Nesta seção apresentamos uma apli ação real da abordagem de dete ção de anomalias,
diretamenteapoiadapeloframeworkProM.Olog utilizadonesteexemploédeumsistema
de informação muni ipal da Holanda. O pro esso representado no log é referente ao
suportequeosmuni ípiosofere emapessoasquene essitamde adeirasderodas,patinete
para portadores de de iên ia, adaptação nas asas (ex. elevador),ajudafamiliar,et .
A seguir, listamosas propriedadesdolog utilizadoneste exemplo:
•
é de informaçõesreferenteao períodode janeiro de 2007 aagosto de 2008;•
ontém informaçõesde 876 tra es;•
possui 5497 atividades,somando-se asatividades de ada tra e;•
há dez diferentes lasses de atividade;•
o tamanhodo tra e mais urto foi de uma atividade;•
o tamanhodo tra e mais longo foi de 12 atividades;•
o tamanhomédio dos tra es foi de seis atividades.Então, onsiderandoquevários(talvezin nito)modelospodemserdes obertos apar-
tir do log e onsiderando a ausên ia no ProM de uma ferramenta que onstrua todos os
modelos andidatos a análise/seleçãodomais apropriado, optamospor explorara des o-
berta dos modelos de uma forma semi-automáti a. Por essa razão, nas seções seguintes,
des revemos osparâmetros e operações utilizadaspara gerar o modelo quesatis zesse os
ritérios de seleção domodelo mais apropriado,dentre os modelos exploradosnaanálise.
5.3.1 Etapa 1: Preparação do Log
Essa preparaçãodolog laramenteédependentedonegó io,mas umaanálisedafrequên-
iadostra es edas atividadesajudamuitonaes olhados ltrosquepodemser apli ados.
Então, para o log utilizado,apli amosa análisede frequên ia das atividadesque ini iam
e terminamum tra e. Apresentamos na Tabela 5.1as informações de frequên ia para o
log utilizadonesta análise, ujos valores foramobtidos om oframework ProM.
Essaanálisedafrequên iaéimportante,pois, omoargumentadonaSeção3.4,depen-
dendodoperíodoutilizadoparaobterolog,algunstra es podemter ini iadoou omeçado
om atividadesintermediárias.
•
de nir Request registration omo a úni a atividade ini ial, já que ela é muito predominanteno log (ver Tabela5.1);•
de nir FinalPhase omoa úni aatividade nal, já queelaémuito predominante também(ver Tabela5.1);Tabela 5.1: Frequên iadas atividadesque ini iame terminamostra es dolog
Frequên iadasatividadesini iais Frequên iadasatividades nais
Atividade Frequên ia Atividade Frequên ia
Requestregistration 96,12% FinalPhase 94,52%
Reporting&De ision 3,43% Reporting &De ision 2,06%
Privateresear h 0,34% Requestregistration 1,03%
Resear h 0,11% Left ling 0,91%
Keysandde ide 0,69%
A ounting 0,34%
Waiting re overy 0,23%
Resear h 0,11%
Return 0,11%
Apósaapli açãodos ltrosnós obtivemosum log ltrado omas seguintes ara terís-
ti as:
•
796 tra es;•
5191 atividades, somando-se asatividades de ada tra e;•
o tamanhodo tra e mais urto foi de in o atividades;•
o tamanhodo tra e mais longo foi de 12 atividades;•
o tamanhomédio dos tra es foi de seis atividades;5.3.2 Etapas 2, 3 e 4: Mineração, Separação e Seleção do Modelo
Apesar do título desta seção sugerir que vários modelos foramminerados por diferentes
algoritmos, de fato um modelo de pro esso foi interativamenteminerado até que satis -
zesse apropriedadede ser omodelomais apropriado,dentre osmodelos explorados. Sem
perda de valor, o nome atribuído à seção tem o objetivo didáti o de manter um alinha-
mento/ orrespondên ia om as etapas daabordagemde dete ção de anomaliapropostas
neste apítulo.
Naetapa de mineração, utilizamosoalgoritmode mineração heuristi miner[53℄, por
Figura5.2: Modelos de pro esso (Petri net), apósapli açãode ltros.
disponívelno ProM através de um plug in de mesmo nome. Alémdisso, nós assumimos
para oparâmetrop, tness mínimo,um valorde 80%. Essevalorrepresentaomínimode
onformidadequeesperamosqueosmodelosexploradosnoexemplopossuam. Porseuum
parâmetro, valoresmais ou menos restritivos de onformidade poderiam ser utilizados.
Apresentamos na Figura 5.2 os três modelos de pro essos que foram iterativamente
minerados apartir dolog ltrado. Para ada modelo, apresentamos as seguintes proprie-
dades: f para tness,sparastru turalappropriateness,bparabehavioralappropriateness,
e a for appropriateness.
O primeiro modelo de pro esso en ontrado foi a petri net A. Entretanto, analisando
essemodeloeafrequên iadasatividadesnolog,queapresentamosnaTabela5.2,podemos
per eberqueasduasatividadesmaisinfrequentes,Privateresear h(B)eResear h (C),
adi ionam, desne essariamente, omplexidade aomodelo, mesmosendo atividadesmuito
infrequente, quando omparadas omasoutras. Então,apli amosumsegundo ltroaolog
removendoessasatividades, ujolog resultantefoiutilizadoparagerarosegundo modelo,
a petri net B.
A petri net B, apresentada na Figura 5.2, é um modelo que satisfaz o ritério de t-
Tabela 5.2: Frequên iadas Atividades noLog.
Atividade Frequên ia(relativa)
Keysandde ide 16,41%
Reporting&De ision 15,43%
Left ling 15,39% Requestregistration 15,33% FinalPhase 15,33% A ounting 11,42% Waiting re overy 9,59% Return 1,00% Private resear h 0,04% Resear h 0,04%
sendo signi ativamentemais frequente que asatividades já removidas, aindaa res enta
omplexidade ao modelo desne essariamente. Quando omparada a frequên ia de Re-
turn om asoutras atividades, Return aindaé muito infrequente.
Por essa razão, a atividade Return foi também removida do log e a petri net C foi
gerada, que além de ser um modelo mais apropriado que os outros modelos, possui um
tness superior. Então a petri net C foi sele ionada omo o modelo mais apropriado,
servindo omo lassi ador dos tra es do log.
Novamentevaleobservarquetodoessa pro essodemineração,separaçãoeseleçãodos
modelos não foi exe utado de forma automatizada e nenhuma bus a exaustiva de novos
modelos foi realizada. Porém, a inspeção manual indi a que o modelo sele ionado é de
fato o mais apropriadoentre os modelosexplorados.
5.3.3 Etapa 5: Classi ação dos Tra es
Por m, nós obtivemos os tra es que são instân iado modelo apropriadoe os tra es que
não são instân ia desse modelo (Petri net C na Figura 5.2). Como na análise utilizada
onsideramos queovalordoatributop era de 80%(mínimo tness dolog),omáximode
tra es an malosqueesperávamos en ontrar nolog era de 20%.
No entanto, o modelo mais apropriado após a análise tem tness de 99%. Então,
foram dete tadosapenas seis tra es an malosde um total de 796 tra es existentes nolog
ltrado.