Einzelne (überwachbare) Benutzermodelle berechnen einen Satz von Attributen und die entsprechende Ereignisanzahl für den Benutzer für die letzten 10 Tage. Wenn der Wert für den Benutzer außerhalb des vorhergesagten Bereichs liegt oder neu ist, stellt das ML-Modell mit hoher Verlässlichkeit fest, dass das Ereignis abnormal ist.