Phát Hiện Bất Thường Trên Chuỗi Thời Gian Dựa Vào Mạng Nơ-ron Học Sâu LSTM

Luận văn thạc sĩ về phát hiện bất thường trên chuỗi thời gian sử dụng mạng nơ-ron học sâu LSTM. Nghiên cứu ứng dụng trong khoa học máy tính, phân tích dữ liệu.

• Tác giả: Trần Long Hoài
• Người hướng dẫn: PGS.TS Dương Tuấn Anh
• Trường học: Trường Đại học Bách Khoa
• Chuyên ngành: Khoa học Máy tính
• Đề tài: Phát hiện bất thường trên chuỗi thời gian dựa vào mạng nơ-ron học sâu LSTM
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Tp. Hồ Chí Minh

Tóm tắt

I. Tổng Quan Về Phát Hiện Bất Thường Chuỗi Thời Gian LSTM

Dữ liệu chuỗi thời gian, xuất hiện tuần tự theo thời gian, là một nguồn thông tin vô giá. Từ dữ liệu điện tâm đồ (ECG) đến giá chứng khoán, chuỗi thời gian có mặt ở khắp mọi nơi. Trong lĩnh vực khai thác dữ liệu và học máy, khai thác dữ liệu chuỗi thời gian là một hướng nghiên cứu quan trọng. Các bài toán tiêu biểu bao gồm lập chỉ mục, phân cụm, phân loại và đặc biệt là phát hiện chuỗi con bất thường (Anomaly detection). Việc phát hiện này rất quan trọng, vì các bất thường có thể ảnh hưởng lớn đến kết quả khai phá dữ liệu. Phát hiện bất thường có ứng dụng rộng rãi, từ y tế (phát hiện bất thường nhịp tim) đến tài chính (phát hiện gian lận) và an ninh mạng (phát hiện xâm nhập). Tuy nhiên, bài toán này không hề dễ dàng. Dữ liệu thường bị ảnh hưởng bởi nhiều yếu tố nhiễu, khiến cho việc mô hình hóa trở nên phức tạp. Các nhà nghiên cứu thường giả định rằng dữ liệu trong quá khứ có thể đại diện cho tất cả yếu tố tác động và dùng nó để dự đoán cho tương lai. Vì thế, một mô hình hiệu quả là vô cùng cần thiết, đặc biệt là khi dữ liệu chuỗi thời gian ngày càng trở nên phức tạp và khó dự đoán.

1.1. Tầm quan trọng của phát hiện bất thường chuỗi thời gian

Việc phát hiện bất thường trong chuỗi thời gian đóng vai trò then chốt trong nhiều lĩnh vực. Từ y tế đến tài chính và an ninh mạng, việc nhận diện các mẫu bất thường giúp ngăn chặn hậu quả nghiêm trọng. Ví dụ, trong y tế, việc phát hiện bất thường trong dữ liệu điện tâm đồ (ECG) có thể cảnh báo sớm các vấn đề tim mạch. Trong tài chính, phát hiện các giao dịch bất thường có thể ngăn chặn gian lận. Do đó, phát hiện bất thường chuỗi thời gian là một bước quan trọng trong việc đảm bảo an toàn và hiệu quả hoạt động của nhiều hệ thống.

1.2. Ứng dụng thực tiễn của Anomaly Detection trong Khoa học Máy tính

Anomaly Detection không chỉ là một bài toán lý thuyết, nó còn có vô số ứng dụng thực tế. Các ví dụ tiêu biểu bao gồm phát hiện bất thường nhịp tim trong ECG, phát hiện các chuyến bay có hành vi bất thường dựa trên dữ liệu cảm biến từ máy bay, và phát hiện các cuộc tấn công trong các hệ thống tư vấn. Theo nghiên cứu của Yang và Wu năm 2006, khai phá dữ liệu chuỗi thời gian là một trong 10 hướng nghiên cứu quan trọng nhất trong khai thác dữ liệu và học máy. Điều này chứng tỏ tầm quan trọng và tính ứng dụng cao của phát hiện bất thường trong thực tế.

