INSTITUT FÜR INFORMATIK Entwurf und Implementierung - Ludwig ...

Anhang A Mathematische Herleitung der verwendeten Vorhersagemethoden
Falls die zugrundeliegende Dynamik des Referenzfensters S ref und des gleitenden
Fensters S t sehr ähnlich ist, ergibt sich ein Wert nahe 1, und bei veränderter Dynamik
des gleitenden Fensters ein Wert kleiner als 1.
A.3 Random Predictor
Zum Vergleich der vorgestellten Vorhersagemethoden mit mit einer unspezischen
Methode, welche Alarme zufällig auslöst, wurde der Random Predictor verwendet
[21, 24]. Wie auch den spezischen Methoden wird diesem erlaubt, innerhalb
eines kurzen Zeitfensters I Alarme entsprechend der maximalen Fehlerrate FPR max
auszulösen, so dass p = FPR max · I die Wahrscheinlichkeit für einen Alarm während
des Zeitfensters I ist. Um einen Anfall korrekt vorherzusagen, muss mindestens ein
Alarm während eines längeren Zeitraums SOP ausgelöst werden. Die Wahrscheinlichkeit
hierfür ist
P (mind. ein Alarm in SOP) = 1 − P (kein Alarm in SOP) (A.9)
= 1 − P (kein Alarm in I) SOP
I
(A.10)
= 1 − (1 − FPR max · SOP) SOP
I (A.11)
≈ 1 − e −FPRmax·SOP für I ≪ SOP (A.12)
Die Wahrscheinlichkeit P, einen Anfall korrekt vorherzusagen, hängt nur von den
Vorhersageparametern SOP und FPR max ab. Sie kann verwendet werden, um gemäÿ
einer Binomialverteilung die Wahrscheinlichkeit zu berechnen, von K eingetretenen
Anfällen mindestens k vorherzusagen
P binom {k; K; P } = ∑ j≥k
( K
j
)
P j (1 − P ) K−j .
(A.13)
Wie in 3.1.2.1 besprochen werden im Zuge der Optimierung der spezischen Vorhersagemethoden
mehrfach beste Parameter bestimmt, z. B. das Beste von ursprünglich
mehreren Features. Um einen adäquaten Vergleich zu erlauben, muss auch dem
Random Predictor diese mehrmalige Gelegenheit eingeräumt werden, durch korrekte
Alarme die Anfälle vorherzusagen. Unter der Annahme, dass der spezischen
Methode d freie Parameter zur Verfügung stehen, ergibt dies dementsprechend
vi