A Neural Screener–Reasoner Framework for Evidence-Grounded Log-Based Anomaly Detection and Explanation
تقترح هذه الورقة إطار عمل "المُفحص–المستنتج العصبي" (Neural Screener–Reasoner) الذي يجمع بين كاشف يعتمد على الانتباه الذاتي الخطي والخالي من المُحلل، وبين نموذج لغوي كبير معزز بالاسترجاع، وذلك لتحقيق دقة عالية في اكتشاف شذوذ السجلات وتوليد تفسيرات قابلة للتحقق ومستندة إلى أدلة، مع إدارة تكاليف الاستدلال.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تُعد أنظمة الحوسبة الحديثة شبكات واسعة ومترابطة تشغل كل شيء، من الأبحاث العلمية إلى التمويل العالمي. وللحفاظ على سير هذه الأنظمة بسلاسة، يعتمد المهندسون على تدفق مستمر من السجلات الرقمية تسمى "السجلات" (logs). تعمل هذه السجلات كـمذكرات لنشاط النظام، حيث تسجل كل إجراء، أو خطأ، أو تغيير في الحالة مع طابع زمني ورسالة. وعندما يحدث خطأ ما — مثل تعطل خادم، أو فشل في حفظ ملف، أو حدوث خرق أمني — تحتوي هذه السجلات على الأدلة اللازمة لفهم ما حدث. ومع ذلك، مع ازدياد حجم الأنظمة وضخامة سرعتها، يصبح حجم هذه السجلات هائلاً لدرجة لا تُحتمل. إذ يمكن ليوم واحد من النشاط أن يولد ملايين الأسطر من النصوص، مما يجعل من المستحيل على المشغلين البشريين قراءتها جميعاً. ولعقود من الزمن، كان الحل يتمثل في بناء أدوات مؤتمتة تمسح هذه السجلات لرصد الشذوذ، أو الأنماط الغريبة التي تشير إلى وجود مشكلة. ولكن ظلت هناك فجوة كبيرة: فبينما يمكن لهذه الأدوات إخبار المشغل بأن شيئاً ما قد خطب، إلا أنها غالباً لا تستطيع شرح "لماذا". فهي تقدم تحذيراً ثنائياً، مجرد "نعم" أو "لا"، دون الإشارة إلى أسطر النص المحددة التي أطلقت الإنذار أو ربط الخطأ الحالي بالإخفاقات السابقة. وهذا يترك المهندسين أمام ضوء أحمر ولكن دون خريطة، مما يضطرهم إلى البحث يدوياً عبر آلاف الأسطر من النصوص للعثور على السبب الجذري.
لقد طور فريق من الباحثين إطار عمل جديداً صُمم لسد هذه الفجوة، والانتقال من مجرد الكشف البسيط إلى تقديم تفسيرات مدعومة بالأدلة. يتعامل نهجهم مع المشكلة في مرحلتين متميزتين، تماماً مثل ممرضة فرز تتبعها طبيبة أخصائية. المرحلة الأولى، التي يسمونها "الفاحص" (Screener)، هي كاشف سريع وفعال يمسح رسائل السجلات الخام دون الحاجة إلى تفكيكها إلى أجزاء أصغر محددة مسبقاً. فالأساليب التقليدية غالباً ما تجبر السجلات على الدخول في قوالب جامدة أولاً، وهي عملية يمكن أن تؤدي إلى تجريد السجلات من تفاصيل مهمة أو إدخال أخطاء. هذا "الفاحص" الجديد يقرأ النص الخام مباشرة، مستخدماً آلية انتباه مبسطة تسم تسمح له بمعالجة تسلسلات طويلة من البيانات بسرعة ودقة. وفي الاختبارات التي أجريت على مجموعتي بيانات رئيسيتين تمثلان أنظمة الحوسبة الفائقة وأنظمة التخزين الموزعة، حدد هذا الفاحص حالات الشذوذ بدقة تقارب الكمال، حيث رصد بشكل صحيح كل الجلسات الإشكالية تقريباً بينما تجاهل النشاط الطبيعي. إنه يعمل كمرشح عالي الموثوقية، مما يضمن عدم تسلل أي مشكلة حقيقية عبر الثغرات.
بمجرد أن يحدد "الفاحص" جلسة ما على أنها مشبوهة، يتولى المرحلة الثانية، "المستنتج" (Reasoner)، زمام الأمور لإنشاء تفسير قابل للقراءة من قبل البشر. وبدلاً من التخمين أو الاعتماد فقط على معرفته الداخلية، يعمل "المستنتج" كباحث ينقب في أرشيف. فهو يسترجع أمثلة محددة من حالات الشذوذ السابقة والسلوك الطبيعي من قاعدة بيانات السجلات التاريخية. وباستخدام هذه الأمثلة المسترجعة كدليل، يقوم ببناء تقرير مهيكل يربط كل ادعاء يقدمه بسطر نصي محدد في السجل الحالي وبالسطر المقابل له في الأمثلة التاريخية. وهذا يضمن أن التفسير ليس مجرد قصة بليغة، بل هو حجة قائمة ومدعومة بأدلة ملموسة. ولضمان الموثوقية، يقوم مُتحقق آلي بفحص كل تفسير يتم إنتاجه مقابل قواعد صارمة، للتأكد من أن كل سطر مستشهد به موجود بالفعل وأن الاستنتاج منطقي. وفي تجاربهم، اجتاز كل تفسير أنتجه هذا النظام هذه الفحوصات الصارمة، وصنف الخبراء البشريون جودة التفسيرات بأنها صحيحة وكاملة للغاية.
كما عالج الباحثون الواقع العملي المتمثل في أن توليد هذه التفسيرات التفصيلية مكلف حوسبياً. فتشغيل عملية استنتاج معقدة على كل حالة شذوذ يتم رصدها سيكون بطيئاً ومكلفاً للغاية للاستخدام في العالم الحقيقي. ولحل هذه المشكلة، قدموا آلية بوابة ذكية تقرر أي حالات الشذوذ تستحق تفسيراً كاملاً. يقوم النظام بإعطاء الأولوية للجلسات التي كان فيها "الفاحص" الأولي أقل ثقة، مركزاً قدرة الاستنتاج المكلفة لديه على الحالات الأكثر غموضاً أو صعوبة في الفهم. ومن خلال القيام بذلك، يمكن لإطار العمل شرح الغالبية العظمى من أنماط الفشل الفريدة مع استخدام موارد حوسبية أقل بكثير. ووجدت الدراسة أنه من خلال شرح الحالات الأكثر عدم يقين فقط، يمكن للنظام أن يغطي بالفعل معظم أنواع الأخطاء المعروفة، محققاً توازناً بين الشمولية والكفاءة. يوضح هذا العمل أنه من الممكن بناء أنظمة مؤتمتة لا تكتفي فقط بالكشف عن المشكلات بدقة عالية، بل تقدم أيضاً الاستنتاج القابل للتتبع والقائم على الأدلة الذي يحتاجه المشغلون البشريون لإصلاحها بسرعة وثقة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.