Resumen Técnico: DPR-GM para la Detección de Anomalías en Sistemas Ciberfísicos

1. Planteamiento del Problema

La detección de anomalías en series temporales de sensores multivariantes es crítica para el monitoreo de Sistemas Ciberfísicos (CPS), tales como plantas de tratamiento de agua y sistemas de control de procesos químicos. En estos entornos, incluso las desviaciones sutiles del comportamiento normal pueden señalar interrupciones del proceso, incidentes de seguridad o ataques. Sin embargo, su despliegue práctico enfrenta dos desafíos significativos:

1. Escasez de Datos: Los ejemplos de fallos etiquetados son escasos, lo que requiere enfoques no supervisados que aprendan la dinámica normal a partir de datos operativos limpios.
2. Topologías de Grafos No Fiables: Los enfoques recientes basados en grafos que utilizan Redes Neuronales de Grafos (GNN) suelen tener dificultades en sistemas físicos de pequeña escala con datos normales limitados. Los métodos existentes que construyen grafos de sensores mediante aprendizaje de extremo a extremo o umbralización de correlación empírica tienden a capturar correlaciones espurias y producir topologías inestables. Estos modelos no logran distinguir entre dependencias físicamente significativas y movimientos coadyuvantes transitorios y no causales, lo que conduce a grafos ruidosos y una localización de anomalías ambigua.

2. Metodología: DPR-GM

Los autores proponen DPR-GM (Modelado de Grafos Regularizado por Prioris de Dominio), un marco basado en la predicción que integra el conocimiento del diseño del sistema en la construcción del grafo. El principio central es que el conocimiento del dominio determina qué aristas pueden existir, mientras que las estadísticas de los datos determinan qué tan fuertes son esas aristas. El marco consta de tres componentes primarios:

2.1. Construcción de Grafos Regularizada por Prioris de Dominio

En lugar de aprender la estructura del grafo a partir de los datos, DPR-GM construye un prior estructural fijo derivado de la documentación del sistema.

• Extracción Basada en LLM: Un Modelo de Lenguaje Grande (específicamente Claude Sonnet) es instruido con documentos de diseño del sistema, metadatos de sensores y descripciones de subsistemas para extraer acoplamientos físicos dirigidos entre pares de sensores. El resultado es una lista estructurada de dependencias físicamente sancionadas ($i \to j$).
• Matriz de Adyacencia de Dominio Binaria ($D$): Estas dependencias extraídas forman una matriz binaria $D \in \{0, 1\}^{N \times N}$, donde $D_{ij}=1$ si un acoplamiento dirigido está especificado en la documentación. Todas las demás entradas se establecen en cero, actuando como una puerta estructural que suprime cualquier arista no sancionada por el conocimiento del dominio.
• Modulación de Correlación: Mientras que $D$ dicta la topología, los pesos de las aristas son modulados por evidencia empírica. Los autores computan la matriz de correlación de Pearson $\rho$ a partir de los datos de entrenamiento normales. La matriz de adyacencia final $A$ se define como:
  $$A_{ij} = D_{ij} \cdot (0.5 + 0.5 \rho_{ij})$$
  Esta formulación asegura que:
  • Las aristas que no están en $D$ reciben un peso de 0.
  • Las aristas en $D$ con correlación positiva reciben pesos $>0.5$.
  • Las aristas en $D$ con correlación negativa reciben pesos $<0.5$.
  • Las aristas en $D$ con correlación cero mantienen una base neutral de 0.5, evitando que las aristas motivadas físicamente sean silenciadas debido a estadísticas de entrenamiento insuficientes.

2.2. Pesos de Fiabilidad de Nodos Basados en CV

Reconociendo que los sensores exhiben una variabilidad heterogénea durante la operación normal, el marco asigna pesos de fiabilidad a los nodos basados en el Coeficiente de Variación (CV).

• Los sensores con baja variabilidad temporal (bajo CV) se consideran puntos de referencia más fiables.
• Se calcula un puntaje de fiabilidad $r_i$ como el inverso del CV, y se normaliza para formar pesos de nodo $w_i$.
• Estos pesos se utilizan durante el puntaje de anomalía para dar mayor influencia a los sensores estables, ya que las desviaciones en sus lecturas son más propensas a indicar fallos genuinos en lugar de ruido.

