基于溯源（provenance）的入侵检测系统（PIDS）通过分析进程、文件、网络等实体之间的系统交互关系来识别高级持续性威胁（APT）。现有方法大多将各类关系（relation，即图中边类型，如读/写文件、网络连接、进程派生等）一视同仁地处理，忽视了统计异质性：在 CADETS 数据集中，不同关系类型的出现频次差异高达约 14 万倍。这种极端不均衡会使模型偏重高频关系，而忽略低频关系（其中可能恰恰包含罕见但关键的恶意交互）；同时，不同关系在正常情况下的重构误差水平本身并不相同，若使用统一阈值判定，会进一步放大误报与漏报风险。 为此作者提出 RECAL，一个无监督框架，核心包含两点：一是关系均衡的掩码图学习（relation-balanced masked graph learning），通过在掩码/重构自监督任务中对不同关系类型做均衡化采样或加权，使模型能够充分学习低频交互模式；二是误差校准，针对每一种关系类型分别估计其良性（正常）重构误差分布，并据此把原始重构误差归一化为可比的异常证据，使跨关系类型的异常判定具有一致性，从而更好地区分攻击行为与正常行为、降低误报。 在三个 DARPA E3 数据集上的实验表明，RECAL 的 F1 分别达到 99.99%、99.93%、99.99%，比各数据集上的最佳基线分别高出 0.88、0.82 和 0.42 个百分点；与报告最低假阳性率（FPR）的基线相比，RECAL 将平均 FPR 分别降低约 105 倍、4 倍和 41 倍。