JP2004508631A

JP2004508631A - 異常検出システム及びそれを教授する方法

Info

Publication number: JP2004508631A
Application number: JP2002524792A
Authority: JP
Inventors: ホーグルンド　アルベルト; ヘートーネン　キムモ; ソルヴァリ　アンッティ
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 2000-09-11
Filing date: 2001-09-10
Publication date: 2004-03-18
Anticipated expiration: 2021-09-10
Also published as: AU2001269056A1; EP1334417A1; US7613668B2; WO2002021774A1; WO2002021242A1; US20030225520A1; FI20001997A; JP4436042B2; FI114749B; US20040039968A1; CA2421928A1; EP1325588A1; US7519860B2; AU2001287759A1; CN1455890A; CA2421928C; CN1196984C; FI20001997A0

Abstract

少なくとも１つが周期的な時間従属振舞いを有する観察可能なエレメント（３０２）を備えたシステムにおいて異常検出機構を教授する方法であって、その異常検出機構は、コンピュータ化された学習機構（３１４）を備えている。上記方法は、エレメント（３０２）の振舞いを指示する指示子（３０４）を組み立てそしてその組み立てられた指示子を、各々の観察可能なエレメントの指示子が同じ入力データコンポーネントに指定されるように配列する段階を含む。上記学習機構（３１４）は、その入力データが上記組み立てられた指示子（３０４）に基づく入力データコンポーネントを含むように教授される。入力データを近似するポイントが入力スペースに配置される。時間のプレゼンテーション（４２０−４２４）が少なくとも１つの入力データコンポーネントに組み込まれ、上記時間のプレゼンテーションは、周期的であり、連続的であり、そして周期的な時間従属振舞いをもつ少なくとも１つのエレメントの周期内で明確である。

Description

【０００１】
【技術分野】
本発明は、正常な振舞いの概念が時間と共に変化するようなコンピュータ及びテレコミュニケーションネットワークにおける異常検出に係る。より詳細には、本発明は、特に異常検出機構を教授することに係る。このような異常検出機構の一例は、自己編成マップ（ＳＯＭ）をベースとするものである。
【０００２】
【背景技術】
異常状態を検出する機構は、２つの主たる分類、即ちルールに基づく検出機構及び異常検出機構の一方に属する。ルールに基づく検出機構は、不適切であると知られているある振舞いパターンを認識するように試みる。従って、ルールに基づく検出機構は、２つの厳しい制限があり、即ち以前に発生した問題及び検出システムに明確に教授されているか又はそれにプログラムされている問題しか検出できない。本明細書で使用される異常検出システム（ＡＤＳ）では、検出問題が逆転され、即ちそれらシステムは、何が正常な振舞いであるか教授され、そしてその正常状態から著しく（所定量だけ）逸脱するものを異常と考える。このＡＤＳ機構は、潜在的な問題状態を明確にトレーニングしなくてもそのような状態を検出することができる。ＡＤＳの一例が参照文献１に示されている。従って、ＡＤＳは、ターゲットシステムの正常な振舞いがトレーニングされる機構として定義される。従って、ＡＤＳは、正常状態から著しく逸脱するたびに潜在的な異常としてフラグを立てる。これに対して、ルールに基づく検出システムは、異常な振舞いの既知のモデルでトレーニングされ、教授された問題しか検出できない。
