基于图的数据异常检测

异常检测是识别明显偏离既定规范的数据，这可能表明有害的活动。对于基于图的数据来说，这是一个特别严峻的挑战，因为异常检测不仅基于数据值，还基于图中的拓扑关系。由于异常往往是罕见的，所以很难找到足够的例子来训练机器学习模型来处理图中异常检测的复杂性。

在我们上周在Web搜索和数据挖掘国际会议(WSDM)上发表的一篇论文中，我们描述了一种用于合成基于图的异常检测器的训练数据的新方法。我们的方法结合了变分图自编码器，它学习可用于生成随机样本的概率分布，以及扩散建模，它学习将随机噪声转换为可理解的输出。

在测试中，我们将使用我们的方法生成的合成数据训练的异常检测器与使用前面五种数据增强方法训练的检测器进行了比较。我们在五个数据集上比较了这些模型，使用了三种不同的指标，总共进行了15次实验。在其中的13个实验中，我们的模型名列前茅;不同的模特在另外两个测试中表现最好。

基于建模

图是通过网络表示数据移动的自然方式，无论这些网络是计算机网络、通信网络还是电子商务网站上买卖双方之间的交互网络。因此，图中的异常检测可以帮助检测服务器攻击、垃圾邮件、欺诈和其他类型的滥用。

近年来，与大多数领域一样，图分析也受益于深度学习。图神经网络迭代构建图表示:首先，在图中嵌入节点对应的数据;然后生成将节点嵌入与相邻节点嵌入相结合的嵌入;然后它们生成嵌入，将这些更高级的嵌入结合起来;以此类推，直到某个固定的终止点。最终，该模型产生的嵌入捕获了图的整个邻域的信息。(在我们的实验中，我们选择了四跳社区。)

图的复杂性——需要以拓扑和定量的方式表示数据——意味着用于分析图的模型需要额外的训练数据，而这些数据在野外是稀缺的。因此需要合成训练数据。

Latent-space扩散

我们的数据合成模型的核心是一个变分图自编码器。“自动编码器”意味着它被训练成输出与输入相同的数据。然而，在输入和输出层之间是一个瓶颈层，它迫使网络学习输入的压缩表示。

“变分”意味着模型的训练目标不仅鼓励它忠实地再现输入，而且还鼓励它学习压缩表示，这些表示的分布遵循一些预先指定的形状，比如高斯分布。这意味着，在数据合成阶段，来自该分布的随机样本可能会产生看起来很真实的数据。

自动编码器的压缩表示定义了一个表示空间，我们在这个空间内应用扩散建模。自编码器产生输入图的嵌入，我们的模型迭代地向其添加噪声。然后去噪器反过来执行相同的过程，迭代地对嵌入去噪。

这实际上是确保合成数据看起来像真实数据的第二次检查。如果自动编码器学习的分布不能完全捕获异常数据的特征，则添加噪声可以“模糊”出错误特征。然后去噪步骤用与训练数据更一致的特征填充被模糊的特征。

数据合成

为了提高合成数据的质量，我们的方法还有一些其他的改进。一个是，在扩散过程之后，重构的图嵌入传递给不是一个而是几个解码器，每个解码器专门用于图的不同方面。

至少有两个解码器，一个用于节点特征，一个用于图结构。如果所讨论的图包含时间序列数据，我们使用第三个解码器为节点分配时间戳。

另一个问题是，在训练过程中，我们将图节点标记为异常或正常，然后在正例和负例上进行训练。这有助于模型学习两者之间的区别。但这也意味着模型学习了一个以类标签为条件的分布，因此在合成过程中，我们可以将其转向将导致包含异常的图的样本。

最后，重要的是我们的模型能够生成异构图——即具有不同节点和边缘类型的图。例如，在电子商务设置中，节点可能表示买家、卖家和产品页面，而边可能表示购买、产品视图、评论等。

因此，作为自编码器中的编码器，我们使用了异构图转换器，这是一个经过多次修改的模块，可以处理异构图，包括针对不同节点或边缘类型的单独关注机制。

综上所述，我们模型的这些特征使其优于其前辈，并且在论文中，我们报告了一项消融研究，表明这些特征中的每一个都对我们模型的成功做出了重大贡献。