FluxGraph: Synergizing Dynamic Graph Attention and Flux Memory for Unsupervised Time Series Anomaly Detection

Sintesi Tecnica: FluxGraph

Problematica
Il rilevamento delle anomalie nelle serie temporali è critico per i sistemi cyber-fisici (CPS) e le reti dei bus Controller Area Network (CAN) automobilistici. Tuttavia, i metodi non supervisionati esistenti affrontano sfide significative in ambienti reali e non stazionari. I metodi tradizionali basati sulla ricostruzione spesso falliscono nel rilevare anomalie di mascheramento sottili o derive graduali della linea di base perché si affidano a obiettivi di ottimizzazione singoli e tendono a smussare i pattern transitori. Allo stesso modo, i metodi basati sulla previsione rispettano la continuità sequenziale ma spesso perdono cambiamenti nelle dipendenze tra variabili o derive lente che rimangono coerenti con la storia a breve termine. Inoltre, molte anomalie critiche si manifestano non come grandi deviazioni statistiche, ma come piccoli spostamenti nella dinamica temporale, cambiamenti graduali nelle relazioni tra sensori o transizioni tra regimi operativi. Gli approcci attuali mancano spesso della capacità di ragionare congiuntamente su valori puntuali, dipendenze sequenziali, strutture relazionali ed evoluzione dello stato globale.

Metodologia
Gli autori propongono FluxGraph, un framework non supervisionato che sinergizza l'attenzione a grafo dinamico con la memoria di flusso e la regolazione adattiva consapevole dello stato. L'architettura elabora finestre a lunghezza fissa di osservazioni multivariate normalizzate attraverso i seguenti componenti:

1. Normalizzazione Reversibile con Vincolo KL Cross-Window: Per affrontare il drift della distribuzione continua tra finestre adiacenti, il modello impiega una Normalizzazione di Istanza Reversibile basata su finestra (WindowRevIN) potenziata da un regolarizzatore di divergenza di Kullback-Leibler (KL) cross-window. Questo sopprime gli spostamenti di distribuzione senza introdurre un bias di anticipazione (lookahead bias), garantendo un input stabile per i moduli successivi.
2. Grafo dei Sensori Dinamico con Riflusso di Caratteristiche: A differenza dei grafi a topologia fissa, FluxGraph costruisce una matrice di adiacenza "soft" condizionata dal contenuto della finestra corrente. Fondamentalmente, introduce un meccanismo di riflusso delle caratteristiche in cui le caratteristiche di alto livello estratte dagli strati più profondi vengono reimmesse per aggiornare iterativamente la matrice di adiacenza. Ciò consente alla topologia del grafo di adattarsi in tempo reale ai mutevoli cambiamenti strutturali tra i canali e alle sottili anomalie relazionali.
3. Stem Temporale Multi-Scala: Il modello estrae caratteristiche a diversi campi recettivi utilizzando convoluzioni depthwise parallele, combinando il segnale originale normalizzato, i segoli condizionati dal grafo e le differenze del primo ordine.
4. Blocchi di Attenzione di Flusso (Flux Attention Blocks): Questi blocchi integrano tre percorsi complementari:
   • Auto-attenzione temporale standard con bias posizionale relativo.
   • Attenzione su vettori di memoria persistente che accumulano pattern a lungo raggio.
   • Convoluzione depthwise leggera per il raffinamento locale.
     Un meccanismo di gating adattivo guidato dall'entropia dello stato bilancia dinamicamente il contributo di questi percorsi in base all'incertezza dello stato operativo del sistema.
5. Memoria dello Stato del Processo: Questo modulo mantiene prototipi operativi latenti per tracciare esplicitamente i cambiamenti di regime e le transizioni di stato, che sono difficili da catturare tramite la sola ricostruzione locale. Stima la confidenza di assegnazione basandosi sull'entropia e modella le transizioni attese tra stati consecutivi.
6. Fusione di Multi-Evidenza: L'architettura genera quattro output paralleli (ricostruzione, previsione a un passo, previsione della transizione di stato e aspettative di stato per canale). Sette segnali residui complementari (inclusi scostamenti puntuali, discrepanze relazionali e inconsistenze nella transizione di stato) vengono fusi utilizzando una funzione di aggregazione logaritmica. Questo approccio elimina le discrepanze di magnitudo tra residui eterogenei, impedendo agli outlier ad alta ampiezza di mascherare sottili anomalie strutturali.