【０００３】
参照文献１は、Ｕｎｉｘベースのコンピュータシステムに対するＡＤＳを開示している。このシステムは、データ収集コンポーネント、ユーザ振舞いビジュアル化コンポーネント、自動異常検出コンポーネント及びユーザインターフェイスで構成される。このシステムは、システムにおいてユーザの振舞いを特徴付ける１組の特徴を選択することにより異常検出に必要なデータの量を減少する。自動異常検出コンポーネントは、テウボ・コーネンにより最初に形成された自己編成マップ（ＳＯＭ）でユーザの毎日のプロフィールを近似する。ＳＯＭの重要パラメータは、「ベスト・マッピング・ユニット（ＢＭＵ）」距離である。ＳＯＭのＢＭＵは、毎日のプロフィールからの逸脱を検出するのに使用される。このような逸脱の尺度は、異常Ｐ値として表わされる。参照文献１によれば、ＡＤＳは、テストされ、そして広範囲な異常振舞いを検出できることが分かっている。
【０００４】
既知のＳＯＭベースのＡＤＳ機構に伴う問題は、良好に定義された正常な振舞いを有するシステムにおける問題の検出に限定されることである。ほとんどのテレコミュニケーションネットワークでは、「正常な振舞い」の概念がせいぜい漠然としたものである。ピーク時間におけるネットワークエレメントの振舞いは、夜明け直前の静寂時間におけるその振舞いとは非常に異なる。より詳細には、最も頻繁に起きることであるが、正常と称されるものに変化を生じさせるのはユーザである。換言すれば、既知のＡＤＳ機構は、正常な振舞いが時間と共に変化するシステム又はエレメントにおいて問題を検出するのには容易に適さない。
【０００５】
【発明の開示】
従って、本発明の目的は、正常な振舞いが時間と共に著しく変化するシステムにおいて正常な振舞いの概念に依存するＡＤＳ機構を教授するための機構を提供することである。ここで、「著しく」とは、ある時間に正常である振舞いが、他の時間には異常とみなすべきであることを意味する。
この目的は、独立請求項に記載されたことを特徴とする方法及び装置により達成される。本発明の好ましい実施形態は、従属請求項に記載する。
【０００６】
本発明は、ＡＤＳへの入力データのコンポーネントとして時間を使用するという考え方を一部ベースとする。しかし、時間が、固定のスタートポイントから直線的に増加する量として表わされる場合には、入力データに時間を含ませるだけでは不充分である。このため、このような時間のプレゼンテーションは繰り返されず、ＡＤＳは、ある振舞いがいつ正常でありそしていつ異常であるか分からない。又、時間を周期的な量（例えば、２４時間クロック）として導入するだけでも不充分である。というのは、２３：５９から００：００への毎日のジャンプが入力データに厳しい不連続性を導入するからである。
【０００７】
従って、本発明は、テレコミュニケーションネットワークのようなシステムの経時変化する正常な振舞いによって生じる問題を解決するのに適した時間のプレゼンテーションを公式化することもベースとする。本発明によれば、入力データのコンポーネントとして使用される時間のプレゼンテーションは、１）周期的、２）連続的、及び３）明確（入力データの周期内で）である。時間（ｔ）のこのようなプレゼンテーションの好ましい例は、ｘ＝ｓｉｎ（２πｔ／Ｌ）及びｙ＝ｃｏｓ（２πｔ／Ｌ）のようなｘ及びｙコンポーネントに対する投影である。ここで、Ｌは、変化の周期の長さ、典型的に、２４時間又は１週間である。一目した限り、このような時間の二次元プレゼンテーションは、二次元ＳＯＭマップの両次元を使用すると思われるが、このようなＳＯＭマップは、ビジュアル化のみを目的とするものであり、コンピュータメモリ内で、ＳＯＭマップは、任意の数の次元をもつことができる。
【０００８】
