🤖 machine learning

Domain-Prior-Regularized Graph Modeling for Anomaly Detection in Cyber-Physical Systems

O artigo propõe o DPR-GM, um framework de detecção de anomalias baseado em previsão para sistemas ciber-físicos com escassez de dados que integra o conhecimento de design do sistema via um LLM para construir um grafo fixo e regularizado por prior de domínio, superando, assim, os baselines existentes ao evitar correlações espúrias e topologias instáveis.

Autores originais: Youngseok Hwang, Joonsung Kwon, Geonwoo Lee, Hyunwoo Park

Publicado 2026-07-28

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Youngseok Hwang, Joonsung Kwon, Geonwoo Lee, Hyunwoo Park

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você é o capitão de um navio massivo e de alta tecnologia. Seu navio está repleto de sensores — termômetros, manômetros de pressão, detectores de vibração e medidores de fluxo — todos sussurrando dados para a ponte de comando a cada segundo. Seu trabalho é detectar um problema antes que ele afunde o navio. Este é o mundo dos Sistemas Ciber-Físicos (CPS), onde computadores controlam máquinas do mundo real, como estações de tratamento de água ou fábias químicas. O desafio? Às vezes, uma pequena falha em um sensor pode sinalizar um desastre, mas outras vezes, um sensor apenas apresenta um comportamento estranho devido a um erro aleatório. Para encontrar o perigo real, você precisa entender como esses sensores conversam entre si. Se um manômetro de pressão dispara, significa que a bomba está quebrada ou ele está apenas reagindo ao fechamento de uma válvula próxima?

Por muito tempo, cientistas tentaram ensinar computadores a entender essas relações apenas observando os dados. Eles esperavam que o computador aprendesse: "Ah, quando o Sensor A sobe, o Sensor B geralmente sobe também". Mas isso é como tentar aprender as regras de um jogo complexo assistindo apenas a alguns minutos de partida. Se os dados forem bagunçados ou escassos, o computador fica confuso. Ele pode pensar que dois sensores são melhores amigos apenas porque eles se mexeram juntos por acidente na mesma hora. Isso leva a um mapa de relações cheio de mentiras e conexões falsas, tornando difícil encontrar os pontos de problemas reais.

É aqui que entra uma nova ideia chamada DPR-GM. Em vez de adivinhar as regras do zero, os pesquisadores decidiram consultar as plantas do navio. Eles perceberam que o mundo físico possui uma lógica estrita: um cano se conecta a uma bomba, e uma válvula controla um fluxo. Esses fatos estão escritos nos manuais do sistema muito antes de qualquer dado ser coletado. O artigo propõe um truque inteligente: usar um "assistente inteligente" (um Modelo de Linguagem de Grande Escala - LLM) para ler esses manuais e construir um mapa de como os sensores deveriam estar conectados com base na física. Então, eles sobrepõem os dados reais sobre esse mapa para ver onde as coisas dão errado.

A equipe testou isso em um benchmark chamado SKAB, que simula um sistema de bomba de água com 8 sensores. Eles descobriram que seu método, que combina o conhecimento da "planta" com dados em tempo real, foi muito melhor em detectar anomalias do que métodos que tentavam aprender tudo do zero. De fato, ao analisar os resultados, sua abordagem superou consistentemente outros modelos baseados em grafos, estatísticos e de aprendizado profundo. Não apenas encontrou mais problemas, mas os encontrou com mais precisão, mesmo quando os dados eram complicados. O artigo sugere que, ao fundamentar o "cérebro" do computador na física do mundo real, em vez de apenas adivinhar a partir de dados limitados, podemos construir sistemas de segurança muito mais confiáveis para o nosso mundo industrial.

A História da Planta Inteligente

Então, como este DPR-GM (Modelagem de Grafo Regularizada por Prior de Domínio) realmente funciona? Vamos decompor isso em uma história sobre um detetive, um mapa e uma festa barulhenta.

O Problema: A Festa Barulhenta
Imagine uma festa enorme onde todos estão falando ao mesmo tempo. Você quer saber quem está realmente tendo uma discussão séria (uma anomalia) versus quem está apenas rindo alto (ruído normal). No passado, os detetives (algoritmos) tentavam descobrir quem estava falando com quem apenas ouvindo o volume das conversas. Se duas pessoas rissem ao mesmo tempo, o detetive assumia que elas eram amigas. Mas em uma sala lotada, as pessoas frequentemente riem ao mesmo tempo apenas por coincidência! Isso levava a um mapa de amizades bagunçado que não fazia sentido. Quando a discussão real começava, o detetive se perdia no ruído.

