Monitoring
Fehler-Erkennung in Netzwerken
Fortsetzung des Artikels von Teil 3
Rauschminderung ist notwendig
Eine wesentliche Voraussetzung für die Nutzung der Mahalanobis-Distanz sind sehr rauscharme Signale. Bei den verwendeten Messwerten ist dies aber in aller Regel nicht der Fall. Die Werte müssen also zunächst geglättet werden. Dabei kommen Wavelet-Transformationen zum Einsatz, die sehr effizient durchgeführt werden können und für unseren Anwendungsfall gute Ergebnisse mit einem hohen Signal-Rausch-Verhältnis liefern.
Das erreichbare Glättungsniveau ist durch die Sampling-Rate der gemessenen Signale beschränkt, denn jede Iteration der Wavelet-Transformation halbiert die Auflösung eines Signals. Dass die Wavelet-Transformation die Messwerte oft nach oben skaliert, stellt für die hier vorgestellte Methode jedoch kein Problem dar, da die Mahalanobis-Distanz wie erwähnt skalenunabhängig arbeitet.
Die vorgestellte Methode kann durch Veränderung verschiedener Parameter je nach Szenario und verfügbaren Ressourcen angepasst werden. Dabei spielen insbesondere die Stufe der Wavelet-Transformation und die Länge von Beobachtungs- und Referenzfensters sowie deren zeitlicher Abstand eine große Rolle. Ein kürzerer Abstand zwischen den Fenstern bedeutet, dass das System Änderungen schneller lernt (da sie früher im Referenzfenster ankommen) und somit weniger anfällig für Fehlalarme bei schleichenden Änderungen der Signale ist. Ist der Abstand jedoch zu kurz, wird das Referenzfenster unter Umständen mit anormalen Werten kontaminiert. Anomalien bleiben dadurch unter Umständen unbemerkt.
Durch die Wahl der Länge des Referenzfensters kann Einfluss darauf genommen werden, wie gut das System regelmäßige Schwankungen der Messwerte toleriert. Enthalten Signale etwa bestimmte Nutzungsmuster, zum Beispiel tageszeitabhängige Schwankungen des Netzwerkverkehrs, sollte das Referenzfenster mindestens eine komplette Periode (zum Beispiel einen Tag) umfassen. Das System kann so die natürlichen Schwankungen optimal berücksichtigen.
- Fehler-Erkennung in Netzwerken
- Auswertung mehrdimensionaler Messwerte
- Referenz- und Beobachtungsfenster
- Rauschminderung ist notwendig
- Auswahl der analysierten Messwerte