しかしながら、時間のプレゼンテーションの連続的な必要性は、現実の制約を念頭において解釈されねばならない。全てのデジタルシステムは、分解能に限度があり、これは、時間のプレゼンテーションを完全に連続できないことを意味する。更に、あるメモリは、観察物を記憶するときに、それらの観察物の幾つかの最下位ビットを省略することにより、即ち量子化を行うことにより、セーブすることができる。本発明を説明する上で、時間のプレゼンテーションは、正常な振舞いと異常な振舞いの間の判断に影響を及ぼすに充分な大きさの不連続性を含まないならば、充分に連続的（＝大きなスケールで連続的）である。例えば、２４時間の使用周期を伴うテレコミュニケーションネットワークでは、ユーザの振舞いが迅速に変化して、ある形式の振舞いが、ある時点では正常と考えられるが、１０分又は１５分後には異常と考えられるような時間がなければ、約１０分又は１５分までの不連続性（量子化）は受け入れられると考えられる。これに対して、良好に定義された時間に開閉する（又はその振舞いを他のやり方で全く変化させる）システムに対する時間のプレゼンテーションは、不連続性が相当に小さくなければならない。
【０００９】
あるメモリは、観察可能なエレメントの振舞いの変化が、周期のある部分（例えば夜）の間には小さく及び／又は徐々に生じ、そして他の部分（例えば昼）の間には顕著なものであることが事前に分かれば、セーブすることができる。このような場合に、時間のプレゼンテーションは、分解能が周期内に可変となるようなものである。これは、１ビットが、周期の静寂部分中には例えば３０分を表わし、そして周期のよりアクティブな部分中には５−１５分を表わすことを意味する。
【００１０】
ある場合には、単一周期（通常２４時間）で充分であるが、時には、２つ又は３つのネスト状周期が必要となる。例えば、時間のプレゼンテーションは、２４時間周期で１つのコンポーネントを含みそして１週間周期で別のコンポーネントを含む。季節的変化により強く影響される位置又は状態の場合には、１年周期をもつ第３のコンポーネントが必要となる。
本発明は、自己編成マップに限定されず、ｋ−手段や「学習ベクトル量子化」のような他のクラスタリング技術にも使用できる。
【００１１】
本発明の好ましい実施形態によれば、時間のプレゼンテーションを含む全ての変数（入力データのコンポーネント）は、各変数のバリアンスが同一で、好ましくは１となるようにスケーリングされる。
本発明は、観察されるべきエレメントへアクセスできるコンピュータシステムにおいてソフトウェアルーチンとして実施することができる。本発明の機構は、単一のネットワーク要素、例えば、オペレーション・メンテナンスセンターにおいて構成されるのが理想的である。
【００１２】
【発明を実施するための最良の形態】
以下、添付図面を参照して、本発明の好ましい実施形態を詳細に説明する。
本発明の好ましい実施形態は、自己編成マップ（ＳＯＭ）技術に関連して説明する。図１は、自己編成マップを示す。異常に対するＳＯＭテストの目的は、オブジェクトの現在の振舞いが異常であるかどうかテストすることである。テストされるべき仮説は、次の通りである。
Ｈ_０：最新の観察は、異常でない。
Ｈ_１：最新の観察は、異常である。
【００１３】
オブジェクトの振舞いは、非常に一貫したものであり、これは、特徴スペース内の１つ又は若干の領域に集中することを意味する。他方、振舞いは、特徴スペース内に更に分散させることもでき、これは、より不規則な振舞いを意味する。異常に対してＳＯＭテストを行う考え方は、小さなオブジェクト特有のＳＯＭでオブジェクトの正常な振舞いを近似することである。以前の振舞いは、オブジェクトの正常な振舞いを表わすと仮定する。異常な観察は、ＳＯＭをトレーニングするときに以前の振舞いから省略することができる。
【００１４】