A Solução: A Planta
Os autores deste artigo disseram: "Espere um minuto! Nós temos a planta baixa da festa!". No mundo real, isso é a documentação do sistema. Ela nos diz que a bomba de água deve estar conectada à válvula de pressão, e que o motor deve estar conectado ao sensor de temperatura. Estes são fatos físicos, não palpites.

Os pesquisadores usaram um Modelo de Linguagem de Grande Escala (LLM) — pense nele como um robô superinteligente que consegue ler e entender manuais técnicos — para escanear essas plantas. O robô extraiu uma lista de "conexões permitidas". Por exemplo, ele aprendeu que o "Sensor da Bomba" pode falar com o "Sensor de Pressão", mas o "Sensor da Bomba" não pode falar com o "Interruptor de Luz" porque eles estão em partes diferentes do edifício.

O Portão Mágico
Esta lista de conexões permitidas tornou-se um portão binário. Imagine um segurança na porta de um clube. Se a planta diz que dois sensores estão conectados, o segurança os deixa entrar. Se a planta diz que não estão, o segurança os bloqueia, não importa o quanto pareçam estar conversando nos dados. Isso impede o computador de inventar amizades falsas baseadas em ruídos aleatórios.

O Botão de Volume
Mas saber apenas quem pode falar não é suficiente; precisamos saber o quão alto eles falam. Os pesquisadores adicionaram uma segunda etapa. Eles observaram os dados normais (a festa quando tudo está bem) e mediram o quanto os sensores se moviam juntos. Se dois sensores costumam se mover em sincronia, eles aumentam o volume da conexão deles. Se eles se movem em direções opostas, eles diminuem o volume. Isso cria um mapa final que é tanto fisicamente correto (graças à planta) quanto estatisticamente preciso (graças aos dados).

Os Sensores Confiáveis
Há mais uma reviravolta. Alguns sensores são naturalmente agitados. Um sensor de vibração pode oscilar muito mesmo quando tudo está bem, enquanto um sensor de pressão pode ser muito estável. Os pesquisadores perceberam que, se o sensor estável de repente dá um salto, é algo enorme. Mas se o sensor agitado dá um salto, pode ser apenas o jeito dele de ser. Por isso, eles deram uma "pontuação de confiabilidade" para cada sensor com base em quão estável ele costuma ser. Ao calcular a pontuação de alarme final, eles confiaram mais nos sensores estáveis do que nos agitados.

Os Resultados: Uma Imagem Mais Clara
Quando testaram isso no conjunto de dados de bomba de água SKAB, os resultados foram impressionantes. Os métodos antigos, que tentavam aprender o mapa do zero, frequentemente se confundiam e perdiam os problemas reais ou disparavam alarmes falsos. Suas estruturas de grafos eram instáveis, mudando toda vez que o teste era executado.

O DPR-GM, porém, manteve-se constante. Porque começou com a "planta" (o prior de domínio), ele não foi enganado pelo ruído aleatório.

Ele alcançou um AUROC de 0,7256 (uma medida de quão bem separa o normal do anormal), que foi superior ao próximo melhor método baseado em grafos.
Superou métodos estatísticos e modelos de aprendizado profundo que não utilizavam a planta.
Mais importante, ele fez isso sem precisar aprender novos parâmetros para a própria estrutura do grafo. O mapa foi fixo antes mesmo do treinamento começar, tornando-o perfeito para situações em que não se tem muitos dados para aprender.

Por Que Isso Importa
O artigo sugere que, no mundo da segurança industrial, não precisamos jogar fora nossas plantas e começar a adivinhar. Ao combinar os fatos rígidos da física (o conhecimento de domínio) com os padrões suaves dos dados, podemos construir sistemas que são mais inteligentes, mais estáveis e melhores em detectar os pequenos desvios que podem levar a grandes desastres. É um lembrete de que, às vezes, a melhor maneira de entender o futuro é ler as instruções que nos foram dadas no início.

