🤖 machine learning

Domain-Prior-Regularized Graph Modeling for Anomaly Detection in Cyber-Physical Systems

该论文提出了 DPR-GM，一种针对数据稀缺的网络物理系统（CPS）的基于预测的异常检测框架，该框架通过大语言模型（LLM）整合系统设计知识以构建一个固定的、受领域先验正则化的图，从而通过避免伪相关和不稳定拓扑结构，在性能上超越了现有基准方法。

原作者： Youngseok Hwang, Joonsung Kwon, Geonwoo Lee, Hyunwoo Park

发布于 2026-07-28

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Youngseok Hwang, Joonsung Kwon, Geonwoo Lee, Hyunwoo Park

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你是一位巨型高科技舰船的船长。你的船上布满了传感器——温度计、压力计、振动检测器和流量计——它们每秒钟都在向舰桥传送数据，低声诉说着系统的状态。你的职责是在问题导致沉船之前发现它。这就是**信息物理系统（Cyber-Physical Systems, CPS）**的世界，在这里，计算机控制着现实世界中的机器，比如水处理厂或化工厂。挑战在于：有时，一个传感器的微小故障可能预示着灾难，但有时，传感器仅仅是因为随机故障而表现异常。为了找到真正的危险，你需要理解这些传感器是如何相互通信的。如果压力表数值飙升，是因为泵坏了，还是因为它只是在对附近一个阀门的关闭做出反应？

长期以来，科学家们试图教计算机通过仅仅观察数据来弄清楚这些关系。他们希望计算机能学会：“噢，当传感器 A 上升时，传感器 B 通常也会上升。”但这就像试图通过只看几分钟的比赛录像来学习一套复杂的游戏规则。如果数据很杂乱或者很稀缺，计算机就会感到困惑。它可能会认为两个传感器是最好的朋友，仅仅因为它们恰好在同一时间产生了同步跳动。这会导致生成的关联图谱充满了谎言和虚假的连接，使得很难找到真正的故障点。

这就是名为 DPR-GM 的新思路出现的地方。与其从零开始猜测规则，研究人员决定去询问这艘船的“蓝图”。他们意识到物理世界有着严格的逻辑：一根管道连接着一个泵，一个阀门控制着一个流量。这些事实早在收集任何数据之前，就已经写在系统手册中了。该论文提出了一种聪明的技巧：使用一个“智能助手”（大语言模型）来阅读这些手册，并根据物理学原理构建一个传感器应该如何连接的地图。然后，他们将实际的数据叠加在这个地图之上，以观察哪里出了问题。

团队在名为 SKAB 的基准测试集上进行了测试，该测试集模拟了一个拥有 8 个传感器的水泵系统。他们发现，这种结合了“蓝图”知识与实时数据的方法，在识别异常方面比那些试图从头开始学习所有内容的方法要出色得多。事实上，在观察结果时，他们的方法始终优于其他基于图结构（graph-based）、统计学和深度学习的模型。它不仅发现了更多的故障，而且发现得更加准确，即使在数据非常棘手的情况下也是如此。该论文表明，通过将计算机的“大脑”植根于现实世界的物理学，而非仅仅依靠有限的数据进行猜测，我们可以为我们的工业世界构建更加可靠的安全系统。

智能蓝图的故事

那么，这个 DPR-GM（领域先验正则化图建模，Domain-Prior-Regularized Graph Modeling）究竟是如何运作的呢？让我们把它拆解成一个关于侦探、地图和嘈杂派对的故事。

问题：嘈杂的派对
想象一个巨大的派对，每个人都在同时说话。你想知道谁是真的在发生激烈的争吵（异常），谁只是在放声大笑（正常噪声）。在过去，侦探（算法）试图仅通过听取对话的音量来判断谁在和谁说话。如果两个人同时大笑，侦探就会假设他们是朋友。但在拥挤的房间里，人们经常会因为巧合而同时大笑！这导致了一张毫无意义的社交关系图。当真正的争吵开始时，侦探就会在噪声中迷失方向。

解决方案：蓝图
论文作者说：“等等！我们有这个派对的平面图！”在现实世界中，这就是系统文档。它告诉我们水泵必须连接到压力阀，电机必须连接到温度传感器。这些是物理事实，而不是猜测。

研究人员使用了一个大语言模型（LLM）——把它想象成一个可以阅读并理解技术手册的超级智能机器人——来扫描这些蓝图。机器人提取了一份“允许的连接”列表。例如，它了解到“泵传感器”可以与“压力传感器”通信，但“泵传感器”不能与“灯开关”通信，因为它们位于建筑的不同部分。

神奇的闸门
这个允许的连接列表变成了一个二进制闸门。想象一下夜店门口的保安。如果蓝图说两个传感器是连接的，保安就让他们进去；如果蓝图说它们没有连接，那么无论它们在数据中看起来多么“聊得火热”，保安都会把它们拦在外面。这阻止了计算机基于随机噪声去编造虚假的友谊。

