🤖 AI

CRAFTIIF: Cross-Resolution Analytic Four-Type Interpretable Isolation Forest for Multivariate Time Series Anomaly Detection

CRAFTIIF is een volledig ongesuperviseerd framework dat state-of-the-art prestaties en inherente interpreteerbaarheid bereikt in de detectie van anomalieën in multivariate tijdreeksen door gebruik te maken van cross-resolutie analytische wavelet-kenmerken en een gespecialiseerde vijf-takken Isolation Forest-architectuur om gelijktijdig punt-, distributie-, temporele- en collectieve anomalieën te identificeren zonder dataset-specifieke afstemming.

Oorspronkelijke auteurs: William Smits

Gepubliceerd 2026-06-12

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: William Smits

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je de hoofdwacht houdt bij een enorme, hoogtechnologische fabriek met honderden sensoren die alles monitoren, van temperatuur tot trillingen. Jouw taak is om te zien wanneer er iets misgaat. Maar "iets misgaan" is niet één ding. Soms piekt een sensor een fractie van een seconde (een punt-anomalie). Soms begint een hele machine urenlang op een vreemd hoge temperatuur te draaien (een distributionele anomalie). Soms verandert het ritme van een motor, alsof een hart een slag overslaat (een temporele anomalie). En soms bewegen twee sensoren die normaal gesproken perfect synchroon lopen plotseling in tegengestelde richting, zelfs als ze afzonderlijk gezien normaal lijken (een collectieve anomalie).

De meeste bestaande beveiligingssystemen zijn als bewakers die slechts één type problemen herkennen. Als je een "piekdetector" vraagt om een "ritmeverandering" te vinden, raakt hij in de war en mist hij het.

Dit artikel introduceert een nieuw systeem genaamd CRAFTIIF (uitgesproken als "crafty"). Denk aan CRAFTIIF als een team van vijf gespecialiseerde detectives, elk met een unieke set gereedschappen, die samenwerken om het mysterie op te lossen wat er mis is.

De Vijf Detectives (De Architectuur)

In plaats van één gigantisch, verward brein dat naar alle data kijkt, verdeelt CRAFTIIF het werk:

De "Piek" Detective: Gebruikt een tool genaamd een DOG wavelet (stel je een vergrootglas voor dat alleen scherpe, plotselinge sprongen ziet). Deze detective zoekt naar instant sensorfouten.
De "Niveauverschuiving" Detective: Gebruikt een Haar wavelet (als een liniaal die plotselinge sprongen in hoogte meet). Deze ziet wanneer een machine op een nieuwe, verkeerde temperatuur of druk blijft draaien.
De "Ritme" Detective: Gebruikt een Morlet wavelet (als een metronoom die luistert naar veranderingen in de maat). Deze vangt op wanneer een motor op een verkeerde snelheid begint te brommen.
De "Teamwerk" Detective: Gebrukt een Coiflet wavelet en correlatiecontroles. Deze kijkt naar paren sensoren. Als twee sensoren normaal gesproken samen dansen maar plotseling ruzie krijgen, slaat deze detective alarm, zelfs als geen van beide sensoren er op zichzelf slecht uitziet.
De "Teamleider" (Meta-IF): Deze detective kijkt niet naar de ruwe data. In plaats daarvan houdt hij de andere vier detectives in de gaten. Als de Piek-, Niveau- en Ritme-detective allemaal fluisteren: "Er voelt iets vreemd," maar niemand van hen individueel "ALARM!" roept, grijpt de Teamleider in om te zeggen: "Oké, dit is een complex probleem, laten we dit markeren."

Hoe Ze de Wereld Zien (De Kenmerken)

Om hun werk te doen, kijken deze detectives niet alleen naar de ruwe getallen. Ze gebruiken een speciale techniek genaamd Wavelets.

Stel je voor dat je naar een liedje luistert. Een standaard microfoon registreert alleen het volume. Maar een wavelet is als een magisch oor dat kan inzoomen om een enkele drumslag te horen (hoge frequentie) of kan uitzoomen om het hele refrein te horen (lage frequentie), tegelijkertijd.

CRAFTIIF creëert 500 willekeurige "oren" voor elke detective. Het is alsof je elke detective 500 verschillende brillen geeft met licht afwijkende lenzen. Sommige lenzen zoomen in op minuscule details, andere op grote trends. Door een breed net uit te werpen met deze willekeurige lenzen, is het systeem ongelooflijk goed in het vangen van vreemde patronen zonder dat het vooraf moet worden geleerd wat "vreemd" is.

