This paper uses SOM-PAK to train three normal MAP of system on characteristic datas of different layer and decides the method of choosing alert threshold.

• 摘要通过采集主机中三个不同层次的特征数据，利用SOM_PAK，训练出三个表示系统正常模式的MAP，并确定报警阈值的选取方法。