RGLD：面向表格异常检测的随机全局-局部密度估计

# RGLD：面向表格异常检测的随机化全局-局部密度估计
来源：https://arxiv.org/html/2606.28970

Quanling Zhao¹  Jiaying Yang¹  Ye Tian¹  Josh Victoria¹  Zhijun Wang¹  
Pietro Mercati²  Onat Gungor¹  Tajana Rosing¹  

¹加州大学圣地亚哥分校计算机科学与工程系  
²英特尔公司  

\{quzhao,jiy018,yet002,jvictoria,zhw106,ogungor,tajana\}@ucsd.edu  
[email protected]  

###### 摘要

无监督表格异常检测需要方法同时具备准确性、跨异构数据集的鲁棒性以及计算高效性。经典统计检测器通常高效，但它们往往依赖于固定的数据视角和单一的异常概念。深度异常检测器可以学习更灵活的评分函数，但在无监督设置下，由于缺乏可靠的监督信号，它们通常速度慢得多且难以调优。我们提出RGLD，一种面向高效无监督表格异常检测的随机化全局-局部密度估计方法。RGLD结合了一个全局随机特征密度分支（用于识别位于广泛低密度区域中的样本）和一个局部邻居分支（用于检测附近观测值支持较弱的样本）。两个分支都在特征装袋的随机化视图上运行，从而RGLD能够暴露可能隐藏在任何单一表示中的异常证据。我们在完全无监督设置下，对47个表格数据集与23个统计和深度异常检测基线进行了实验。RGLD在数据集级别的AUROC性能上表现最强，在数据集获胜次数上排名第一，在AUPRC获胜次数上排名第二。RGLD也比所有评估的深度检测器速度更快，实现了50×到580×的加速，并且在运行时间上与统计方法保持竞争力，实现了良好的准确率-效率权衡。

## 1. 引言

无监督异常检测是机器学习中的一个基本问题，具有广泛的应用（Han等人，2022（https://arxiv.org/html/2606.28970#bib.bib40）；Jiang等人，2023（https://arxiv.org/html/2606.28970#bib.bib41）；Gungor等人，2024（https://arxiv.org/html/2606.28970#bib.bib3）；Chen等人，2025（https://arxiv.org/html/2606.28970#bib.bib42）；Chatterjee和Ahmed，2022（https://arxiv.org/html/2606.28970#bib.bib49））。给定一个以正常样本为主的数据集，目标是在没有标签的情况下，为罕见、不规则或结构上不一致的观测值分配高异常分数。随着数据集的不断增长以及异常检测越来越多地部署在时间敏感的应用中，效率和可扩展性成为核心需求。异常检测中的一个长期原则是：异常与数据分布的低密度或弱支持区域相关（Chandola等人，2009（https://arxiv.org/html/2606.28970#bib.bib43）；Ruff等人，2021（https://arxiv.org/html/2606.28970#bib.bib44））。这一思想激发了多种统计方法，包括最近邻检测器（Ramaswamy等人，2000（https://arxiv.org/html/2606.28970#bib.bib26））、局部密度估计器（Breunig等人，2000（https://arxiv.org/html/2606.28970#bib.bib2））、核方法（Schölkopf等人，2001（https://arxiv.org/html/2606.28970#bib.bib6））、基于隔离的方法（Liu等人，2008（https://arxiv.org/html/2606.28970#bib.bib7））和基于直方图的方法（Goldstein和Dengel，2012（https://arxiv.org/html/2606.28970#bib.bib10））。这些方法之所以有吸引力，是因为它们通常简单、可解释，并且无需监督即可应用。然而，许多统计检测器受到两个固定选择的限制：异常的定义方式以及测量异常的场所。首先，每种方法通常采用特定的异常概念。例如，基于密度的方法将异常视为低密度区域中的点，而最近邻方法则将异常视为局部支持较弱的点。这些标准是互补的：一个点可能在全局上罕见但不局部孤立，或者局部孤立而不在全局上极端。其次，给定的异常概念通常是在数据的固定视图下评估的，例如完整的特征空间、选择的距离度量和尺度。当异常信号仅在一部分特征或不同的投影下可见时，这种方法可能失效。在这种情况下，不相关的或高方差的特征可能会稀释异常信号，使一个点在完整空间中看起来支持良好，尽管它在信息子空间中明显是孤立的（Aggarwal和Yu，2001（https://arxiv.org/html/2606.28970#bib.bib39）；Kriegel等人，2009（https://arxiv.org/html/2606.28970#bib.bib15））。因此，鲁棒的表格异常检测既需要多样化的异常概念，也需要评估这些概念的多样化视图。

