Afwijkingsdetectie: hoe computers leren zien wat er niet klopt
Stel je een bewaker voor die al jaren in hetzelfde museum werkt. Hij kent het gebouw zo goed dat hij niet meer op elk schilderij hoeft te letten om te weten of alles klopt. Hij herkent het normale ritme: wanneer de deuren opengaan, hoeveel bezoekers er gemiddeld zijn, welke geluiden er horen bij het schoonmaken. Zodra er iets afwijkt van dat vertrouwde patroon, een deur die 's nachts open staat, een stilte op een moment dat er juist drukte hoort te zijn, valt het hem meteen op. Afwijkingsdetectie, in het Engels anomaly detection, is de digitale versie van die bewaker: software die leert wat normaal gedrag in data is, en die vervolgens alarm slaat zodra iets daarvan afwijkt.
Het bijzondere is dat de computer niet vooraf te horen krijgt hoe een probleem eruitziet. Bij een bankalarm weet je vooraf welk scenario je wilt detecteren: een inbraak. Bij afwijkingsdetectie draait het vaak om het omgekeerde: het systeem leert alleen hoe de normale situatie eruitziet, en alles wat daar te veel van afwijkt, wordt als verdacht bestempeld, ook verschijnselen die niemand van tevoren had bedacht. Dat maakt de techniek nuttig in situaties waar je niet elk mogelijk probleem kunt voorspellen, van creditcardfraude tot een defecte motor in een fabriek.
Wat is het precies?
De basis van afwijkingsdetectie is een wiskundig of statistisch model van wat "normaal" is. Dat model wordt gebouwd op basis van data uit het verleden, bijvoorbeeld duizenden metingen van de temperatuur van een machine, of miljoenen normale banktransacties. Op basis daarvan berekent het systeem een soort bandbreedte: de meeste waarden vallen binnen een bepaalde marge, en wat daarbuiten valt, is statistisch gezien ongewoon.
Er bestaan grofweg twee aanpakken. Bij supervised (begeleide) detectie krijgt het systeem tijdens het trainen voorbeelden te zien die al gelabeld zijn als "normaal" of "afwijkend", zoals eerder vastgestelde fraudegevallen. Het model leert dan het onderscheid tussen die twee categorieën. Het probleem is dat afwijkingen vaak zeldzaam zijn: van de miljoenen transacties is maar een fractie fraude, waardoor er weinig voorbeelden zijn om van te leren.
Daarom wordt vaker gekozen voor unsupervised (onbegeleide) detectie, waarbij het systeem geen gelabelde voorbeelden krijgt, maar zelf patronen in de data ontdekt. Een bekende methode is clustering: data wordt gegroepeerd in clusters van vergelijkbare punten, en alles wat ver van elk cluster af ligt, wordt als uitzondering gezien. Een andere populaire methode is het isolation forest, een algoritme dat data willekeurig opsplitst in steeds kleinere groepjes; afwijkende punten blijken daarbij sneller "geïsoleerd" te raken dan normale punten, omdat ze minder op andere data lijken.
Bij complexere data, zoals beelden, geluid of tijdreeksen van sensoren, wordt vaak gebruikgemaakt van neurale netwerken, systemen die losjes geïnspireerd zijn op de werking van hersencellen en die patronen leren herkennen door te oefenen op grote hoeveelheden voorbeelden. Een specifiek type dat hier veel voor gebruikt wordt, is de autoencoder: een netwerk dat leert om normale data eerst te comprimeren en daarna weer zo goed mogelijk te reconstrueren. Lukt die reconstructie slecht, dan is dat een teken dat de invoer afwijkt van wat het netwerk als normaal heeft geleerd.
Wat wil men ermee bereiken?
Het belangrijkste doel is vroege signalering: problemen ontdekken voordat ze uit de hand lopen. In de financiële sector gaat het om het opsporen van fraude, bijvoorbeeld een creditcardtransactie die qua bedrag, locatie of tijdstip niet past bij het gebruikelijke koopgedrag van een klant. In de industrie wordt het ingezet voor predictive maintenance (voorspellend onderhoud): sensoren op machines meten trillingen, temperatuur of geluid, en zodra die waarden afwijken van het normale patroon, kan een monteur ingrijpen voordat de machine daadwerkelijk kapotgaat.
In de cyberbeveiliging wordt afwijkingsdetectie gebruikt om ongebruikelijk netwerkverkeer te signaleren, wat kan duiden op een hack of malware, ook als die specifieke aanvalsmethode nog nooit eerder is gezien. Dat laatste is een belangrijk voordeel ten opzichte van traditionele beveiliging, die vaak werkt met een lijst van bekende bedreigingen: afwijkingsdetectie kan in theorie ook onbekende, nieuwe aanvalspatronen opmerken omdat die simpelweg niet op normaal gedrag lijken.
Ook in de medische wereld en de ruimtevaart is de techniek relevant: het opsporen van ongewone patronen in hartslagmetingen, of het signaleren van onverwacht gedrag van een satelliet of ruimtestation. De gemeenschappelijke belofte is steeds dezelfde: menselijke experts hebben te weinig tijd en aandacht om alle data continu in de gaten te houden, en software kan dat werk overnemen door alleen de uitzonderingen naar boven te halen.
