Modeling Normal Is All You Need: Joint Latent Clustering for Anomaly Detection in Multimodal Cyber-Physical Systems

Resumo Técnico: Modelar o Normal é Tudo o que Você Precisa para Detecção de Anomalias em CPS

1. Definição do Problema

O artigo aborda o desafio da detecção de anomalias em Sistemas Ciber-Físicos (CPS), como plantas de tratamento de água e loops de controle industrial. A dificuldade central reside na natureza das falhas em CPS: elas são raras, não representativas e não podem ser enumeradas ou predefinidas exaustivamente. Consequentemente, a detecção deve basear-se na modelagem do comportamento "normal".

No entanto, os autores argumentam que as abordagens padrão falham porque caracterizam incorretamente o comportamento normal de um CPS. Em vez de ser uma única distribuição estatística ("um único bloco"), a normalidade de um CPS é a união de muitos regimes operacionais desbalanceados, curvos e com franjas finas. Além disso, o artigo identifica duas barreiras críticas ao progresso:

1. Falhas de Avaliação: A métrica dominante, o F1 com ajuste de ponto (point-adjusted F1), infla os escores de forma tão severa que escores aleatórios podem superar modelos profundos. Adicionalmente, os benchmarks públicos costem conter anomalias "fáceis" detectáveis por regras univariadas triviais, mascarando a incapacidade dos modelos de detectar falhas complexas de estrutura conjunta.
2. Falhas de Modelagem: Modelos de densidade global subajustam (under-fit) as estruturas de regime; autoencoders profundos únicos geram falsos positivos em modos raros, porém válidos; e os resíduos de reconstrução são cegos para falhas "difíceis" (ex: quebras de correlação), porque decodificadores flexíveis podem reconstruir fielmente essas anomalias.

2. Metodologia: O Framework MIIM e Agrupamento Latente

As Premissas MIIM
Os autores formalizam a estrutura dos dados normais de CPS através de dez premissas (A1–A10), abreviadas como MIIM (Massive, Implicit, Imbalanced Multimodality - Multimodalidade Massiva, Implícita e Desbalanceada):

• Multimodalidade (A1, A2): Os dados normais são uma mistura de regimes operacionais discretos (modos) que crescem exponencialmente com a complexidade do sistema.
• Limitação e Esparsidade (A3, A4): Os regimes são limitados por limites físicos, com franjas legítimas de baixa densidade e "bolsões" finos entre os modos.
• Desbalanceamento (A6): A ocupação dos modos segue uma distribuição de cauda pesada (Zipf); modos raros são comuns na operação, mas frequentemente confundidos com falhas.
• Estrutura Latente (A5, A7, A8): Os dados possuem baixa dimensionalidade intrínseca, e os regimes verdadeiros são implícitos (não rotulados) e emergem de sinais acoplados.
• Dinâmica (A9, A10): Embora exista dependência de trajetória, os benchmarks atuais são primariamente detectáveis via snapshots.

A Arquitetura do Detector
O detector proposto, VaDE-hard+resid(auto), foi construído para modelar fielmente esta estrutura MIIM:

• Representação (VaDE): Utiliza o Variational Deep Embedding (VaDE) para aprender conjuntamente uma representação latente e um prior de Modelo de Mistura Gaussiana (GMM). Isso permite que o modelo descubra modos implícitos (A7) sem a necessidade de rótulos.
• Estratégia de Pontuação (Remoção da Reconstrução): Uma mudança metodológica fundamental é a remoção do resíduo de reconstrução da pontuação principal. Os autores demonstram que decodificadores flexíveis reconstroem fielmente falhas de quebra de correlação, tornando o resíduo inútil ou prejudicial.
• Pilha de Pontuação Latente: O escore de anomalia é computado inteiramente no espaço latente usando:
  1. Cabeça de Densidade de Mistura de Alto K: Uma estimativa de densidade de kernel paramétrica (80 componentes) para modelar franjas não gaussianas dentro dos modos (A4).
  2. NLL do Componente Mais Próximo: Para lidar com o desbalanceamento de cauda pesada (A6), o escore utiliza a verossimilhança (likelihood) do componente mais próximo em vez da soma da mistura ponderada, evitando que modos raros, porém válidos, sejam penalizados.
  3. Cabeças de Portão Automático (Auto-Gated) Opcionais: Duas cabeças opcionais são ativadas baseadas exclusivamente nas estatísticas de treinamento-normal:
     • Resíduo Branqueado (Whitened Residual): Ativado apenas se generalizar para dados normais não vistos (útil para HAI).
     • Resgate de Concordância de Bacia (Basin-Agreement Rescue): Ativado apenas se os modos de treinamento sobreporem-se significativamente (útil para SKAB), medindo a estabilidade sob perturbação latente para distinguir falhas entre modos.

