Interpretable Anomaly and Drift Detection with Gaussian Mixture Models

당신은 매우 바쁘고 첨단 기술이 집약된 박물관의 보안 요원이라고 상상해 보십시오. 당신의 업무는 단순히 도둑을 감시하는 것이 아닙니다. 그것은 군중의 "정상적인" 흐름을 이해하는 것입니다. 때로는 단 한 명의 사람이 이상하게 행동할 수도 있습니다. 예를 들어, 격식 있는 갤러리에서 광대 옷을 입고 있는 식입니다. 또 다른 때는 군중 전체의 행동이 변하기도 합니다. 갑자기 모든 사람이 원을 그리며 달리기 시작하거나, 개별적인 사람은 이상해 보이지 않는데도 방 안의 온도가 변하는 식입니다. 데이터 과학의 세계에서 이것은 점 이상치(point anomaly)(하나의 이상한 데이터 포인트)와 분포 드리프트(distributional drift)(시간에 따라 전체적인 패턴이 변하는 것) 사이의 차이입니다.

이를 수행하기 위해 과학자들은 종종 **가우시안 혼합 모델(Gaussian Mixture Models, GMM)**을 사용합니다. GMM을 박물관의 "정상" 구역을 지도화하는 방법이라고 생각하십시오. 모델은 하나의 커다란 원을 그리는 대신, 정상적인 행동이 발생하는 여러 개의 겹쳐진 흐릿한 구름(이를 "레짐(regime)"이라 부릅니다)을 그립니다. 만약 데이터 포인트가 구름의 정중앙에 떨어진다면 안전합니다. 하지만 구름 사이의 빈 공간에 떨어진다면 의심스러운 상황입니다. 문제는 실제 세상의 데이터는 매우 지저밀하다는 점입니다. 우리는 항상 구름이 몇 개 있어야 하는지 알지 못하며, 때로는 "정상"인 군중이 우리가 알아차리지 못하는 사이에 습성을 바꾸기도 합니다. 이 논문은 이러한 "구름"을 사용하여 어떻게 단 한 명의 이상한 사람과 변화하는 군중을 모두 잡아낼 수 있는지, 그리고 왜 경보가 울렸는지 설명하는 영리하고 투명한 방법을 탐구합니다.

이 논문의 핵심 아이디어: 손전등을 든 탐정

Behnam Asadi가 이끄는 저자들은 오래된 도구인 가우시안 혼합 모델을 재방문하여, 이를 현대적이고 매우 체계적인 방식으로 탈바꿈시키고 있습니다. 그들의 목표는 단순히 "경보!"라고 외치는 시스템이 아니라, 실제로 무엇이 잘못되었는지 알려주는 시스템을 구축하는 것입니다. 그들은 로봇 다리의 움직임을 추적하는 것과 같은 단순한 3차원 데이터부터 필기체를 분석하는 것과 같은 복잡한 64차원 데이터에 이르기까지, 7개의 서로 다른 공개 데이터셋을 통해 이 방법을 테스트했습니다.

그들의 탐정이 작동하는 방식은 다음과 같습니다.

1. 데이터가 스스로 지도를 결정하게 하기
보통은 지도 위에 몇 개의 "구름(또는 레짐)"을 그릴지 직접 추측해야 합니다. 저자들은 "데이터가 우리에게 말하게 하라"고 말합니다. 그들은 **베이지안 정보 기준(Bayesian Information Criterion, BIC)**이라는 스마트한 규칙을 사용하여 완벽한 구름의 개수를 자동으로 찾아냅니다. 그들은 k-means라는 방법을 사용하여 대략적인 스케치를 먼저 한 다음, 모델이 스스로를 정교화하도록 합니다. 즉, 당신이 추측할 필요 없이 모델이 스스로 "정상"이 무엇인지에 대한 지도를 구축합니다.

2. 단 한 명의 이상한 사람 잡기 (점 이상치)
새로운 데이터가 도착하면 모델은 다음과 같이 묻습니다. "이 데이터는 가장 가까운 구름으로부터 얼마나 멀리 떨어져 있는가?" 그들은 해당 포인트가 정상 구역에 존재할 가능성이 얼마나 낮은지에 기반하여 점수를 계산합니다. 만약 어떤 포인트가 가장 가까운 구름으로부터 **3~10 표준편차(σ)**만큼 떨어져 있다면, 이는 이상치로 분류됩니다.

• 주의점: 논문은 이 방법이 훌륭하지만 항상 가장 정확한 것은 아니라고 인정합니다. 일부 데이터셋에서는 **LOF (Local Outlier Factor)**나 Isolation Forest 같은 다른 방법들이 더 많은 이상치를 찾아내기도 했습니다. 하지만 이러한 다른 방법들은 "블랙박스"와 같아서, 점수는 주지만 설명은 해주지 않습니다. GMM 방식은 일부 사례에서 약간 덜 정확할 수 있지만, 거대한 보너스를 제공합니다. 바로 그 포인트가 어떤 구름을 놓쳤으며 얼마나 벗어났는지를 정확히 알려준다는 점입니다.

