[論文レビュー] Event2Graph: Event-driven Bipartite Graph for Multivariate Time-series Anomaly Detection

Yuhang Wu, Mengting Gu+4 more|arXiv (Cornell University)|Aug 15, 2021

Anomaly Detection Techniques and Applications参考文献 27被引用数 6

ひとこと要約

本稿では、時系列セグメントをイベントノード、時系列をノードタイプとしてモデル化することで、静的相互依存関係を仮定せずに、適応的かつデータ駆動型の依存関係学習を可能にする動的双方向グラフモデルであるEvent2Graphを提案する。本手法は、進化するグラフ上で自己教師ありエッジストリーム予測タスクとして異常検出を定式化することで、ベンチマークデータセットで最先端の性能を達成する。

ABSTRACT

Modeling inter-dependencies between time-series is the key to achieve high performance in anomaly detection for multivariate time-series data. The de-facto solution to model the dependencies is to feed the data into a recurrent neural network (RNN). However, the fully connected network structure underneath the RNN (either GRU or LSTM) assumes a static and complete dependency graph between time-series, which may not hold in many real-world applications. To alleviate this assumption, we propose a dynamic bipartite graph structure to encode the inter-dependencies between time-series. More concretely, we model time series as one type of nodes, and the time series segments (regarded as event) as another type of nodes, where the edge between two types of nodes describe a temporal pattern occurred on a specific time series at a certain time. Based on this design, relations between time series can be explicitly modelled via dynamic connections to event nodes, and the multivariate time-series anomaly detection problem can be formulated as a self-supervised, edge stream prediction problem in dynamic graphs. We conducted extensive experiments to demonstrate the effectiveness of the design.

研究の動機と目的

• 再帰的ニューラルネットワーク（RNNs）の多変量時系列異常検出における限界、すなわち、現実のレジームシフトを反映しない静的かつ完全な依存関係グラフを仮定する点を解決すること。
• 多変量パターンを同時にモデル化するイベントベースのグラフの指数的複雑性を、時系列ノードとイベントノードを分離することで克服すること。
• 双方向グラフ構造におけるイベント駆動接続を通じて、動的かつ時間的依存関係を学習する自己教師ありエッジストリーム予測フレームワークを構築すること。
• 時系列データにおけるイベントパターンと残差のずれを明示的にモデル化することで、異常検出性能を向上させること。

提案手法

• モデルは、2種類のノードタイプ（時系列ノードとイベントノード）を持つ動的双方向グラフを構築し、各イベントノードは単一時系列上のセグメントを表す。
• 時系列ノードとイベントノードの間にエッジを形成することで時間的パターンを符号化し、接続は特定の時系列で特定の時刻に特定のイベントが発生したことを示す。
• 時間的グラフアテンション（TGA）モジュールを用いて、隣接するイベントノードからのコンテキストを集約し、予測の安定性を高め、ノイズに対するロバスト性を向上させる。
• 異常検出は、自己教師ありエッジストリーム予測タスクとして定式化され、異常を検出するために2つのスコア（イベントマッチングスコア ω₁ と残差誤差スコア ω₂）が用いられる。
• ベースライン比較のために、予測やイベントモデリングなしに変化点検出にのみ依存する対数尤度関数 ψ_NLG が使用される。
• ノードレベルのメモリ設計のおかげで、固定の隣接行列を必要とせず、帰納的学習と並列計算をサポートする。

実験結果

リサーチクエスチョン

• RQ1 静的RNNベースのモデルを超えて、動的かつデータ駆動型のグラフ構造が多変量時系列異常検出を改善できるか？
• RQ2 各時系列ごとにイベントノードを分離することで、共同で多変量イベントをモデル化する場合と比較して、複雑性がどのように低減されるか？
• RQ3 動的双方向グラフ上で自己教師ありエッジストリーム予測が、既存の最先端手法をどの程度上回るか？
• RQ4 イベントマッチングスコア（ω₁）と残差誤差スコア（ω₂）は、異常検出においてそれぞれ独立して、および共同してどのように寄与するか？
• RQ5 モデルは、正解ラベルに記録されていない異常を検出できるか。これは、微細または新規のパターンに対してもロバストであることを示唆する。

主な発見

• 提案されたEvent2Graphモデルは、3つのベンチマークデータセットで最先端の性能を達成し、LSTM-VAE、DAGMM、LSTM-NDTを上回った。
• 変化点検出スコアのみを用いたベースラインモデル（ψ_NLG）は78.48%のF1スコアを達成し、静的モデルが動的パターンに対応できないことが示された。
• 時間的グラフアテンション（TGA）モジュールは予測の安定性を顕著に向上させ、そのモジュールを削除するとノイズに過敏に反応するようになる。
• システムは、正解ラベルに記録されていない潜在的な異常を検出できた。例えば、SMDデータセットのテスト期間終盤に上昇するノイズの高いトレンドが検出された。
• 残差誤差スコア（ω₂）は、学習済みパターンからのずれを捉える上で、イベントパターンスコア（ω₁）よりも効果的であることが示され、これは学習済みパターンからの逸脱が重要な信号であることを示唆する。
• ω₁とω₂の両方を用いたモデルは、異なる異常タイプを検出する上で補完的な役割を果たしており、競争力のある性能を発揮した。