用于动态图异常检测的带有时间衰减图扩散的上下文感知层次化图神经网络

《Neurocomputing》：Context-aware hierarchical GNN with temporal-decay graph diffusion for dynamic graph anomaly detection

　　

摘要
动态图异常检测对于识别现实世界系统中的异常交互至关重要，例如社交媒体、电子商务和网络安全。现有方法通常独立编码图快照，随后聚合其时间表示，这限制了它们在保留时间相关的长程证据的同时，显式捕获跨快照细粒度结构演化的能力。此外，直接扩展历史观察窗口可能会引入无关信息和过高的计算成本。为了解决这些挑战，我们提出了 CHGNN，一种上下文感知分层图神经网络，用于联合捕获动态图边级异常检测中的长期和短期依赖。对于长期建模，CHGNN 采用时间衰减图扩散策略，为最近的快照分配更大的采样预算，为较远的快照分配较小的预算，然后通过共享目标节点连接采样子图以构建紧凑的全局图。这种设计能够在抑制不太相关的历史信息的同时，实现高效的跨时间信息传播。对于短期建模，上下文感知分层聚合机制将相邻快照视为上下文环境，以编码细粒度的结构转换，而基于全局图的注意力传播则捕获长期的结构演化。随后，一个可学习的逐特征门控模块集成互补的短期和长期表示以进行异常评分。在五个基准数据集上针对十二种代表性基线的实验，在三种异常比例下表明，CHGNN 在所有评估设置中实现了最高的平均 AUC。消融和敏感性分析进一步证实了其有效性和鲁棒性。

引言
动态图已成为表示现实世界系统中随时间演进的交互的基本数据结构。与仅描述固定成对关系的静态图不同，动态图显式编码交互发生的时间以及网络结构随时间演化的方式 [1], [2]。这种时间动态性出现在广泛的应用领域中，包括社交网络 [3]、商业网络 [4] 和网络安全 [5]。因此，动态图挖掘在建模和理解节点和边随时间不断变化的系统方面引起了越来越多的关注。

异常检测是动态图分析中的基本任务，旨在识别显著偏离主导网络模式的节点、边或子图 [6], [7]。在这些设置中，异常边检测尤为有价值，因为异常交互通常表明现实世界系统中存在可疑关系、欺诈活动或安全威胁 [8], [9]。例如，在电子商务用户 - 物品网络中，异常边可能对应于欺诈用户生成的异常购买或点击行为。检测此类异常交易记录对于维护平台完整性和安全性至关重要 [10], [11]。受这些应用的启发，我们关注离散时间动态图中的边级异常检测，其目标是根据观测边与历史图演化在结构和时间上的一致性，为每条观测边分配异常分数。

为了准确识别动态图中的异常边，应考虑历史上下文，因为一条在孤立快照中看似合理的边，在与时间演化对比时可能变得可疑。先前的研究调查了时间演化 [8]、结构 - 时间子图 [12]、长期依赖 [13] 和更高级的时间结构 [14] 用于动态图异常检测。在这种情况下，我们区分短期结构变化（描述时间相邻快照之间局部交互的变化）和长期时间依赖（捕获在更广泛的观察窗口中积累的历史连接和结构一致性）。图 1 说明了考虑两种时间尺度以确定目标边 e0t 在时间戳 t 的异常状态的必要性。遵循先前的动态图异常检测研究 [8], [15]，当目标边的端点节点在当前和历史快照中保持弱连接或结构距离较远时，该边更可能是异常的。因此，单个快照仅提供部分证据：近期交互（如 e1t 和 e2t?1）揭示了短期局部变化，而早期交互 e3t?9 提供了关于长期连接性的互补证据。因此，联合建模这两种时间尺度为动态边异常检测提供了更可靠的依据。

鉴于历史上下文的关键作用，人们投入了大量精力进行感知历史的动态图异常检测。现有方法，包括 AddGraph [16]、StrGNN [12]、TADDY [17] 和 FALCON [18]，通常编码单个图快照的结构信息，随后使用循环或基于注意力的机制对时间依赖进行建模。尽管设计不同，这些方法通常遵循基于快照的建模范式，即单独编码各个快照，随后在时间上聚合其表示。这种范式可能会忽略稀疏的长程历史证据和相邻快照之间细粒度的结构交互，从而产生两个关键挑战。

挑战 1：长期依赖建模受限于时间相关性和可扩展性之间的权衡。确定目标边是否异常通常需要来自扩展历史时期的证据。然而，历史邻域的关联性通常随着其与目标时间戳的时间距离增加而降低。盲目地跨越许多快照扩大感受野可能会从语义漂移或弱相关的远程邻居引入大量噪声，同时也带来高计算成本。相反，将长期历史压缩为固定大小的时间表示可能会削弱稀疏但关键的长程信号。尽管 TADDY [17] 通过基于 Transformer 的架构对时空依赖进行建模，FALCON [18] 通过细粒度采样和注意力对齐改进了时间建模，但在控制历史噪声和计算成本的同时保留信息丰富的长程证据仍然具有挑战性。

挑战 2：边异常通常由跨快照演化模式特征化，这不能通过基于快照的编码随后简单的时间聚合来完全捕获。许多异常边在任何单个快照中都不明显，但通过相邻时间戳之间的结构转换变得可区分。如动态图异常检测文献 [8] 中所总结的，许多现有方法独立编码图快照，随后聚合其时间表示。例如，RegraphGAN [15] 通过图感知对抗学习增强了动态边异常检测，但其表示仍然主要源自快照级图结构。此类流程缺乏对连续快照之间细粒度上下文交互的显式建模。此外，最有信息量的时间范围往往是边依赖的：一些异常主要由短期扰动主导，而另一些则需要长期行为一致性。因此，统一的聚合机制（如求和、GRU 或基于快照嵌入的注意力）可能难以有效地集成短期和长期信号以用于边级异常检测。

