[論文レビュー] Low Latency Anomaly Detection and Bayesian Network Prediction of Anomaly Likelihood

Derek Farren, Thai Pham+1 more|arXiv (Cornell University)|Nov 11, 2016

Anomaly Detection Techniques and Applications参考文献 6被引用数 4

ひとこと要約

本論文は、正則化された自己回帰分散遅れモデルを用いた低遅延異常検出システムを提案し、ベイジアンネットワークを拡張してリアルタイムでの異常発生確率を予測する。この手法は、線形ガウス的条件付き確率を用いて残差誤差を今後の異常を予測する予測子としてモデル化することで、4つの時系列データセットでF₁スコア0.78を達成した。

ABSTRACT

We develop a supervised machine learning model that detects anomalies in systems in real time. Our model processes unbounded streams of data into time series which then form the basis of a low-latency anomaly detection model. Moreover, we extend our preliminary goal of just anomaly detection to simultaneous anomaly prediction. We approach this very challenging problem by developing a Bayesian Network framework that captures the information about the parameters of the lagged regressors calibrated in the first part of our approach and use this structure to learn local conditional probability distributions.

研究の動機と目的

• 高ボリュームで非定常な時系列ストリーム向けのリアルタイムで低遅延な異常検出システムの開発。
• 時系列間の時間的依存関係をモデル化することで、異常検出を予測的異常予測へ拡張すること。
• それらの構造について事前の仮定を設けずに、潜在的な系列間依存関係を捉えること。
• ラグ付き予測子係数に基づいて将来の異常発生確率を推定するスケーラブルなベイジアンネットワークフレームワークの構築。
• 解釈可能性を高め、分類を超えた推論を可能にするために、異常プロセスの生成的モデリングを可能にすること。

提案手法

• スライディングウィンドウ内で、すべての時系列の過去のすべての値を用いて現在の値を予測するため、L1正則化付き自己回帰分散遅れモデルを適用する。
• 最小二乗回帰を用いてモデル係数を推定し、予測残差を計算する。これらの残差は確率的解釈のため(0,1)に正規化される。
• ベイジアンネットワークを構築し、時系列の異常発生確率をその残差誤差とラグ付き予測子係数の論理的関数としてモデル化する。
• 残差と予測変数の間の関係を線形ガウスモデルで最小二乗フィッティングにより条件付き確率分布を学習する。
• 異常発生を二値変数として定義し、P(A_i=1 | ε̂) = min(1, α·ε̂)とする。αは交差検証により調整され、F₁スコアを最大化するように最適化される。
• 事後分布を条件付き分布として扱うことで推論を簡素化し、複雑な事前分布の指定を回避する。

実験結果

リサーチクエスチョン

• RQ1 無制限の時系列ストリームに対して、正則化付き自己回帰モデルを用いた低遅延リアルタイム異常検出システムを構築可能か？
• RQ2 非定常時系列間の潜在的依存関係は、異常予測の観点でどの程度効果的に捉えることができるか？
• RQ3 ラグ付き回帰モデルの係数を用いて、ベイジアンネットワークが将来の異常発生確率をどの程度うまくモデル化できるか？
• RQ4 生成的モデルを用いた異常予測において、予測性能とモデルの解釈可能性の間にはどのようなトレードオフがあるか？
• RQ5 検出モデルの残差誤差は、信頼性を持って確率的異常予測に変換可能か？

主な発見

• 提案された異常検出モデルは、スライディングウィンドウと高次元時系列データに対するL1正則化回帰を用いることで、リアルタイム性能を達成した。
• ベイジアンネットワークフレームワークは、ラグ付き回帰係数を用いて異常発生確率を効果的にモデル化し、検出を超えた予測機能を実現した。
• 縮小された4時系列データセット（h=43,200, w=7,200, n=4）において、ハイパーパramータチューニング後、F₁スコア0.78を達成した。
• 生成的モデルの近似と単純化のため、判別的ベースライン（DPCAなど）に比べて性能は低いが、これは予想される結果である。
• 検出モデルの残差は正規化され、異常確率の推定に論理的回帰に類似したモデルの入力として使用された。
• 異常生成プロセスを明示的にモデル化することで、解釈可能性が向上し、潜在的なデータ生成メカニズムに関する将来的な推論クエリを可能にした。