FluxGraph: Synergizing Dynamic Graph Attention and Flux Memory for Unsupervised Time Series Anomaly Detection

Résumé Technique : FluxGraph

Énoncé du Problème
La détection d'anomalies dans les séries temporelles est critique pour les systèmes cyber-physiques (CPS) et les réseaux de bus CAN (Controller Area Network) automobiles. Cependant, les méthodes non supervisées existantes sont confrontées à des défis importants dans des environaux non stationnaires du monde réel. Les méthodes traditionnelles basées sur la reconstruction échouent souvent à détecter les anomalies de usurpation subtiles ou les dérives de base graduelles car elles reposent sur des objectifs d'optimisation uniques et ont tendance à lisser les motifs transitoires. De même, les méthodes basées sur la prévision respectent la continuité séquentielle mais manquent fréquemment les changements dans les dépendances inter-variables ou les dérives lentes qui restent cohérentes avec l'historique à court terme. De plus, de nombreuses anomalies critiques ne se manifestent pas comme de grands écarts statistiques, mais comme de petits décalages dans la dynamique temporelle, des changements graduels dans les relations inter-capteurs ou des transitions entre les régimes opérationnels. Les approches actuelles manquent souvent de la capacité à raisonner conjointement sur les valeurs ponctuelles, les dépendances séquentielles, les structures relationnelles et l'évolution de l'état global.

Méthodologie
Les auteurs proposent FluxGraph, un cadre non supervisé qui fait la synergie entre l'attention de graphe dynamique, la mémoire de flux et une régulation adaptative sensible à l'état. L'architecture traite des fenêtres de longueur fixe d'observations multivariées normalisées à travers les composants suivants :

1. Normalisation Réversible par Contrainte KL entre Fenêtres (Cross-Window KL-Constrained Reversible Normalization) : Pour traiter la dérive de distribution continue entre les fenêtres adjacentes, le modèle utilise une normalisation d'instance réversible basée sur des fenêtres (WindowRevIN) améliorée par un régularisateur de divergence de Kullback-Leibler (KL) inter-fenêtres. Cela supprime les dérives de distribution sans introduire de biais d'anticipation (lookahead bias), garantissant une entrée stable pour les modules suivants.
2. Graphe de Capteurs Dynamique avec Reflux de Caractéristiques : Contra-irement aux graphes à topologie fixe, FluxGraph construit une matrice d'adjacence souple conditionnée par le contenu de la fenêtre actuelle. Crucialement, il introduit un mécanisme de reflux de caractéristiques où les caractéristiques de haut niveau extraites par les couches profondes sont réinjectées pour mettre à jour de manière itérative la matrice d'adjacence. Cela permet à la topologie du graphe de s'adapter en temps réel aux changements des structures inter-canaux et aux anomalies relationnelles subtiles.
3. Tige Temporelle Multi-Échelle (Multi-Scale Temporal Stem) : Le modèle extrait des caractéristiques à différents champs de réception en utilisant des convolutions depthwise parallèles, combinant le signal normalisé original, les signaux conditionnés par le graphe et les premières différences.
4. Blocs d'Attention de Flux (Flux Attention Blocks) : Ces blocs intègrent trois voies complémentaires :
   • Une auto-attention temporelle standard avec un biais de position relative.
   • Une attention sur des vecteurs de mémoire persistante qui accumulent les motifs à longue portée.
   • Une convolution depthwise légère pour le raffinement local.
     Un mécanisme de porte adaptatif piloté par l'entropie de l'état équilibre dynamiquement la contribution de ces voies en fonction de l'incertitude de l'état opérationnel du système.
5. Mémoire d'État du Processus : Ce module maintient des prototypes opérationnels latents pour suivre explicitement les changements de régime et les transitions d'état, qui sont difficiles à capturer via une reconstruction locale seule. Il estime la confiance d'assignation basée sur l'entropie et modélise les transitions attendues entre états consécutifs.
6. Fusion de Multi-Preuves : L'architecture génère quatre sorties parallèles (reconstruction, prévision à un pas, prédiction de transition d'état et attentes d'état par canal). Sept signaux résiduels complémentaires (incluant les déviations ponctuelles, les écarts relationnels et les incohérences de transition d'état) sont fusionnés à l'aide d'une fonction d'agrégation logarithmique. Cette approche élimine les disparités d'amplitude entre les résidus hétérogènes, empêissant les valeurs aberrantes de grande amplitude de masquer les anomalies structurelles subtiles.