Voorbeelden uit de praktijk
Bij het CERN-onderzoekscentrum in Zwitserland, waar de Large Hadron Collider (LHC) deeltjesbotsingen produceert, experimenteren natuurkundigen sinds ongeveer 2019 met onbegeleide afwijkingsdetectie binnen het ATLAS-experiment. Het idee is dat nieuwe, nog onbekende deeltjes zich in de data zouden kunnen voordoen als statistische afwijkingen ten opzichte van bekende fysica, zonder dat onderzoekers vooraf precies hoeven te specificeren waarnaar ze zoeken.
Het Britse cybersecuritybedrijf Darktrace, opgericht in 2013 door onder anderen wiskundigen van de Universiteit van Cambridge, bouwde zijn technologie rond het idee van een "zelflerend" systeem dat het normale netwerkgedrag van een organisatie in kaart brengt en vervolgens afwijkingen daarin signaleert, zonder vooraf gedefinieerde regels over specifieke aanvallen.
Betaalnetwerk Mastercard introduceerde in 2016 een systeem genaamd Decision Intelligence, dat bij elke transactie in real time inschat hoe waarschijnlijk het is dat deze frauduleus is, deels op basis van hoezeer de transactie afwijkt van het gebruikelijke patroon van de kaarthouder.
NASA's Jet Propulsion Laboratory (JPL) ontwikkelde het Inductive Monitoring System, dat is gebruikt om telemetriedata (de continue stroom van sensormetingen) van het International Space Station te analyseren op ongewone combinaties van waarden, als hulpmiddel om technische problemen vroeg te signaleren.
In de industrie past onder meer Siemens afwijkingsdetectie toe binnen zijn platforms voor voorspellend onderhoud, waarbij sensordata van machines wordt vergeleken met historische patronen om vroegtijdig slijtage of storingen te signaleren.
Hoe ver is de techniek?
In goed gedefinieerde, stabiele omgevingen, zoals een fabriek met vaste machines of een betaalsysteem met veel historische data, werkt afwijkingsdetectie tegenwoordig behoorlijk betrouwbaar en wordt het op grote schaal commercieel toegepast. Cloudleveranciers bieden het inmiddels zelfs als kant-en-klare dienst aan, wat erop wijst dat de basistechniek volwassen genoeg is voor breed gebruik.
Toch zijn er hardnekkige uitdagingen. Een bekend probleem is concept drift: wat vandaag normaal is, hoeft dat morgen niet meer te zijn, bijvoorbeeld omdat koopgedrag verandert of een machine langzaam slijt. Modellen moeten daarom regelmatig opnieuw getraind worden, anders raken ze verouderd en missen ze juist de afwijkingen die ertoe doen, of geven ze te veel valse meldingen ("false positives").
Dat laatste is meteen een tweede knelpunt: te veel valse alarmen leiden tot "alarmmoeheid", waarbij mensen meldingen gaan negeren, met als risico dat een echt probleem tussen de ruis verdwijnt. Bij op neurale netwerken gebaseerde systemen speelt bovendien een uitlegbaarheidsprobleem: het model kan wel zeggen dát iets afwijkt, maar niet altijd goed motiveren waaróm, wat het voor menselijke experts lastig maakt om de melding te beoordelen of te vertrouwen. Tot slot blijft het vinden van voldoende voorbeelden van zeldzame, echte afwijkingen een structureel probleem, juist omdat afwijkingen per definitie zeldzaam zijn. Al met al is afwijkingsdetectie een volwassen maar geenszins uitontwikkeld vakgebied, met gestage in plaats van revolutionaire vooruitgang.
Wie werken eraan?
Grote clouddienstverleners hebben afwijkingsdetectie inmiddels als standaardproduct: Microsoft biedt de Azure Anomaly Detector aan, Amazon heeft AWS Lookout for Metrics, en ook IBM en Google bieden vergelijkbare diensten binnen hun clouddiensten aan. Gespecialiseerde bedrijven zoals het Britse Darktrace richten zich specifiek op de toepassing binnen cyberbeveiliging.
Op onderzoeksgebied lopen instituten als CERN en NASA's Jet Propulsion Laboratory voorop met toepassingen in de natuurkunde en ruimtevaart. Universiteiten als MIT in de Verenigde Staten publiceren veel fundamenteel onderzoek naar nieuwe algoritmen. In Nederland doet het Centrum Wiskunde & Informatica (CWI) in Amsterdam onderzoek naar machine learning-technieken die raakvlakken hebben met afwijkingsdetectie, en ook de TU Delft werkt aan toepassingen binnen onder meer data-analyse en industriële systemen.
Qua landen en regio's lopen de Verenigde Staten en het Verenigd Koninkrijk voorop wat betreft grote commerciële spelers en gespecialiseerde bedrijven, terwijl de Europese Unie, met Nederland als een van de actievere landen op het gebied van toegepast AI-onderzoek, vooral bijdraagt via universitair en publiek gefinancierd onderzoek.