时间序列异常检测已被认为对现实世界系统的可靠和有效运行至关重要。基于对异常特征的各种假设，已经开发了许多异常检测方法。但是，由于现实世界数据的复杂性质，时间序列中的不同异常通常具有支持不同异常假设的不同曲线。这使得很难找到一个可以始终如一的其他模型的异常检测器。在这项工作中，为了利用不同基本模型的好处，我们提出了一个基于增强学习的模型选择框架。具体而言，我们首先学习了不同异常检测模型的池，然后利用强化学习从这些基本模型中动态选择候选模型。关于现实世界数据的实验表明，就整体绩效而言，提出的策略确实可以超过所有基线模型。

The detection of anomalies in time series data is crucial in a wide range of applications, such as system monitoring, health care or cyber security. While the vast number of available methods makes selecting the right method for a certain application hard enough, different methods have different strengths, e.g. regarding the type of anomalies they are able to find. In this work, we compare six unsupervised anomaly detection methods with different complexities to answer the questions: Are the more complex methods usually performing better? And are there specific anomaly types that those method are tailored to? The comparison is done on the UCR anomaly archive, a recent benchmark dataset for anomaly detection. We compare the six methods by analyzing the experimental results on a dataset- and anomaly type level after tuning the necessary hyperparameter for each method. Additionally we examine the ability of individual methods to incorporate prior knowledge about the anomalies and analyse the differences of point-wise and sequence wise features. We show with broad experiments, that the classical machine learning methods show a superior performance compared to the deep learning methods across a wide range of anomaly types.

Unsupervised anomaly detection in time-series has been extensively investigated in the literature. Notwithstanding the relevance of this topic in numerous application fields, a complete and extensive evaluation of recent state-of-the-art techniques is still missing. Few efforts have been made to compare existing unsupervised time-series anomaly detection methods rigorously. However, only standard performance metrics, namely precision, recall, and F1-score are usually considered. Essential aspects for assessing their practical relevance are therefore neglected. This paper proposes an original and in-depth evaluation study of recent unsupervised anomaly detection techniques in time-series. Instead of relying solely on standard performance metrics, additional yet informative metrics and protocols are taken into account. In particular, (1) more elaborate performance metrics specifically tailored for time-series are used; (2) the model size and the model stability are studied; (3) an analysis of the tested approaches with respect to the anomaly type is provided; and (4) a clear and unique protocol is followed for all experiments. Overall, this extensive analysis aims to assess the maturity of state-of-the-art time-series anomaly detection, give insights regarding their applicability under real-world setups and provide to the community a more complete evaluation protocol.

Time series anomaly detection has applications in a wide range of research fields and applications, including manufacturing and healthcare. The presence of anomalies can indicate novel or unexpected events, such as production faults, system defects, or heart fluttering, and is therefore of particular interest. The large size and complex patterns of time series have led researchers to develop specialised deep learning models for detecting anomalous patterns. This survey focuses on providing structured and comprehensive state-of-the-art time series anomaly detection models through the use of deep learning. It providing a taxonomy based on the factors that divide anomaly detection models into different categories. Aside from describing the basic anomaly detection technique for each category, the advantages and limitations are also discussed. Furthermore, this study includes examples of deep anomaly detection in time series across various application domains in recent years. It finally summarises open issues in research and challenges faced while adopting deep anomaly detection models.

在智能交通系统中，交通拥堵异常检测至关重要。运输机构的目标有两个方面：监视感兴趣领域的一般交通状况，并在异常拥堵状态下定位道路细分市场。建模拥塞模式可以实现这些目标，以实现全市道路的目标，相当于学习多元时间序列（MTS）的分布。但是，现有作品要么不可伸缩，要么无法同时捕获MTS中的空间信息。为此，我们提出了一个由数据驱动的生成方法组成的原则性和全面的框架，该方法可以执行可拖动的密度估计来检测流量异常。我们的方法在特征空间中的第一群段段，然后使用条件归一化流以在无监督的设置下在群集级别识别异常的时间快照。然后，我们通过在异常群集上使用内核密度估计器来识别段级别的异常。关于合成数据集的广泛实验表明，我们的方法在召回和F1得分方面显着优于几种最新的拥塞异常检测和诊断方法。我们还使用生成模型来采样标记的数据，该数据可以在有监督的环境中训练分类器，从而减轻缺乏在稀疏设置中进行异常检测的标记数据。

