[論文レビュー] Real-time Anomaly Detection for Multivariate Data Streams

Kenneth Odoh|arXiv (Cornell University)|Sep 26, 2022

Data Stream Mining Techniques被引用数 5

ひとこと要約

本稿では、確率的指数加重移動平均（PEWMA）に基づくリアルタイムで教師なしの多次元異常検出アルゴリズムを提案する。このアルゴリズムは、データストリームにおける急激な変化と徐々に変化する概念ずれ（concept drift）を処理可能である。インクリメンタルなオンライン学習と適応的しきい値設定機構を用い、Sherman-Morrisonの公式を用いたオンライン共分散および逆共分散推定により統計的安定性を維持することで、分布のシフトに対しても低誤差を達成する。

ABSTRACT

We present a real-time multivariate anomaly detection algorithm for data streams based on the Probabilistic Exponentially Weighted Moving Average (PEWMA). Our formulation is resilient to (abrupt transient, abrupt distributional, and gradual distributional) shifts in the data. The novel anomaly detection routines utilize an incremental online algorithm to handle streams. Furthermore, our proposed anomaly detection algorithm works in an unsupervised manner eliminating the need for labeled examples. Our algorithm performs well and is resilient in the face of concept drifts.

研究の動機と目的

• 概念ずれに適応可能な教師なしでリアルタイムの多次元データストリーム用異常検出システムの開発。
• 一変量のPEWMAを多次元設定に拡張しつつ、統計的厳密性とオンライン効率性を維持すること。
• ラベル付きデータに依存しない完全なオンラインでインクリメンタルな学習を可能にし、メモリ使用量を最小限に抑えること。
• 急激な遷移的変化、急激な分布的変化、徐々に変化する分布的変化というさまざまなシグナルシフト下でのアルゴリズムの頑健性を評価すること。
• 精度と収束性の観点から、インクリメンタルなオンライン共分散推定と静的バッチ推定を比較すること。

提案手法

• アルゴリズムは、データの確率に基づいて適応的忘れ率を用いることで、ストリームデータをモデル化するための確率的指数加重移動平均（PEWMA）を採用する。
• 新規データの到着に伴い逐次更新される、Igelら（2006）が提案したオンライン共分散行列推定技術を用いる。
• 計算効率を維持するため、逆共分散行列はSherman-Morrisonの公式を用いて計算する。
• 共分散行列の正定値性と数値安定性を保つために、コレスキー分解を適用する。
• 正規化された残差メトリクスを用いて異常スコアを計算し、評価損失関数として絶対平均偏差（AAD）を用いる。
• 本手法は2段階で動作する：まずデータウィンドウの静的初期学習段階を経て、その後継続的なオンライン更新と適応的しきい値設定を行う。

実験結果

リサーチクエスチョン

• RQ1 提案されたPEWMAベースのアルゴリズムは、急激かつ徐々に変化する概念ずれが生じる多次元データストリームにおいて、どれほど効果的に異常を検出できるか？
• RQ2 検出精度の観点から、初期静的ウィンドウサイズとオンライン更新ウィンドウサイズの間にはどのようなトレードオフがあるか？
• RQ3 ラベル付きデータや異常パターンの事前知識なしに、低誤差と高い頑健性を維持できるか？
• RQ4 収束性と安定性の観点から、インクリメンタル共分散推定はバッチ共分散推定と比べてどのように異なるか？
• RQ5 異常検出性能において、AADを損失メトリクスとして用いることで、MSE や MAD よりもタイトな誤差バインディングが得られるか？

主な発見

• 初期静的ウィンドウが大きいほど誤差率が低くなることが確認され、モデルの安定性を高めるために初期データを多く用いる利点が裏付けられた。
• 学習の初期段階で誤差が最大になることが示され、正定値初期化または早期収束戦略の導入が求められることが示唆された。
• 初期化のシードや行列の次元に依存しないことが確認され、さまざまな設定においても安定性が確認された。
• AADを損失関数として用いることで、MSE や MAD よりもタイトな誤差バインディングが得られ、大きな残差への感度が向上した。
• インクリメンタルなオンライン共分散推定は、処理されるデータ量が増えるにつれてバッチ推定と同等の性能を示した。
• 本手法は、すべての3種類のシグナルシフト（急激な遷移的変化、急激な分布的変化、徐々に変化する分布的変化）を効果的に処理できた。