II. Thách Thức Vấn Đề Với Phát Hiện Bất Thường Chuỗi Thời Gian

Dữ liệu chuỗi thời gian thường bị ảnh hưởng bởi nhiều yếu tố, khiến nó trở nên không ổn định, hỗn loạn và chứa nhiều thành phần nhiễu. Điều này gây khó khăn cho việc xây dựng các mô hình dự đoán chính xác. Không thể có thông tin đầy đủ để biểu diễn chính xác mối quan hệ giữa giá trị tương lai và quá khứ. Các phương pháp truyền thống như ARIMA dựa trên giả định tuyến tính, không phù hợp với dữ liệu thực tế phi tuyến và hỗn loạn. Mạng nơ-ron nhân tạo (ANN) có thể mô hình hóa dữ liệu phi tuyến, nhưng lại dễ bị quá khớp (overfitting) do số lượng kết nối lớn. Mạng nơ-ron hồi quy (RNN) gặp khó khăn với dữ liệu có tính phụ thuộc xa (long-term dependency). Do đó, cần có một phương pháp mạnh mẽ hơn để giải quyết những thách thức này, một mô hình có thể nắm bắt được sự phức tạp của chuỗi thời gian và đồng thời giảm thiểu overfitting.

2.1. Hạn chế của phương pháp truyền thống ARIMA ANN RNN

Các phương pháp phát hiện bất thường chuỗi thời gian truyền thống như ARIMA và ANN có những hạn chế nhất định. ARIMA giả định chuỗi dữ liệu tuyến tính, không phù hợp với dữ liệu thực tế phức tạp. ANN có thể mô hình hóa phi tuyến, nhưng dễ bị overfitting. RNN gặp khó khăn với dữ liệu có tính phụ thuộc xa. Những hạn chế này cho thấy sự cần thiết của các phương pháp mới, chẳng hạn như sử dụng LSTM để giải quyết các vấn đề trên.

2.2. Vấn đề phụ thuộc xa trong chuỗi thời gian Long term Dependency

Một trong những thách thức lớn nhất trong việc xử lý dữ liệu chuỗi thời gian là vấn đề phụ thuộc xa (long-term dependency). Điều này có nghĩa là giá trị tại một thời điểm có thể bị ảnh hưởng bởi các giá trị rất xa trong quá khứ. RNN truyền thống gặp khó khăn trong việc nắm bắt các mối quan hệ này. LSTM ra đời để giải quyết vấn đề này, cho phép mô hình ghi nhớ thông tin trong thời gian dài hơn và đưa ra dự đoán chính xác hơn.

III. Giải Pháp Phát Hiện Bất Thường Với LSTM Mạng Nơ ron Sâu

Để giải quyết những hạn chế của các phương pháp truyền thống, mạng nơ-ron học sâu Long Short-Term Memory (LSTM) nổi lên như một giải pháp hiệu quả. LSTM, một biến thể của RNN, được thiết kế để xử lý dữ liệu có tính phụ thuộc xa (long-term dependency). LSTM sử dụng các cổng (gates) để kiểm soát luồng thông tin, cho phép mô hình ghi nhớ thông tin quan trọng trong thời gian dài và loại bỏ thông tin không cần thiết. LSTM đã chứng minh hiệu quả trong nhiều bài toán chuỗi thời gian, bao gồm dịch máy, nhận dạng giọng nói và dự đoán giá chứng khoán. Luận văn này tập trung vào việc ứng dụng LSTM để phát hiện bất thường chuỗi thời gian, tận dụng khả năng mô hình hóa dữ liệu phức tạp và phụ thuộc xa của nó. Việc sử dụng mạng nơ-ron sâu giúp tăng cường khả năng biểu diễn dữ liệu, cho phép LSTM phát hiện các bất thường tinh vi hơn.

