[논문 리뷰] Anomaly detection and motif discovery in symbolic representations of time series

Fabio Guigou, Pierre Collet외 1명|arXiv (Cornell University)|2017. 01. 01.

Time Series Analysis and Forecasting참고 문헌 14인용 수 2

한 줄 요약

이 논문은 시간 시리즈에 대해 기호적 평균근사(SAX)를 사용한 이상 탐지 및 무늬 탐지 알고리즘을 제안하고 평가하며, SAX 기반 방법이 사후 분석에는 효과적이지만, 다운샘플링과 슬라이딩 윈도우 처리로 인한 높은 지연으로 인해 실시간 적용에 한계가 있음을 입증한다. Sequitur과 Chaos Game는 뛰어난 탐지 성능를 보이지만, 주기적 패턴에 대한 민감도나 장기적인 전망 요구 조건에서의 상충 관계를 겪는다.

ABSTRACT

The advent of the Big Data hype and the consistent recollection of event logs and real-time data from sensors, monitoring software and machine configuration has generated a huge amount of time-varying data in about every sector of the industry. Rule-based processing of such data has ceased to be relevant in many scenarios where anomaly detection and pattern mining have to be entirely accomplished by the machine. Since the early 2000s, the de-facto standard for representing time series has been the Symbolic Aggregate approXimation (SAX).In this document, we present a few algorithms using this representation for anomaly detection and motif discovery, also known as pattern mining, in such data. We propose a benchmark of anomaly detection algorithms using data from Cloud monitoring software.

연구 동기 및 목표

• 대규모 산업 모니터링 시스템에서 유입되는 시간 시리즈 데이터에서 이상을 탐지하고 반복 패턴을 탐지하는 데 도전하는 데 목적을 두며.
• 특히 SAX를 포함한 기호적 표현이 실제 네트워크 및 시스템 모니터링 데이터에서 이상 탐지 및 무늬 탐지에 얼마나 효과적인지 평가하는 데 목적을 두며.
• 실제 클라우드 모니터링 데이터를 대상으로 Hot SAX, Sequitur, Chaos Game 등의 알고리즘을 벤치마킹하여 강점, 약점 및 구현 제약 조건을 규명하는 데 목적을 두며.
• 엄격한 지연 및 정확도 요구 조건을 가진 생산 환경에서 기호적 표현을 실시간 이상 탐지에 사용할 수 있는지 평가하는 데 목적을 두며.

제안 방법

• 연속적인 시간 시리즈를 이산적 기호 문자열로 변환하기 위해 기호적 평균근사(SAX) 표현을 적용하여 차원을 축소하고 문자열 기반 패턴 마이닝을 가능하게 한다.
• 기본 분포에서 벗어난 희귀한 SAX 단어를 식별함으로써 이상 탐지를 위해 Hot SAX를 활용한다.
• 기호 시퀀스의 압축 가능성에 기반하여 이상을 탐지하기 위해 Sequitur 알고리즘을 사용하며, 저복잡도 패턴을 이상으로 간주한다.
• 시간 시리즈를 기하학적 공간 내 궤적으로 모델링하여 이상을 탐지하기 위해 혼돈 게임 표현(CGR)을 구현하며, 이는 패턴의 구조적 변화에 민감하다.
• 최소 기술 길이(MDL), 문법 유도 및 MK 알고리즘을 사용하여 기호 시퀀스에서 반복 패턴을 식별하기 위해 무늬 탐지를 평가한다.
• 실제 클라우드 모니터링 데이터를 대상으로 비교 벤치마킹을 수행하며, 탐지 정확도, 런타임, 주기적 및 순환적 행동에 대한 민감도를 측정한다.

실험 결과

연구 질문

• RQ1 실제 시스템 모니터링 데이터에서 SAX 기반 이상 탐지 알고리즘이 실제 이상을 얼마나 효과적으로 식별할 수 있는가?
• RQ2 SAX 기반 이상 탐지 방법에서 탐지 정확도, 계산 비용, 지연 간의 상충 관계는 어떠한가?
• RQ3 다양한 기호 표현 기반 알고리즘(예: Hot SAX, Sequitur, Chaos Game)은 주기적, 순환적 또는 구조적 변화가 있는 시간 시리즈에서 어떻게 성능을 내는가?
• RQ4 다운샘플링과 윈도우 처리로 인한 본질적 지연을 감안할 때, 기호 표현이 실시간 이상 탐지에 얼마나 기여할 수 있는가?
• RQ5 기호 표현과 원시 데이터 처리를 조합한 하이브리드 접근 방식은 시간 시리즈 모니터링에서 탐지 속도와 정확도를 향상시킬 수 있는가?

주요 결과

• Sequitur는 이상 탐지 속도와 이상 탐지 민감도에서 가장 뛰어난 성능를 보였으며, 특히 복잡도가 증가하는 이상에 대해 유리하지만, 패턴을 단순화하는 이상(예: 지속적인 100% CPU 로드)은 탐지하지 못했다.
• 혼돈 게임 표현은 높은 정밀도의 이상 탐지 성능를 제공했고 예측 가능한 런타임을 보였지만, 최소 두 배의 특징 윈도우 크기 이상의 장기적인 전망 윈도우가 필요해 실시간 탐지에 부적절한 지연을 유발했다.
• Hot SAX는 희귀한 기호 패턴을 매우 정확하게 탐지했지만, 높은 계산 비용을 유발했으며 CPU 요구량이 높아 실시간 사용에 부적합했다.
• 모든 SAX 기반 알고리즘은 주간 또는 주기적 패턴에서 이상 탐지에 어려움을 겪었으며, 특히 기준 행동 자체가 순환적인 경우 거짓 경고나 탐지 누락이 발생했다.
• 본 연구는 기호 표현인 SAX가 사후 분석에는 효과적이지만, 다운샘플링과 윈도우 처리로 인한 본질적 지연으로 인해 실시간 이상 탐지에는 대부분 부적합하다고 결론 내렸다.
• 기호 표현을 장기적 패턴 분석에 사용하고, 원시 또는 양자화된 데이터를 실시간으로 처리하는 하이브리드 접근 방식이 탐지 지연을 줄이기 위한 실용적인 방향으로 제안되었다.