Het Slimme Alarmsysteem (Adaptieve Drempelwaarden)

Een van de grootste problemen in beveiliging is het instellen van de gevoeligheid van het alarm.

Als je de gevoeligheid te hoog instelt, krijg je valse alarmen (de hond blaft naar een blad).
Als je de gevoeligheid te laag instelt, mis je de indringer.

De meeste systemen gebruiken een vaste regel (bijv. "Als de score boven de 90 is, geef dan alarm"). Maar in de echte wereld is soms 1% van de data slecht, en soms 70%. Een vaste regel faalt hier rampzalig.

CRAFTIIF gebruikt een slim, adaptief alarm. Het kijkt naar de verdeling van de scores en vraagt zich af: "Lijkt dit op twee duidelijke groepen (normaal versus slecht) of gewoon één grote vlek?"

Als het twee duidelijke groepen ziet, gebruikt het een wiskundige truc (Otsu) om de perfecte lijn tussen hen te vinden.
Als het een rommelige vlek ziet, gebruikt het een andere truc (MAD) om de uitschieters te vinden.
Dit stelt het systeem in staat om perfect te werken, of de anomalie-ratio nu 0,1% of 69% is.

De "Waarheidsdetector" (Diagnostisch Kader)

De auteurs realiseerden zich dat soms zelfs de beste detective een zaak niet kan oplossen omdat de aanwijzingen ontbreken. Ze bouwden een diagnostisch hulpmiddel om aan te geven waarom het systeem faalde:

De "Oracle" Score: Ze berekenen de best mogelijke score die het systeem zou kunnen halen als het een magische drempelwaarde zou hebben. Als de werkelijke score dicht bij deze score ligt, werkt het systeem uitstekend.
De "Detecteerbaarheidslimiet": Als de Oracle-score nog steeds slecht is, betekent dit dat de anomalie statistisch onzichtbaar is.
- Voorbeeld: In sommige datasets ziet de "slechte" data er normaler uit dan de "goede" data (zoals een vals identiteitsbewijs dat zo perfect is dat het echter lijkt dan een echt bewijs). Het onderzoek toonde aan dat voor 6 van de 19 testdatasets geen enkele ongesuperviseerde methode mogelijk zou kunnen slagen, omdat de anomalieën gecamoufleerd waren. Dit is een cruciale bevinding: het vertelt ingenieurs: "Stop met het proberen te verbeteren van het algoritme; je hebt menselijke experts of andere data nodig."

De Resultaten

Het team heeft CRAFTIIF getest op 19 verschillende real-world datasets (van servers tot hartmonitoren tot menselijke doorstroom).

Geen afstemming: Ze gebruikten exact dezelfde instellingen voor alle 19 datasets. Geen aanpassingen voor specifieke machines.
De Winnaar: CRAFTIIF versloeg elke andere methode die in de benchmark werd getest, inclusief deep learning-modellen die enorme hoeveelheden trainingsdata vereisen.
Interpreteerbaarheid: Wanneer CRAFTIIF een alarm slaat, zegt het niet alleen "Fout". Het zegt: "De Ritme Detective heeft een frequentieverandering gevonden," of "De Teamwerk Detective heeft een correlatiebreuk gevonden." Dit vertelt de menselijke operator precies welk type probleem hij moet onderzoeken.

Samenvattend

CRAFTIIF is een slim, ongesuperviseerd beveiligingssysteem voor tijdreeksgegevens. Het gebruikt een team van gespecialiseerde "detectives" met magische zoomlenzen (wavelets) om vier verschillende soorten problemen op te sporen. Het heeft een zelfregulerend alarm dat werkt, of de problemen nu zeldzaam of algemeen voorkomend zijn. Het belangrijkste is dat het vertelt waarom het een alarm sloeg en eerlijk toegeeft wanneer een probleem zonder menselijke hulp onmogelijk op te lossen is. Het bewees dat je geen gigantische, zwarte doos van een AI nodig hebt om anomalieën te vinden; je hebt alleen de juiste structuur en de juiste tools nodig.