3.1. Ưu điểm của LSTM so với RNN truyền thống

LSTM khắc phục được nhược điểm của RNN trong việc xử lý dữ liệu có tính phụ thuộc xa. Các cổng (gates) trong LSTM cho phép kiểm soát luồng thông tin, giúp mô hình ghi nhớ thông tin quan trọng và loại bỏ thông tin không cần thiết. Nhờ đó, LSTM có thể nắm bắt các mối quan hệ phức tạp trong dữ liệu chuỗi thời gian mà RNN không thể làm được. Điều này làm cho LSTM trở thành một lựa chọn lý tưởng cho phát hiện bất thường.

3.2. Kiến trúc mạng LSTM và cơ chế hoạt động

Kiến trúc của LSTM bao gồm các ô nhớ (memory cells) và các cổng (gates): cổng đầu vào (input gate), cổng quên (forget gate) và cổng đầu ra (output gate). Các cổng này điều khiển luồng thông tin vào và ra khỏi ô nhớ. Cổng quên quyết định thông tin nào cần loại bỏ khỏi ô nhớ. Cổng đầu vào quyết định thông tin nào cần lưu trữ vào ô nhớ. Cổng đầu ra quyết định thông tin nào cần được xuất ra từ ô nhớ. Cơ chế này cho phép LSTM ghi nhớ thông tin quan trọng trong thời gian dài và bỏ qua thông tin không liên quan.

IV. Cách LSTM Xếp Chồng Nâng Cao Khả Năng Dự Báo Chuỗi Thời Gian

Để nâng cao khả năng dự báo, luận văn này đề xuất sử dụng mạng nơ-ron học sâu LSTM xếp chồng (Stacked LSTM Network). LSTM xếp chồng bao gồm nhiều lớp LSTM xếp chồng lên nhau, cho phép mô hình học các biểu diễn dữ liệu phức tạp hơn. Mỗi lớp LSTM học một mức trừu tượng khác nhau của dữ liệu, từ đó cải thiện khả năng dự đoán. Ngoài ra, kỹ thuật dự báo nhiều bước (multi-step ahead prediction) cũng được áp dụng để dự đoán nhiều giá trị trong tương lai. Sai số dự báo được sử dụng để phát hiện bất thường. Mô hình được đánh giá bằng cách so sánh với giải thuật HOTSAX về kết quả phát hiện bất thường và thời gian thực thi.

4.1. Ưu điểm của LSTM xếp chồng Stacked LSTM

LSTM xếp chồng có khả năng học các biểu diễn dữ liệu phức tạp hơn so với LSTM đơn lớp. Các lớp LSTM xếp chồng lên nhau cho phép mô hình học các mức trừu tượng khác nhau của dữ liệu. Điều này đặc biệt hữu ích trong việc xử lý dữ liệu chuỗi thời gian phức tạp, nơi các mối quan hệ giữa các điểm dữ liệu có thể rất tinh vi. Kiến trúc này giúp tăng cường khả năng dự báo và phát hiện bất thường.

4.2. Kỹ thuật dự báo nhiều bước và ứng dụng trong LSTM

Kỹ thuật dự báo nhiều bước (multi-step ahead prediction) cho phép mô hình dự đoán nhiều giá trị trong tương lai thay vì chỉ một giá trị. Có nhiều chiến lược dự báo nhiều bước, bao gồm chiến lược hồi quy, chiến lược trực tiếp và chiến lược kết hợp. Việc sử dụng dự báo nhiều bước giúp LSTM nắm bắt được xu hướng dài hạn của chuỗi thời gian và cải thiện khả năng phát hiện bất thường.

V. Kết Quả Nghiên Cứu So Sánh LSTM Với Giải Thuật HOTSAX

Để đánh giá hiệu quả của mô hình, nghiên cứu này so sánh LSTM xếp chồng với giải thuật HOTSAX. Kết quả thực nghiệm trên 07 bộ dữ liệu cho thấy mô hình đề xuất khắc phục được hạn chế của việc dựa vào kích thước cửa sổ trượt trong giải thuật HOTSAX. Đồng thời, nó cũng khẳng định tiềm năng của phương pháp phát hiện bất thường bằng dự báo. Các bộ dữ liệu được sử dụng bao gồm ECG, nhiệt độ máy Numenta, power_demand, TEK16, chứng khoán stock_20_0, memory và ann_gun_CentroidA. Các tiêu chí đánh giá bao gồm độ chính xác, độ bao phủ và F1-score. Nghiên cứu này cũng thảo luận về việc duy trì trạng thái LSTM trong Keras để cải thiện hiệu suất và giảm thời gian huấn luyện.

