利用多尺度对比学习的有向事件异常检测方法

Anomaly Detection Method for Directed Event Using Multi-scale Contrastive Learning

摘要

针对现有基于超图表示学习的有向事件异常检测方法无法充分捕获异常模式和使用受限的问题，提出一种利用多尺度对比学习的有向事件异常检测方法。首先，将事件建模为有向超图；其次，设计多尺度对比学习算法，捕获有向事件在实体对、实体集、头尾集和事件方向等方面的异常模式；最后，设计异常事件评分函数完成异常事件检测。在不同领域的3个真实数据集上的实验表明，相比基线方法，该方法在精确率和曲线下面积（AUC）两个指标上均取得最优，精确率平均提升11.84%，AUC平均提升15.22%。

Abstract

Aiming at the problems that the existing anomaly detection methods for directed event based on hypergraph representation learning cannot fully capture the anomaly patterns and are limited in use, an anomaly detection method for directed event using multi-scale contrastive learning (ADDE-MCL) is proposed. Firstly, events are modeled as directed hypergraphs. Secondly, a multi-scale comparative learning algorithm is designed to capture the anomaly patterns of directed events in terms of entity pair, entity set, head and tail set and event direction. Finally, the anomaly event scoring function is designed to complete the abnormal event detection. Experiments on 3 real datasets in different fields show that the proposed method achieves a better precision and area under the curve (AUC) compared with the baseline method, with an average improvement of 11.84% in precision and 15.22% in AUC.

Graphical abstract

关键词

网络事件 / 有向事件 / 异常检测 / 多尺度 / 对比学习

Key words

network event / directed event / anomaly detection / multi-scale / contrastive learning

网络空间已经成为人类活动的重要新空间，每天都会发生数以万计的网络事件，这其中也充斥着大量的异常事件，例如网络攻击、网络欺诈、网络谣言等等，严重影响了正常的网络活动，对网络空间安全造成严重的威胁。因此，分析并研究网络事件的内在规律，及时发现网络空间中的异常事件，对于网络空间安全具有重要意义。

近年来，异常事件检测已经成为网络空间安全领域的热门方向，受到了广泛的关注和研究^[1-2]。现有的异常事件检测方法通常将事件中的实体及其交互关系建模为图结构，然后利用图异常检测方法进行异常事件检测。早期研究通常将事件建模为成对关系图，通过分析图结构和节点属性来检测异常^[3-5]，这类方法仅关注了实体对的交互异常，无法捕获事件中多个实体之间的交互异常。为解决此问题，有些研究将事件建模为异质信息网中的网络模式（即一组多类型节点的固定组合），通过分析网络模式的相似性^[6-7]、共存性^[8-9]或合理性^[10-12]来检测异常。此类方法将捕获的异常模式从成对实体扩展到了多个实体，由于网络模式为固定的（例如学术合作事件的模式为“论文—期刊—作者”，电影评论事件的模式为“电影—导演—演员”），无法用于不定模式事件的异常检测。

鉴于超图中的边能够表达任意个节点的交互关系，近年来越来越多的研究者开始用超图来建模事件，利用超图表示学习，将图结构映射为低维稠密向量，用于异常检测。随着深度学习技术在超图表示学习中表现良好，基于超图的异常事件检测方法成为了当前的主流。异构超图变分自编码器（Heterogeneous Hypergraph Variational Autoencoder, HeteHG-VAE）^[13]将异质信息网络映射为异构超图，并设计随机变分编码器来学习节点和超边的嵌入表示。Event2vec^[14]将事件建模为异质超图并提出一种新的嵌入框架，通过保留事件内和事件间相似性来学习实体的嵌入表示。基于超图对比学习的异常事件检测（Abnormal Event Detection via Hypergraph Contrastive Learning, AEHCL）^[15]使用超边对属性异质信息网络中包含的事件进行建模，并提出一种无监督的超图对比学习方法来捕获事件异常模式。双曲异构信息网络嵌入模型（Hyperbolic Heterogeneous Information Network Embedding Model, HHNE）^[16]提出一个新的异构信息网络（Heterogeneous Information Network, HIN）嵌入方法，使用双曲空间的距离作为相似性度量。