成像，散射和光谱是理解和发现新功能材料的基础。自动化和实验技术的当代创新导致这些测量更快，分辨率更高，从而产生了大量的分析数据。这些创新在用户设施和同步射击光源时特别明显。机器学习（ML）方法经常开发用于实时地处理和解释大型数据集。然而，仍然存在概念障碍，进入设施一般用户社区，通常缺乏ML的专业知识，以及部署ML模型的技术障碍。在此，我们展示了各种原型ML模型，用于在国家同步光源II（NSLS-II）的多个波束线上在飞行分析。我们谨慎地描述这些示例，专注于将模型集成到现有的实验工作流程中，使得读者可以容易地将它们自己的ML技术与具有普通基础设施的NSLS-II或设施的实验中的实验。此处介绍的框架展示了几乎没有努力，多样化的ML型号通过集成到实验编程和数据管理的现有Blueske套件中与反馈回路一起运行。

时间序列的异常提供了各个行业的关键方案的见解，从银行和航空航天到信息技术，安全和医学。但是，由于异常的定义，经常缺乏标签以及此类数据中存在的极为复杂的时间相关性，因此识别时间序列数据中的异常尤其具有挑战性。LSTM自动编码器是基于长期短期内存网络的异常检测的编码器传统方案，该方案学会重建时间序列行为，然后使用重建错误来识别异常。我们将Denoising Architecture作为对该LSTM编码模型模型的补充，并研究其对现实世界以及人为生成的数据集的影响。我们证明了所提出的体系结构既提高了准确性和训练速度，从而使LSTM自动编码器更有效地用于无监督的异常检测任务。

给定传感器读数随着时间的推移从电网上，我们如何在发生异常时准确地检测？实现这一目标的关键部分是使用电网传感器网络在电网上实时地在实时检测到自然故障或恶意的任何不寻常的事件。行业中现有的坏数据探测器缺乏鲁布布利地检测广泛类型的异常，特别是由于新兴网络攻击而造成的复杂性，因为它们一次在网格的单个测量快照上运行。新的ML方法更广泛适用，但通常不会考虑拓扑变化对传感器测量的影响，因此无法适应历史数据中的定期拓扑调整。因此，我们向DynWatch，基于域知识和拓扑知识算法用于使用动态网格上的传感器进行异常检测。我们的方法准确，优于实验中的现有方法20％以上（F-Measure）;快速，在60K +分支机用中的每次传感器上平均运行小于1.7ms，使用笔记本电脑，并在图表的大小上线性缩放。

存在几种数据驱动方法，使我们的模型时间序列数据能够包括传统的基于回归的建模方法（即，Arima）。最近，在时间序列分析和预测的背景下介绍和探索了深度学习技术。询问的主要研究问题是在预测时间序列数据中的深度学习技术中的这些变化的性能。本文比较了两个突出的深度学习建模技术。比较了经常性的神经网络（RNN）长的短期记忆（LSTM）和卷积神经网络（CNN）基于基于TCN的时间卷积网络（TCN），并报告了它们的性能和训练时间。根据我们的实验结果，两个建模技术都表现了相当具有基于TCN的模型优于LSTM略微。此外，基于CNN的TCN模型比基于RNN的LSTM模型更快地构建了稳定的模型。

Anomaly detection on time series data is increasingly common across various industrial domains that monitor metrics in order to prevent potential accidents and economic losses. However, a scarcity of labeled data and ambiguous definitions of anomalies can complicate these efforts. Recent unsupervised machine learning methods have made remarkable progress in tackling this problem using either single-timestamp predictions or time series reconstructions. While traditionally considered separately, these methods are not mutually exclusive and can offer complementary perspectives on anomaly detection. This paper first highlights the successes and limitations of prediction-based and reconstruction-based methods with visualized time series signals and anomaly scores. We then propose AER (Auto-encoder with Regression), a joint model that combines a vanilla auto-encoder and an LSTM regressor to incorporate the successes and address the limitations of each method. Our model can produce bi-directional predictions while simultaneously reconstructing the original time series by optimizing a joint objective function. Furthermore, we propose several ways of combining the prediction and reconstruction errors through a series of ablation studies. Finally, we compare the performance of the AER architecture against two prediction-based methods and three reconstruction-based methods on 12 well-known univariate time series datasets from NASA, Yahoo, Numenta, and UCR. The results show that AER has the highest averaged F1 score across all datasets (a 23.5% improvement compared to ARIMA) while retaining a runtime similar to its vanilla auto-encoder and regressor components. Our model is available in Orion, an open-source benchmarking tool for time series anomaly detection.

