Resumen Técnico: CelerLog: Análisis Rápido de Registros mediante Enrutamiento Dinámico

Declaración del Problema

El análisis de registros es un prerrequisito para el análisis automatizado de sistemas, transformando mensajes de registro crudos y semiestructurados en formatos estructurados que comprenden plantillas estáticas y parámetros dinámicos. Aunque los analizadores basados en sintaxis (por ejemplo, Drain) ofrecen alta eficiencia, a menudo carecen del razonamiento semántico necesario para manejar patrones de registro complejos o en evolución, lo que conduce a una menor precisión. Por el contrario, los nuevos analizadores semánticos basados en LLM logran una precisión superior aprovechando la comprensión del lenguaje natural, pero sufren de latencia y costos financieros prohibitivos. Estos costos provienen de un defecto de diseño fundamental: aplicar inferencia semántica pesada a cada mensaje de registro, independientemente de si tal complejidad es necesaria. Las estrategias de optimización existentes, como la caché o el muestreo, no abordan la causa raíz: la incapacidad de distinguir los registros que requieren razonamiento semántico de aquellos que pueden resolverse mediante un análisis estadístico simple.

Metodología

Los autores proponen CelerLog, un analizador de registros híbrido que enruta dinámicamente los registros al motor de procesamiento más apropiado basándose en sus características estadísticas. La idea central es que la gran mayoría de los registros exhiben patrones repetitivos con parámetros variables (grupos densos) que pueden analizarse mediante análisis estadístico, mientras que solo una minoría de registros carece de tales patrones (grupos dispersos) y requiere inferencia semántica basada en LLM.

CelerLog consta de tres componentes principales:

1. Enrutador Dinámico

El enrutador actúa como un controlador de tráfico, clasificando los registros entrantes en grupos densos y dispersos mediante un proceso de dos etapas:

• Agrupación en Dos Etapas:
  • Agrupación basada en Esqueletos Enmascarados: Los registros crudos se preprocesan para enmascarar los tokens variables (números, cadenas, etc.) en marcadores de posición designados (por ejemplo, <NUM>, <UCL>), creando "esqueletos enmascarados". Los registros que comparten esqueletos idénticos se agrupan.
  • Agrupación basada en Longitud: Estos grupos de esqueletos se agregan adicionalmente en "buckets" (cubos) basándose en su longitud de tokens, ya que los registros de la misma plantilla suelen compartir la misma longitud.
• Fusión basada en Anclas: Dentro de cada bucket, el enrutador identifica grupos "ancla" (aquellos con la mayor cantidad de registros únicos). Luego calcula la Similitud Jaccard Consciente de la Posición entre el ancla y otros grupos.
  • Se deriva un umbral de similitud dinámico a partir de la "Curva de Ratio de Singleton" para determinar el punto de corte óptimo para la fusión, evitando una fusión excesiva mientras se capturan patrones válidos.
  • Una verificación ligera de verbos asegura la consistencia semántica (por ejemplo, asegurando que el verbo de acción principal sea compartido).
  • Los grupos que se fusionan exitosamente con un ancla se clasifican como grupos de registros densos. Los grupos no fusionados se clasifican como grupos de registros dispersos.

2. Procesador Estadístico (Vía Rápida)

Los grupos de registros densos se enrutan a este módulo eficiente. En lugar de invocar un LLM, realiza un análisis estadístico directo:

• Alinea los registros en el grupo y analiza la distribución de valores en cada posición de token.
• Las posiciones que contienen múltiples valores distintos se identifican como parámetros y se enmascaran con comodines (por ejemplo, <*>).
• Las posiciones con valores únicos se retienen como partes de plantilla estáticas.
• Este proceso produce la plantilla final y los parámetros con una sobrecarga computacional mínima y cero riesgo de alucinación del LLM.

3. Procesador Basado en LLM (Vía Lenta)

Los grupos de registros dispersos, que carecen de señales estadísticas suficientes, se enrutan a un LLM.