上述方法关注的是无向事件的异常检测，针对有向事件的异常检测研究较少，有些有向超边的研究可用于异常检测。神经超链接预测器-D（Neural Hyperlink Predictor-D, NHP-D）^[17]最早开展有向超图中的链路预测问题，将有向超边划分为头尾两个子超边，然后利用图卷积网络（Graph Convolutional Network, GCN）来学习头尾超边嵌入，最后用头尾超边嵌入向量的兼容性来计算方向评分，可用于异常事件的检测。有向超图链路预测的两阶段框架（Two-Stage Framework for Directed Hypergraph Link Prediction, TF-DHP）^[18]设计一个基于BiLSTM的方向推理模块，分别从头尾两个方向对超边进行表示学习，最后通过softmax获得方向得分用于异常检测。这两种有向超图的研究借助超图表示学习来获得超图结构的潜在低维表示，不是直接针对异常检测本身来设计的，直接用于异常检测时性能有限。同时，这些方法使用了图神经网络的有监督学习，训练时需要数据标签，在难以获得数据标签的情况下难以应用。

针对上述问题，提出利用多尺度对比学习的有向事件异常检测方法（Anomaly Directed Event Detection Method Using Multi-scale Contrastive Learning, ADDE-MCL）。首先，将事件建模为有向超图；其次，针对有向事件中的实体对、实体集、头尾集和事件方向等方面的异常，设计多尺度对比学习算法捕获有向事件异常模式；最后，融合多尺度对比学习结果，设计异常事件评分函数完成有向事件异常检测。实验结果表明，相比基线方法，ADDE-MCL的异常检测性能在精确率和曲线下面积（Aarea Under the Curve, AUC）两个指标上均取得最优，召回率除一个数据集取得次优外，均最优。

1 问题提出

将有向事件建模为有向超图，其节点表示实体，超边表示事件，事件的方向从尾部指向头部。如图1所示，左边为9个实体构成的3个事件建模得到的有向超图。有向事件异常检测就是检测有向超图中异常的超边。

假设Q=(V,\mathit{X},E)表示有向事件集合。其中：V=\{v_{\mathrm{1}},v_{\mathrm{2}},\cdots ,v_n\}表示实体集合；\mathit{X}\in {\mathbb{R}}^{n\times d}表示实体的特征矩阵，d表示特征维度；E=\left\{e_{\mathrm{1}},e_{\mathrm{2}},\cdots ,e_m\right\}表示事件集合。事件e=(e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}},e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}})由尾实体集e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}}和头实体集e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}和两部分构成，它们都可以包含任意个实体。事件方向从e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}}指向e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}。通常用关联矩阵来表示实体与有向事件的关系\mathit{H}=\{{\mathit{H}}_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}},{\mathit{H}}_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}\}，行表示实体，列表示事件，矩阵元素h_{i,j}=\mathrm{1}表示实体v_i属于事件e_j，具体定义为：

{\mathit{H}}_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}}\left(v,e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}}\right)=\left\{\begin{array}{l}\mathrm{1},\\ \mathrm{0},\end{array}\right.\begin{array}{c}v\in e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}};\\ v\notin e_{\mathrm{t}\mathrm{a}\mathrm{i}\mathrm{l}}.\end{array}（1）

{\mathit{H}}_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}\left(v,e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}\right)=\left\{\begin{array}{l}\mathrm{1},\\ \mathrm{0},\end{array}\right.\begin{array}{c}v\in e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}};\\ v\notin e_{\mathrm{h}\mathrm{e}\mathrm{a}\mathrm{d}}.\end{array}（2）

有向事件异常检测可以看作是一个二分类问题。对于给定的有向事件集合Q=(V,\mathit{X},E),异常检测目的是训练一个异常事件评分函数I(e_i)=y_i,使得异常事件的评分I(e|e\in F)高于正常事件的评分I(e|e\in E)。

为了能更加充分地捕获有向事件的异常模式，从有向事件的基本要素出发，在不同尺度上对有向事件进行异常模式挖掘。有向事件包含事件和方向两大要素，而事件由多个实体构成，方向由头实体集和尾实体集来描述。图1中的事件e₃包含5个实体{v₃,v₄,v₅,v₈,v₉}，事件方向是从{v₃,v₄}指向{v₅,v₈,v₉}。基于此，从以下4个方面挖掘有向事件的异常模式：1）事件包含的实体对异常。也就是一对从未交互的实体出现在了同一个事件中，例如事件e₃中的(v₃,v₅)是一对异常交互。2）事件实体集异常。也就是事件的实体对虽然都是正常的，但事件包含的多个实体同时出现交互是异常的，例如e₃的实体集合{v₃,v₄,v₅,v₈,v₉}是异常交互。3）头尾集合划分异常。也就是本该在尾（或头）集合的实体出现在了头（或尾）集合中，例如e₃的头尾集合本应是{v₃,v₄,v₅}和{v₈,v₉}，那么{v₃,v₄}和{v₅,v₈,v₉}的头尾划分就是异常的；4）方向指向异常。事件的方向与语义方向密切相关，方向异常就是事件的方向与本来的语义方向相反，例如e₃的语义方向是{v₅,v₈,v₉}指向{v₃,v₄}，那么{v₃,v₄}指向{v₅,v₈,v₉}时就是异常。