2.3. Arquitectura del Modelo y Puntaje

• Codificación Temporal: Una GRU con pesos compartidos codifica los canales de sensores normalizados de forma independiente. Para capturar la dinámica temporal más allá del estado final, el modelo agrega los estados ocultos mediante el estado final, el promedio (mean pooling) y el máximo (max pooling), seguido de una proyección lineal.
• Identidad del Sensor: Embeddings de sensores aprendibles se concatenan con las representaciones temporales para distinguir los sensores físicos.
• Paso de Mensajes en el Grafo: El modelo propaga la información sobre el grafo de prior de dominio fijo $A$. Los autores evalúan varios backbones (GCN, GraphSAGE, GAT, Graph Transformer), encontrando que GraphSAGE (que consume explícitamente los pesos de las aristas) es el que mejor desempeño tiene.
• Predicción y Puntaje: El modelo predice los siguientes pasos de tiempo y minimiza el Error Cuadrático Medio (MSE). Los puntajes de anomalía se computan agregando los errores de pronóstico por sensor, normalizados mediante el Rango Intercuartílico (IQR), y ponderados por los puntajes de fiabilidad basados en el CV. El puntaje de la ventana final combina un término de media (para anomalías distribuidas) y un término de máximo (para desviaciones localizadas de alta amplitud).

3. Contribuciones Clave

1. Marco DPR-GM: Un enfoque novedoso que utiliza el conocimiento del dominio para filtrar la topología del grafo de sensores y modula los pesos de las aristas mediante la correlación de Pearson, incorporando la ponderación de fiabilidad basada en CV para el puntaje de anomalías.
2. Extracción de Prioris Impulsada por LLM: Demostración de que los prioris de dominio pueden extraerse automáticamente de la documentación del sistema utilizando LLMs, ampliando la aplicabilidad a CPS sin requerir anotación manual de expertos.
3. Desempeño en Protocolos Estrictos: Demostración de que DPR-GM supera a los métodos basados en grafos, estadísticos y de aprendizaje profundo en el benchmark SKAB bajo un protocolo de evaluación de punto a punto estricto, particularmente en métricas de ranking sin umbral (AUROC, AUPRC).

4. Resultados Experimentales

Los autores evaluaron DPR-GM en el SKAB (Skoltech Anomaly Benchmark), un conjunto de datos de series temporales multivariantes de un banco de pruebas de bomba de agua que contiene 34 escenarios de fallos a través de tres divisiones.

• Comparación con Métodos Basados en Grafos: DPR-GM superó significativamente a GDN y GReLeN, que colapsaron (F1 cercano a cero) debido a la inestabilidad al aprender grafos a partir de datos limitados. Aunque MTAD-GAT logró una alta recuperación (recall), sufrió de métricas sin umbral deficientes (AUROC/AUPRC), lo que indica una falta de discriminación de puntajes. DPR-GM logró un AUROC superior (0.7256 frente a 0.5794 de MTAD-GAT) y un AUPRC superior (0.7165 frente a 0.4566).
• Comparación con Baselines No Basados en Grafos: DPR-GM superó a los métodos estadísticos (ej. T2+Q, MSET) y modelos de aprendizaje profundo (ej. Conv-AE, LSTM-VAE, MSCRED) en todas las métricas excepto en la recuperación. Notablemente, mejoró el MCC en +0.050 sobre Vanilla AE, lo que sugiere límites de decisión mejor calibrados en lugar de la explotación del desequilibrio de clases.
• Estudios de Ablación:
  • Eliminar Edge-W (modulación de correlación con signo) degradó el desempeño, confirmando que el movimiento coadyuvante empírico añade valor incluso con una topología fija.
  • Eliminar Node-W (fiabilidad basada en CV) también degradó el desempeño, confirmando la utilidad de la ponderación de estabilidad del sensor.
  • Análisis de Backbone: GraphSAGE (SAGE) produjo el desempeño más estable y efectivo, superando a GCN, GAT y Graph Transformer, probablemente debido a su consumo explícito de pesos de aristas y la separación de transformaciones de vecinos y de sí mismo.

5. Significado y Reivindicaciones

El artículo afirma que los prioris de estructura de dominio son una alternativa práctica a las topologías totalmente aprendidas en entornos de CPS con escasez de datos. Al anclar el grafo en el acoplamiento físico conocido en lugar de tratarlo como un parámetro aprendible, DPR-GM evita las correlaciones espurias y la inestabilidad que plagan el aprendizaje de grafos basado en datos cuando los datos de operación normal son limitados.

Los autores enfatizan que su enfoque:

• Requiere ningún parámetro aprendible para la estructura del grafo o los pesos de los nodos, reduciendo el riesgo de sobreajuste.
• Proporciona puntajes de anomalía estables y discriminativos, evidenciado por altos valores de AUROC y AUPRC, en lugar de una detección sesgada hacia la recuperación.
• Ofrece un flujo de trabajo escalable donde los LLM pueden automatizar la extracción de prioris estructurales a partir de la documentación, haciendo que el método sea aplicable a sistemas que carecen de anotación manual de expertos.

El trabajo concluye que los prioris de dominio explícitos proporcionan una base robusta para la detección de anomalías, sugiriendo una dirección más amplia para la incorporación de prioris simbólicos o causales en el modelado de series temporales científicas en diversos dominios.