Contributi Chiave

• Framework Sinergico: L'integrazione del flusso di caratteristiche bidirezionale (tramite il ciclo di riflusso delle caratteristiche) con la regolazione adattiva consapevole dello stato all'interno di un framework non supervisionato unificato.
• Ottimizzazione della Topologia Dinamica: La proposta di un meccanismo iterativo in cui le caratteristiche profonde raffinano il grafo dei sensori dinamico, consentendo il rilevamento di drift relazionali che i modelli a topologia fissa non colgono.
• Gating basato sull'Entropia dello Stato: L'introduzione di un meccanismo di gating guidato dall'entropia dello stato, che permette al modello di spostare adattivamente il focus tra pattern globali e variazioni locali in base all'incertezza del sistema in tempo reale.
• Fusione di Multi-Evidenza in Spazio Logaritmico: Una strategia di aggregazione innovativa che fonde sette distinti segnali residui in spazio logaritmico per garantire un rilevamento bilanciato sia di guasti puntuali improvvisi che di lenti drift sistemici.

Risultati
FluxGraph è stato valutato su benchmark di sensori industriali (SMD, HAI), bus CAN automobilistico (Car-Hacking) e reti di traffico (ROAD).

• Sensori Industriali (SMD): FluxGraph ha raggiunto un RF1 (Range-based F1) ottimale di 0.62, un VROC di 0.93 e un VPR di 0.67, superando significativamente i baseline come Mamba, LSTM-AE e ALoRa. Ciò dimostra una capacità superiore nel rilevare drift graduali e anomalie strutturali.
• Sensori Industriali (HAI): Sebbene leggermente inferiore in RF1 (0.59) rispetto ad alcuni baseline focalizzati sulla ricostruzione (a causa della prevalenza di anomalie puntuali in HAI), FluxGraph ha ottenuto il VROC (0.96) e il VPR (0.72) più elevati, indicando una superiore capacità di ranking in contesti non supervisionati.
• Generalizzazione Cross-Domain:
  • Bus CAN (Car-Hacking): Ha raggiunto un'accuratezza del 99.98% e un Macro AUROC perfetto di 1.00000, superando modelli specializzati come LiPar e MobileNetV3.
  • Grafo di Traffico (ROAD): Ha dimostrato una forte capacità nel rilevare attacchi di mascheramento, migliorando significativamente Precision e F1-score per attacchi stealth (es. Reverse Light Off) dove altri baseline fallivano.
• Studi di Ablazione: Hanno confermato che la rimozione di qualsiasi componente core (previsione, ricostruzione, grafo dinamico, memoria di flusso o memoria di stato) porta a un degrado delle prestazioni. Lo studio ha anche validato che l'aggregazione logaritmica è superiore alla sommatoria lineare o al max pooling per fondere residui eterogenei.
• Efficienza: Nonostante la sua complessità, FluxGraph mantiene un tempo di inferenza di 2.45 ms per batch su una NVIDIA RTX4090, comparabile ad ALoRa e quasi due volte più veloce di Mamba, rendendolo adatto al monitoraggio industriale near-real-time.

Significatività e Rivendicazioni
L'articolo sostiene che FluxGraph affronti i punti ciechi fondamentali dei metodi di rilevamento delle anomalie a obiettivo singolo. Modellando esplicitamente l'interazione tra correlazioni dinamiche dei sensori, evoluzione dello stato globale e dinamiche temporali locali, il framework può rilevare anomalie fini che vengono sistematicamente perse dagli approcci esistenti. Gli autori sottolineano che il riflusso iterativo delle caratteristiche e la fusione di multi-evidenza in spazio logaritmico sono innovazioni critiche che permettono al modello di distinguere tra normali drift operativi e anomalie sottili e furtive (come gli attacchi di mascheramento) senza richiedere dati etichettati. I risultati suggeriscono che questo framework spazio-temporale unificato offre una robusta generalizzazione cross-domain, rendendolo una soluzione valida per diverse applicazioni CPS, dai impianti industriali alle reti veicolari.