Anomalie-Erkennung (gleitender z-Wert)

Für jeden Punkt bilden die w Punkte davor ein Referenzfenster: Mittelwert m und Standardabweichung s werden berechnet, und z = (x − m) / s sagt, wie viele Standardabweichungen der Punkt vom Fenster entfernt liegt. Übersteigt |z| die Schwelle k, wird der Punkt markiert. Der Punkt gehört nicht zu seinem eigenen Fenster; so kann ein Extremwert seinen eigenen Mittelwert und seine Std. nicht aufblähen und sich verstecken.

Für die ersten w Punkte gibt es kein Fenster; sie werden nicht berechnet. Ein kurzes Fenster passt sich schnell an Veränderungen an, doch Mittelwert und Std. sind verrauscht; ein langes ist stabil, passt sich aber langsam an.

Der klassische z-Wert stützt sich auf Mittelwert und Standardabweichung, die beide empfindlich auf Ausreißer reagieren. Enthält das Fenster eine frühere Anomalie, bläht sich die Std. auf, und spätere Anomalien können unter der Schwelle bleiben (Masking). Der robuste z-Wert nutzt Median und MAD (Median der absoluten Abweichungen), die von Ausreißern kaum beeinflusst werden. Der Faktor 0,6745 bringt die MAD bei Normalverteilung auf die Skala der Standardabweichung.

Beim robusten z-Wert ist die Schwelle 3,5 der von Iglewicz und Hoaglin empfohlene übliche Wert. Sind alle Fensterwerte identisch, ist die MAD 0; dann wird jeder vom Zentrum abweichende Punkt markiert.

Selbst bei reinem Normalrauschen überschreiten einige Punkte die Schwelle k: Bei k = 3 liegt die Wahrscheinlichkeit bei etwa 0,27 %, also im Mittel 2,7 Fehlalarme je 1.000 Punkte. Das Werkzeug zeigt dies als erwartete Zahl; liegt die tatsächliche Zahl weit darüber, gibt es echte Anomalien. Bei kleinem Fenster ist die Rate noch höher.

Die größte Einschränkung sind Trend und Saisonalität: In einer Sensorreihe mit Tageszyklus erscheint jede Morgen- und Abendspitze als „Anomalie“. Bei solchen Reihen entfernen Sie zuerst Trend und Saisonkomponente und betrachten das Residuum.