Resumo Técnico: DPR-GM para Detecção de Anomalias em Sistemas Ciber-Físicos

1. Definição do Problema

A detecção de anomalias em séries temporais multivariadas de sensores é crítica para o monitoramento de Sistemas Ciber-Físicos (CPS), como estações de tratamento de água e sistemas de controle de processos químicos. Nesses ambientes, mesmo desvios sutis do comportamento normal podem sinalizar interrupções de processo, incidentes de segurança ou ataques. No entanto, a implementação prática enfrenta dois desafios significativos:

Escassez de Dados: Exemplos de falhas rotulados são raros, o que exige abordagens não supervisionadas que aprendam a dinâmica normal a partir de dados operacionais limpos.
Topologias de Grafos Não Confiáveis: Abordagens recentes baseadas em grafos utilizando Redes Neurais de Grafos (GNNs) frequentemente enfrentam dificuldades em sistemas físicos de pequena escala com dados normais limitados. Os métodos existentes que constroem grafos de sensores via aprendizado de ponta a ponta ou limiarização de correlação empírica tendem a capturar correlações espúrias e produzir topologias instáveis. Esses modelos falham em distinguir entre dependências fisicamente significativas e co-movimentos transitórios e não causais, levando a grafos ruidosos e localização de anomalias ambígua.

2. Metodologia: DPR-GM

Os autores propõem o DPR-GM (Domain-Prior-Regularized Graph Modeling), um framework baseado em previsão que integra o conhecimento de design do sistema na construção do grafo. O princípio central é que o conhecimento de domínio determina quais arestas podem existir, enquanto as estatísticas dos dados determinam o quão fortes essas arestas são. O framework consiste em três componentes primários:

2.1. Construção de Grafo Regularizada por Prior de Domínio

Em vez de aprender a estrutura do grafo a partir dos dados, o DPR-GM constrói um prior estrutural fixo derivado da documentação do sistema.

Extração Baseada em LLM: Um Modelo de Linguagem de Grande Escala (especificamente o Claude Sonnet) é instruído com documentos de design do sistema, metadados de sensores e descrições de subsistemas para extrair acoplamentos físicos direcionados entre pares de sensores. O resultado é uma lista estruturada de dependências fisicamente sancionadas ( $i \to j$ ).
Matriz de Adjacência Binária de Domínio ( $D$ ): Essas dependências extraídas formam uma matriz binária $D \in \{0, 1\}^{N \times N}$ , onde $D_{ij}=1$ se um acoplamento direcionado for especificado na documentação. Todas as outras entradas são definidas como zero, atuando como um portão estrutural que suprime qualquer aresta não sancionada pelo conhecimento de domínio.
Modulação de Correlação: Embora $D$ $D$ dite a topologia, os pesos das arestas são modulados por evidência empírica. Os autores computam a matriz de correlação de Pearson $\rho$ $ρ$ a partir dos dados normais de treinamento. A matriz de adjacência final $A$ $A$ é definida como:
$A_{ij} = D_{ij} \cdot (0.5 + 0.5 \rho_{ij})$
Esta formulação garante que:
- Arestas que não estão em $D$ recebem um peso de 0.
- Arestas em $D$ com correlação positiva recebem pesos $>0.5$ .
- Arestas em $D$ com correlação negativa recebem pesos $<0.5$ .
- Arestas em $D$ com correlação zero mantêm uma base neutra de 0.5, evitando que arestas motivadas fisicamente sejam silenciadas devido a estatísticas de treinamento insuficientes.

2.2. Pesos de Confiabilidade de Nós Baseados em CV

Reconhecendo que os sensores exibem variabilidade heterogênea durante a operação normal, o framework atribui pesos de confiabilidade aos nós com base no Coeficiente de Variação (CV).

Sensores com baixa variabilidade temporal (baixo CV) são considerados pontos de referência mais confiáveis.
Um escore de confiabilidade $r_i$ é calculado como o inverso do CV, e normalizado para formar pesos de nó $w_i$ .
Esses pesos são usados durante a pontuação de anomalia para dar maior influência a sensores estáveis, visto que desvios em suas leituras são mais propensos a indicar falhas genuínas do que ruído.

2.3. Arquitetura do Modelo e Pontuação

Codificação Temporal: Uma GRU com compartilhamento de peso codifica canais de sensores independentemente. Para capturar a dinâmica temporal além do estado final, o modelo agrega estados ocultos via estado final, pooling de média e pooling de máximo, seguidos por uma projeção linear.
Identidade do Sensor: Embeddings de sensores aprendíveis são concatenados com representações temporais para distinguir sensores físicos.
Passagem de Mensagem em Grafo: O modelo propaga informações sobre o grafo de prior de domínio fixo $A$ . Os autores avaliam vários backbones (GCN, GraphSAGE, GAT, Graph Transformer), encontrando que o GraphSAGE (que consome explicitamente os pesos das arestas) apresenta o melhor desempenho.
Previsão e Pontuação: O modelo prevê passos de tempo futuros e minimiza o Erro Quadrático Médio (MSE). Os escores de anomalia são computados agregando erros de previsão por sensor, normalizados via Intervalo Interquartil (IQR), e ponderados pelos escores de confiabilidade baseados em CV. O escore da janela final combina um termo de média (para anomalias distribuídas) e um termo de máximo (para desvios localizados de alta amplitude).

