[论文解读] Graph Neural Network-Based Anomaly Detection in Multivariate Time Series

Ailin Deng, Bryan Hooi|arXiv (Cornell University)|Jun 13, 2021

Anomaly Detection Techniques and Applications被引用 12

一句话总结

本文提出图偏差网络（GDN），一种新颖的图神经网络方法，通过基于注意力的图神经网络建模依赖关系，联合学习传感器关系并检测多变量时间序列中的异常。GDN在异常检测准确率上优于基线方法，并通过学习到的传感器嵌入、图结构和注意力权重提供可解释的说明，实现对真实世界传感器数据中异常根源的定位。

ABSTRACT

Given high-dimensional time series data (e.g., sensor data), how can we detect anomalous events, such as system faults and attacks? More challengingly, how can we do this in a way that captures complex inter-sensor relationships, and detects and explains anomalies which deviate from these relationships? Recently, deep learning approaches have enabled improvements in anomaly detection in high-dimensional datasets; however, existing methods do not explicitly learn the structure of existing relationships between variables, or use them to predict the expected behavior of time series. Our approach combines a structure learning approach with graph neural networks, additionally using attention weights to provide explainability for the detected anomalies. Experiments on two real-world sensor datasets with ground truth anomalies show that our method detects anomalies more accurately than baseline approaches, accurately captures correlations between sensors, and allows users to deduce the root cause of a detected anomaly.

研究动机与目标

• 解决在高维多变量时间序列中检测异常的挑战，其中复杂且非线性的传感器关系对准确检测至关重要。
• 动态学习传感器关系的潜在图结构，而非将其作为输入假设。
• 通过建模基于传感器间依赖关系的预期传感器行为，改进异常检测，实现对正常模式偏离的检测。
• 通过传感器嵌入、注意力权重和预测值与观测值的对比，为检测到的异常提供可解释的说明。
• 通过识别在学习图中最具影响力的邻居，定位异常的根源，包括偏离最严重的传感器。

提出的方法

• 使用传感器嵌入捕捉每个传感器的独特特征，实现对多样化传感器类型的灵活表征。
• 采用图结构学习模块，从数据中推断传感器之间的关系，形成动态的依赖关系图。
• 应用基于图注意力的预测机制，根据学习图中邻近传感器的加权贡献预测传感器值。
• 通过测量预测值与实际值之间的差异，计算图偏差分数，识别异常。
• 利用注意力权重突出关键关系，提升异常解释的可解释性。
• 通过传感器嵌入的t-SNE可视化和注意力加权图的力导向布局，支持可解释性。

实验结果

研究问题

• RQ1 基于GNN的方法是否能在无先验图结构的情况下，从多变量时间序列数据中学习到有意义的传感器关系？
• RQ2 与现有基线方法相比，该方法在真实世界传感器数据集中的异常检测准确率如何？
• RQ3 该模型在多大程度上能通过传感器嵌入、图结构和注意力权重解释异常？
• RQ4 该模型能否通过识别最异常的传感器及其最具影响力的邻居，实现对异常根源的定位？
• RQ5 该模型在检测细微异常（如正常范围内的错误读数）方面效果如何，这些异常传统方法难以检测？

主要发现

• 在包含真实异常标签的两个真实世界水处理厂数据集上，GDN的异常检测准确率高于基线方法。
• 模型成功捕捉了传感器之间的复杂非线性相关性，表现为传感器嵌入空间中的局部聚类。
• 学习图中的注意力权重突出了有意义的传感器关系，例如流量传感器与阀门状态传感器之间的相关性，有助于异常定位。
• 在案例研究中，GDN正确识别出1_MV_001_STATUS传感器在攻击期间最为异常，且高注意力权重指向被攻破的1_FIT_001_PV流量传感器。
• 预测值与实际值的对比显示，在攻击期间存在显著偏差，证实了异常检测机制的有效性。
• 模型的可解释性功能，包括可视化嵌入和注意力加权图，使用户能够有效推断异常的根源。