[论文解读] Event2Graph: Event-driven Bipartite Graph for Multivariate Time-series Anomaly Detection

Yuhang Wu, Mengting Gu+4 more|arXiv (Cornell University)|Aug 15, 2021

Anomaly Detection Techniques and Applications参考文献 27被引用 6

一句话总结

该论文提出 Event2Graph，一种动态二部图模型，通过将时间序列片段建模为事件节点、时间序列本身作为节点类型，实现无需假设静态相互依赖关系的自适应、数据驱动依赖学习。该方法通过将异常检测建模为动态图上的自监督边流预测任务，在基准数据集上实现了最先进性能。

ABSTRACT

Modeling inter-dependencies between time-series is the key to achieve high performance in anomaly detection for multivariate time-series data. The de-facto solution to model the dependencies is to feed the data into a recurrent neural network (RNN). However, the fully connected network structure underneath the RNN (either GRU or LSTM) assumes a static and complete dependency graph between time-series, which may not hold in many real-world applications. To alleviate this assumption, we propose a dynamic bipartite graph structure to encode the inter-dependencies between time-series. More concretely, we model time series as one type of nodes, and the time series segments (regarded as event) as another type of nodes, where the edge between two types of nodes describe a temporal pattern occurred on a specific time series at a certain time. Based on this design, relations between time series can be explicitly modelled via dynamic connections to event nodes, and the multivariate time-series anomaly detection problem can be formulated as a self-supervised, edge stream prediction problem in dynamic graphs. We conducted extensive experiments to demonstrate the effectiveness of the design.

研究动机与目标

• 为解决循环神经网络（RNNs）在多变量时间序列异常检测中的局限性，即假设静态且完整的依赖图，而这些假设可能无法反映现实世界中的制度转变。
• 通过将时间序列节点与事件节点解耦，克服联合建模多变量模式的事件图所导致的指数级复杂度。
• 开发一种自监督的边流预测框架，通过二部图结构中的事件驱动连接，动态学习时间依赖性。
• 通过显式建模时间序列数据中的事件模式和残差偏差，提升异常检测性能。

提出的方法

• 该模型构建一个具有两种节点类型的动态二部图：时间序列节点和事件节点，其中每个事件节点代表单个时间序列上的一个时间片段。
• 在时间序列节点与事件节点之间建立边，以编码时间模式，连接表示特定事件在特定时间发生在特定时间序列上。
• 系统使用时间图注意力（TGA）模块，从相邻事件节点聚合上下文信息，从而稳定预测并提高对噪声的鲁棒性。
• 将异常检测建模为自监督的边流预测任务，使用两个分数——事件匹配分数（ω₁）和残差误差分数（ω₂）——以检测异常。
• 该模型采用对数似然函数 ψ_NLG 作为基线比较，该函数仅依赖于变化点检测，而不涉及预测或事件建模。
• 由于其基于节点的内存设计，该框架支持归纳学习和并行计算，避免了对固定邻接矩阵的依赖。

实验结果

研究问题

• RQ1 动态的、数据驱动的图结构是否能在多变量时间序列异常检测中超越静态 RNN 基模型？
• RQ2 为何按时间序列解耦事件节点相比联合多变量事件建模能显著降低复杂度？
• RQ3 在动态二部图上进行自监督边流预测在多大程度上优于现有最先进方法？
• RQ4 事件匹配分数（ω₁）和残差误差分数（ω₂）在异常检测中如何独立及协同发挥作用？
• RQ5 该模型能否检测到未被真实标签标记的异常，表明其对细微或新兴模式具有鲁棒性？

主要发现

• 所提出的 Event2Graph 模型在三个基准数据集上实现了最先进性能，优于 LSTM-VAE、DAGMM 和 LSTM-NDT。
• 仅使用变化点检测分数（ψ_NLG）的基线模型达到 78.48% 的 F1 分数，表明静态模型在处理动态模式时存在困难。
• 时间图注意力（TGA）模块显著稳定了预测结果，当其被移除时，模型对噪声的过度反应明显增加。
• 系统检测到了真实标签中未标记的潜在异常，例如在 SMD 数据集中测试期末尾附近出现的上升噪声趋势。
• 残差误差分数（ω₂）在捕捉意外异常方面比事件模式分数（ω₁）更有效，表明对学习模式的偏离是关键信号。
• 同时使用 ω₁ 和 ω₂ 的模型表现具有竞争力，表明二者在检测不同类型异常时具有互补作用。