3. Principais Contribuições

Framework DPR-GM: Uma abordagem inovadora que utiliza o conhecimento de domínio para filtrar a topologia do grafo de sensores e modula os pesos das arestas via correlação de Pearson, incorporando a ponderação de confiabilidade baseada em CV para a pontuação de anomalias.
Extração de Prior via LLM: Demonstração de que priors de domínio podem ser extraídos automaticamente de documentações de sistemas usando LLMs, ampliando a aplicabilidade para CPS sem exigir anotação manual de especialistas.
Desempenho em Protocolos Estritos: Demonstração de que o DPR-GM supera baselines de grafos, estatísticos e de aprendizado profundo no benchmark SKAB sob um protocolo de avaliação ponto a ponto estrito, particularmente em métricas de ranking sem limiar (AUROC, AUPRC).

4. Resultados Experimentais

Os autores avaliaram o DPR-GM no SKAB (Skoltech Anomaly Benchmark), um dataset de séries temporais multivariadas de uma bancada de teste de bomba d'água contendo 34 cenários de falha através de três divisões.

Comparação com Métodos Baseados em Grafos: O DPR-GM superou significativamente o GDN e o GReLen, que colapsaram (F1 próximo de zero) devido à instabilidade no aprendizado de grafos a partir de dados limitados. Embora o MTAD-GAT tenha alcançado alta revocação (recall), ele sofreu com métricas sem limiar (AUROC/AUPRC) ruins, indicando falta de discriminação de escore. O DPR-GM alcançou AUROC superior (0.7256 vs. 0.5794 do MTAD-GAT) e AUPRC (0.7165 vs. 0.4566).
Comparação com Baselines Não-Grafos: O DPR-GM superou métodos estatísticos (ex: T2+Q, MSET) e modelos de aprendizado profundo (ex: Conv-AE, LSTM-VAE, MSCRED) em todas as métricas, exceto revocação. Notavelmente, melhorou o MCC em +0.050 sobre o Vanilla AE, sugerindo fronteiras de decisão melhor calibradas em vez de exploração de desbalanceamento de classes.
Estudos de Ablação:
- A remoção do Edge-W (modulação de correlação assinada) degradou o desempenho, confirmando que o movimento conjunto empírico adiciona valor mesmo com uma topologia fixa.
- A remoção do Node-W (confiabilidade baseada em CV) também degradou o desempenho, confirmando a utilidade da ponderação de estabilidade do sensor.
- Análise de Backbone: O GraphSAGE (SAGE) produziu o desempenho mais estável e eficaz, superando GCN, GAT e Graph Transformer, provavelmente devido ao seu consumo explícito de pesos de aresta e separação de transformações de vizinho/próprio.

5. Significância e Alegações

O artigo afirma que priors de grafos estruturados por domínio são uma alternativa prática a topologias totalmente aprendidas em ambientes de CPS com escassez de dados. Ao ancorar o grafo no acoplamento físico conhecido em vez de tratá-lo como um parâmetro aprendível, o DPR-GM evita as correlações espúrias e a instabilidade que assolam o aprendizado de grafos baseado em dados quando os dados de operação normal são limitados.

Os autores enfatizam que sua abordagem:

Não requer parâmetros aprendíveis para a estrutura do grafo ou pesos de nó, reduzindo o risco de overfitting.
Fornece escores de anomalia estáveis e discriminativos, evidenciado pelos altos valores de AUROC e AUPRC, em vez de uma detecção enviesada pela revocação.
Oferece um pipeline escalável onde LLMs podem automatizar a extração de priors estruturais a partir de documentações, tornando o método aplicável a sistemas que carecem de anotação manual de especialistas.

O trabalho conclui que priors de domínio explícitos fornecem uma base robusta para a detecção de anomalias, sugerindo uma direção mais ampla para a incorporação de priors simbólicos ou causais na modelagem de séries temporais científicas em diversos domínios.