综述！基于图的时间序列异常检测方法

1 介绍

时间序列异常检测（TSAD）在各种应用中具有重要性，但面临挑战，需同时考虑变量内和变量间依赖性，基于图的方法在应对这方面取得了进展。

本文全面回顾了基于图的TSAD，探讨了图表示学习在时间序列数据中的潜力，回顾了最新图异常检测技术及其优缺点，并讨论了可能的技术挑战和未来方向。

本综述贡献如下：

• 首次通过图表回顾TSAD最新技术，填补了G-TSAD的空白，有望推动该活跃领域的研究。
• 一个新的视角。我们提出了G-TSAD领域的新概念，包括变量间和变量内的依赖关系，以及构建时间序列数据的图，为未来的研究提供了结构良好、易于理解的GTSAD算法。
• G-TSAD的详细概述。我们讨论了TSAD中的关键挑战，强调了将图表示学习应用于时间序列数据的重要性，并探讨了图表中的各种异常。
• 系统和全面的回顾。我们全面回顾了G-TSAD方法的最新进展，将其分为四类：基于自动编码器、生成对抗网络、预测和自监督方法。对每类方法进行了技术细节描述，比较了其优缺点。
• 对未来方向的展望。我们指出了当前研究的技术局限性，并为 G-TSAD 的未来工作提出了有希望的方向。

2 时间序列挑战

K变量时间序列数据集X = (x(1), x(2), ..., x(K))，其中x(i) = (x(1i), x(2i), ..., x(i)N)，N为第i个变量的观测值数量。观察示例包括信号中的时间间隔、视频序列中的帧或子帧、社交网络中的快照。处理时间序列数据需考虑变量内依赖性、变量间依赖性、维度、非平稳性和噪声等因素。

变量内依赖。一个变量中观测值间的相互依赖，可能存在正负相关性。正相关性表示观测值的增加或减少可能由先前观测值的变化引起，负相关性表示反比关系。然而，处理变量中非线性复杂依赖性是实践中的主要障碍，因为观测值间的相互关系不直接，未来/过去的观测值对当前观测值的影响可能会随时间变化，导致确定适当的滞后变得困难。

变量间的依赖性。理解变量间的依赖关系对于捕获时间序列数据中的异常至关重要。两个高度相关的变量，一个变量的变化可预测另一变量的潜在变化。当所有变量及其相互作用考虑时，可以检测到单个变量的异常。因此，采用能捕捉变量间复杂关系的图形模型，是检测时间序列数据中异常的有效工具。

维度。技术进步让我们能记录大量时间序列数据，揭示变量间的依赖关系。这丰富的数据集使我们能设计一致且可靠的时间序列分析。然而，每个变量中的每个数据样本都可视为一个维度，我们面临维度挑战的诅咒。因此，我们需要开发能处理复杂高维数据的算法。

非平稳性。分析时间序列数据时，需考虑趋势、季节性和不可预测性。趋势可能随时间变化，季节性呈现周期性变化，不可预测性随机发生。这些属性影响变量的统计属性，使时间序列数据非平稳，可能误导异常检测方法。适应数据结构变化的检测方法通常需要大量训练数据。

噪音。TSAD中，区分噪声和异常至关重要。噪声是随机、不需要的变化，降低数据质量，可被视为微小波动或传感器灵敏度。异常则是相对于正常观察结果不寻常的实体。明确区分噪声和异常的异常检测算法在处理受污染数据时更稳健。然而，操作环境、传感器类型等因素可能导致各种噪声。因此，了解噪声本质并应用适当的建模/降低技术至关重要，避免与异常概念混淆。

3 为什么是图？

最近的研究表明，基于非图深度学习的TSAD方法效率低下，但由于使用简单基准数据集和有偏差的评估协议，许多研究在使用图形表示变量时提供了TSAD最先进的性能。这是因为许多现实世界的时间序列系统可以表示为图，图可以捕获变量内和变量间的依赖关系。

定义一个表示时间序列数据的图集，如下所示：

其中 Gj = {Mj , Aj} 表示第 j 个观测值的图，Mj 是节点特征矩阵，Aj 是边-特征矩阵。Sim{·,·} 定义两个图之间的关系，目标是捕获变量内依赖性。这可以定义为节点和边特征的函数，即 Sim{Gj , Gj ′} = F{Mj ,Mj ′ , Aj , Aj ′} 。

如果Gj或Sim{·,·}有学习参数，则G被动态训练；例如，编码器网络可用于提供Mj和Aj，或网络用作F。如果没有可学习参数分配给Gj和/或Sim{Gj,Gj′}，我们正在处理静态图；静态图是指使用预定义的节点特征和从K个变量的第j个观察中获得的边来构建的图。在某些算法中，静态图之间的关系是通过使用基于时间的网络（例如循环神经网络）隐式学习的。