• Diseño de Tarea: Para minimizar la alucinación y el costo, no se le pide al LLM que genere la plantilla completa. En su lugar, se le solicita que realice la identificación de variables, devolviendo una lista de las cadenas de variables exactas encontradas en el registro.
• Verificación: El sistema verifica que las variables identificadas existan en el registro original antes de enmascararlas para generar la plantilla final. Si el LLM falla o produce una salida inválida, el sistema vuelve al registro original para prevenir errores.
• Paralelismo: Para manejar la escalabilidad, CelerLog emplea paralelismo de datos para la fase de enrutamiento (procesando buckets a través de núcleos de CPU) y E/S asíncrona para la fase de LLM (agrupando solicitudes).

Contribuciones Clave

1. Insight sobre la Distribución de Registros: Los autores identifican que el cuello de botella en los analizadores basados en LLM existentes es la aplicación uniforme de inferencia semántica. Demuestran que la mayoría de los registros poseen patrones estadísticos repetitivos suficientes para el análisis sin LLMs.
2. Categorización Densa vs. Dispersa: El artículo define formalmente los grupos de registros densos (ricos en variación estadística) y los grupos de registros dispersos (estáticos o aislados), proponiendo una estrategia híbrida para aprovechar esta distinción.
3. Marco CelerLog: La introducción de un mecanismo de enrutamiento dinámico que dirige los registros ya sea a un procesador estadístico rápido o a un procesador basado en LLM, maximizando tanto la eficiencia como la efectividad.
4. Evaluación Exhaustiva: Experimentos extensos en 14 conjuntos de datos públicos que demuestran que CelerLog supera a las líneas base más avanzadas en precisión mientras reduce drásticamente el tiempo y el costo.

Resultados Experimentales

Evaluado en 14 conjuntos de datos públicos (incluyendo Apache, HPC, OpenSSH y Zookeeper), CelerLog demuestra una superioridad significativa sobre las líneas base tanto basadas en sintaxis (Drain, AEL, Brain) como basadas en LLM (LILAC, LogBatcher, LUNAR):

• Efectividad: CelerLog logra una Precisión de Agrupación (GA) promedio de 0.927 y una Precisión de Análisis (PA) de 0.875, superando a la mejor línea base basada en LLM (LogBatcher) por un margen significativo en PA (0.875 vs. 0.786).
• Eficiencia:
  • CelerLog es 7.9× a 18.6× más rápido que los métodos basados en LLM.
  • Cabe destacar, la versión paralela de CelerLog es hasta 1.5× más rápida que el analizador basado en sintaxis ampliamente adoptado Drain.
• Reducción de Costos:
  • Consumo de Tokens: Reducido en un 80.2%–94.1% en comparación con los métodos LLM (por ejemplo, de ~207k tokens para LUNAR a ~12k para CelerLog).
  • Invocaciones de LLM: Reducidas en un 86.4%–90.9% (por ejemplo, de ~370 invocaciones para LUNAR a ~34 para CelerLog).
• Robustez: Los estudios de ablación confirman que eliminar el enrutador o el procesador estadístico degrada severamente el rendimiento o aumenta los costos. El análisis de sensibilidad muestra que CelerLog es robusto a la configuración de hiperparámetros (umbrales de similitud y selección top-k). Además, el sistema mantiene un rendimiento estable en varios LLMs base, desde modelos grandes (Gemini-3-pro) hasta modelos más pequeños (Qwen3-8b).

Significado

El artículo afirma que CelerLog establece una nueva frontera de Pareto para el análisis de registros, ofreciendo una solución que es simultáneamente altamente precisa y rentable. Al reconocer que no todos los registros requieren una comprensión semántica compleja, CelerLog cierra la brecha entre la velocidad de los analizadores basados en sintaxis y la precisión de los analizadores semánticos. Los autores posicionan este trabajo como un habilitador práctico para el análisis de registros a gran escala en el mundo real, donde los costos prohibitivos de los enfoques actuales basados en LLM han limitado previamente su implementación. El enfoque híbrido asegura que los recursos costosos de LLM se reserven solo para los registros que genuinamente los requieren, haciendo que el análisis automatizado de registros sea escalable y económicamente viable.