音量旋钮
但仅仅知道谁可以说话是不够的；我们还需要知道他们说话的音量有多大。研究人员增加了第二步。他们观察正常的数据（一切正常时的派对），并测量传感器移动的同步程度。如果两个传感器通常同步移动，他们就会调高这两个传感器之间连接的“音量”。如果它们反向移动，他们就会调低音量。这创建了一张既符合物理逻辑（得益于蓝图）又具备统计准确性（得益于数据）的最终地图。

可靠的传感器
还有一个转折。有些传感器天生就比较“抖动”。一个振动传感器即使在一切正常时也会频繁跳动，而一个压力传感器可能非常稳固。研究人员意识到，如果那个稳固的传感器突然跳动，那是一件大事；但如果那个抖动的传感器跳动，它可能只是在表现常态。因此，他们根据每个传感器通常有多稳定，赋予了每个传感器一个“可靠性评分”。在计算最终的报警分数时，他们更信任稳定的传感器，而不是抖动的传感器。

结果：更清晰的图景
当他们在 SKB 水泵数据集上测试时，结果令人印象深刻。旧的方法（那些试图从头开始学习地图的方法）经常会感到困惑，要么漏掉真实的故障，要么引发虚假警报。它们的图结构很不稳定，每次运行测试时都会发生变化。

然而，DPR-GM 保持了稳定。因为它以“蓝图”（领域先验）作为起点，所以不会被随机噪声所迷惑。

它实现了 0.7256 的 AUROC（衡量区分正常与异常能力的指标），高于次优的基于图的方法。
它击败了那些未使用蓝图的统计方法和深度学习模型。
最重要的是，它在不需要为图结构本身学习任何新参数的情况下完成了任务。地图在训练开始前就已经固定了，这使得它非常适合那些无法通过大量数据进行学习的情况。

为什么这很重要
论文指出，在工业安全领域，我们不需要丢弃蓝图并开始盲目猜测。通过将物理学的硬事实（领域知识）与数据的软模式相结合，我们可以构建出更聪明、更稳定、且更能捕捉到可能导致重大灾难的微小偏差的系统。这提醒我们，有时了解未来的最佳方式，是阅读我们在开始时所获得的说明书。

技术摘要：用于网络物理系统异常检测的 DPR-GM

1. 问题陈述

多变量传感器时间序列中的异常检测对于监控网络物理系统（CPS，如水处理厂和化学过程控制系统）至关重要。在这些环境中，即使是偏离正常行为的细微变化也可能预示着过程中断、安全事故或攻击。然而，实际部署面临两个显著挑战：

数据稀缺性： 标记的故障样本非常罕见，因此需要无监督方法，通过从洁净的运行数据中学习正常动力学。
不可靠的图拓扑结构： 近期使用图神经网络（GNN）的基于图的方法在数据量有限的小规模物理系统中往往表现不佳。现有的通过端到端学习或经验相关性阈值构建传感器图的方法，倾向于捕捉伪相关并产生不稳定的拓扑结构。这些模型无法区分具有物理意义的依赖关系与瞬态的、非因果的共动现象，从而导致噪声图和模糊的异常定位。

2. 方法论：DPR-GM

作者提出了 DPR-GM（领域先验正则化图建模），这是一个将系统设计知识集成到图构建中的预测框架。其核心原则是：领域知识决定了“哪些”边可能存在，而数据统计则决定了这些边的“强度”如何。该框架由三个主要部分组成：

2.1. 领域先验正则化图构建

DPR-GM 并非从数据中学习图结构，而是构建一个源自系统文档的固定结构先验。

基于 LLM 的提取： 使用大语言模型（具体为 Claude Sonnet），通过提示词输入系统设计文档、传感器元数据和子系统描述，以提取传感器对之间有向的物理耦合关系。输出是一个结构化的物理许可依赖列表（ $i \to j$ ）。
二值领域邻接矩阵 ( $D$ )： 这些提取出的依赖关系构成了一个二值矩阵 $D \in \{0, 1\}^{N \times N}$ ，其中如果文档中指定了有向耦合，则 $D_{ij}=1$ 。所有其他条目均设为零，作为一个结构性门控，抑制任何未经领域知识许可的边。
相关性调制： 虽然 $D$ $D$ 决定了拓扑结构，但边权重由经验证据进行调制。作者从正常训练数据中计算皮尔逊相关矩阵 $\rho$ $ρ$ 。最终的邻接矩阵 $A$ $A$ 定义为：
$A_{ij} = D_{ij} \cdot (0.5 + 0.5 \rho_{ij})$
该公式确保了：
- 不在 $D$ 中的边接收权重 0。
- 在 $D$ 中且具有正相关的边接收权重 $>0.5$ 。
- 在 $D$ 中且具有负相关的边接收权重 $<0.5$ 。
- 在 $D$ 中且相关性为零的边保留中性基准值 0.5，防止由于训练统计量不足而导致具有物理动机的边被静默。