综上所述，这4个异常模式涵盖有向事件的所有要素在不同尺度异常情况，从中也可以得出异常有向事件的4个方面的特性：实体对共现性较低、实体集共现性较低、头尾集合共现性较低、事件方向与语义方向相似度较低。基于这些特性提出ADDE-MCL，从有向事件的实体对、实体集、头尾集合划分以及头尾集合方向性等4个不同尺度进行对比学习，来捕获有向事件的异常模式。

2 有向事件异常检测方法描述

ADDE-MCL旨在通过对比学习来捕获有向事件不同尺度的异常模式，总体架构如图2所示。

首先，将有向事件构建为有向超图。有向超图的构建遵循由局部到整体的基本原则，具体过程为：1）遍历每个有向事件，根据其具体方向抽取尾实体集和头实体集，构建一条有向超边；2）将所有事件的尾实体集和头实体集合并组成有向超图的节点集合；3）依据每条超边的连接情况，构建有向超图的头尾关联矩阵。

其次，通过对比学习来捕获有向事件不同尺度的异常模式。1）实体对对比学习模块M_{\mathrm{e}\mathrm{p}}，用来捕获事件中实体对之间的异常交互；2）实体集对比学习模块M_{\mathrm{e}\mathrm{s}}，主要用来捕获事件包含的实体集合的异常交互；3）头尾对比学习模块M_{\mathrm{h}\mathrm{t}}，主要用来捕获事件中头尾集合划分异常；4）方向对比学习模块M_{\mathrm{q}\mathrm{d}}，主要用来捕获事件头尾集合的方向异常。在对比学习训练阶段通过最小化联合对比损失来优化对比学习模块的参数，在异常推理阶段使用优化后对比学习模块来对新事件进行异常检测。

最后，设计异常评分函数来检测异常。异常评分函数融合的4个对比学习模块的结果，综合衡量事件异常的可能性。

2.1 实体对对比学习

通常，同一个事件内的实体对之间具有更高的共现性，而异常事件中的实体对共现性较低。因此，将同一个事件内的实体对作为正例，处于不同事件内的实体对作为负例，然后进行对比学习。

对于事件Q_i中的实体v_i，实体对对比学习的损失函数为

L_{\mathrm{e}\mathrm{p}\_v_i}=-\mathrm{l}\mathrm{n}\frac{\sum _{v_j\in P_{\mathrm{e}\mathrm{p}\_i}^{}}\mathrm{e}\mathrm{x}\mathrm{p}\left(\mathrm{s}\mathrm{i}\mathrm{m}\left({\mathit{x}}_i,{\mathit{x}}_j\right)/\tau \right)}{\sum _{v_k\in \{P_{\mathrm{e}\mathrm{p}\_i}^{}\bigcup N_{\mathrm{e}\mathrm{p}\_i}^{}\}}\mathrm{e}\mathrm{x}\mathrm{p}\left(\mathrm{s}\mathrm{i}\mathrm{m}\left({\mathit{x}}_i,{\mathit{x}}_k\right)/\tau \right)}（3）

式中：\mathrm{s}\mathrm{i}\mathrm{m}(\cdot )表示实体的余弦相似性；{\mathit{x}}_i表示实体i特征；\tau是温度系数；P_{\mathrm{e}\mathrm{p}\_i}=\{v_k|v_k\in V_i\backslash v_j\}表示v_i的正例集合；N_{\mathrm{e}\mathrm{p}\_i}表示v_i的负例集合。

将事件内所有实体对的对比损失之和作为事件的损失，然后将平均实体对损失作为事件Q_i的对比损失，将平均事件损失作为本模块的对比损失，可以表示为

L_{\mathrm{e}\mathrm{p}}=\frac{\mathrm{1}}{m}{\displaystyle \sum _{i=\mathrm{1}}^m}{L}_{\mathrm{e}\mathrm{p}\_i}^{}=\frac{\mathrm{1}}{m}{\displaystyle \sum _{i=\mathrm{1}}^m}\sum _{v_i\in V_i}{L}_{\mathrm{e}\mathrm{p}\_v_i}^{}（4）

