[논문 리뷰] Event2Graph: Event-driven Bipartite Graph for Multivariate Time-series Anomaly Detection

Yuhang Wu, Mengting Gu외 4명|arXiv (Cornell University)|2021. 08. 15.

Anomaly Detection Techniques and Applications참고 문헌 27인용 수 6

한 줄 요약

이 논문은 다변량 시계열 이상 탐지 문제를 다루기 위해 시간열 세그먼트를 이벤트 노드로, 시간열을 노드 유형으로 모델링하는 동적 이분할 그래프 모델인 Event2Graph를 제안한다. 이는 정적 상호의존성을 가정하지 않고 적응형·데이터 기반의 의존성 학습을 가능하게 하며, 변화하는 그래프에서 자기지도적 엣지 스트림 예측 작업으로 이상 탐지를 공식화함으로써 벤치마크 데이터셋에서 최신 기술 수준의 성능을 달성한다.

ABSTRACT

Modeling inter-dependencies between time-series is the key to achieve high performance in anomaly detection for multivariate time-series data. The de-facto solution to model the dependencies is to feed the data into a recurrent neural network (RNN). However, the fully connected network structure underneath the RNN (either GRU or LSTM) assumes a static and complete dependency graph between time-series, which may not hold in many real-world applications. To alleviate this assumption, we propose a dynamic bipartite graph structure to encode the inter-dependencies between time-series. More concretely, we model time series as one type of nodes, and the time series segments (regarded as event) as another type of nodes, where the edge between two types of nodes describe a temporal pattern occurred on a specific time series at a certain time. Based on this design, relations between time series can be explicitly modelled via dynamic connections to event nodes, and the multivariate time-series anomaly detection problem can be formulated as a self-supervised, edge stream prediction problem in dynamic graphs. We conducted extensive experiments to demonstrate the effectiveness of the design.

연구 동기 및 목표

• 재귀 신경망(RNNs)이 다변량 시계열 이상 탐지에서 정적이고 완전한 의존성 그래프를 가정함으로써 실제 세계의 제도 전환을 반영하지 못하는 한계를 해결하기 위해.
• 다변량 패턴을 함께 모델링하는 이벤트 기반 그래프의 지수적 복잡도를 줄이기 위해 시간열 노드와 이벤트 노드를 분리함으로써.
• 이분할 그래프 구조에서 이벤트 기반 연결을 통해 동적으로 시간 의존성을 학습하는 자기지도적 엣지 스트림 예측 프레임워크를 개발하기 위해.
• 시계열 데이터의 이벤트 패턴과 잔차 편차를 명시적으로 모델링하여 이상 탐지 성능을 향상시키기 위해.

제안 방법

• 모델은 두 가지 노드 유형으로 구성된 동적 이분할 그래프를 구축한다: 시간열 노드와 이벤트 노드이며, 각 이벤트 노드는 단일 시간열의 세그먼트를 나타낸다.
• 시간열 노드와 이벤트 노드 사이에 엣지를 형성하여 시간 패턴을 인코딩하며, 연결은 특정 시간에 특정 시간열에서 특정 이벤트가 발생했음을 나타낸다.
• 이웃 이벤트 노드로부터의 컨텍스트를 집계하기 위해 시간적 그래프 어텐션(TGA) 모듈을 사용하여 예측을 안정화하고 노이즈에 대한 강건성을 향상시킨다.
• 이상 탐지는 동적 그래프에서 자기지도적 엣지 스트림 예측 작업으로 공식화되며, 이중 점수—이벤트 매칭 점수(ω₁)와 잔차 오차 점수(ω₂)—를 사용하여 이상을 탐지한다.
• 기준 비교를 위해 변화점 탐지에만 의존하는 로그우도 함수 ψ_NLG를 사용한다.
• 노드 수준의 메모리 설계 덕분에 유도 학습과 병렬 계산을 지원하며, 고정된 인접 행렬이 필요하지 않다.

실험 결과

연구 질문

• RQ1 정적 RNN 기반 모델을 초월하여, 동적이고 데이터 기반의 그래프 구조가 다변량 시계열 이상 탐지 성능을 향상시킬 수 있는가?
• RQ2 각 시간열별로 이벤트 노드를 분리함으로써, 공동 다변량 이벤트 모델링 대비 복잡도가 얼마나 감소하는가?
• RQ3 동적 이분할 그래프에서 자기지도적 엣지 스트림 예측이 기존 최신 기술 수준의 방법보다 얼마나 뛰어나게 성능을 발휘하는가?
• RQ4 이벤트 매칭 점수(ω₁)와 잔차 오차 점수(ω₂)가 이상 탐지에 독립적으로 및 함께 기여하는 정도는 어느 정도인가?
• RQ5 모델이 지표 레이블에 포함되지 않은 이상을 탐지할 수 있는가? 이는 미세하거나 새로운 패턴에 대한 강건성을 시사한다.

주요 결과

• 제안된 Event2Graph 모델은 세 가지 벤치마크 데이터셋에서 최신 기술 수준의 성능을 달성하며, LSTM-VAE, DAGMM, LSTM-NDT를 모두 능가한다.
• 변화점 탐지 점수(ψ_NLG)만을 사용하는 기준 모델은 78.48%의 F1 점수를 기록하여, 정적 모델이 동적 패턴을 다루는 데 어려움을 겪는다는 점을 시사한다.
• 시간적 그래프 어텐션(TGA) 모듈은 예측을 크게 안정화시키며, 이를 제거할 경우 노이즈에 과민하게 반응하는 경향이 감소한다.
• 지표 레이블에 기록되지 않은 잠재적 이상을 탐지한다. 예를 들어, SMD 데이터셋에서 테스트 기간 말단 근처의 상승 추세를 보이는 노이즈 패턴을 탐지한다.
• 잔차 오차 점수(ω₂)가 이벤트 패턴 점수(ω₁)보다 예측되지 않은 이상을 더 효과적으로 포착함을 시사하며, 학습된 패턴에서의 편차가 핵심 신호임을 나타낸다.
• ω₁과 ω₂를 모두 사용한 모델은 경쟁적인 성능을 보이며, 서로 다른 이상 유형을 탐지하는 데 상호보완적인 역할을 한다.