5.1. Các tiêu chí đánh giá hiệu quả mô hình Precision Recall F1 Score

Để đánh giá khách quan hiệu quả của mô hình LSTM xếp chồng, các tiêu chí như Precision, Recall và F1-Score được sử dụng. Precision đo lường tỷ lệ dự đoán đúng trong số các điểm dữ liệu được mô hình xác định là bất thường. Recall đo lường tỷ lệ các điểm dữ liệu bất thường thực tế được mô hình phát hiện. F1-Score là trung bình điều hòa của Precision và Recall, cung cấp một đánh giá toàn diện về hiệu quả của mô hình.

5.2. So sánh hiệu suất LSTM và HOTSAX trên các bộ dữ liệu khác nhau

Nghiên cứu so sánh hiệu suất của LSTM xếp chồng và HOTSAX trên nhiều bộ dữ liệu khác nhau, bao gồm ECG, nhiệt độ máy Numenta, power_demand, TEK16, chứng khoán stock_20_0, memory và ann_gun_CentroidA. Kết quả cho thấy LSTM xếp chồng vượt trội hơn HOTSAX trong nhiều trường hợp. Đặc biệt, LSTM xếp chồng có khả năng phát hiện các bất thường tinh vi hơn và ít bị ảnh hưởng bởi kích thước cửa sổ trượt hơn HOTSAX.

VI. Kết Luận Hướng Nghiên Cứu Phát Triển Phát Hiện Bất Thường

Luận văn đã trình bày một phương pháp hiệu quả để phát hiện bất thường chuỗi thời gian sử dụng mạng nơ-ron học sâu LSTM xếp chồng. Mô hình đề xuất khắc phục được hạn chế của các phương pháp truyền thống và đạt được kết quả tốt trên nhiều bộ dữ liệu khác nhau. Hướng nghiên cứu tiếp theo có thể tập trung vào việc cải thiện khả năng diễn giải kết quả, áp dụng các kỹ thuật Explainable AI (XAI) để hiểu rõ hơn cách LSTM phát hiện bất thường. Ngoài ra, nghiên cứu có thể mở rộng để xử lý dữ liệu đa biến và tích hợp với các hệ thống thời gian thực để phát hiện bất thường trực tuyến (online anomaly detection).

6.1. Tóm tắt kết quả đạt được trong luận văn

Luận văn đã chứng minh được hiệu quả của việc sử dụng mạng nơ-ron học sâu LSTM xếp chồng cho phát hiện bất thường chuỗi thời gian. Mô hình đề xuất vượt trội hơn so với giải thuật HOTSAX trên nhiều bộ dữ liệu khác nhau. Nghiên cứu này cũng đóng góp vào việc hiểu rõ hơn về cách LSTM có thể được sử dụng để giải quyết các bài toán chuỗi thời gian phức tạp. Quan trọng hơn, nghiên cứu mở ra nhiều hướng đi mới cho công tác phát hiện bất thường trong tương lai.