新一代网络威胁的兴起要求更复杂和智能的网络防御解决方案，配备了能够学习在没有人力专家知识的情况下做出决策的自治代理。近年来提出了用于自动网络入侵任务的几种强化学习方法（例如，马尔可夫）。在本文中，我们介绍了一种新一代的网络入侵检测方法，将基于Q学习的增强学习与用于网络入侵检测的深馈前神经网络方法相结合。我们提出的深度Q-Learning（DQL）模型为网络环境提供了正在进行的自动学习能力，该网络环境可以使用自动试验误差方法检测不同类型的网络入侵，并连续增强其检测能力。我们提供涉及DQL模型的微调不同的超参数的细节，以获得更有效的自学。根据我们基于NSL-KDD数据集的广泛实验结果，我们确认折扣因子在250次训练中设定为0.001，产生了最佳的性能结果。我们的实验结果还表明，我们所提出的DQL在检测不同的入侵课程和优于其他类似的机器学习方法方面的高度有效。

The Internet of Things (IoT) is a system that connects physical computing devices, sensors, software, and other technologies. Data can be collected, transferred, and exchanged with other devices over the network without requiring human interactions. One challenge the development of IoT faces is the existence of anomaly data in the network. Therefore, research on anomaly detection in the IoT environment has become popular and necessary in recent years. This survey provides an overview to understand the current progress of the different anomaly detection algorithms and how they can be applied in the context of the Internet of Things. In this survey, we categorize the widely used anomaly detection machine learning and deep learning techniques in IoT into three types: clustering-based, classification-based, and deep learning based. For each category, we introduce some state-of-the-art anomaly detection methods and evaluate the advantages and limitations of each technique.

近年来，提出了关于时间序列异常检测（TAD）的研究报告基准TAD数据集中的高F1分数，给出了TAD的清晰改进的印象。然而，大多数研究在评分之前应用了一个名为Point调整（PA）的特殊评估协议。在本文中，我们理论上实验揭示了PA协议具有高估检测性能的可能性;也就是说，即使是随机异常的分数也可以容易地变成最先进的TAD方法。因此，应用PA协议后的TAD方法的比较可能导致误导排名。此外，我们通过表示未经训练的模型对现有方法获得了可比的检测性能，即使禁止禁止，我们会解决现有TAD方法的潜力。根据我们的调查结果，我们提出了一种新的基线和评估议定书。我们预计我们的研究将有助于对TAD严格评估，并导致未来的研究进一步改善。

Anomaly detection is an active research topic in many different fields such as intrusion detection, network monitoring, system health monitoring, IoT healthcare, etc. However, many existing anomaly detection approaches require either human intervention or domain knowledge, and may suffer from high computation complexity, consequently hindering their applicability in real-world scenarios. Therefore, a lightweight and ready-to-go approach that is able to detect anomalies in real-time is highly sought-after. Such an approach could be easily and immediately applied to perform time series anomaly detection on any commodity machine. The approach could provide timely anomaly alerts and by that enable appropriate countermeasures to be undertaken as early as possible. With these goals in mind, this paper introduces ReRe, which is a Real-time Ready-to-go proactive Anomaly Detection algorithm for streaming time series. ReRe employs two lightweight Long Short-Term Memory (LSTM) models to predict and jointly determine whether or not an upcoming data point is anomalous based on short-term historical data points and two long-term self-adaptive thresholds. Experiments based on real-world time-series datasets demonstrate the good performance of ReRe in real-time anomaly detection without requiring human intervention or domain knowledge.

今天的网络世界难以多变量。在极端品种中收集的指标需要多变量算法以正确检测异常。然而，基于预测的算法，如被广泛证明的方法，通常在数据集中进行次优或不一致。一个关键的常见问题是他们努力成为一个尺寸适合的，但异常在自然中是独特的。我们提出了一种裁定到这种区别的方法。提出FMUAD - 一种基于预测，多方面，无监督的异常检测框架。FMUAD明确，分别捕获异常类型的签名性状 - 空间变化，时间变化和相关变化 - 与独立模块。然后，模块共同学习最佳特征表示，这是非常灵活和直观的，与类别中的大多数其他模型不同。广泛的实验表明我们的FMUAD框架始终如一地优于其他最先进的预测的异常探测器。