2.2. 基于 CV 的节点可靠性权重

考虑到传感器在正常运行期间表现出异质的变异性，该框架根据变异系数（CV）为节点分配可靠性权重。

具有低时间变异性（低 CV）的传感器被视为更可靠的参考点。
可靠性得分 $r_i$ 计算为 CV 的倒数，并进行归一化以形成节点权重 $w_i$ 。
这些权重在异常评分过程中被使用，以赋予稳定传感器更高的影响力，因为这些传感器的偏差更有可能指示真实的故障而非噪声。

2.3. 模型架构与评分

时间编码： 一个权重共享的 GRU 独立地对归一化后的传感器通道进行编码。为了捕捉超越最终状态的时间动力学，模型通过最终状态、平均池化和最大池化聚合隐藏状态，随后进行线性投影。
传感器身份： 可学习的传感器嵌入与时间表示拼接，以区分不同的物理传感器。
图消息传递： 模型在固定的领域先验图 $A$ 上传播信息。作者评估了多种骨干网络（GCN、GraphSAGE、GAT、Graph Transformer），发现 GraphSAGE（它显式地消耗边权重）表现最好。
预测与评分： 模型预测未来时间步并最小化均方误差（MSE）。异常得分通过聚合每传感器的预测误差，并通过四分位距（IQR）进行归一化，并结合基于 CV 的可靠性权重计算得出。最终的窗口得分结合了一个均值项（针对分布式异常）和一个最大值项（针对局部高振幅偏差）。

3. 核心贡献

DPR-GM 框架： 一种通过领域知识门控传感器图拓扑并利用皮尔逊相关性调制边权重的新方法，同时结合了基于 CV 的可靠性权重进行异常评分。
LLM 驱动的先验提取： 证明了可以使用 LLM 从系统文档中自动提取领域先验，从而扩大了该方法在缺乏手动专家标注的 CPS 中的适用性。
在严格协议下的性能表现： 表明 DPR-GM 在 SKAB 基准测试的严格逐点评估协议下，优于基于图的方法、统计方法和深度学习基准，特别是在无阈值排序指标（AUROC、AUPRC）方面。

4. 实验结果

作者在 SKAB (Skoltech Anomaly Benchmark) 上评估了 DPR-GM，这是一个包含 34 种故障场景（分布在三个拆分集中）的水泵测试台多变量时间序列数据集。

与基于图的方法对比： DPR-GM 显著优于 GDN 和 GReLeN，后者由于在有限数据下学习图的不稳定性而崩溃（F1 分数接近于零）。虽然 MTAD-GAT 实现了高召回率，但其无阈值指标（AUROC/AUPRC）较差，表明缺乏得分辨别力。DPR-GM 取得了更高的 AUROC（0.7256 对比 MTAD-GAT 的 0.5794）和 AUPRC（0.7165 对比 0.4566）。
与非图基准对比： DPR-GM 在除召回率以外的所有指标上都优于统计方法（如 T2+Q, MSET）和深度学习模型（如 Conv-AE, LSTM-VAE, MSCRED）。值得注意的是，它比 Vanilla AE 的 MCC 提升了 +0.050，这表明其具有更好的决策边界校准能力，而非仅仅是利用类别不平衡。
消融实验：
- 移除 Edge-W（符号相关性调制）会导致性能下降，证实了即使在固定拓扑下，经验性的共动性也能带来价值。
- 移除 Node-W（基于 CV 的可靠性）也会导致性能下降，证实了传感器稳定性权重的效用。
- 骨干网络分析： GraphSAGE (SAGE) 产生了最稳定且最有效的性能，优于 GCN、GAT 和 Graph Transformer，这可能是因为它显式地消耗了边权重，并实现了自我/邻居变换的分离。

5. 重要性与主张

本文声称，领域结构化图先验是数据稀缺的 CPS 环境中全学习拓扑的一种切实可行的替代方案。通过将图锚定在已知的物理耦合而非将其视为可学习参数，DPR-GM 避免了当正常运行数据有限时，数据驱动的图学习所面临的伪相关和不稳定性问题。

作者强调，其方法：

无需用于图结构或节点权重的可学习参数，降低了过拟合的风险。
提供稳定且具有辨别力的异常得分，这体现在较高的 AUROC 和 AUPRC 上，而非仅侧重于召回率。
提供了一个可扩展的流水线，其中 LLM 可以自动从文档中提取结构先验，使该方法适用于缺乏手动专家标注的系统。

研究结论认为，显式的领域先验为异常检测提供了稳健的基础，这表明了将符号或因果先验引入各类科学时间序列建模的一个更广泛的方向。