图1展示了TSAD（GTSAD）与非图形方法在处理多个传感器时的挑战。传感器记录不同类型数据，如发动机温度和汽车速度，每个传感器数据范围和采样频率不同。图1中展示了5个变量（传感器）时间序列数据X，每个传感器有3个观测值，时间间隔为同时记录五个传感器的特定观察。传统的TSAD技术以时间间隔为输入，仅用特征级知识检测异常，忽略了变量间依赖关系，只能检测区间级别异常，无法检测更精细的异常。

图1 时间序列信号数据中的异常检测示例，显示了TSAD（块1）和G-TSAD（块2）之间的差异。输入是三个连续的时间间隔（S：传感器）。在构建的图中，实线和虚线分别表示变量间和变量内的依赖关系，m=3，为了简单起见，没有显示边缘特征。正常和异常情况分别以黑色和红色显示。G-TSAD有可能检测到异常传感器、局部关系、区域和时间间隔。

许多实际应用中，除了检测异常区间外，还需检测异常区域。例如，耐药性癫痫治疗中，检测癫痫发作的大脑区域（SOZ）至关重要。目前做法基于头皮下传感器记录的大脑信号。准确区域级异常检测对神经科医生识别SOZ极为重要。G-TSAD技术可在传感器、局部关系、区域和区间级别检测异常，捕获变量间和变量内的依赖性。

图2展示了时间序列数据在其他域中的强大功能。图2a和2b分别显示社交网络和视频应用中的时间序列数据及其构造图。在社交网络中，用户为节点，交互为边缘，正常节点有合理连接数，异常高的连接数节点为异常用户，可能代表网络中的名人、有影响力的人或社区领袖。在视频应用中，视频建模为随时间演变的对象级图流，对象为节点，边代表帧内节点关系。任何异常/意外的关节运动都应被检测为异常。

图2 时间序列数据和相应构造图的示例。每个示例显示了三个连续的观测值。顶部图形显示原始数据，底部图形显示相应的构造图。在构造图中，实线和虚线分别表示变量间和变量内的依赖关系，m = 3，为了简化起见，未显示边缘特征。正常和异常情况分别以黑色和红色显示。

4 图异常

如图1所示，图表在检测异常传感器、传感器之间的局部关系、区域和时间间隔时具有潜力。将异常分为五组：异常节点、边、子图、图和Sim{·,·}，分别对应变量、变量局部关系、小变量集及其连接、第j个观测值的完整变量集及其连接、以及观测值全局关系。由于节点和边的动态变化，检测时间序列数据构建的图中的异常对象更具挑战性。

图3展示了三个连续观测值的图，每个Gj有9个节点和4维特征向量，边的一维特征向量被显示在连接两个节点的边旁。图中说明了五种异常类型，包括异常节点、异常边和异常子图。在第一次观察中，所有节点和边都是正常的，但在第二次观察中出现了一个异常节点、两条异常边和一个异常子图。异常子图的检测更具挑战性，因为它涉及节点和边级别的属性。图级异常被定义为图流中的异常图，可以根据节点、边和节点的异常演化模式与其他图区分开来。

图3 具有三个连续观测值的图G中节点级、边级、子图级、图级、Sim{·,·}-级异常的示例。在每个图G中，m=4，m'=1。

当图之间存在异常关系时，就会出现异常Sim{·,·}。Sim{·,·}可以捕获观察之间的短期和长期关系，因此可以通过分析图及其关系随时间的演变来检测异常Sim{·,·}。例如，图3中的三个观察值对应于每月的股票市场，Sim{Gj−1, Gj}和Sim{Gj, Gj+1}建模的短期模式变化可能代表较小的价格变化，这些可以被认为是正常的。然而，Sim{Gj−1, Gj+1}中呈现的较长关系可能会引发异常。理想异常检测器系统的目标是生成可学习的异常评分函数f(·)，该函数将异常评分分配给每次观察的节点、边、子图和图，并且Sim{·,·}处于粗略水平。f(·)越大，图对象异常的概率越高。然而，目前还没有针对检测所有异常的研究，现有的方法都没有以检测异常Sim{·,·}为目标，而且很少有工作可以同时检测图中的多个异常对象。

5 G-TSAD方法及应用

根据最小化损失函数，将现有的G-TSAD方法分为四类：基于AE、基于GAN、基于预测和自监督方法。G-TSAD 方法在开发算法时都采用编码器和解码器的概念。各类别的概念图如图4所示。

图4 四个G-TSAD类别的框图：基于AE、基于GAN、基于预测和基于自监督的方法。输入是一个具有三个连续观测值的图G。在每个G中，m=3，为了简单起见，没有显示边缘特征。

