FluxGraph: Synergizing Dynamic Graph Attention and Flux Memory for Unsupervised Time Series Anomaly Detection

기술 요약: FluxGraph

문제 정의
시계열 이상 탐지는 사이버 물리 시스템(CPS) 및 자동차 CAN(Controller Area Network) 버스 네트워크에서 매우 중요하다. 그러나 기존의 비지도 학습 방식은 실제의 비정상성(non-stationary) 환경에서 상당한 어려움에 직면해 있다. 전통적인 재구성 기반(reconstruction-based) 방식은 단일 최적화 목적 함수에 의존하며 일시적인 패턴을 매끄럽게 처리(smoothing)하는 경향이 있어, 미세한 위장 이상(masquerade anomalies)이나 점진적인 베이스라인 드리프트(baseline drifts)를 감지하는 데 실패하는 경우가 많다. 마찬가지로, 예측 기반(forecasting-based) 방식은 순차적 연속성은 존중하지만, 변수 간 관계의 변화나 단기 이력과 일치하는 느린 드리프트를 놓치는 경우가 빈번하다. 현재의 접근 방식들은 점 단위의 값, 순차적 의존성, 관계적 구조, 그리고 글로벌 상태 진화를 결합하여 추론하는 능력이 부족하다. 즉, 많은 중요한 이상 징후들이 단순한 통계적 편차가 아니라 시간적 역학의 미세한 변화, 센서 간 관계의 점진적 변화, 또는 운영 체제(operating regimes) 간의 전환으로 나타나기 때문이다.

방법론
저자들은 동적 그래프 어텐션(dynamic graph attention)과 플럭스 메모리(flux memory) 및 상태 인지 적응형 조절(state-aware adaptive regulation)을 결합한 비지도 학습 프레임워크인 FluxGraph를 제안한다. 이 아키텍처는 정규화된 다변량 관측값의 고정 길이 윈도우를 다음과 같은 구성 요소들을 통해 처리한다:

1. 교차 윈도우 KL 제약 가역 정규화(Cross-Window KL-Constrained Reversible Normalization): 인접한 윈도우 간의 연속적인 분포 드리프트를 해결하기 위해, 모델은 윈도우 기반 가역 인스턴스 정규화(Window-based Reversible Instance Normalization, WindowRevIN)를 사용하며, 이를 교차 윈도우 쿨백-라이블러(Kullback-Leibler, KL) 발산 정규화로 강화하였다. 이는 미래 데이터를 미리 보는 편향(lookahead bias)을 도입하지 않으면서 분포 변화를 억제하여, 후속 모듈을 위한 안정적인 입력을 보장한다.
2. 특징 재유입(Feature Reflux)을 포함한 동적 센서 그래프: 고정된 토폴로지 그래프와 달리, FluxGraph는 현재 윈도우의 콘텐츠에 따라 조건화된 소프트 인접 행렬(soft adjacency matrix)을 구축한다. 결정적으로, 모델은 심층 레이어에서 추출된 고수준 특징을 피드백하여 인접 행렬을 반복적으로 업데이트하는 특징 재유입 메커니즘을 도입한다. 이를 통해 그래프 토폴로지는 변화하는 채널 간 구조와 미세한 관계적 이상에 실시간으로 적응할 수 있다.
3. 다중 스케일 시간적 줄기(Multi-Scale Temporal Stem): 모델은 병렬 뎁스와이즈 컨볼루션(depthwise convolutions)을 사용하여 서로 다른 수용 영역(receptive fields)에서 특징을 추출하며, 정규화된 신호, 그래프 조건부 신호, 그리고 1차 차분(first-order differences)을 결합한다.
4. 플럭스 어텐션 블록(Flux Attention Blocks): 이 블록들은 세 가지 상호 보완적인 경로를 통합한다:
   • 상대적 위치 편향(relative positional bias)을 갖춘 표준 시간적 셀프 어텐션(temporal self-attention).
   • 장기 패턴을 축적하는 지속적 메모리 벡터(persistent memory vectors)에 대한 어텐션.
   • 국소적 정교화(local refinement)를 위한 경량 뎁스와이즈 컨볼루션.
     상태 엔트로피 기반 적응형 게이팅 메커니즘은 시스템의 운영 상태 불확실성에 따라 이러한 경로들의 기여도를 동적으로 조절한다.
5. 프로세스 상태 메모리(Process State Memory): 이 모듈은 잠재적 운영 프로토타입(latent operational prototypes)을 유지하여, 국소적 재구성만으로는 포착하기 어려운 체제 변화(regime changes)와 상태 전이를 명시적으로 추적한다. 모델은 엔트로피를 기반으로 할당 신뢰도(assignment confidence)를 추정하고 연속적인 상태 간의 예상 전이를 모델링한다.
6. 다중 증거 융합(Multi-Evidence Fusion): 아키텍처는 네 개의 병렬 출력(재구성, 1단계 예측, 상태 전이 예측, 채널별 상태 기대치)을 생성한다. 7개의 상호 보완적인 잔차 신호(점 단위 편차, 관계적 불일치, 상태 전이 불일치 포함)는 **로그 집계 함수(logarithmic aggregation function)**를 사용하여 융합된다. 이 방식은 이질적인 잔차들 사이의 크기 차이를 제거하여, 거대한 진폭의 이상치가 미세한 구조적 이상을 가리는 것을 방지한다.