通过最小化L_{\mathrm{e}\mathrm{p}}，可以使得正常事件内的实体对的共现性最大化，而异常事件中的实体对共现性小于正常事件。

2.2 实体集对比学习

通常，构成一个事件的实体集合具有更好的共现性，而异常事件的实体集合共现性较低。因此，本模块从事件中随机选择一个实体作为锚实体，将事件中其余实体构成的集合作为正例，将不在同一个事件中的实体集合作为负例。负例通过随机将正例实体进行替换的方式进行构造。

首先，通过自注意力函数和最大池化操作对实体集V_i进行嵌入表示，可以表示为

{\mathit{c}}_{\mathrm{e}\mathrm{s}\_i}^{}=\mathrm{m}\mathrm{a}\mathrm{x}\mathrm{p}\mathrm{o}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{n}\mathrm{g}(\mathrm{a}\mathrm{t}\mathrm{t}\mathrm{e}\mathrm{n}\mathrm{t}\mathrm{i}\mathrm{o}\mathrm{n}({\mathit{x}}_j|v_j\in V_i))（5）

其次，使用双线性评分函数来计算实体v_i与实体集V_i的共现性，可以表示为

s_{\mathrm{e}\mathrm{s}\_i}^{}=\sigma ({\mathit{x}}_i^{\mathrm{T}}{\mathit{W}}_{\mathrm{e}\mathrm{s}}{\mathit{c}}_{\mathrm{e}\mathrm{s}\_i}^{})（6）

式中：\sigma (·)表示Sigmoid激活函数；{\mathit{W}}_{\mathrm{e}\mathrm{s}}表示可训练的权重矩阵。

这样就得到锚实体v_i与正例和负例的共现性s_{\mathrm{e}\mathrm{s}\_i}^{}和{\tilde{s}}_{\mathrm{e}\mathrm{s}\_i}^{}。为了提高它们的区分度，使用标准二元交叉熵（Binary Cross-Entropy, BCE）来计算的本模块对比损失，可以表示为

L_{\mathrm{e}\mathrm{s}}=-\frac{\mathrm{1}}{m}{\displaystyle \sum _{i=\mathrm{1}}^m}\left(\mathrm{l}\mathrm{n}(s_{\mathrm{e}\mathrm{s}\_i}^{})+\mathrm{l}\mathrm{n}(\mathrm{1}-{\tilde{s}}_{\mathrm{e}\mathrm{s}\_i}^{})\right)（7）

2.3 头尾对比学习

通常，正常事件内的头尾实体集合具有更高的共现性，而异常事件中的头尾集合共现性较低。因此，本模块将同一个事件内的头尾实体集合对作为正例，将头尾实体集合的实体重新随机划分作为负例，然后进行对比学习。构建负例时，尽量保持头尾集合的大小不变。

首先，使用实体集对比学习模块类似的方法来获取头集合和尾集合的嵌入表示。假设事件Q_i=\{T_i,H_i\}，尾实体集T_i和头实体集H_i的嵌入表示分别为：

{\mathit{c}}_{\mathrm{h}\mathrm{t}\_i,\mathrm{t}}^{}=\mathrm{m}\mathrm{a}\mathrm{x}\mathrm{p}\mathrm{o}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{n}\mathrm{g}\left(\mathrm{a}\mathrm{t}\mathrm{t}\mathrm{e}\mathrm{n}\mathrm{t}\mathrm{i}\mathrm{o}\mathrm{n}\left({\mathit{x}}_j|v_j\in T_i\right)\right)（8）

{\mathit{c}}_{\mathrm{h}\mathrm{t}\_i,\mathrm{h}}^{}=\mathrm{m}\mathrm{a}\mathrm{x}\mathrm{p}\mathrm{o}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{n}\mathrm{g}\left(\mathrm{a}\mathrm{t}\mathrm{t}\mathrm{e}\mathrm{n}\mathrm{t}\mathrm{i}\mathrm{o}\mathrm{n}\left({\mathit{x}}_k|v_k\in H_i\right)\right)（9）

其次，使用双线性评分函数来计算Q_i的尾实体集和头实体集的共现性，可以表示为

s_{\mathrm{h}\mathrm{t}\_i}^{}=\sigma \left({\mathit{c}}_{\mathrm{h}\mathrm{t}\_i,\mathrm{t}}^{\mathrm{T}}{\mathit{W}}_{\mathrm{h}\mathrm{t}}{\mathit{c}}_{\mathrm{h}\mathrm{t}\_i,\mathrm{h}}^{}\right)(10)

最后，可以得到正例和负例的共现性s_{\mathrm{h}\mathrm{t}\_i}^{}和{\tilde{s}}_{\mathrm{h}\mathrm{t}\_i}^{}，本模块的对比损失为