深度异常检测器提供了另一条途径，通过学习非线性表示或异常评分函数（Ruff等人，2018（https://arxiv.org/html/2606.28970#bib.bib45）；Zong等人，2018（https://arxiv.org/html/2606.28970#bib.bib17）；Pang等人，2021（https://arxiv.org/html/2606.28970#bib.bib46））。当异常不能被僵化的异常概念很好地捕捉时，这种灵活性可能很有价值。然而，在完全无监督的设置下，同样的灵活性也带来了实际挑战，因为对于训练或选择目标没有可靠的监督信号。因此，深度检测器通常依赖于代理学习任务，其有效性在不同数据集上可能有很大差异。它们还引入了额外的训练成本和优化变异性，基准研究发现它们可能比轻量级统计方法慢几个数量级（Han等人，2022（https://arxiv.org/html/2606.28970#bib.bib40）；Jiang等人，2023（https://arxiv.org/html/2606.28970#bib.bib41））。这激发了另一个问题：我们能否在没有深度异常检测器计算负担的情况下，获得多样化的多视图异常信号？我们认为，对于表格异常检测，一条有前景的途径是通过随机化计算重新审视经典的密度原理。我们可以生成许多廉价的随机化数据视图并聚合它们的异常信号，而不是依赖于单一视图或单一的异常概念。每个视图提供异常的局部估计，但跨视图和异常机制的多样性可以暴露不同的异常，并减少对任何单一异常概念的依赖。围绕这一思想，我们提出了RGLD：Randomized Global-Local Density Estimation for Tabular Anomaly Detection（面向表格异常检测的随机化全局-局部密度估计），一种针对完全无监督表格异常检测的高效且可扩展的检测器。RGLD结合了两个互补的评分分支。全局分支使用随机特征密度估计来识别处于广泛低密度区域的样本，捕捉全局罕见性，同时避免了昂贵的成对密度计算。局部邻居分支在随机投影空间中测量邻域支持，捕捉那些可能在全局上不极端的局部孤立样本。RGLD进一步在特征装袋的随机化视图上集成这些分数，从而揭示隐藏在完整特征空间中的异常。最后，基于排名的聚合将异构分数组合成稳定的异常排名。这种设计产生了一个简单、可并行化且高度高效的无监督检测器，适用于检测准确率和运行时间都很重要的场景。

- • 我们提出RGLD，一个完全无监督的框架，将经典的密度和邻域原理转化为面向表格异常检测的可扩展随机化估计器。
- • 我们提供了一份分析，展示了特征装袋视图如何增强稀疏异常对比度，而随机特征密度估计和采样参考邻居评分在不使用传统的二次复杂度成对代价的情况下，保留了有用的支持信号。
- • 最后，我们在完全无监督设置下，在47个ADBench数据集上评估了RGLD，与23个统计和深度基线进行了比较。RGLD在AUROC获胜次数上排名第一，在AUPRC获胜次数上排名第二，同时运行速度比评估的深度异常检测器快50×到580×，实现了良好的准确率-效率权衡。更广泛地说，RGLD在特征装袋的随机化视图上估计两种互补的密度衍生信号（全局KDE式支持和局部邻域支持），表明当围绕随机化计算重新设计时，简单的统计原理仍然可以保持高度竞争力。

## 2. 相关工作

**统计与随机化异常检测：** 统计检测器根据关于距离、密度、支持、隔离或分布尾部的明确假设来定义异常分数。基于距离和邻域的方法，如kNN离群点检测（Ramaswamy等人，2000（https://arxiv.org/html/2606.28970#bib.bib26））、LOF（Breunig等人，2000（https://arxiv.org/html/2606.28970#bib.bib2））、COF（Tang等人，2002（https://arxiv.org/html/2606.28970#bib.bib4））以及子空间离群点评分（Kriegel等人，2009（https://arxiv.org/html/2606.28970#bib.bib15）），识别那些局部支持较弱或在选定子空间中行为异常的样本。其他方法依赖于聚类结构，如CBLOF（He等人，2003（https://arxiv.org/html/2606.28970#bib.bib5）），单类支持估计，如单类SVM（Schölkopf等人，2001（https://arxiv.org/html/2606.28970#bib.bib6）），或者低维投影与重构，如基于PCA的检测（Shyu等人，2003（https://arxiv.org/html/2606.28970#bib.bib14））。高效分布检测器，如HBOS（Goldstein和Dengel，2012（https://arxiv.org/html/2606.28970#bib.bib10））、COPOD（Li等人，2020（https://arxiv.org/html/2606.28970#bib.bib11））和ECOD（Li等人，2022（https://arxiv.org/html/2606.28970#bib.bib12）），对偏离边际、基于copula或经验特征分布的情形进行评分。随机化和集成方法减少了对单一检测器或数据视图的依赖：特征装袋（Lazarevic和Kumar，2005（https://arxiv.org/html/2606.28970#bib.bib8））在特征子集上集成检测器，孤立森林（Liu等人，2008（https://arxiv.org/html/2606.28970#bib.bib7））使用随机化划分，LODA（Pevnỳ，2016（https://arxiv.org/html/2606.28970#bib.bib9））聚合随机投影直方图，而ADERH（Durani等人，2026（https://arxiv.org/html/2606.28970#bib.bib13））则从随机化超球面对构建集成。Zimek等人（Zimek等人，2014（https://arxiv.org/html/2606.28970#bib.bib16））对无监督离群点检测的集成方法进行了更广泛的讨论。这些方法展示了轻量级统计评分和随机化的优势。然而，大多数方法强调一个主要的评分原则，例如局部密度、隔离、边际尾部行为或基于投影的直方图。相比之下，RGLD明确结合了全局密度支持和局部邻域支持，并在特征装袋的随机化视图和多个密度尺度上对两者进行评估。

