MAGE：一种结构先验引导的图-语言多模态业务流程异常检测框架

《Information Sciences》：MAGE: A structural-prior-guided graph–language multimodal framework for business process anomaly detection

　　## 摘要- 仅使用正常样本构建的先验知识指导有监督的图-语言异常检测。- 异构图和结构感知语言输入共享同一先验。- 门控交叉注意力机制融合结构表示与语义轨迹表示。- 比较包含标签匹配的基线方法和受控的异常注入。- 在合成日志上平均F1达到0.872，在公开日志上（含注入异常）平均F1达到0.860。## 引言业务流程执行过程中生成的事件日志记录了活动、资源、时间戳及相关业务属性。它们为识别异常流程轨迹提供了重要的数据基础。业务流程异常通常不是单个事件中的孤立错误。相反，它们往往涉及相对于正常流程模式在活动顺序、资源参与、时间节奏或业务语义方面的联合偏离[1]。因此，轨迹级异常检测模型需要考虑局部顺序、跨事件依赖关系、资源协作以及上下文语义约束[2]。业务流程异常检测的现有研究主要包括基于规则的合规性检查、统计模式分析、序列重构、图结构建模和语义建模。基于规则的方法和统计方法具有可解释性，但它们通常依赖于先验流程模型、手动定义的规则或频率假设。当流程变体众多或异常模式微妙时，它们的检测性能可能受到限制[3]。深度序列模型可以通过重构或预测任务学习轨迹模式，并捕获事件之间的时间依赖关系[4]。然而，它们的输入通常被表示为线性序列，无法充分表达活动之间的复杂结构关系、资源交互或全局流程约束。因此，单一的建模视角可能不足以识别复杂的异常，如控制流偏离、异常的资源参与、时间上下文异常和语义不一致。近年来，图神经网络和大语言模型为业务流程异常检测提供了新的建模能力。图神经网络可以将流程轨迹表示为图结构，这有助于表征活动转换、资源参与和流程拓扑依赖关系。以GAMA为代表的图方法表明，多图结构可以提高控制流依赖关系和资源关系的表示能力[5]。同时，大语言模型在语义理解、上下文推理和异常解释方面显示出强大的潜力。它们可以为识别隐含的业务语义异常提供互补证据[6]。然而，现有研究通常分别对结构信息和语义信息进行建模，或者在进行简单连接后再分类。它们缺乏一个约束两种表示对齐和互补性的共享正常行为参考。仅基于图的模型可能忽略活动语义和业务上下文，而仅基于语言的模型可能缺乏来自流程执行的稳定结构约束。总体而言，现有方法从序列建模、图结构建模和语义建模的角度改进了业务流程异常检测，但在复杂异常场景中仍存在一些局限性。首先，控制流、资源和时间等流程因素往往缺乏统一的正常行为参考。因此，模型可能将局部噪声、低频变体或偶然路径错误地分类为异常。其次，结构信息和语义信息未能充分协调。语义表示可能无法感知轨迹如何偏离正常流程结构，而结构表示可能无法捕获活动含义、资源角色和业务上下文等隐含语义。这些局限性促使构建统一的正常结构先验，并在轨迹级业务流程异常检测中协调融合结构和语义证据。为了解决这些问题，我们提出了MAGE——一种带有图增强语言嵌入的结构先验指导的多模态异常检测框架。MAGE首先仅从训练集中的正常轨迹构建正常流程结构先验，包括直接跟随关系、轨迹长度统计和相邻事件的资源切换统计。这一设计避免了异常样本对正常行为参考的污染。然后，每条轨迹被表示为活动-资源-时间片异构图和结构感知文本，使得结构和语义分支共享同一正常结构参考。最后，异构图Transformer和经过LoRA适配的Qwen3模型分别提取结构和语义表示。一种门控交叉注意力机制自适应地融合结构和语义证据。正常结构先验仅从正常训练轨迹构建，而模型参数在标记的训练样本上进行联合优化。本文的主要贡献如下：- 我们提出了MAGE，一种结构先验指导的轨迹级业务流程异常检测多模态框架。MAGE仅通过从正常训练轨迹建模直接跟随关系、轨迹长度统计和资源切换模式，构建统一的正常结构先验。该先验避免了异常样本的污染，并为识别结构和语义偏离提供了共享的正常流程参考。- 我们开发了流程轨迹的互补结构和语义表示。活动-资源-时间片异构图捕获控制流转换、资源参与和时间上下文，而自监督图预训练增强了正常结构模式的学习。与此同时，结构感知序列化将先验派生的偏离信号注入自然语言提示，使语言模型能够在编码业务语义的同时感知正常流程约束。- 我们设计了一种结构引导的门控交叉注意力机制，自适应地将基于图的证据与基于语言的语义证据对齐和融合，用于轨迹级异常分类。在九个异常比率下的受控异常注入协议中，我们在八个合成和五个公开真实事件日志上进行了实验，包括条件级排名分析、基础日志级配对测试、异常类型精确率和召回率分析、归因分析和消融研究，结果表明在评估条件下具有良好的平均性能，并为主要组件的贡献提供了证据。本文其余部分组织如下。第2节回顾了业务流程异常检测的相关工作。第3节定义了问题和符号。第4节详细介绍了MAGE。第5节介绍了实验设置、结果和分析。第6节总结了论文并讨论了未来工作。## 章节摘要### 相关工作本节从三个角度回顾了业务流程异常检测：基于规则的统计和序列建模方法、图结构建模方法，以及使用大语言模型的语义建模。然后阐明所提出的方法与现有工作的不同之处。### 问题定义和符号本节定义了本文考虑的基本概念和任务[2]。业务流程事件日志通常由多个流程实例组成，每个流程实例对应一个时间有序的事件轨迹。本文专注于轨迹级异常检测，即判断完整流程轨迹是否偏离正常业务行为。### 方法论本节介绍了所提出的业务流程异常检测多模态框架MAGE。### 实验与分析我们在受控异常注入协议下，使用合成事件日志和公开真实事件日志评估MAGE。实验包括基线比较、参数设置、异常注入、性能分析、跨操作条件和基础事件日志的统计比较、可解释性分析和消融实验。所有数据按案例级别划分为训练集、验证集和测试集，以避免数据泄露。在训练过程中，仅使用正常轨迹……### 结论与未来工作本文通过提出MAGE——一种带有图增强语言嵌入的结构先验指导的多模态异常检测方法，解决了业务流程异常检测中联合建模结构和语义信息的难题。MAGE首先仅从训练集中的正常轨迹构建统一的正常结构先验，从控制流转换、轨迹长度和资源切换方面刻画正常流程行为。然后提取结构和……### CRediT作者贡献声明**杨青：** 撰写—初稿、可视化、验证、软件、方法论、调查研究、形式化分析、概念构思。**卢科：** 撰写—审阅与编辑、监督、项目管理、方法论、形式化分析、概念构思。**方贤文：** 撰写—审阅与编辑、监督、资源、项目管理、资金获取。### 资金来源本研究受到国家自然科学基金（编号：61572035）、安徽省自然科学基金（编号：2308085US11）、安徽省教育厅科学研究项目（编号：2025AHGXZK10007）、国家重点研发计划子项目（编号：BX2024C087）、安徽省学术和技术领军人才基金（编号：2022D327）以及煤炭重大专项（编号：2025ZD1700704）的支持。### 利益冲突声明作者声明他们不存在可能影响本文所报告的已知竞争性财务利益或个人关系。