L_{\mathrm{h}\mathrm{t}}=-\frac{\mathrm{1}}{m}{\displaystyle \sum _{i=\mathrm{1}}^m}\left(\mathrm{l}\mathrm{n}\left(s_{ht\_i}^{}\right)+\mathrm{l}\mathrm{n}\left(\mathrm{1}-{\tilde{s}}_{ht\_i}^{}\right)\right)(11)

2.4 方向对比学习

通常，距离相近的事件具有相似的语义性，其方向也具有一定的相似性。基于此设计了方向对比学习模块，将相似事件作为正实例，将正实例的头尾互换作为负实例，进行对比学习。首先，设计共同实体数量作为事件的相似性指标，那么事件Q_i=\{T_i,H_i\}和Q_j=\{T_j,H_j\}的相似性可以表示为

\mathrm{s}\mathrm{i}\mathrm{m}(Q_i,Q_j)=\frac{\left|T_i\bigcap T_j\right|+\left|H_i\bigcap H_j\right|}{\left|T_i\bigcup T_j\right|+\left|H_i\bigcup H_j\right|}（12）

选择相似性最大的事件作为正实例：

Q_i^{+}=\underset{Q_k\in \{Q-Q_i\}}{\mathrm{a}\mathrm{r}\mathrm{g}\mathrm{m}\mathrm{a}\mathrm{x}}\{\mathrm{s}\mathrm{i}\mathrm{m}(Q_i,Q_k)\}（13）

而负实例则通过交换事件的头尾来生成：

Q_i^{-}=\{H_i,T_i\}（14）

其次，对事件的方向进行嵌入表示。与前节类似，假设事件Q_i=\{T_i,H_i\}尾实体集T_i和头实体集H_i的嵌入为分别为{\mathit{c}}_{\mathrm{e}\mathrm{d}\_i,\mathrm{t}}^{}和{\mathit{c}}_{\mathrm{e}\mathrm{d}\_i,\mathrm{h}}^{}。这里将头尾的嵌入进行连接作为事件方向的嵌入表示：

{\mathit{d}}_{\mathrm{e}\mathrm{d}\_i}^{}={\mathit{c}}_{\mathrm{e}\mathrm{d}\_i,\mathrm{t}}^{}\Vert {\mathit{c}}_{\mathrm{e}\mathrm{d}\_i,\mathrm{h}}^{}（15）

最后，通过双线性评分函数来衡量两个方向嵌入的语义相似性，可以表示为

s_{\mathrm{e}\mathrm{d}\_i}^{}=\sigma \left({\mathit{d}}_{\mathrm{e}\mathrm{d}\_i}^{\mathrm{T}}{\mathit{W}}_{\mathrm{e}\mathrm{d}}{\mathit{d}}_{\mathrm{e}\mathrm{d}\_j}^{}\right)（16）

这样可以得到锚事件与正实例和负实例的方向相似性s_{\mathrm{q}\mathrm{d}\_i}^{}和{\tilde{s}}_{\mathrm{q}\mathrm{d}\_i}^{}。最终方向对比的损失函数为

L_{\mathrm{e}\mathrm{d}}=-\frac{\mathrm{1}}{m}{\displaystyle \sum _{i=\mathrm{1}}^m}\left(\mathrm{l}\mathrm{n}\left(s_{ed\_i}^{}\right)+\mathrm{l}\mathrm{n}\left(\mathrm{1}-{\tilde{s}}_{ed\_i}^{}\right)\right)（17）

2.5 训练与推理

在训练阶段，ADDE-MCL将上述4个模块进行联合优化，总的优化函数为

L=\alpha L_{\mathrm{e}\mathrm{p}}+\beta L_{\mathrm{e}\mathrm{s}}L+\gamma L_{\mathrm{h}\mathrm{t}}+\delta L_{\mathrm{e}\mathrm{d}}（18）

式中，\alpha、\beta、\gamma和\delta是超参数，用来平衡4个对比学习模块。ADDE-MCL训练过程伪代码如算法1所示。

算法1 ADDE-MCL训练过程

输入：有向事件集Q=\{Q_{\mathrm{1}},Q_{\mathrm{2}},\cdots ,Q_m\}、实体集V、实体特征\mathit{X}\in {\mathbb{R}}^{n\times d}、训练轮数T