Technische Samenvatting: CRAFTIIF voor Multivariate Tijdreeks Anomaliedetectie

Probleemstelling

Anomaliedetectie in multivariate tijdreeksen (MTSAD) staat voor drie fundamentele uitdagingen die praktische inzetbaarheid in de weg staan:

Heterogeniteit van anomalietypen: Anomalieën in de echte wereld manifesteren zich in vier structureel verschillende vormen: puntanomalieën (geïsoleerde pieken), distributionele anomalieën (aanhoudende niveauverschuivingen), temporele anomalieën (ritme/frequentieveranderingen) en collectieve anomalieën (doorbraken in de correlatie tussen sensoren). Bestaande ongesuperviseerde methoden richten zich doorgaans slechts op één of twee typen en presteren minder goed wanneer ze gelijktijdig op alle vier worden geëvalueerd.
Afwezigheid van labels: Gesuperviseerde methoden vereisen geannoteerde data, wat bij implementatie zelden beschikbaar is. Volledig ongesuperviseerde methoden die alleen leren van normale data zijn vereist, maar deze worstelen vaak met de diversiteit aan anomalietypen.
Interpreteerbaarheid: Praktijkgebruikers moeten weten waarom een anomalie is gemarkeerd (welke kanalen, tijdschalen en anomalietype). De meeste deep learning-methoden bieden beperkte interpreteerbaarheid (bijv. aandachtsgewichten/attention weights) die niet duidelijk te herleiden zijn naar fysieke oorzaken of specifieke anomalietypen. Post-hoc feature belang-scores conflueren vaak kenmerken van verschillende anomalietypen, wat voor ambiguïteit zorgt.

Methodologie: CRAFTIIF

De auteurs stellen CRAFTIIF voor (Cross-Resolution Analytic Four-Type Interpretable Isolation Forest), een volledig ongesuperviseerd framework dat is ontworpen om alle vier de anomalietypen simultaan te detecteren zonder dataset-specifieke afstemming.

Kernarchitectuur

De pijplijn bestaat uit vier stadia:

Data Quality Preprocessing: Verwerkt ontbrekende waarden en NaN's met een betrouwbaarheidsniveau-systeem (volledig, zacht, onderdrukt) en configureert automatisch de vensterlengte ( $W$ ) en stapgrootte ( $s$ ) op basis van de autocorrelatiefunctie (ACF) verval van het trainingssignaal.
Random Multiresolution Analytic Feature Extraction:
- Wavelet-families: Vier specifieke wavelet-families zijn geselecteerd om de onderscheidbaarheid voor elk anomalietype te maximaliseren:
  - Morlet: Richt zich op temporele anomalieën (oscillerende ritmeveranderingen).
  - DOG (Mexican Hat): Richt zich op puntanomalieën (lokale kromming/extremums).
  - Haar: Richt zich op distributionele anomalieën (stapveranderingen/niveauverschuivingen).
  - Coiflet: Richt zich op collectieve anomalieën (cross-scale correlatiestructuur).
- Random Draws: Voor elke familie worden $K=500$ willekeurige trekkingen gegenereerd. Elke trekking selecteert een schaal (log-uniform), een kanaalgewichtvector (Dirichlet-distributie) en een featuregroep (Amplitude, Fase, Kwantiel, of Cross-scale).
- Efficiëntie: Een gevectoriseerde FFT-gebaseerde Continuous Wavelet Transform (CWT) wordt gebruikt, waardoor de berekening wordt teruggebracht tot drie gebatchte operaties, ongeacht $K$ .
- Collectieve Kenmerken: Paarwijze Pearson-correlaties tussen alle kanaalparen worden toegevoegd aan de featureset van de collectieve tak.
Gestructureerde Vijf-Tak Detectie:
- Vijf onafhankelijke Isolation Forests (IF's) worden getraind:
  - Vier Type-Specifieke IF's: Eén voor elk anomalietype, uitsluitend getraind op kenmerken die overeenkomen met dat type (bijv. de Punt IF gebruikt alleen DOG-kenmerken).
  - Eén Meta-IF: Getraind op de genormaliseerde scorevector van de vier type-specifieke takken om samengestelde anomalieën te detecteren waarbij meerdere takken subtiele afwijkingen vertonen.
- Deze structuur voorkomt interferentie tussen kenmerken van verschillende typen en zorgt ervoor dat een detectie door een specifieke tak direct toe te schrijven is aan dat anomalietype.
Adaptieve Drempelwaarde Kalibratie:
- In plaats van een vaste percentiel-drempelwaarde gebruikt CRAFTIIF een Otsu/MAD hybride benadering.
- Het berekent de bimodaliteitsterkte ( $\beta$ ) van de testscore-distributie.
- Als $\beta > 0.75$ (sterke bimodaliteit), wordt de Otsu-drempelwaarde gebruikt.
- Als $\beta < 0.40$ (unimodaal), wordt een op Median Absolute Deviation (MAD) gebaseerde drempelwaarde gebruikt.
- Het detecteert en schakelt automatisch "anti-gecorreleerde" takken uit waar anomalieën lager scoren dan normale data.

