FluxGraph: Synergizing Dynamic Graph Attention and Flux Memory for Unsupervised Time Series Anomaly Detection

Resumen Técnico: FluxGraph

Planteamiento del Problema
La detección de anomalías en series temporales es crítica para los sistemas ciberfísicos (CPS) y las redes de bus de controlador de área de red (CAN) automotriz. Sin embargo, los métodos no supervisados existentes enfrentan desafíos significativos en entornos reales no estacionarios. Los métodos tradicionales basados en la reconstrucción suelen fallar al detectar anomalías de suplantación (masquerade) sutiles o derivas graduales de la línea base porque dependen de objetivos de optimización únicos y tienden a suavizar los patrones transitorios. Del mismo modo, los métodos basados en la previsión respetan la continuidad secuencial, pero frecuentemente pasan por alto cambios en las dependencias entre variables o derivas lentas que permanecen consistentes con el historial a corto plazo. Además, muchas anomalías críticas se manifiestan no como grandes desviaciones estadísticas, sino como pequeños cambios en la dinámica temporal, cambios graduales en las relaciones entre sensores o transiciones entre regímenes operativos. Los enfoques actuales carecen de la capacidad de razonar conjuntamente sobre valores puntuales, dependencias secuenciales, estructuras relacionales y la evolución del estado global.

Metodología
Los autores proponen FluxGraph, un marco no supervisado que sinergiza la atención de grafos dinámicos con memoria de flujo y regulación adaptativa consciente del estado. La arquitectura procesa ventanas de longitud fija de observaciones multivariantes normalizadas a través de los siguientes componentes:

1. Normalización Reversible con Restricción KL entre Ventanas: Para abordar la deriva de la distribución continua entre ventanas adyacentes, el modelo emplea una Normalización de Instancia Reversible basada en Ventanas (WindowRevIN) mejorada con un regularizador de divergencia de Kullback-Leibler (KL) entre ventanas. Esto suprime los cambios de distribución sin introducir sesgo de anticipación (lookahead bias), asegurando una entrada estable para los módulos subsiguientes.
2. Grafo de Sensores Dinámico con Reflujo de Características: A diferencia de los grafos de topología fija, FluxGraph construye una matriz de adyacencia suave condicionada al contenido de la ventana actual. Crucialmente, introduce un mecanismo de reflujo de características donde las características de alto nivel extraídas por las capas más profundas se retroalimentan para actualizar iterativamente la matriz de adyacencia. Esto permite que la topología del grafo se adapte en tiempo real a los cambios en las estructuras entre canales y a las anomalías relacionales sutiles.
3. Tallo Temporal Multiescala: El modelo extrae características en diferentes campos receptivos utilizando convoluciones de profundidad (depthwise) paralelas, combinando la señal original normalizada, las señales condicionadas por el grafo y las diferencias de primer orden.
4. Bloques de Atención de Flujo: Estos bloques integran tres vías complementarias:
   • Autoatención temporal estándar con sesgo de posición relativa.
   • Atención sobre vectores de memoria persistente que acumulan patrones de largo alcance.
   • Convolución de profundidad ligera para el refinamiento local.
     Un mecanismo de compuerta adaptativo impulsado por la entropía del estado equilibra dinámicamente la contribución de estas vías basándose en la incertidumbre del estado operativo del sistema.
5. Memoria de Estado del Proceso: Este módulo mantiene prototipos operativos latentes para rastrear explícitamente los cambios de régimen y las transiciones de estado, los cuales son difíciles de capturar mediante la reconstrucción local por sí sola. Estima la confianza de asignación basada en la entropía y modela las transiciones esperadas entre estados consecutivos.
6. Fusión de Multi-Evidencia: La arquitectura genera cuatro salidas paralelas (reconstrucción, previsión de un paso, predicción de transición de estado y expectativas de estado por canal). Siete señales residuales complementarias (incluyendo desviaciones puntuales, discrepancias relacionales e inconsistencias de transición de estado) se fusionan utilizando una función de agregación logarítmica. Este enfoque elimina las discrepancias de magnitud entre residuos heterogéneos, evitando que los valores atípicos de gran amplitud enmascaren anomalías estructurales sutiles.