6.2. Các hướng nghiên cứu tiếp theo cho phát hiện bất thường

Có nhiều hướng nghiên cứu tiềm năng cho phát hiện bất thường chuỗi thời gian. Một hướng đi là cải thiện khả năng diễn giải kết quả bằng cách sử dụng các kỹ thuật Explainable AI (XAI). Một hướng khác là mở rộng mô hình để xử lý dữ liệu đa biến. Ngoài ra, việc tích hợp mô hình với các hệ thống thời gian thực để phát hiện bất thường trực tuyến là một hướng đi đầy hứa hẹn. Ứng dụng các mô hình Autoencoders, Variational Autoencoders (VAEs), Generative Adversarial Networks (GANs) cũng là hướng đi tiềm năng.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. GIỚI THIỆU ĐỀ TÀI chính xác cho bài toán dự báo [4].2 Mục tiêu nghiên cứu Với những tiềm năng đầy hứa hẹn của các mạng nơ-ron học sâu, trong nghiên cứu này chúng tôi sẽ áp dụng ưu thế của mạng nơ-ron học sâu trong bài toán dự báo, và dựa vào đó để phát hiện chuỗi con bất thường trên dữ liệu chuỗi thời gian. Để giải quyết được bài toán đề ra, chúng tôi sẽ xây mô hình học sâu, trọng tâm sử dụng mạng nơ-ron học sâu LSTM, vì các tập dữ liệu đều có sự tương quan giữa giá trị lịch sử tới giá trị hiện tại. Mặt khác, trong những năm gần đây, các nhà nghiên cứu đã sử dụng mạng nơ-ron học sâu LSTM trong các bài toán dự đoán giá trị của chuỗi thời gian và đạt kết quả tốt so với các kỹ thuật khác.

Một bước tiến xa là các kết quả nghiên cứu này còn có thể được sử dụng trong các ứng dụng thực tế. Kế thừa nghiên cứu của Malhotra và các cộng sự [3], chúng tôi sẽ xây dựng mạng nơ-ron học sâu LSTM xếp chồng cho bài toán dự báo và sử dụng giải thuật phân phối sai số dự báo [20] cho bài toán phát hiện chuỗi con bất thường. Bên cạnh đó, kỹ thuật dự báo nhiều bước (multi-step ahead prediction) cũng sẽ được chúng tôi áp dụng để tăng tính hiệu quả cho chặng dự báo của công tác phát hiện bất thường [2]. Nghiên cứu sẽ sử dụng những bộ dữ liệu mẫu từ các công trình đi trước.

Những bộ dữ liệu này đã được đánh dấu chuỗi con bất thường. Nghiên cứu sẽ sử dụng những chuỗi con bất thường này để huấn luyện và đánh giá. Ngoài ra, nghiên cứu cũng so sánh với giải thuật HOT SAX, một phương pháp nhận dạng chuỗi con bất thường được nhiều nhà nghiên cứu ưa chuộng. Chúng tôi sẽ so sánh về độ chính xác của các chuỗi con bất thường được phát hiện.

Từ những kết luận rút ra được, chúng ta sẽ biết được phương pháp nào hiệu quả hơn trong công tác phát hiện chuỗi con bất thường trên dữ liệu chuỗi thời gian. Những điều này là những yếu tố quan trong khi sử dụng trong thực tế. GIỚI THIỆU ĐỀ TÀI 1.3 Ý nghĩa đề tài Với nghiên cứu về phương pháp phát hiện bất thường bằng dự báo, đặc biệt là dựa vào ưu thế của mạng nơ-ron học sâu LSTM, đề tài có những ý nghĩa sau đây. Ý nghĩa thực tiễn: • Góp phần tìm ra tiềm năng của mạng nơ-ron học sâu LSTM trong khai phá dữ liệu chuỗi thời gian.

• So sánh, đánh giá hiệu suất của phương pháp phát hiện bất thường bằng dự báo (mô hình để xuất) và phương pháp phát hiện bất thường bằng cửa sổ trượt (giải thuật HOTSAX). • Xây dựng được mô hình dự báo và phát hiện bất thường trên các bộ dữ liệu thuộc nhiều lĩnh vực. Ý nghĩa khoa học: • Góp phần đưa ra một mô hình, ứng dụng phương pháp học sâu vào bài toán phát hiện bất thường trên dữ liệu chuỗi thời gian. • Mở ra một hướng mới về phát hiện bất thường bằng dự báo dựa trên sự bùng nổ của phương pháp học sâu và mạng nơ-ron học sâu LSTM.4 Kết quả đạt được Trong nghiên cứu này, chúng tôi đề xuất mô hình dựa trên phương pháp phát hiện bất thường bằng dự báo để phát hiện bất thường trên các bộ dữ liệu thuộc nhiều lĩnh vực, đồng thời so sánh phương pháp này với phương pháp phát hiện bất thường dựa trên cửa sổ trượt, đại diện là giải thuật HOTSAX.