输出：训练好的对比学习模块

1. 初始化对比学习模块及参数；

2. for epoch = 1 to T do

3. for v_i\in V do

4. 采样与v_i处于同一事件的实体构建实体对正例集合P_{\mathrm{e}\mathrm{p}\_i}^{}

5. 采样与v_i处于不同事件的实体构建实体对负例集合N_{\mathrm{e}\mathrm{p}\_i}^{}

6. 计算v_i的实体对对比损失L_{\mathrm{e}\mathrm{p}\_v_i}^{}

#式（3）

7. end for

8. for Q_i\in Q do

9. 构建v_i\in V_i的实体集对比正例和负例

10. 计算实体集共现性s_{\mathrm{e}\mathrm{s}\_i}^{}

#式（5）~式（6）

11. 构建Q_i的头尾对比正例和负例

12. 计算头尾共现性s_{\mathrm{h}\mathrm{t}\_i}^{}

#式（8）~式（11）

13 构建Q_i的方向对比正例和负例s_{\mathrm{h}\mathrm{t}\_i}^{}

#式（12）~式（14）

14 计算方向共现性s_{\mathrm{q}\mathrm{d}\_i}^{}

#式（15）~式（17）

15. end for

16. 计算对比损失L_{\mathrm{e}\mathrm{p}}、L_{\mathrm{e}\mathrm{s}}、L_{\mathrm{h}\mathrm{t}}、L_{\mathrm{e}\mathrm{d}}

#式（4）、式（7）、式（11）、式（17）

17 计算总体损失L

#式（18）

18. 更新参数

19. end for

20. return

在推理阶段，ADDE-MCL利用4个模块学到的不同共现性进行联合计算，设计异常事件评分函数为

I(Q_i)=-\left(\alpha \underset{v_j,v_k\in V_i}{\mathrm{m}\mathrm{i}\mathrm{n}}\left(\mathrm{s}\mathrm{i}\mathrm{m}\left({\mathit{x}}_j,{\mathit{x}}_k\right)\right)+\beta s_{es\_i}^{}+\gamma s_{ht\_i}^{}+\delta s_{ed\_i}^{}\right)（19）

式中，\alpha、\beta、\gamma和\delta与式（18）中的参数是共享的。相比正常事件，异常事件的4个共现性都较低，计算的异常评分较高。因此，事件的异常评分越高，事件越可能为异常。

3 实验及分析

为了验证所提ADDE-MCL的有效性，选取主流方法作为基线，并在相同的数据集进行检测性能的对比实验，分析ADDE-MCL中不同对比学习模块对检测性能的影响情况。

3.1 数据集和评价指标

实验选取了不同领域的3个数据集，如表1所示。其中：Reverb45k是一个主题知识网络数据集；USPTO是一个化学反应事件数据集；iJO1366为一个生物代谢事件数据集。

由于数据集本身不包含异常事件，采用负采样方式进行异常注入。针对每个有向事件e=(t,h)\in Q，首先随机选取\left|t\right|/\mathrm{2}尾部和\left|h\right|/\mathrm{2}头部实体，然后从事件外的实体集（V-e）中再随机选择\left|t\right|/\mathrm{2}和\left|h\right|/\mathrm{2}个实体，将它们分别结合得到异常事件f。在实验中随机选取10%的正常事件来构建异常事件。

异常检测本质上为二分类问题，因此选取了平均精确率（Average Precision, AP）、AUC和召回率（Recall）3个常用的评价指标。其中：AP即正确识别的正常事件和异常事件数量占所有测试事件的比例；AUC是从整体上衡量检测准确性的常用指标，越接近1，检测效果越好；Recall为被正确检测出的异常事件占所有异常事件的比例，这里仅关注排名靠前的检测结果，将异常得分从高到低排序并选择前k个结果来计算召回率，记作Recall@k，实验中的k取异常事件的半数。

3.2 实验环境和参数设置

硬件环境：Intel(R) Xeon(R) Gold 5218R @ 2.10 GHz CPU，NVIDIA GeForce RTX 3090，64 GB内存，24 GB显存；软件环境：Ubuntu 22.04 LTS，CUDA 12.2，Python 3.7，PyTorch 1.13.1。