Contributions Clés

• Cadre Synergique : L'intégration du flux de caractéristiques bidirectionnel (via la boucle de reflux de caractéristiques) avec une régulation adaptative sensible à l'état au sein d'un cadre non supervisé unifié.
• Optimisation de la Topologie Dynamique : La proposition d'un mécanisme itératif où les caractures profondes affinent le graphe de capteurs dynamique, permettant la détection des dérives relationnelles que les modèles à topologie fixe manquent.
• Porte par Entropie d'État : L'introduction d'un mécanisme de porte piloté par l'entropie de l'état, permettant au modèle de basculer de manière adaptative entre les motifs globaux et les variations locales en fonction de l'incertitude du système en temps réel.
• Fusion de Multi-Preuves en Espace Logarithmique : Une stratégie d'agrégation novatrice qui fusionne sept signaux résiduels distincts dans l'espace logarithmique pour assurer une détection équilibrée des fautes ponctuelles abruptes et des dérives systémiques lentes.

Résultats
FluxGraph a été évalué sur des benchmarks de capteurs industriels (SMD, HAI), de bus CAN automobile (Car-Hacking) et de réseaux de trafic (ROAD).

• Capteurs Industriels (SMD) : FluxGraph a atteint un RF1 (Range-based F1) optimal de 0,62, un VROC de 0,93 et un VPR de 0,67, surpassant largement les bases de référence comme Mamba, LSTM-AE et ALoRa. Cela démontre une capacité supérieure à détecter la dérive graduelle et les anomalies structurelles.
• Capteurs Industriels (HAI) : Bien qu'un peu plus bas en RF1 (0,59) par rapport à certaines bases de référence axées sur la reconstruction (en raison de la prévalence des anomalies ponctuelles dans HAI), FluxGraph a obtenu le VROC (0,96) et le VPR (0,72) les plus élevés, indiquant une capacité de classement supérieure dans des contextes non supervisés.
• Généralisation Trans-Domaine :
  • Bus CAN (Car-Hacking) : A atteint une précision de 99,98 % et un Macro AUROC parfait de 1,00000, surpassant des modèles spécialisés comme LiPar et MobileNetV3.
  • Graphe de Trafic (ROAD) : A démontré une forte performance dans la détection des attaques par usurpation, améliorant significativement la précision et les scores F1 pour les attaques furtives (ex: Reverse Light Off) là où les autres bases de référence ont échoué.
• Études d'Ablation : Ont confirmé que le retrait de n'importe quel composant central (prévision, reconstruction, graphe dynamique, mémoire de flux ou mémoire d'état) entraîne une dégradation des performances. L'étude a également validé que l'agrégation logarithmique est supérieure à la sommation linéaire ou au max pooling pour fusionner des résidus hétérogènes.
• Efficacité : Malgré sa complexité, FluxGraph maintient un temps d'inférence de 2,45 ms par batch sur une NVIDIA RTX4090, comparable à ALoRa et presque deux fois plus rapide que Mamba, ce qui le rend adapté à la surveillance industrielle en temps quasi réel.

Signification et Revendications
L'article affirme que FluxGraph répond aux angles morts fondamentaux des méthodes de détection d'anomalies à objectif unique. En modélisant explicitement l'interaction entre les corrélations de capteurs dynamiques, l'évolution de l'état global et la dynamique temporelle locale, le cadre peut détecter des anomalies fines qui sont systématiquement manquées par les approches existantes. Les auteurs soulignent que le reflux de caractéristiques itératif et la fusion de multi-preuves en espace logarithmique sont des innovations critiques qui permettent au modèle de distinguer les dérives opérationnelles normales des anomalies subtiles et furtives (telles que les attaques par usurpation) sans nécessole de données étiquetées. Les résultats suggèrent que ce cadre spatio-temporel unifié offre une robustesse de généralisation trans-domaine, en faisant une solution viable pour diverses applications de CPS allant des usines industrielles aux réseaux de véhicules.