**深度无监督异常检测：** 深度异常检测器用学习到的表示或代理目标取代固定的统计分数。Deep SVDD（Ruff等人，2018（https://arxiv.org/html/2606.28970#bib.bib45））学习一种将训练样本集中到超球体中心周围的表示，而REPEN（Pang等人，2018（https://arxiv.org/html/2606.28970#bib.bib27））学习用于随机距离基离群点评分的表示。基于重构和密度的方法包括DAGMM（Zong等人，2018（https://arxiv.org/html/2606.28970#bib.bib17）），它结合了自编码器与高斯混合密度估计器，以及RCA（Liu等人，2021（https://arxiv.org/html/2606.28970#bib.bib23）），它使用协同自编码器进行异常检测。其他方法为表格或通用数据构建自监督目标：RDP（Wang等人，2019（https://arxiv.org/html/2606.28970#bib.bib22））预测随机距离，GOAD（Bergman和Hoshen，2020（https://arxiv.org/html/2606.28970#bib.bib18））进行变换分类，NeuTraL（Qiu等人，2021（https://arxiv.org/html/2606.28970#bib.bib19））学习神经变换，ICL（Shenkar和Wolf，2022（https://arxiv.org/html/2606.28970#bib.bib20））使用内部对比学习，SLAD（Xu等人，2023b（https://arxiv.org/html/2606.28970#bib.bib21））构建基于尺度的监督信号。DIF（Xu等人，2023a（https://arxiv.org/html/2606.28970#bib.bib47））进一步将深度表示与基于隔离的评分相结合。尽管这些方法可以学习灵活的异常分数，但完全无监督的表格异常检测为选择架构、代理任务和优化目标提供的指导有限，并且引入了大量的计算成本。RGLD转而通过随机化统计计算寻求灵活的异常证据：它结合了不同的异常信号和视图，而无需深度学习的表示。

## 3. 为什么选择随机化全局-局部密度估计？

参见标题
图1: 未知异常尺度。左图：精细尺度异常发生在密集簇附近，而广泛尺度异常发生在分散簇周围。右图：小带宽和大带宽偏好不同的异常尺度，而多sigma评分在正确尺度未知时提供更均衡的信号。

我们首先使用简单的合成示例来阐述为什么RGLD围绕随机化全局-局部密度估计构建。在完全无监督的异常检测中，标签不可用，因此最通用的原则之一是衡量每个样本被观测数据分布支持的程度。在这种观点下，正常样本倾向于位于高支持区域，而异常则支持较弱，要么因为它们出现在全局低密度区域，要么因为它们与附近样本局部隔离（Chandola等人，2009（https://arxiv.org/html/2606.28970#bib.bib43）；Ruff等人，2021（https://arxiv.org/html/2606.28970#bib.bib44））。这种基于支持的视角对于表格数据很有吸引力，因为它无标签、与模型无关，并且与许多统计检测器紧密相关。然而，将这个原则转化为鲁棒的检测器并非易事：相关的密度尺度未知，全局和局部的支持概念捕捉不同的异常机制，并且异常可见的特征视图通常未知。下面的示例说明了这三个挑战，并激发了RGLD的主要设计选择。

**未知异常尺度：** 基于密度的异常检测中的一个核心困难是合适的密度尺度未知。如图1（https://arxiv.org/html/2606.28970#S3.F1）所示，KDE风格的密度评分需要一个控制密度估计分辨率的带宽σ（Silverman，2018（https://arxiv.org/html/2606.28970#bib.bib38））。然而，异常可能出现在不同的分辨率下。精细尺度异常可能发生在密集的正常簇附近，而广泛尺度异常可能仅相对于更分散的正常结构才显得异常。因此，单个带宽可能会强调一种异常类型而压制另一种。这激发了RGLD全局密度分支的多σ设计，该分支在几个带宽上聚合密度证据，而不是固定于一个分辨率。

参见标题
图2: 互补证据与视图依赖性。A. 全局密度评分检测广泛低密度异常，而局部kNN隔离检测那些被附近观测值弱支持的样本。它们的结合捕捉了互补的异常机制。B. 异常可能在差视角中隐藏，但在信息丰富的投影视角中变得明显。随机化视图集成通过聚合e