Chúng tôi đề xuất xây dựng một mô hình dự báo có kiến trúc LSTM xếp chồng để tận dụng khả năng ghi nhớ thông tin của mạng nơ-ron học sâu LSTM. Ngoài ra, chúng tôi sử dụng kỹ thuật dự báo nhiều bước để nâng cao khả năng dự báo của mô hình. Trong thực nghiệm, chúng tôi sử dụng 07 bộ dữ liệu thuộc nhiều lĩnh vực khác nhau để phát hiện bất thường, các bộ dữ liệu này đã được đánh dấu sẵn chuỗi con bất thường bởi các chuyên gia. Chúng tôi cài đặt 7 CHƯƠNG 1.

GIỚI THIỆU ĐỀ TÀI mô hình đề xuất và giải thuật HOTSAX để tiến hành các kịch bản thực nghiệm, so sánh và đánh giá kết quả thực nghiệm trên các bộ dữ liệu này. Kết quả thực nghiệm cho thấy, mô hình đề xuất đã khắc phục được hạn chế của giải thuật HOTSAX khi dựa vào kích thước cửa sổ trượt. Nhưng bên cạnh đó, mô hình đề xuất cũng gặp phải nhiều cảnh báo sai đối với bộ dữ liệu có ít dữ liệu huấn luyện, do mô hình dự báo có nhiều sai số dự báo.5 Cấu trúc của luận văn Cấu trúc của báo cáo được tổ chức như sau: • Chương 1 - Giới thiệu vấn đề: nhằm giới thiệu tổng quan về bài toán phát hiện bất thường dựa vào dự báo và phương pháp giải quyết. • Chương 2 - Cơ sở lý thuyết: trình bày những lý thuyết liên quan được sử dụng trong bài nghiên cứu.

• Chương 3 - Các nghiên cứu liên quan: bao gồm các công trình nghiên cứu liên quan đến bài toán phát hiện bất thường, ứng dụng của bài toán phát hiện bất thường và các kỹ thuật dự báo nhiều bước trong chuỗi dữ liệu thời gian. • Chương 4 - Phương pháp nghiên cứu: phân tích đặc điểm của các bộ dữ liệu và trình cụ thể mô hình đề xuất và cách thức mô hình hoạt động. • Chương 5 - Kết quả thực nghiệm: là kết quả đánh giá của mô hình đề xuất và so sánh với giải thuật HOTSAX • Chương 6 - Kết luận: nêu ra các kết luận đúc kết được trong quá trình nghiên cứu và hướng phát triển tiếp theo trong tương lai. 8 Chương 2 Cơ sở lý thuyết Chương này sẽ giải thích về chuỗi thời gian và chuỗi con bất thường ở mục 2.2, các phương pháp dùng trong giải thuật HOTSAX ở mục 2.

Tiếp theo trình bày chi tiết về lý thuyết về các kiến trúc mạng nơ-ron được chúng tôi áp dụng để nghiên cứu, cũng như cách xây dựng mô hình mạng nơ-ron học sâu LSTM xếp chồng trong các mục 2. Các cơ sở lý thuyết này sẽ được sử dụng để xây dựng một mạng nơ-ron học sâu LSTM xếp chồng nhằm mục đích dự báo dữ liệu chuỗi thời gian và phát hiện bất thường.1 Chuỗi thời gian và dự báo chuỗi thời gian Chuỗi thời gian (Time Series): Chuỗi thời gian T = t1 ,.,tm là tập hợp m các giá trị thực được đo đạc tại những điểm thời gian cách đều nhau.1 minh họa một chuỗi thời gian theo dõi quá trình đo nhiệt độ tại một địa phương Hình 2.1: Chuỗi thời gian 9 CHƯƠNG 2. CƠ SỞ LÝ THUYẾT Trong thực tế, có rất nhiều loại dữ liệu chuỗi thời gian như sự theo dõi biến động giá chứng khoán, dữ liệu điện tâm đồ, dữ liệu theo dõi sự truy cập các trang web của người dùng,. Thông thường, các loại dữ liệu chuỗi thời gian này là rất lớn, được đo và lưu trữ lại trong một khoảng thời gian dài cho nên việc khai phá dữ liệu này thường tốn kém chi phí thời gian.