Diagnostisch Framework

Het artikel introduceert een diagnostische suite om onderscheid te maken tussen methode-falen en fundamentele databeperkingen:

Oracle F1: De maximaal haalbare F1 door alle drempelwaarden te doorzoeken (post-hoc berekend).
Detectabiliteitslimieten: Identificeert datasets waar $F1_{oracle} < 0.05$ , wat aangeeft dat de anomalie statistisch ononderscheidbaar is van normale data in de feature-ruimte (bijv. camouflage of flatline anomalieën).
Branch Separation Ratios: Kwantificeert hoe goed elke tak anomalieën van normalen onderscheidt.
Collectieve Attributie: Identificeert specifieke kanaalparen die de detecties van collectieve anomalieën drijven.

Belangrijkste Resultaten

Geëvalueerd op de mTSBench benchmark (19 datasets, 2–72 kanalen, anomalie-ratio's 0.1%–69.2%) met een enkele configuratie en zonder tuning:

Prestaties: CRAFTIIF behaalde een gemiddelde F1 = 0.228 over alle 19 datasets en F1 = 0.322 op de 13 detecteerbare datasets.
Vergelijking: Het presteerde beter dan alle 24 methoden in de mTSBench-publicatie, inclusclusief de vorige beste (PCA, 0.329 VUS-PR) en de standaard Isolation Forest. CRAFTIIF behaalde een gemiddelde VUS-PR = 0.463 en nam de eerste plaats in.
Ablatieonderzoek:
- Adaptieve Drempelwaarde: Droeg bij aan een gemiddelde F1-verbetering van 38% ten opzichte van vaste drempelwaarden.
- Vier-Tak Structuur: Droeg bij aan een verbetering van 20% ten opzichte van een globale IF getraind op alle kenmerken.
- Meta-IF: Droeg bij aan een verbetering van 23% ten opzichte van het verwijderen van de meta-tak.
Detectabiliteitsanalyse: De studie toonde aan dat 6 van de 19 datasets (bijv. Genesis, GHL, MITDB) in de categorie "fundamentele detectabiliteitslimiet" vallen, waarbij geen enkele ongesuperviseerde signaal-statistische methode kan slagen zonder domeinkennis of labels.

Betekenis en Claims

De auteurs claimen dat CRAFTIIF om de volgende redenen significant is:

Verenigde Detectie: Het is de eerste volledig ongesuperviseerde methode die gelijktijdig alle vier de structurele anomalietypen aanpakt zonder dataset-specifieke afstemming.
Intrinsieke Interpreteerbaarheid: In tegen tegenover de post-hoc verklaringen biedt de architectuur directe attributie. Als de "Punt" tak afgaat, is de anomalie een geïsoleerde piek; als de "Collectieve" tak afgaat, is het een doorbraak in de correlatie. Dit is een structurele garantie, geen benadering.
Diagnostische Rigor: Het voorgestelde diagnostische framework stelt praktijkgebruikers in staat om onderscheid te maken tussen fouten in drempelwaarde-kalibratie, limieten van de feature-representatie en fundamentele statistische ondetecteerbaarheid. Dit voorkomt verspilde inspanning op datasets die inherent ondetecteerbaar zijn door generieke ongesuperviseerde methoden.
Benchmark Leiderschap: Door de beste resultaten te behalen op de uitgebreide mTSBench benchmark met een enkele configuratie, demonstreert het dat gestructureerde analytische wavelet-kenmerken gecombineerd met Isolation Forests complexe deep learning-benaderingen kunnen overtreffen in ongesuperviseerde settings.

De auteurs merken beperkingen op, waaronder verminderde prestaties op datasets met een meerderheid aan anomalieën (waar trainingsdata besmet is) en datasets met "camouflage"-anomalieën (waar fouten meer op normale data lijken dan de normale data zelf). Ze suggereren toekomstig werk in geleerde kanaal-mixing en streaming-detectie.