实验中涉及的参数及配置如表2所示，参数设置参考文献[15]。

3.3 检测性能对比分析

为了验证所提方法的有效性，选择4个超图表示学习方法作为基线方法。其中：超图神经网络（Hypergraph Neural Networks, HGNN）^[19]是基于超图卷积的通用超图表示学习框架；超图卷积网络（Hypergraph Convolutional Network, HyperGCN）^[20]使用谱理论在超图上训练GCN网络用于表示学习；NHP-D^[17]是基于GCN的超图嵌入表示，使用maxmin₊作为超边方向评分函数；TF-DHP^[18]使用BiLSTM对超边方向进行推理。由于HGNN和HyperGCN这两种方法不用于有向超图，实验中使用maxmin₊作为超边方向评分函数。所提出的ADDE-MCL中，对比学习模块平衡参数\{\alpha ,\beta ,\lambda ,\delta \}通过网格遍历的方法确定每个数据集的最优值。Reverb45k的参数值为{0, 0.5, 0.8, 0.5}，USPTO参数值为{0.6, 1, 0.3, 0.1}，iJO1366的参数值为{0.1, 0.2, 0.7, 0.1}。对比实验中，所有方法均采用最优参数配置进行10次独立实验，实验结果如表3所示。

从表3可以发现，相比基线算法，ADDE-MCL在3个数据集上均取得了最优的AP和AUC值，在Reverb45k上取得了次优的Recall@k值。相比次优算法，ADDE-MCL的AP指标大致提升4.76%~18.03%，平均提升了11.84%；ADDE-MCL的AUC指标大致提升4.60%~22.39%，平均提升15.22%。

实验中，HGNN、HyperGCN、NHP-D通过图神经网的图卷积操作进行消息传播，将图结构信息嵌入到低维向量中，但由于图神经网络是针对无向图设计的，消息传播没有考虑到超边的方向性，没有充分学习到方向信息，在处理有向事件时性能受到影响。TF-DHP利用BiLSTM对事件超边的方向信息进行了嵌入，对有向事件的表示性能有了提升，但由于此方法针对有向超边的预测，没有针对有向事件的异常模式进行充分捕获，因此在异常检测任务中取得了次优的效果。ADDE-MCL通过对比学习从实体对、实体集、头尾集、方向性等4个方面对异常模式进行了捕获，在异常检测性能上效果最好，这也说明了4个对比学习模块的有效性。

3.4 对比学习模块影响分析

为验证所提方法中多尺度对比学习的有效性，设置实验对比4个超参数\{\alpha ,\beta ,\gamma ,\delta \}对异常事件检测结果的影响。首先固定其中的3个参数，将剩余1个参数的值从0到1按照0.1的步长进行调整，对比在3个数据集上的检测性能变化，实验结果如图3所示。

1）实体对对比学习模块对不同数据有不同的影响。随着\alpha数值的不断升高，Reverb45k数据集的检测性能呈现出先下降再上升的趋势，另外两个数据则呈现出波动趋势。这可能是由于ADDE-MCL在进行实体对对比学习时负实例是通过采样构造的，采样效果对学习效果有不同程度的影响。

2）实体集对比学习模块对检测性能的影响最大。随着\beta数值的不断升高，Reverb45k和iJO1366数据集的检测性能呈现波动趋势，而USPTO数据集上的检测性能提升效果比较显著。这表明异常事件中的集合异常可能更加普遍，实体集对比模块可以很好地捕捉到这种异常模式。

3）头尾对比学习模块对不同数据影响不同。随着\gamma数值的升高，Reverb45k和iJO1366数据集的检测性能呈现上升趋势，而USPTO的检测性能则呈现下降趋势。原因可能是USPTO数据集头尾实体的组合方式更加多样，此类异常较少。

4）方向对比学习模块在整个异常事件检测中起到补充作用。当\delta数值不断升高时，3个数据集的检测性能都有下降趋势。可能是由于现实异常事件中单纯的方向异常情况较少。

4 结束语

针对现有基于超图表示学习的有向事件异常检测方法难以充分捕获异常模式和无数据标签场景使用受限的问题，提出利用多尺度对比学习的有向事件异常测方法。首先，将事件建模为有向超图；其次，设计多尺度对比学习算法，从有向事件的实体对、实体集、头尾集和事件方向等多个尺度捕获异常；最后，设计异常事件评分函数融合多尺度异常完成异常事件检测。

在不同领域的3个真实数据集上的实验表明，该方法相比基线方法，异常检测性能显著提升，在平均精确率和AUC指标方面均取得最优，在召回率方面除1个数据集取得次优，其余均为最优。由于现实中很多事件中的实体是异质的，它们的特征空间是不同的，下一步考虑研究异质有向事件中的异常检测方法。

参考文献

[1] 樊燚，郭义伟，胡涛，基于系统调用的主机异常检测研究综述［J］.信息工程大学学报，2024，25（1）：100-109.

[2] 曲彦泽，马海龙，江逸茗.深度网络异常检测模型的泛化性能研究［J］.信息工程大学学报，2024，25（2）：213-218.