図１に示すＳＯＭは、参照番号１３で共通に示された２００ポイントの人為的データを伴う一次元（８＊１）ＳＯＭである。図２は、ＳＯＭのニューロン１４を中心として使用してプロットされた円又は楕円２１を伴う同じＳＯＭを示す。明瞭化のために、図１及び２は、２つの特徴１１及び１２のみで示されているが、実際には、観察可能な特徴の数は、２より相当に大きいものである。
２つの特徴に対する２００ポイントの人為的データは、そのデータでトレーニングされるサイズ８＊１のマップのニューロンと共に平面内にプロットされている。この一次元ＳＯＭは、データの２つのクラスター（各々４つの楕円２１を有する）をかなり良好に近似している。図１のデータは、人間に対してビジュアル化できるように二次元になっていることに注意されたい。コンピュータシステムでは、次元の数は、２より相当に大きくすることができる。
【００１５】
ＳＯＭにおけるデータポイントｆ_ｋに対する「ベスト・マッチング・ユニット（ＢＭＵ）」は、そのデータポイントに対して最小の距離を有するニューロンｗ_ｊである。これは、次の式（１）で表わされる。
【数１】

但し、ｄｉｓｔは、距離を意味する。
ここで、ＢＭＵに対するユークリッド距離を使用して、正常なオブジェクト特有の振舞いから観察がどれほど逸脱しているか測定すると仮定するが、他の形式の距離測定も使用できる。異常なＰ値は、観察に対する異常の程度の尺度である。この値に基づいて、仮説Ｈ_０が受け入れられるか又は拒絶される。異常なＰ値の計算は、ＳＯＭベースのＡＤＳの使用段階に関連して説明する。
【００１６】
ＡＤＳ機構は、３つの主たる段階、設計、教授及び使用を含む。設計段階は、通常、人間の判断を伴い、そして次の段階を含む。
１．ターゲットオブジェクトを記述する１組の特徴を選択する。オブジェクトを記述する特徴ベクトルは、ｆで表わされる。（ターゲットオブジェクトは、ネットワークエレメントのような観察されるべきオブジェクトである。）この段階は、参照文献１に詳細に説明されている。本発明の説明上、特徴とは、正常な振舞いと異常な振舞いとの間の判断を行うために使用できるパラメータであることを述べれば充分であろう。
２．異常な振舞いを検出するために仮説を公式化する。その目的は、異常に対して最新の観察ｆ_ｎ＋１をテストすることである。テストされるべき仮説は、Ｈ_０：「最新の観察ｆ_ｎ＋１は、異常ではない」である。別の仮説は、Ｈ_１：「最新の観察ｆ_ｎ＋１は、異常である」である。（サフィックスｎは、使用段階に関連して説明する。）
【００１７】
教授段階は、通常、次の段階を含む。
１．ターゲットオブジェクトの正常な振舞いを観察する。例えば、特徴ベクトルのｎ個の測定値（ｆ_１、ｆ_２、・・ｆ_ｎ）が収集される。
２．測定値（ｆ_１、ｆ_２、・・ｆ_ｎ）をトレーニングデータとして使用してｍ個のニューロンでＳＯＭをトレーニングする。マップにおけるニューロンの数ｍは、ｎよりも非常に小さく選択され、例えば、ｎ／１０に選択される。
【００１８】
使用段階は、通常、次の段階を含む。
１．いずれかのデータポイント（ｆ_１、ｆ_２、・・ｆ_ｎ）に対して「ベスト・マッピング・ユニット（ＢＭＵ）」ではないＳＯＭのニューロンを削除する。
２．トレーニングされたＳＯＭから（ｆ_１、ｆ_２、・・ｆ_ｎ）に対するＢＭＵ距離を計算する。これらの距離は、（Ｄ_１、Ｄ_２、・・Ｄ_ｎ）で表わされる。
３．観察ｆ_ｎ＋１に対するＢＭＵ距離を計算する。この距離は、Ｄ_ｎ＋１で表わされる。
４．異常なＰ値を計算する。Ｄ_ｎ＋１より大きい「ベストマッピングユニット」距離（Ｄ_１、Ｄ_２、・・Ｄ_ｎ）の数をＢとする。従って、あるオブジェクトに対する異常なＰ値は、次の式で計算される。
【数２】

５．異常なＰ値に基づいてナル仮説を受け入れるか又は拒絶する。異常なＰ値が異常なＰ値のスレッシュホールドより大きい場合には、ナル仮説Ｈ_０が受け入れられる（最新の観察が正常とみなされる）。一方、異常なＰ値が異常なＰ値のスレッシュホールドより小さい場合には、ナル仮説Ｈ_０が拒絶され、そして最新のデータポイントが異常と仮定される。