Aiot技术的最新进展导致利用机器学习算法来检测网络物理系统（CPS）的操作失败的越来越受欢迎。在其基本形式中，异常检测模块从物理工厂监控传感器测量和致动器状态，并检测这些测量中的异常以识别异常操作状态。然而，由于该模型必须在存在高度复杂的系统动态和未知量的传感器噪声的情况下准确地检测异常，构建有效的异常检测模型是挑战性的。在这项工作中，我们提出了一种新的时序序列异常检测方法，称为神经系统识别和贝叶斯滤波（NSIBF），其中特制的神经网络架构被构成系统识别，即捕获动态状态空间中CP的动态模型;然后，通过跟踪系统的隐藏状态的不确定性随着时间的推移，自然地施加贝叶斯滤波算法的顶部。我们提供定性的和定量实验，并在合成和三个现实世界CPS数据集上具有所提出的方法，表明NSIBF对最先进的方法比较了对CPS中异常检测的最新方法。

鉴于在现实世界应用中缺乏异常情况，大多数文献一直集中在建模正态上。学到的表示形式可以将异常检测作为正态性模型进行训练，以捕获正常情况下的某些密钥数据规律性。在实际环境中，尤其是工业时间序列异常检测中，我们经常遇到有大量正常操作数据以及随时间收集的少量异常事件的情况。这种实际情况要求方法学来利用这些少量的异常事件来创建更好的异常检测器。在本文中，我们介绍了两种方法来满足这种实际情况的需求，并将其与最近开发的最新技术进行了比较。我们提出的方法锚定在具有自回归（AR）模型的正常运行的代表性学习以及损失组件上，以鼓励表示正常与几个积极示例的表示形式。我们将提出的方法应用于两个工业异常检测数据集，并与文献相比表现出有效的性能。我们的研究还指出了在实际应用中采用此类方法的其他挑战。

作为智能车辆控制系统的中心神经，车载网络总线对于车辆驾驶的安全至关重要。车载网络的最佳标准之一是控制器区域网络（CAN BUS）协议。但是，由于缺乏安全机制，CAN总线被设计为容易受到各种攻击的影响。为了增强车载网络的安全性并根据大量的CAN网络流量数据和提取的有价值的功能来促进该领域的研究，本研究全面比较了完全监督的机器学习与半监督的机器学习方法可以发信息异常检测。评估了传统的机器学习模型（包括单个分类器和集合模型）和基于神经网络的深度学习模型。此外，这项研究提出了一种基于自动编码器的深度自动编码器的半监督学习方法，该方法适用于CAN传达异常检测，并验证了其优于其他半监督方法的优势。广泛的实验表明，全面监督的方法通常优于半监督者，因为它们使用更多信息作为输入。通常，开发的基于XGBoost的模型以最佳准确性（98.65％），精度（0.9853）和Roc AUC（0.9585）击败了文献中报道的其他方法。

随着AIT的发展，网络物理系统（CPS）的数据驱动攻击检测方法吸引了很多关注。但是，现有方法通常采用近似数据分布的近似数据分布，这些方法不适合复杂系统。此外，不同渠道中的数据的相关性不会引起足够的注意力。为了解决这些问题，我们使用基于能量的生成模型，这对数据分布的功能形式不太限制。此外，图形神经网络用于明确地模拟不同信道中的数据的相关性。最终，我们提出了TFDPM，是CPS中攻击检测任务的一般框架。它同时提取给定历史数据的时间模式和特征模式。然后将提取特征发送到条件扩散概率模型。可以利用条件生成网络获得预测值，并且基于预测值与观察值之间的差异来检测攻击。另外，为了实现实时检测，提出了一种条件噪声调度网络以加速预测过程。实验结果表明，TFDPM优于现有的最先进的攻击检测方法。噪声调度网络将检测速度增加三次。

多元时间序列中的异常检测在监视各种现实世界系统（例如IT系统运营或制造业）的行为方面起着重要作用。先前的方法对关节分布进行建模，而无需考虑多元时间序列的潜在机制，使它们变得复杂且饥饿。在本文中，我们从因果的角度提出异常检测问题，并将异常视为未遵循常规因果机制来生成多元数据的情况。然后，我们提出了一种基于因果关系的异常检测方法，该方法首先从数据中学习因果结构，然后渗透实例是否是相对于局部因果机制的异常，以从其直接原因产生每个变量，其条件分布可以直接估计从数据。鉴于因果系统的模块化特性，原始问题被分为一系列单独的低维异常检测问题，因此可以直接识别出异常的地方。我们通过模拟和公共数据集以及有关现实世界中AIOPS应用程序的案例研究评估我们的方法，显示其功效，鲁棒性和实际可行性。