第一类是基于自编码器（AE）的方法，如图 4a 所示。此方法首先通过编码器深入挖掘输入图像的内在特征，然后通过解码器依据这些特征重建原始输入数据。在测试阶段，该方法依据重建误差来检测异常，使异常值的辨识更加精准。

第二类是基于GAN的方法，如图 4b 所示，由生成器和判别器组成，输入噪声和真实样本以减少随机性问题。生成器试图生成与真实样本一样真实的假样本，其损失是重建损失，以最小化假样本和真实样本之间的差异。鉴别器尝试将真实样本正确分类为真实样本，将生成的样本正确分类为假样本，其损失是基于鉴别器对真样本和假样本的输出之间的差异。生成器和鉴别器交替更新，以在训练期间最小化它们各自的损失函数。经过对抗性训练后，生成器和鉴别器的损失都被用作异常分数的指标。

第三种类是基于预测的策略，如图 4c 所示，其训练过程中会考量当前及历史数据来进行损失计算。与其它类别不同，预测方法更注重提升网络的预测能力，其预测基于当前和过去的输入数据。在测试阶段，我们会依据预测误差来检测异常，进一步优化预测的准确性。

最后一类是自监督方法，如图 4d 所示。自监督方法是无监督学习的子集，使用未标记数据学习更有意义的表示。它通过设计借口任务（辅助任务），最小化模型预测与预期输出之间的差异。在测试阶段，利用自监督损失检测异常。借口任务包括时间顺序预测、时间间隔分类或屏蔽值预测。

大多数现有研究在正常数据上训练异常检测方法，测试集包含异常数据以验证性能。无监督异常检测仅在训练阶段访问正常数据。四种方法类别都从节点和边的特征，以及邻接矩阵表示的节点连接模式学习基于图的表示。表 2列出了代表性的 G-TSAD 方法、其相关的学习任务及其目标应用案例。

表2 多方面代表性G-TSAD方法的比较

6 挑战和未来方向

G-TSAD是新兴主题，尽管其研究数量迅速增长，但通过不断变化的图特征和邻接检测图中的异常矩阵具有挑战性，导致现有研究中存在一些问题。本节分析这些挑战并确定了G-TSAD未来研究的潜在方向。

理论基础和可解释性。G-TSAD方法在时间序列应用中表现良好，但缺乏理论基础。它们忽略了学习表示和预测结果的可解释性，如节点、边和邻接矩阵的特征。提供坚实的理论基础和对学习表示的深入分析对于提高模型的泛化性和鲁棒性至关重要。

关于变量内依赖性和变量间依赖性之间的等价性。捕获时间序列数据中的变量内和变量间依赖性对异常检测至关重要，但现有方法难以解决。时间序列数据涉及长期变量内相关性，而许多研究无法处理。变量间依赖关系难以预先定义，因为开发者先验知识有限。最近的研究显示，图结构学习技术可以学习随时间动态演变的图信息，更好地捕获系统底层机制。因此，图结构学习和深度序列模型的适当集成对提供更可靠和准确的检测技术至关重要。

图增强策略。自监督方法需要生成正负对，图像增强方法对图不适用。现有SSL研究仅考虑随机抽样、子图抽样或图扩散，多样性和不变性有限。未来研究方向包括基于特征、边缘、采样和自适应增强的增强技术，使用不同的采样技术和基于注意力或梯度的方案。

检测多种类型的图形异常。表2中，现有方法仅能检测异常节点、边、子图或图，但现实世界系统可能存在多种异常类型。现有研究使用Sim{·，·}提高检测性能，但未针对异常Sim{·，·}进行研究。Sim{·,·}呈现观测间的短期和长期关系，有助于理解时间序列潜在动态，任何异常的Sim{·,·}可被视为时间序列动态的意外转变。因此，开发能检测多种类型异常，包括Sim{·,·}的模型，具有重要研究价值。

更广泛的方法论范围。G-TSAD研究中，基于AE、预测和GAN的方法各有优缺点。基于AE和预测的方法易于实现，但恢复输入和长期依赖性是挑战。基于GAN的方法难实现，需要仔细选择超参数、网络架构和优化算法。SSL方法有希望，但设计框架、增强技术和损失函数依赖经验实验。这些缺点可能导致检测异常性能差。为提高整体异常检测准确性，需利用这些方法的互补优势，如集成基于AE的重建和基于预测的模型，以检测更广泛的异常。

另外，基于SSL的混合方法，如预测SSL与对比SSL模块组合，可提升学习表示泛化。此组合方法能适应不同异常情况，如检测时间序列中的突然峰值或未来异常趋势。混合方法受益于多个SSL模块的借口任务，但需设计有效联合学习框架平衡模型各组件。混合方法在G-TSAD研究中具有巨大潜力。

参考资料：《Graph-based Time-Series Anomaly Detection》