주요 기여

• 시너지 프레임워크: 단일 비지도 학습 프레임워크 내에서 양방향 특징 흐름(특징 재유입 루프를 통해)과 상태 인지 적응형 조절을 통합하였다.
• 동적 토폴로지 최적화: 심층 특징이 동적 센서 그래프를 정교화하는 반복 메커니즘을 제안하여, 고정 토폴로지 모델이 놓치는 관계적 드리프트를 감지할 수 있게 하였다.
• 상태-엔트로피 게이팅: 상태 엔트로피에 의해 구동되는 게이팅 메커니즘을 도입하여, 실시간 시스템 불확실성에 따라 글로벌 패턴과 로컬 변이 사이의 초점을 적응적으로 전환할 수 있게 하였다.
• 로그 공간 다중 증거 융합: 7개의 별도 잔차 신호를 로그 공간에서 융합하는 새로운 집계 전략을 통해, 급격한 점 이상(point faults)과 느린 시스템적 드리프트(systemic drifts)를 모두 균형 있게 탐지하도록 보장한다.

결과
FluxGraph는 산업용 센서(SMD, HAI), 자동차 CAN 버스(Car-Hacking), 교통 네트워크(ROAD) 벤치마크에서 평가되었다.

• 산업용 센서 (SMD): FluxGraph는 최적의 Range-based F1(RF1) 0.62, VROC 0.93, VPR 0.67을 달연하였으며, Mamba, LSTM-AE, ALoRa와 같은 베이스라인을 상당한 차이로 앞질렀다. 이는 점진적 드리프트 및 구조적 이상을 감지하는 탁월한 능력을 입증한다.
• 산업용 센서 (HAI): 재구성 중심의 일부 베이스라인에 비해 RF1은 약간 낮았으나(HAI의 점 이상 빈도 때문), FluxGraph는 가장 높은 VROC(0.96)와 VPR(0.72)을 달성하여 비지도 학습 환경에서의 우수한 랭킹 능력을 보여주었다.
• 교차 도메인 일반화:
  • CAN 버스 (Car-Hacking): 99.98%의 정확도와 완벽한 Macro AUROC 1.00000을 달성하여, LiPar 및 MobileNetV3와 같은 특화된 모델을 능가하였다.
  • 교통 그래프 (ROAD): 위장 공격(masquerade attacks)을 감지하는 데 강력한 성능을 보였으며, 다른 베이스라인들이 실패했던 스텔스 공격(예: Reverse Light Off)에 대해 정밀도(Precision)와 F1-score를 크게 향상시켰다.
• 어블레이션 연구(Ablation Studies): 핵심 구성 요소(예측, 재구성, 동적 그래프, 플럭스 메모리, 상태 메모리) 중 하나라도 제거하면 성능 저하가 발생함을 확인하였다. 또한 로그 집계가 이질적인 잔차를 융합하는 데 있어 선형 합산(linear summation)이나 맥스 풀링(max pooling)보다 우수함을 검증하였다.
• 효율성: 복잡성에도 불구하고, FluxGraph는 NVIDIA RTX4090에서 배치당 2.45ms의 추론 시간을 유지하며, 이는 ALoRa와 유사하고 Mamba보다 거의 두 배 빠르므로 실시간 산업 모니터링에 적합하다.

의의 및 주장
본 논문은 FluxGraph가 단일 목적 함수 기반 이상 탐지 방법의 근본적인 사각지대를 해결한다고 주장한다. 동적 센서 상관관계, 글로벌 상태 진화, 로컬 시간적 역학 사이의 상호작 작용을 명시적으로 모델링함으로써, 이 프레임워크는 기존 방식들이 체계적으로 놓치는 미세한 이상 징후를 감지할 수 있다. 저자들은 **반복적 특징 재유입(iterative feature reflux)**과 로그 공간 다중 증거 융합이 모델이 라벨링된 데이터 없이도 정상적인 운영 드리프트와 미세하고 은밀한 이상(예: 위장 공격)을 구분할 수 있게 하는 핵심 혁신임을 강조한다. 결과는 이 통합된 시공간 프레임워크가 강력한 교차 도메인 일반화 성능을 제공하여, 산업 플랜트에서 차량 네트워크에 이르기까지 다양한 CPS 애플리케이션에 대한 실행 가능한 솔루션이 될 수 있음을 시사한다.