Tamaño de ventana y frecuencia de planificación

Tamaño de ventana

Una función de anomalía compila un catálogo de patrones interno desde los segmentos que captura. La función utiliza estos patrones para hacer coincidir cada segmento con un patrón existente. Por ejemplo, la función KMeansAnomalyScore agrupa patrones similares en categorías a lo largo del tiempo. A continuación, para cada ventana nueva, la función encuentra el patrón más cercano de su catálogo. Resta la señal de ventana de la señal de categoría. El resultado es una señal ruidosa. La función tiene algunos valores máximos y mínimos incorporados en función de una distribución normal. Si alguna parte de la señal ruidosa está fuera de los niveles normales, se detecta una anomalía.

La tabla siguiente muestra un tamaño de ventana típico y un tamaño de ventana mínimo para cada función. También muestra el número mínimo de puntos de datos necesarios para dar soporte al tamaño de ventana típico.

Limite el tamaño de ventana a los valores de tamaño de ventana típico. Es preferible un tamaño de ventana pequeño porque recopila más patrones para el análisis. Sin embargo, si el volumen de puntos de datos es pequeño, es posible que el detector de anomalías no tenga suficientes puntos de datos para realizar el análisis. Por ejemplo, si ejecuta una función KmeansAnomalyScore con solo 12 puntos de datos y establece un tamaño de ventana de 12, la función tiene un segmento de puntos de datos y nada con lo que comparar esta ventana.

Debe haber disponible un número mínimo de puntos de datos en una ejecución de interconexión para que los detectores de anomalías funcionen de forma eficaz. Como regla, el número mínimo de puntos de datos por señal o ejecución de interconexión es tener al menos dos veces el tamaño de la ventana (consulte la tabla 1).

Frecuencia de planificación

Antes de definir los criterios de planificación de una función de anomalía, identifique el número de puntos de datos que espera para cada ejecución de interconexión. El tamaño de una ejecución de interconexión lo determinan estos factores:

1. La frecuencia a la que sus dispositivos están enviando datos.
2. La temporización de una ejecución de interconexión.
3. La frecuencia de planificación de la función de anomalía en la interconexión.
4. El volumen de datos históricos incluidos para la función.

Por ejemplo, los dispositivos envían sucesos aproximadamente cada 5 segundos. Puede planificar una función de anomalía para que una métrica de datos por lotes se ejecute cada 5 minutos como parte de una ejecución de conducto. No incluye datos históricos en el análisis. La interconexión de su tipo de dispositivo normalmente finaliza en 5 minutos, por lo que no hay ningún retardo en el inicio de la siguiente interconexión. La señal tiene aproximadamente 60 puntos de datos. Si la señal tiene 60 puntos de datos y el tamaño de ventana es 10, la función de anomalía divide la señal en 50 ventanas deslizantes.

La tabla siguiente proporciona algunas directrices sobre cómo establecer el tamaño de ventana y configurar los parámetros de planificación para las funciones de anomalía basándose en la frecuencia de los datos:

Verifique que los parámetros que especifica para los modelos de anomalía funcionen correctamente en su entorno.