【００１９】
オブジェクトの振舞いが異常である（Ｈ_０が拒絶された）ことをテストが指示する場合には、最上位ｋ個の逸脱特徴を決定することができる。ＢＭＵ距離に対して最も大きな絶対的貢献をもつｋ個の特徴（特徴ベクトルのコンポーネント）が、最上位ｋ個の逸脱特徴である。式（３）は、最も逸脱する特徴をいかに計算できるか示す。特徴ベクトルのこのコンポーネントは、式（３）においてサブインデックスｍｄが与えられている。式（３）において、ＢＭＵは、特徴ベクトルｆ_ｎ＋１の「ベスト・マッピング・ユニット」を意味し、そしてｊは、ゼロから特徴の数までの値をとる。他のｋ−１個の最も逸脱する特徴は、対応するやり方で計算される。
【数３】

【００２０】
図１に示す状態は、一例として使用することができる。図１は、参照番号１５で一般に示された２つの異常を示す。異常１に対する異常なＰ値は、０／２００＝０である。データポイントに対するＢＭＵ距離で、異常１の場合より大きなＢＭＵ距離を有するものは、皆無であるから、分子の値は、ゼロである。対応的に、異常２の場合の異常なＰ値は、７／２００＝０．０３５である。
【００２１】
異常なＰ値が異常なＰ値のスレッシュホールドより小さい場合には、ナル仮説Ｈ_０が拒絶され、そしてアラームがトリガーされる。異常なＰ値のスレッシュホールドは、監視されるオブジェクトの振舞いが、教授段階中に使用された同じオブジェクトの初期の振舞いから逸脱しない場合に拒絶される観察の一部分として解釈することができる。即ち、ナル仮説が新である場合には、次のようになる。
アラームの数＝Ｐ値スレッシュホールド＊観察　　　　　　　　　（４）
一方、ナル仮説が真でない（新たなデータが異常である）場合には、拒絶（アラーム）の数が大きくなる。
【００２２】
図２は、オブジェクト特有のマップのニューロンを中心とするｄ次元球（ｄ−球）を使用するオブジェクトｊに対して、選択されたＰ値スレッシュホールドをいかに描くか示している。二次元入力データでは、ｄ−球が円である。ここで、ｄは、入力データ（ｆ_１、ｆ_２、・・ｆ_ｎ）における次元の数を意味する。換言すれば、各入力データエレメントｆ_１ないしｆ_ｎは、それ自体、ｄ次元をもつベクトルである。球内に入らないオブジェクトｊに対する観察の数は、式（２）における分子Ｂに対応する。図２の二次元例は、このような状態を示している。ここで、Ｂは１３であり、これは、約６．５０というかなり高いＰ値スレッシュホールドに対応する。
【００２３】
図３は、本発明の好ましい実施形態を示すプロセスチャートである。参照番号３０２は、テレコミュニケーションネットワーク（ニューラルネットワークとは区別される）のような物理的システムのエレメントを指す。物理的エレメントは、多数の観察可能なエレメントを含む。例えば、物理的システムエレメント３０２がテレコミュニケーション交換機である場合には、その観察可能なエレメントは、スループット、待機時間、失敗したコールの数（又は割合）等を含む。時間単位ごとに、指示子収集装置３０６が指示子タプル３０４を収集する。タプルは、指示子データベース３１０に記憶される。参照番号３１２は、ニューラルネットワーク（又は別の学習機構）３１４をトレーニングするのに使用されるデータセットを指す。データセット３１２は、物理的エレメント３０２の正常な振舞いを指示しなければならない。記憶装置３１８は、トレーニングされたニューラルネットワークを含む。物理的エレメント３０２を観察すべきときには、それに対応するトレーニングされたニューラルネットワーク３２０が記憶装置３１８から検索され、そして異常検出機構３２２へ１つの入力として送られる。異常検出機構の他の入力は、異常な振舞いについてテストされるべき指示子セット３２４である。指示子セット３２４により記述された振舞いが異常であることを異常検出機構３２２が決定する場合には、異常Ｐ値及び最も逸脱する指示子３２６が異常経歴データベース３２８に記憶される。同時に、アラーム３３０がコンピュータスクリーンのような監視装置３３２に与えられる。
