format nach einem IETF RFC gebracht werden.

6. Verfahren nach einem der Ansprüche 3, 4 oder 5, dadurch gekennzeichnet, daß es sich bei der Vorbehandlung um eine regel-basierte Vor­ behandlung handelt.

7. Verfahren nach einem der Ansprüche 3 bis 6 dadurch gekennzeichnet, daß die einer Vorbehandlung unterzogenen Log-Daten vor der Aus­ wertung zwischengespeichert werden.

8. Verfahren nach einem der Ansprüche 3 bis 7, dadurch gekennzeichnet, daß nach Maßgabe des Auswerteergebnisses mindestens einer der Methoden eine automatische Anpassung der Auswahlregeln für die Vorbehandlung der Teilnehmerdaten erfolgt.

9. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Ergebnisse der aktuellen Auswertungen wenigstens zweier Methoden zu einem Endergebnis verknüpft werden.

10. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Ergebnisse der Auswertungen wenigstens zweier Methoden eines aktuellen Beobachtungszeitraum und eines vergangenen Beobachtungszeitraums zu einem Endergebnis verknüpft werden.

11. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Ergebnisse der Auswertungen wenigstens einer Methode mit weiteren Netzdaten zu einem Gesamt-Endergebnis verknüpft wer­ den.

12. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß es sich bei dem Netz um ein Telekommunikationsnetz handelt.

13. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß es sich bei dem Netz um ein Intelligentes Netz handelt.

14. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß es sich bei dem Netz um ein Datennetz handelt.

15. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Verfahren zur Betrugserkennung (Erkennung von Unregelmä­ ßigkeiten, Manipulationen) verwendet wird.

16. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Verfahren zur Erkennung von Markttrends und Marketing- Aussagen verwendet wird.

17. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Verfahren zur Erkennung von Netzengpässen verwendet wird.