3. Protocolo Experimental e Resultados

Protocolo de Avaliação Justo
Os autores introduzem um protocolo deliberadamente justo para evitar as armadilhas dos benchmarks padrão:

• Métricas Brutas: Sem ajuste de ponto; reportando AUROC, F1 e FPR ponto a ponto brutos.
• Estratificação de Dificuldade: Os dados são divididos em "Fáceis" (detectáveis por uma regra trivial de intervalo univariado) e "Difíceis" (falhas de correlação/dinâmica). O subconjunto "Difícil" é o teste discriminativo primário.
• Correspondência de Prevalência: Os escores F1 são ajustados por subamostragem de normais para igualar as razões de anomalias entre os subconjuntos.
• Recomputação de Baselines: Modelos profundos de última geração (SOTA) (USAD, TranAD, GDN) são executados novamente e pontuados usando os mesmos critérios de métricas brutas.

Resultos Principais
Avaliado em três conjuntos de dados reais de CPS (WADI, HAI, SKAB), o detector proposto supera todos os baselines e métodos SOTA no subconjunto Difícil:

• HAI (Altamente Multimodal): Alcançou 0.831 AUROC no subconjunto difícil, superando significativamente o SOTA (USAD: 0.487, TranAD: 0.467).
• WADI (Multimodal): Alcançou 0.726 AUROC no subconjunto difícil, superando o SOTA (USAD: 0.554, TranAD: 0.547, GDN: 0.582).
• SKAB (Próximo de Unimodal): Alcançou 0.610 AUROC no subconjunto difícil, vencendo por margem estreita o USAD (0.591).

A margem de desempenho correlaciona-se diretamente com a estrutura MIIM: a vantagem é maior nos conjuntos de dados multimodais (HAI, WADI) e menor no conjunto quase-unimodal (SKAB), validando a tese de que modelar a multimodalidade é o diferencial chave.

4. Significância e Alegações

O artigo reivindica três contribuições primárias:

1. Premissas MIIM: Um conjunto explícito de dez premissas que descrevem a estrutura física e estatística dos dados normais de CPS, ligando cada uma a uma escolha de modelagem específica.
2. Mudança Metodológica: Um design de detector que descarta a reconstrução (que falha em falhas difíceis) em favor da pontuação em um espaço latente aprendido conjuntamente com agrupamento de modos explícito.
3. Protocolo Justo: Um framework de avaliação rigoroso que expõe a falha dos modelos SOTA atuais em falhas de estrutura conjunta difíceis quando o ajuste de ponto é removido.

Significância:
Os autores concluem que a falha dos detectores padrão em dados de CPS é uma falha de modelagem — especificamente, o tratamento do comportamento normal multimodal como um único bloco ou um alvo de reconstrução. Os resultados fornecem evidências de que aprender conjuntamente a representação latente e seus modos, e então pontuar dentro desse espaço latente, é o ajuste necessário para detectar anomalias complexas em CPS multimodais. O artigo nota modestamente que, embora as suposições de trajetória (A9–A10) façam parte do framework, os benchmarks atuais não continham falhas dependentes de histórico, deixando esse aspecto não exercitado nos resultados relatados.