3. 변화하는 군중 포착하기 (드리프트 탐지)
이 부분이 이 논문이 정말 영리해지는 지점입니다. 때때로 데이터는 단 하나의 이상한 포인트를 가지는 것이 아니라, 그룹 전체가 변합니다. 예를 들어, "정상"이었던 군중이 갑자기 다른 그룹처럼 행동하기 시작할 수 있습니다.
저자들은 **"설명되지 않는 질량(unexplained mass)"**이라는 지표를 도입합니다. 새로운 데이터의 창(시간의 조각)이 있다고 상상해 보십시오. 그 데이터들을 기존의 구름에 맞추려고 시도합니다.

• 만약 그 창 안에 있는 포인트 중 10%가 기존의 어떤 구름에도 맞지 않는다면(즉, 모든 레짐으로부터 3σ 이상 떨어져 있다면), 모델은 드리프트 경보를 울립니다.
• 설명: 경보는 단순히 "드리프트 감지됨"이라고 말하지 않습니다. "10%의 데이터가 알려진 어떤 레짐과도 일치하지 않음"이라고 말합니다. 이는 마치 "군중이 변했습니다. 10%의 사람들이 완전히 다른 클럽에 속한 것처럼 행동하고 있습니다"라고 말하는 것과 같습니다.

4. "정직한" 한계점
저자들은 자신들의 도구가 할 수 없는 일에 대해서도 매우 솔직합니다. 그들은 두 가지 유형의 드리프트를 테스트했습니다.

• 유형 A: 새로운 레짐. 데이터가 완전히 새로운, 이상한 행동(예: 새로운 유형의 공격)을 가져올 때, "설명되지 않는 질량" 탐지기는 눈부시게 작동합니다. 이는 구름을 전혀 사용하지 않는 복잡한 통계 테스트인 MMD와 같은 최고의 "모델 프리(model-free)" 탐지기들과 대등한 성능을 보여줍니다.
• 유형 B: 가중치 재조정(Re-weighting). 만약 데이터가 새로운 이상한 행동을 가져오는 것이 아니라, 단지 정상적인 군중의 구성 비율만 바꾼다면 어떻게 될까요? 예를 들어, 과거에는 군중의 80%가 "러너"였고 20%가 "워커"였는데, 이제는 50:50이 되었다면, 모든 개인은 여전히 정상적으로 보일 것입니다. 이 경우, "설명되지 않는 질량" 탐지기는 눈이 멀게 됩니다. 모든 포인트가 여전히 알려진 구름 안에 들어있기 때문에 작동하지 않습니다. 논문은 이 특정 유형의 변화를 위해서는 MMD와 같은 다른 도구가 필요하며, GMM 방식으로는 이를 설명할 수 없다고 명시적으로 밝히고 있습니다.

5. 쉬운 언어로 정리한 결과

• 정확도: 7개의 다양한 테스트에서 GMM 탐지기는 경쟁력 있는 모습을 보였습니다. 모든 테스트에서 승자는 아니었지만(종종 LOF가 승리함), 결코 무너지지 않았습니다. 특히 낮은 차원의 데이터에서 최고 점수에 근접한 성적을 유지했습니다.
• "고차원" 문제: 데이터가 매우 복잡해지면(예: 64차원의 "Optdigits" 데이터셋), 모델은 어려움을 겪기 시작합니다. "구름"이 너무 얇아지고 수학적 계산이 불안정해집니다. 논문은 이러한 고차원 케이스의 경우 의도한 것보다 허위 경보율(false alarm rate)이 높아질 수 있음을 언급하며, 이 방법을 사용하기 전에 PCA와 같은 기법을 사용하여 데이터를 먼저 단순화해야 할 수도 있다고 제언합니다.
• "설명되지 않는 질량"의 성공: 저차원에서 중차원 사이의 테스트에서, "설명되지 않는 질량" 통계량은 새로운 이상한 행동이 나타날 때 최고의 드리프트 탐지기들과 완벽하게 일치하는 모습을 보였습니다. 10%의 데이터가 주입되었을 때, 그것이 10%의 새로운 데이터임을 정확히 식별해 냈습니다.

핵심 요약

이 논문의 주요 가치는 이 방법이 다른 모든 이상치 탐지 방법을 이기는 마법의 탄환을 찾았다는 데 있지 않습니다. 사실, 저자들은 이 방법이 드물게 승리한다는 점을 인정합니다. 대신, 그 가치는 투명성에 있습니다.

복잡한 AI가 판치는 세상에서, 이 방법은 단순히 용의자를 지목하는 것이 아니라 보고서를 건네주는 탐지와 같습니다. "이 사람은 '정상' 구역에서 10σ만큼 떨어져 있으며, 이 그룹의 10%는 우리가 알고 있는 어떤 프로필과도 일치하지 않습니다." 이 방식은 순수한 정확도를 아주 조금 희생하는 대신, 이해도를 크게 높였습니다. 만약 당신이 경보가 왜 울렸는지—그것이 로봇 다리 하나가 오작동하는 것인지, 아니면 시스템 전체의 운영 모드가 변한 것인지—알아야 한다면, 이 "해석 가능한(interpretable)" 접근 방식이 숫지 뒤에 숨겨진 이야기를 들려줄 것입니다. 하지만 변화가 단지 정상적인 군중의 미묘한 재편성에 불과하다면, 저자들은 다른 곳을 찾아보라고 경고합니다. 왜냐하면 이 특정 도구는 그것을 볼 수 없기 때문입니다.