Contribuciones Clave

• Marco Sinergético: La integración del flujo de características bidireccional (vía el bucle de reflujo de características) con la regulación adaptativa consciente del estado dentro de un marco no supervisado unificado.
• Optimización de Topología Dinámica: La propuesta de un mecanismo iterativo donde las características profundas refinan el grafo de sensores dinámico, permitiendo la detección de derivas relacionales que los modelos de topología fija pasan por alto.
• Compuerta de Entropía de Estado: La introducción de un mecanismo de compuerta impulsado por la entropía del estado, permitiendo que el modelo cambie adaptativamente el enfoque entre patrones globales y variaciones locales basándose en la incertidumbre del sistema en tiempo real.
• Fusión de Multi-Evidencia en Espacio Logarítmico: Una estrategia de agregación novedosa que fusiona siete señales residuales distintas en el espacio logarítmico para asegurar una detección equilibrada tanto de fallos de puntos abruptos como de derivas sistémicas lentas.

Resultados
FluxGraph fue evaluado en entornos de referencia de sensores industriales (SMD, HAI), bus CAN automotriz (Car-Hacking) y redes de tráfico (ROAD).

• Sensores Industriales (SMD): FluxGraph logró un F1 basado en rango (RF1) óptimo de 0.62, un VROC de 0.93 y un VPR de 0.67, superando significativamente a los modelos base como Mamba, LSTM-AE y ALoRa. Esto demuestra una capacidad superior en la detección de deriva gradual y anomalías estructurales.
• Sensores Industriales (HAI): Aunque ligeramente inferior en RF1 (0.59) comparado con algunos modelos basados en reconstrucción (debido a la prevalencia de anomalías de punto en HAI), FluxGraph alcanzó el VROC (0.96) y VPR (0.72) más altos, indicando una capacidad de clasificación superior en entornos no supervisados.
• Generalización de Dominio Cruzado:
  • Bus CAN (Car-Hacking): Alcanzó una precisión del 99.98% y un Macro AUROC perfecto de 1.00000, superando a modelos especializados como LiPar y MobileNetV3.
  • Grafo de Tráfico (ROAD): Demostró un fuerte desempeño en la detección de ataques de suplantación, mejorando significativamente la Precisión y los puntajes F1 para ataques sigilosos (ej. Reverse Light Off) donde otros modelos base fallaron.
• Estudios de Ablación: Confirmaron que eliminar cualquier componente central (previsión, reconstrucción, grafo dinámico, memoria de flujo o memoria de estado) provoca una degradación del rendimiento. El estudio también validó que la agregación logarítmica es superior a la suma lineal o al pooling máximo para fusionar residuos heterogéneos.
• Eficiencia: A pesar de su complejidad, FluxGraph mantiene un tiempo de inferencia de 2.45 ms por lote en una NVIDIA RTX4090, comparable a ALoRa y casi dos veces más rápido que Mamba, lo que lo hace apto para el monitoreo industrial en tiempo casi real.

Significancia y Reivindicaciones
El artículo afirma que FluxGraph aborda los puntos ciegos fundamentales de los métodos de detección de anomalías de objetivo único. Al modelar explícitamente la interacción entre las correlaciones de sensores dinámicos, la evolución del estado global y la dinámica temporal local, el marco puede detectar anomalías de grano fino que son sistemáticamente omitidas por los enfoques existentes. Los autores enfatizan que el reflujo de características iterativo y la fusión de multi-evidencia en espacio logarítmico son innovaciones críticas que permiten al modelo distinguir entre derivas operativas normales y anomalías sutiles y sigilosas (como ataques de suplantación) sin requerir datos etiquetados. Los resultados sugieren que este marco espaciotemporal unificado ofrece una robusta generalización de dominio cruzado, convirtiéndolo en una solución viable para diversas aplicaciones de CPS, que van desde plantas industriales hasta redes vehiculares.