【００２４】
図４Ａないし４Ｃは、時間の異なるプレゼンテーションを示し、その幾つかは受け入れられ、そして幾つかは受け入れられない。図４Ａにおいて、横軸は、Ｌ単位の時間であり、但し、Ｌは、２４時間であると仮定される入力データの周期である。線４００は、時間の直線的なプレゼンテーションを示す。参照番号４０１ないし４０３は、２４時間間隔で生じる繰り返し事象の３つの例を指す。この時間プレゼンテーションに伴う問題は、時間のプレゼンテーションが異なるものであり、ＡＤＳが事象４０１ないし４０３を反復事象として認識できないことである。
【００２５】
鋸歯状の線４０５は、時間の２４時間プレゼンテーションであり、換言すれば、時間のモジュロ関数である。このプレゼンテーションにおいては、毎日同じ時間に生じる事象が同じ表示を有するが、日の変化が入力データに不連続性を導入する。
図４Ｂでは、正弦波４１０は、周期的で且つ連続的であるが、不明瞭ではない。事象４１１及び４１２は、異なる時間に発生するが、同じ時間プレゼンテーションを有する。事象４１１が朝に正常であったと仮定すれば、ＡＤＳは、同様の事象を、それが夕方に発生した場合に異常と認識しない。
【００２６】
図４Ｃは、３つの受け入れられる時間プレゼンテーションを示す。それらは、全て、時間が座標対ｘ、ｙとして表わされるという考え方をベースとしている。円４２０は、時間を｛ｘ＝ｓｉｎ（２πｔ／Ｌ）；ｙ＝ｃｏｓ（２πｔ／Ｌ）｝として表わし、Ｌは、変化の周期の長さであり、そして２πｔ／Ｌは、ｘ軸からの角度である。又、楕円４２２は、ポイントが楕円の上半分にあるか下半分にあるかに関して不明瞭さを導入するために楕円がフラットになり過ぎない限り受け入れられる。四角形４２４も使用できる。多数のポイントが同一のｘ又はｙ座標を有するが、四角形の２つのポイントは、同一のｘ／ｙ座標対をもたない。
【００２７】
円４２０のサイン／コサイン組合せは、時間的に等距離にある事象が時間のプレゼンテーションについても等距離にあるので、好ましい時間プレゼンテーションであると考えられる。しかしながら、サイン／コサイン組合せは、計算上厳しいものであり、９０°の位相シフトを伴う一対の三角波関数のようなある近似を使用することができる。上述したように、ある状態においては、時間のプレゼンテーションは、２つ以上のコンポーネントを必要とする。例えば、２４時間、１週間及び１年という周期を伴う３つまでのサイン／コサイン対がある。
【００２８】
本発明の好ましい実施形態を、ニューラルネットワーク及び自己編成マップに関連して説明したが、本発明は、これらの例に限定されるものではない。それとは別に、本発明は、ｋ−手段及び「学習ベクトル量子化」のような他のクラスタリング技術へと一般化することができ、この場合に、ニューロンは、コードブックベクトルに置き換えられる。
【００２９】
参照文献：
１．Ｈｏｇｌｕｎｄ、Ａｌｂｅｒｔ：ＡｎＡｎｏｍａｌｙＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍｆｏｒＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋｓ，ＭａｓｔｅｒｏｆＳｃｉｅｎｃｅｔｈｅｓｉｓ，ＨｅｌｓｉｎｋｉＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ１９９７
この参照文献１は、参考としてここに援用する。
【図面の簡単な説明】
【図１】
自己編成マップを示す図である。
【図２】
図１の変形で、ＳＯＭのニューロンを中心として円を描いた図である。
【図３】
