Detección basada en la actividad de un Sistema que coincide con la definida como anormal.
Detección de desviaciones de lo que sería el comportamiento esperado de algo. Para que funcione es necesario definir previamente qué comportamiento cabe caracterizar como «normal» y así poder identificar desviaciones. La definición previa puede ser una especificación, o resultado de un proceso de aprendizaje tutelado.