为了解决上述挑战，我们提出了一种用于动态图异常检测的上下文感知分层图神经网络（CHGNN）。与传统的基于快照的建模方法不同，CHGNN 联合捕获时间相关的长程证据和细粒度的跨快照演化模式。具体而言，为了缓解时间相关性和可扩展性之间的权衡，CHGNN 通过时间衰减图扩散构建紧凑的全局图。受动态交互的时间衰减特性启发，它为目标时间较近的快照分配较大的采样预算，并逐渐减少对较远快照的预算，从而强调可靠的近期上下文，同时保留稀疏的长程历史线索。然后，采样子图通过跨时间戳的共享目标节点连接，形成紧凑的跨时间结构，使得无需密集处理所有历史快照即可实现高效的长程信息传播。

为了建模演化驱动的异常，CHGNN 进一步引入了一种上下文感知分层聚合机制。在子图层，时间相邻的快照被视为上下文环境，允许节点表示通过相对时间编码捕获短期结构转换。在全局图层，在构建的全局图上执行基于注意力的消息传递以编码长期结构演化。最后，短期和长期边嵌入通过可学习的逐特征门控机制集成，使 CHGNN 能够组合互补的时间证据，并为动态图异常检测产生更具表达力的表示。总之，我们的主要贡献如下：
•我们提出了 CHGNN，一种用于动态图异常检测的上下文感知分层 GNN，显式解决了时间相关性和可扩展性之间的权衡以及建模跨快照演化模式的困难。
•我们设计了一种基于时间衰减的图扩散方案，通过跨时间戳自适应分配采样预算来构建紧凑的全局图，在抑制无关历史噪声的同时实现高效的长程信息传播。
•我们设计了一种上下文感知分层聚合框架，联合捕获短期跨快照转换和长期结构演化，以集成多尺度时间证据用于边级异常检测。广泛的实验表明 CHGNN 取得了普遍优越的性能。

本文的其余部分组织如下。第 2 节回顾了动态图异常检测和动态图表示学习的相关工作。第 3 节将动态图异常检测问题形式化。第 4 节提出了 CHGNN 框架。第 5 节报告了实验结果和分析。最后，第 6 节总结论文并讨论未来工作。

章节片段
相关工作
本节从两个角度回顾了与所提出的 CHGNN 最相关的研究：动态图上的异常检测和动态图表示学习。我们重点关注现有方法如何建模图结构依赖和时间演化，并进一步讨论它们在保留长程历史证据和捕获边级异常检测所需的细粒度跨快照转换方面的局限性。

问题建模
在本文中，我们将动态图建模为由一系列离散快照表示的图流。为了清晰起见，表 1 总结了主要符号。动态图的定义如下：
定义 1 动态图
考虑一个最大时间戳为 T 的动态图，图流由 G={Gt}t=1T 表示，其中每个 Gt=(Vt,Et) 是时间戳 t 时的快照。这里，Vt 是时间戳 t 时的节点集，Et 是时间戳 t 时的边集。边 ei,jt=(vit,vjt)∈Et 表示存在一个

方法
如图 2 所示，CHGNN 由四个关键组件组成，通过时间相关快照的分层聚合，联合建模动态图中的短期上下文交互和长期时间演化。(1) 基于时间衰减的全局图构建 在不同时间戳自适应采样不同数量的节点以构建特定时间的子图，然后链接这些子图之间共享的目标节点以形成统一的全局图。这

实验评估
在本节中，我们在各种基准数据集上进行了全面的实验，以评估所提出的 CHGNN 框架的有效性。我们首先详细说明实验设置，随后全面展示结果，包括性能比较、消融研究和敏感性分析。

结论
在本文中，我们提出了 CHGNN，一种用于动态图边级异常检测的上下文感知分层图神经网络。CHGNN 的主要贡献有三方面：用于建模长期历史证据的基于时间衰减的全局图构建策略，用于捕获短期结构演化的上下文感知分层聚合机制，以及用于集成互补时间信号的门控融合模块。为了捕获长程依赖，同时

CRediT 作者贡献声明
Chunjing Xiao: 写作 – 审查与编辑，写作 – 原稿，方法论，概念化。Yunshu Zhang: 写作 – 原稿，验证，软件，方法论，数据整理。Haoyuan Wang: 可视化，验证，软件，数据整理。Fei Xie: 可视化，软件，资源，数据整理。Jin Zhang: 写作 – 原稿，验证，软件，数据整理，概念化。Chong Tang: 写作 – 审查与编辑，资源，方法论，概念化。Ying

竞争利益声明
作者声明他们没有已知的竞争财务利益或可能看似影响本文报道工作的个人关系。

致谢
这项工作得到了国家自然科学基金（批准号 62176043）、空间基准国家重点实验室基金项目（批准号 SKLSD2025-ZZ-14）、河南省重点研发计划（批准号 251111211300）以及河南省中央引导地方科技发展资金（批准号 Z20231811005）的支持。

Chunjing Xiao 于 2013 年在中国成都电子科技大学获得计算机软件与理论博士学位。他目前是中国开封河南大学计算机与信息工程学院的教授。他曾是西北大学和伦敦大学学院的访问学者。他目前的研究兴趣包括异常检测、图学习和 LLM 推理。

Chunjing Xiao|Yunshu Zhang|Haoyuan Wang|Fei Xie|Jin Zhang|Chong Tang|Ying Ma
河南省大数据分析处理重点实验室，河南大学，中国开封 475004