本発明の好ましい実施形態を示すプロセスチャートである。
【図４Ａ】
時間のプレゼンテーションを示す図である。
【図４Ｂ】
時間の異なるプレゼンテーションを示す図である。
【図４Ｃ】
時間の更に別のプレゼンテーションを示す図である。

Claims

少なくとも１つが周期的な時間従属振舞いを有する観察可能なエレメント（３０２）を備えたシステムにおいて異常検出機構を教授する方法であって、その異常検出機構は、入力データコンポーネント（１１，１２）より成る入力データを定義するための入力スペースを有するコンピュータ化された学習機構（３１４）を備えており、上記方法は、上記観察可能なエレメント（３０２）の振舞いを指示する指示子（３０４）を組み立てそしてその組み立てられた指示子を、各々の観察可能なエレメントの指示子が同じ入力データコンポーネントに指定されるように配列し、上記学習機構（３１４）の入力データが上記組み立てられた指示子（３０４）に基づく入力データコンポーネントを含むように上記学習機構を教授し、そして上記入力スペースにおける入力データを近似するポイント（１４）を配置するという段階を備えた方法において、
少なくとも１つの入力データコンポーネント（１１，１２）に時間のプレゼンテーション（４２０−４２４）を組み込む段階を更に備え、
上記時間のプレゼンテーション（４２０−４２４）は、周期的であり、連続的であり、そして周期的な時間従属振舞いをもつ少なくとも１つのエレメントの周期（Ｌ）内で明確であることを特徴とする方法。
上記学習機構は、自己編成マップであるか又はそれを含む請求項１に記載の方法。
上記時間のプレゼンテーションは、第１周期と、該第１周期の倍数である少なくとも１つの第２周期とを有する請求項１又は２のいずれかに記載の方法。
上記入力データコンポーネントを、その各々が同じバリアンス、好ましくは１を有するようにスケーリングする段階を備えた請求項１ないし３のいずれかに記載の方法。
上記時間のプレゼンテーションは、１ビットが時間従属振舞いの変化に基づいて異なる時間単位に対応するように可変分解能を有する請求項１ないし４のいずれかに記載の方法。
少なくとも１つが周期的な時間従属振舞いを有する観察可能なエレメント（３０２）を備えたシステムにおいて異常を検出するための構成体であって、入力データコンポーネント（１１，１２）より成る入力データを定義するための入力スペースを有するコンピュータ化された学習機構（３１４）と、上記観察可能なエレメント（３０２）の振舞いを指示する指示子（３０４）を組み立てそしてその組み立てられた指示子を、各々の観察可能なエレメントの指示子が同じ入力データコンポーネントに指定されるように配列するための手段と、上記学習機構（３１４）の入力データが上記組み立てられた指示子（３０４）に基づく入力データコンポーネントを含むように上記学習機構を教授するための手段と、上記入力スペースにおける入力データを近似するポイント（１４）を配置するための手段とを備えた構成体において、
時間のプレゼンテーション（４２０−４２４）を含む少なくとも１つの入力データコンポーネント（１１，１２）を更に備え、
上記時間のプレゼンテーション（４２０−４２４）は、周期的であり、連続的であり、そして周期的な時間従属振舞いをもつ少なくとも１つのエレメントの周期（Ｌ）内で明確であることを特徴とする構成体。
上記学習機構は、自己編成マップであるか又はそれを含む請求項６に記載の構成体。
上記時間のプレゼンテーションは、第１周期と、該第１周期の倍数である少なくとも１つの第２周期とを有する請求項６又は７のいずれかに記載の構成体。
単一ネットワークエレメントで構成された請求項６ないし８のいずれかに記載の構成体。
コンピュータのソフトウェアを実行することによりコンピュータが請求項１の方法段階を実行するようにしたコンピュータのためのソフトウェアを含むコンピュータ読み取り可能な記憶媒体。