[论文解读] Effectiveness of Tree-based Ensembles for Anomaly Discovery: Insights, Batch and Streaming Active Learning

Shubhomoy Das, Md. Rakibul Islam+2 more|arXiv (Cornell University)|Jan 23, 2019

Anomaly Detection Techniques and Applications参考文献 44被引用 14

一句话总结

本文提出基于树的集成方法结合主动学习，以在批量和流式设置下实现高效的异常检测，引入紧凑描述形式化和GLocalized Anomaly Detection（GLAD），以提升异常的多样性、可解释性及标签效率。结果表明，结合集成的主动学习显著优于无监督基线方法，并在流式环境中实现了具有竞争力的性能。

ABSTRACT

In many real-world AD applications including computer security and fraud prevention, the anomaly detector must be configurable by the human analyst to minimize the effort on false positives. One important way to configure the detector is by providing true labels (nominal or anomaly) for a few instances. Recent work on active anomaly discovery has shown that greedily querying the top-scoring instance and tuning the weights of ensemble detectors based on label feedback allows us to quickly discover true anomalies. This paper makes four main contributions to improve the state-of-the-art in anomaly discovery using tree-based ensembles. First, we provide an important insight that explains the practical successes of unsupervised tree-based ensembles and active learning based on greedy query selection strategy. We also present empirical results on real-world data to support our insights and theoretical analysis to support active learning. Second, we develop a novel batch active learning algorithm to improve the diversity of discovered anomalies based on a formalism called compact description to describe the discovered anomalies. Third, we develop a novel active learning algorithm to handle streaming data setting. We present a data drift detection algorithm that not only detects the drift robustly, but also allows us to take corrective actions to adapt the anomaly detector in a principled manner. Fourth, we present extensive experiments to evaluate our insights and our tree-based active anomaly discovery algorithms in both batch and streaming data settings. Our results show that active learning allows us to discover significantly more anomalies than state-of-the-art unsupervised baselines, our batch active learning algorithm discovers diverse anomalies, and our algorithms under the streaming-data setup are competitive with the batch setup.

研究动机与目标

• 通过基于树的集成方法实现人机协同的主动学习，以缓解异常检测中的高误报负担。
• 构建一个原则化的主动学习框架，以最小化人工标注工作量，同时最大化真实异常的发现。
• 通过新型形式化方法（如紧凑描述和基于规则的解释）提升所发现异常的可解释性与多样性。
• 通过新颖的数据漂移检测与校正机制，实现在流式数据环境下的稳健适应。
• 提供理论洞察，解释为何集成平均与贪婪查询选择在异常检测中具有有效性。

提出的方法

• 提出紧凑描述（CD）形式化，通过基于树的集成模型提取的逻辑规则表示异常，提升可解释性与多样性。
• 提出GLocalized Anomaly Detection（GLAD），利用标签反馈学习集成成员对特定实例的局部相关性，同时保持全局模型的简洁性。
• 采用新颖的数据漂移检测算法，识别流式数据中的概念漂移，并以原则化方式触发自适应模型更新。
• 使用AAD（异常感知蒸馏）损失函数训练模型，使异常样本得分高于τ分位数，从而提升排序性能。
• 通过受不确定性采样启发的查询策略，选择异常得分最高的实例进行标注，其合理性基于对集成行为的理论洞察。
• 从训练好的模型生成贝叶斯规则集，为异常实例提供简洁、人类可读的解释。

实验结果

研究问题

• RQ1 为何集成异常得分的平均值在异常检测中始终优于min、max或median等其他聚合策略？
• RQ2 贪婪查询选择在主动异常检测中有效的理论基础是什么？
• RQ3 如何通过形式化规则表示使基于树的集成方法在异常发现中更具可解释性与多样性？
• RQ4 基于树的集成方法在存在概念漂移的流式数据环境中，能否保持高性能？
• RQ5 如何学习集成成员的局部相关性，以在不牺牲模型可解释性的前提下提升异常检测性能？

主要发现

• 所提出的基于树的集成主动学习框架在批量和流式设置下，发现的真实异常数量显著多于最先进的无监督基线方法。
• GLAD通过利用标签反馈学习集成成员的局部相关性，在发现更多异常方面优于基线方法。
• 紧凑描述形式化能够生成多样且可解释的规则集，有效描述异常实例。
• 数据漂移检测算法成功识别流式数据中的概念漂移，并实现原则化的模型适应，维持检测性能。
• 实验表明，流式设置下的主动学习性能可与批量设置相媲美，展现出良好的可扩展性与鲁棒性。
• 在Weather数据集上，所提出的BAL模型在准确率上优于反馈引导的在线优化方法，尽管在Mammography数据集上表现略低。