English
Alerts & Schwellenwerte

Anomalie-Erkennung

Auch genannt: Anomaly Detection, Ausreißererkennung

Anomalie-Erkennung (Anomaly Detection) ist ein Verfahren, das Werte oder Muster findet, die vom üblichen Verlauf abweichen. Im Monitoring hilft sie, Auffälligkeiten zu melden, ohne dass für jede Kennzahl eine feste Grenze festgelegt sein muss.

Wie funktioniert Anomalie-Erkennung?

Das System bildet aus historischen Daten ein Normalprofil (Baseline). Neue Werte werden damit verglichen, Abweichungen werden markiert und anschließend geprüft (Quelle: Elastic). Dafür nutzt man statistische Verfahren, Regeln oder maschinelles Lernen. Beim unüberwachten Lernen braucht das Modell keine gelabelten Beispiele. Das gilt laut IBM als der häufigste Ansatz.

Üblich ist die Einteilung in drei Arten:

  • Punktanomalie: Ein einzelner Wert fällt aus der Reihe, zum Beispiel ein Tag mit sehr wenigen Klicks.
  • Kontextanomalie: Der Wert ist nur im Zusammenhang auffällig, etwa viel Traffic an einem Sonntag, an dem sonst wenig los ist.
  • Kollektive Anomalie: Eine Gruppe von Werten ist gemeinsam auffällig, etwa eine Woche mit stetig sinkender Zahl indexierter Seiten.
Normalbereich, Ausreißer, Fehlalarm (Beispieldaten, erfunden)Liniendiagramm mit erfundenen Beispieldaten über 56 Tage, als Index (100 = üblicher Werktag). Ein Erwartungsband zeigt den Normalbereich je Wochentag, an Wochenenden liegt er niedriger. Die Linie schwankt meist innerhalb des Bandes, das ist normales Rauschen. An Tag 24, einem Feiertag, fällt der Wert unter das Band. Das löst eine Meldung aus, obwohl die Ursache bekannt ist. Es handelt sich um einen Fehlalarm. Ab Tag 44 fällt der Wert deutlich und bleibt unter dem Band. Das ist ein echter Einbruch und ein berechtigter Alarm. Die untere Bandgrenze dient als Schwelle.Beispieldaten, erfundenErwartungsbandMesswertAlarmFehlalarmIndex(100 = üblicher Werktag)6080100120Tag 1Tag 14Tag 28Tag 42Tag 56untere Grenze= Schwellenormales Rauschen im BandTag 24, Feiertag: unter dem Band,Ursache bekannt → Fehlalarmab Tag 44: deutlich undanhaltend unter dem Band→ AlarmErfundene Werte zur Veranschaulichung. Band = erwarteter Wert je Wochentag ± Toleranz.Beispieldaten, erfunden.
Erfundene Beispieldaten. Ein Messwert schwankt meist innerhalb des erwarteten Bereichs. Ein Feiertag fällt aus dem Band und löst einen Fehlalarm aus, ein anhaltender Einbruch einen berechtigten Alarm. Beispiel aus der Praxis, kein Standardverfahren. Schematische Darstellung.

Anomalie-Erkennung und Schwellenwert

Ein Schwellenwert löst bei einer festen Grenze aus. Anomalie-Erkennung vergleicht mit dem bisherigen Verlauf und passt sich Schwankungen wie Wochentagen an. Dafür braucht sie eine Lernphase mit genug Daten (Einschätzung). Google Analytics 4 bietet unter dem Namen automatisierte Statistiken eine solche Funktion. Sie meldet laut Hilfeseite ungewöhnliche Änderungen mithilfe maschinellen Lernens, die genaue Methode nennt Google dort nicht. Nutzer können zusätzlich eigene Regeln anlegen und die Auswertung stündlich, täglich, wöchentlich oder monatlich wählen.

Beispiel

Eine Website hat an Werktagen meist 8.000 bis 10.000 organische Klicks. An einem Mittwoch sind es 3.200. Ein fester Schwellenwert von 2.000 hätte nicht ausgelöst. Die Anomalie-Erkennung markiert den Tag, weil er weit unter dem Üblichen für einen Mittwoch liegt. Ein Blick in die Daten zeigt, dass die Produktseiten seit dem Vormittag nicht erreichbar waren. Das Beispiel ist erfunden.

Häufige Fehler

  • Zu wenig Verlauf: Saisonale Effekte wie Feiertage oder Aktionen werden nicht gelernt und als Anomalie gemeldet.
  • Das Modell veraltet, weil sich die Website verändert hat (Quelle: Elastic nennt veraltete Modelle als Herausforderung).
  • Eine erkannte Anomalie gilt ohne Prüfung als Problem. Auch beabsichtigte Ereignisse wie eine Kampagne erzeugen Ausreißer.

Quellen

  1. Automatisierte Statistiken – Analytics-Hilfesupport.google.com
  2. Was ist Anomalieerkennung? – IBMibm.com
  3. Was ist Anomalieerkennung? – Elasticelastic.co

Stand: