建模正常行为足矣：多模态信息物理系统中的异常检测联合潜在聚类

arXiv cs.LG 论文
anomaly-detection cyber-physical-systems latent-clustering gaussian-mixture multimodal fair-protocol

摘要

本文介绍了一种用于多模态信息物理系统异常检测的联合潜在聚类方法，将正常行为建模为潜在空间中的高斯混合模型，并提出了一个公平的评估协议。在三个真实世界的CPS数据集上，该方法取得了最先进的成果，尤其是在困难子集上表现优异。

arXiv:2607.06094v1 公告类型: new 摘要: 信息物理系统（CPS）的故障过于罕见且不具有代表性，难以进行特征化甚至是模型选择，因此检测必须转而建模正常行为；然而，标准点调整评估方法奖励那些从不检测的检测器。CPS的正常行为是多个不平衡、弯曲、边缘稀薄运行区域的联合，而非单个团簇；我们将这一结构表述为十条假设（A1-A10），缩写为大规模、隐式、不平衡多模态（MIIM）。我们通过联合学习的潜在表示和显式高斯混合模式聚类来建模正常状态，在潜在空间而非全局密度或重构残差上进行评分，并在精心设计的公平协议下进行评估：原始逐点指标（无点调整）、基于平凡检测器的难度划分、与流行率匹配的F1分数，以及仅使用训练正常数据的校准。在三个真实CPS数据集（WADI、HAI、SKAB）上，该检测器在所有三个数据集的综合列和困难关联/动态故障列上均取得最优结果，在困难子集上的AUROC分别达到HAI 0.831、WADI 0.726和SKAB 0.610。优势在MIIM假设所针对的两个多模态数据集上最为显著，在近乎单模态的数据集上最小，这与多模态性作为核心论点的预测一致；并且该结果优于使用相同原始指标重新计算的三种深度检测器（USAD、TranAD、GDN），后者在困难子集上均失效。方法论贡献包括MIIM假设集、难度分层公平协议，以及一种仅依赖潜在表示的评分（放弃重构），因为灵活的编码器会忠实地重建困难故障。
查看原文
查看缓存全文

缓存时间: 2026/07/08 04:45 

# 只需建模正常状态：面向多模态信息物理系统异常检测的联合潜变量聚类方法
来源：https://arxiv.org/abs/2607.06094
查看PDF (https://arxiv.org/pdf/2607.06094)

> **摘要:** 信息物理系统（CPS）中的故障过于罕见且缺乏代表性，难以进行特征刻画，甚至难以据此选择模型；因此，检测必须转而建模正常行为。然而，标准的点调整评估方法实际上会奖励那些从不检测的检测器。CPS的正常行为是众多不平衡、弯曲、边缘细薄的运行模态的并集，而非单一的团簇；我们将这一结构归纳为十项假设（A1–A10），简称为“大规模、隐式、不平衡多模态性”（MIIM）。我们通过联合学习的潜变量表示以及显式的高斯混合模式聚类来建模正常分布，并在潜空间中而非通过全局密度或重建残差进行评分。评估采用刻意公平的协议：原始逐点度量（无点调整）、基于平凡检测器的难度划分、与患病率匹配的F1分数，以及仅使用正常训练数据的校准。在三个真实CPS数据集（WADI、HAI、SKAB）上，该检测器在所有三个数据集上均赢得了整体列以及困难相关/动态故障列，在HAI困难子集上达到AUROC 0.831，在WADI上达到0.726，在SKAB上达到0.610。其优势在MIIM假设所针对的两个多模态数据集上最大，在近单模态数据集上最小，正如论文所述，这种优势与多模态程度相一致。并且在与三个深度检测器（USAD、TranAD、GDN）的对比中保持优势，这些检测器均使用相同的原始指标重新计算，但在困难子集上全部失效。本文的方法论贡献包括：MIIM假设集、难度分层的公平评估协议，以及一种仅依赖于潜变量的评分方法——该方法摒弃了重建项，因为灵活的解码器会忠实地重建出困难故障。

## 提交历史

发件人：Yehudit Aperstein \[view email (https://arxiv.org/show-email/3cd69277/2607.06094)\] **\[v1\]** 2026年7月7日星期二 10:10:00 UTC (604 KB)

相似文章

建模时空图异常检测中的频谱能量偏移

arXiv cs.LG

提出了一种节点级频谱能量公式，用于检测图中的伪装异常，并将其扩展到具有能量驱动消息传递的时空设置。在大规模基准测试上证明了其有效性。

通过图神经网络提升云网络安全异常检测

arXiv cs.LG

介绍了一项工业案例研究，使用图神经网络对AWS CloudTrail日志进行自监督学习，用于云网络安全异常检测，将警报量从传统方法生成的数千条减少到大约每小时1条。