Kaspersky MLAD интегрируется с существующей системой мониторинга и управления объектом, получая от нее данные телеметрии и передавая обратно извещения об аномалиях. При этом детектор не воздействует на работу объекта; его задача — предоставить оператору информацию об обнаруженных аномалиях для принятия необходимых мер.

Прием данных телеметрии выполняется следующими способами:

• по протоколам OPC UA, MQTT, AMQP или через REST-интерфейс
• по другим протоколам передачи промышленных данных – с использованием продукта Kaspersky Industrial Cybersecurity for Networks в качестве сборщика данных и транслятора протоколов.

Информация об обнаруженных аномалиях предоставляется:

• в собственном веб-приложении Kaspersky MLAD, где доступны аннотированные графики телеметрии и ведется журнал аномалий с заключениями экспертов;
• на двумерной мнемосхеме технологического процесса с цветовой индикацией проблемных участков;
• на трехмерной модели объекта с цветовой индикацией проблемных участков;
• в существующем АРМ оператора, если ПО АРМ предоставляет интерфейс для приема извещений от сторонних приложений.

Kaspersky MLAD поддерживает несколько типов детекторов аномалий, которые могут объединяться в составе ML-модели, создаваемой для конкретного объекта мониторинга:

• Предиктивный детектор – используется для выявления малозаметных аномалий, в том числе ранее не встречавшихся, или аномалий, чьи симптомы не поддаются точному определению. Предиктивные детекторы строятся на основе нейронных сетей различных архитектур.
• Диагностические правила — используются для обнаружения аномалий по заранее заданным критериям, таким как изменения трендов, «скачки», «залипания», устойчивые превышения порогов и т.п. Диагностические правила строятся на основе различных алгоритмов с элементами машинного обучения.
• Анализатор сходства — сравнивает вновь выявленные аномалии с обнаруженными ранее и группирует похожие аномалии. Таким образом, в процессе анализа и диагностики аномалий появляется возможность использования накопленной экспертизы.
• Процессор событий — работает с последовательностями дискретных событий. Специального вида нейронная сеть анализирует поток событий, выявляя типовые паттерны. Аномалией в данном случае является необычная последовательность событий (например, действия персонала и/или серия аномалий, выявленных другими детекторами).