[3] WANG H B， ZHOU C， WU J， et al. Deep structure learning for fraud detection［C］∥Proceedings of the 2018 IEEE International Conference on Data Mining. Piscataway， USA： IEEE， 2018：567-576.

[4] ZHENG M Y， ZHOU C， WU J， et al. FraudNE： a joint embedding approach for fraud detection［C］∥Proceedings of the 2018 International Joint Conference on Neural Networks. Piscataway， USA： IEEE， 2018. DOI： 10.1109/IJCNN.2018.8489585 .

[5] DUAN D S， TONG L L， LI Y X， et al. AANE： anomaly aware network embedding for anomalous link detection［C］∥Proceedings of the 2020 IEEE International Conference on Data Mining. Piscataway， USA： IEEE， 2020：1002-1007.

[6] GUI H， LIU J L， TAO F B， et al. Embedding learning with events in heterogeneous information networks［J］. IEEE Transactions on Knowledge and Data Engineering， 2017，29（11）：2428-2441.

[7] CHEN T， TANG L A， SUN Y Z， et al. Entity embedding-based anomaly detection for heterogeneous categorical events［C］∥Proceedings of the Twenty-Fifth International Joint Conference on Artificial Intelligence. Washington， USA： AAAI Press， 2016：1396-1403.

[8] HU B B， ZHANG Z Q， SHI C， et al. Cash-out user detection based on attributed heterogeneous information network with a hierarchical attention mechanism［J］. Proceedings of the Thirty-Third AAAI Conference on Artificial Intelligence. Palo Alto， USA： AAAI Press， 2019：946-953.

[9] FAN S H， SHI C， WANG X. Abnormal event detection via heterogeneous information network embedding［C］∥Proceedings of the 27th ACM International Conference on Information and Knowledge Management. New York， USA： ACM， 2018：1483-1486.

[10] DONG Y X， CHAWLA N V， SWAMI A. metapath2vec： scalable representation learning for heterogeneous networks［C］∥Proceedings of the 23rd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining. New York， USA： ACM， 2017：135-144.

[11] WANG X， JI H Y， SHI C， et al. Heterogeneous graph attention network［C］∥Proceedings of the World Wide Web Conference. New York， USA： ACM， 2019：2022-2032.

[12] WANG X， LIU N， HAN H， et al. Self-supervised heterogeneous graph neural network with co-contrastive learning［C］∥Proceedings of the 27th ACM SIGKDD Conference on Knowledge Discovery & Data Mining. New York， USA： ACM， 2021：1726-1736.

[13] FAN H Y， ZHANG F B， WEI Y X， et al. Heterogeneous hypergraph variational autoencoder for link prediction［J］. IEEE Transactions on Pattern Analysis and Machine Intelligence， 2022，44（8）：4125-4138.

[14] CHU Y F， FENG C Y， GUO C L， et al. Event2vec： heterogeneous hypergraph embedding for event data［C］∥Proceedings of the 2018 IEEE International Conference on Data Mining Workshops. Piscataway， USA： IEEE， 2018：1022-1029.

[15] YAN B， YANG C， SHI C， et al. Abnormal event detection via hypergraph contrastive learning［C］∥Proceedings of the 2023 SIAM International Conference on Data Mining. Philadelphia， USA： Society for Industrial and Applied Mathematics， 2023：712-720.

[16] WANG X， ZHANG Y D， SHI C. Hyperbolic heterogeneous information network embedding［C］∥Proceedings of the Thirty-Third AAAI Conference on Artificial Intelligence. Washington， USA： AAAI Press， 2019：5337-5344.

[17] YADATI N， NITIN V， NIMISHAKAVI M， et al. NHP： neural hypergraph link prediction［C］∥Proceedings of the 29th ACM International Conference on Information & Knowledge Management. New York， USA： ACM， 2020：1705-1714.

[18] XIAO G C， LIAO J Z， TAN Z， et al. A two-stage framework for directed hypergraph link prediction［J］. Mathematics， 2022，10（14）：No.2372.

[19] FENG Y F， YOU H X， ZHANG Z Z， et al. Hypergraph neural networks［C］∥Proceedings of the Thirty-Third AAAI Conference on Artificial Intelligence. Palo Alto， USA： AAAI Press， 2019：3558-3565.

[20] YADATI N， NIMISHAKAVI M， YADAV P， et al. HyperGCN： a new method of training graph convolutional networks on hypergraphs［C］∥Proceedings of the 33rd Conference on Neural Information Processing Systems. Piscataway， USA： IEEE， 2019：No.32.

基金资助

河南省重大科技专项(221100210700)