Do đó việc sử dụng các công cụ khai phá dữ liệu này được áp dụng trên nền máy tính đã thu hút sự quan tâm, nghiên cứu và ứng dụng trong rất nhiều các lĩnh vực trong những năm gần đây. Một số vấn đề có thể xảy ra khi khai phá dữ liệu chuỗi thời gian: • Khối lượng dữ liệu: Một trong những đặc trưng của chuỗi thời gian là dữ liệu rất lớn. Đây là một trong những vấn đề thách thức trong quá trình phân tích, tính toán và xử lý dữ liệu chuỗi thời gian trong việc tạo ra kết quả được chính xác trong thời gian hợp lý? • Phụ thuộc yếu tố chủ quan: Trong thực tế, các kết quả dữ liệu chuỗi thời gian thu được chịu ảnh hưởng yếu tố chủ quan của người đo dữ liệu, điều kiện và các công cụ đo. • Dữ liệu không đồng nhất: Quá trình thu thập dữ liệu chuỗi thời gian được đo trên những định dạng khác nhau, số lượng và tần số lấy mẫu không đồng nhất cũng ảnh hưởng đến tính toàn vẹn của dữ liệu.

Thêm vào đó quá trình đo đạc không chính xác do nhiễu, thiếu một vài giá trị hay dữ liệu không sạch. Dữ liệu chuỗi thời gian được phân ra thành 2 nhóm chính: • Chuỗi thời gian đơn biến: như tên gọi của nó, là một chuỗi có một biến phụ thuộc thời gian duy nhất. Ví dụ như: năng lượng tiêu thụ trong một tuần, giá trị điện tâm đồ,. • Chuỗi thời gian đa biến: chuỗi thời gian có nhiều hơn một biến phụ thuộc vào thời gian.

Mỗi biến không chỉ phụ thuộc vào các giá trị trong quá khứ của nó mà còn có một số phụ thuộc vào các biến khác. Sự phụ thuộc này được sử dụng để dự báo các giá trị trong tương lai. Ví dụ như: giá trị cỗ phiếu từng ngày trong một tuần,.2 Chuỗi con và chuỗi con bất thường 2.1 Chuỗi con Chuỗi con (Subsequence) : Cho một chuỗi thời gian T có độ dài m, một chuỗi con C của T là một mẫu (sample) có độ dài n ≤ m lấy từ T, nghĩa là C = tp ,.2 Chuỗi con bất thường Một mẫu bất thường trên dữ liệu chuỗi thời gian là một chuỗi con mà rất khác so với chuỗi con tương tự với nó nhất. Tuy nhiên, những chuỗi con mà khớp (tương tự) với một chuỗi con cho trước thường có khuynh hướng gần sát với vị trí của chuỗi con đang xét.

Thí dụ, một chuỗi con có vị trí bắt đầu tại điểm thứ p có chuỗi con tương tự với nó nhiều nhất bắt đầu tại điểm thứ q mà q chỉ cách xa p khoảng vài điểm. Những sự trùng khớp với nhau như vậy được gọi là trùng khớp tầm thường (trivial matches) và không đáng quan tâm trong quá trình phát hiện bất thường. Định nghĩa 1: (Trùng khớp không tầm thường) Một chuỗi thời gian T cho trước có chứa chuỗi con C chiều dài n bắt đầu tại vị trí p và một chuỗi con M trùng khớp với nó bắt đầu tại vị trí q, ta bảo M là trùng khớp không tầm thường (non-trivial match) của C nếu |p – q | ≥ n. Định nghĩa 2: (Chuỗi con bất thường nhất – time series discord) Cho chuỗi thời gian T, chuỗi con C có chiều dài n bắt đầu tại vị trí p được gọi là chuỗi con bất thường nhất của T nếu C có khoảng cách lớn nhất đến chuỗi con trùng khớp không tầm thường lân cận với nó nhất.