Resumen Técnico: Máquina de Estados Guiada para la Generación de Datos Sintéticos Multirelacionales a partir de Registros para la Detección de Anomalías

Formulación del Problema

Los sistemas de software modernos generan volúmenes masivos de registros de ejecución no estructurados que registran comportamientos, fallos e interacciones entre componentes. Si bien estos registros son centrales para la detección de anomalías, los métodos existentes los tratan predominantemente como secuencias planas de plantillas de eventos. Este enfoque pasa por alto la estructura relacional de ejecución latente —el flujo de control, las transiciones de estado y las dependencias entre parámetros, recursos y componentes— que gobierna cómo evolucionan las ejecuciones.

Las técnicas actuales de síntesis y aumentación de registros suelen operar a nivel de plantilla o de secuencia, fallando en respetar la semántica de ejecución subyacente. En consecuencia, frecuentemente producen trazas irreales o estructuralmente inválidas que no se generalizan a modos de fallo complejos. Además, aunque los Modelos de Lenguaje de Gran Escala (LLM) muestran potencial para comprender el texto no estructurado, la aplicación de un proceso de un solo paso para la síntesis de registros es insuficiente debido a las limitaciones de la ventana de contexto, la falta de garantías estructurales y la susceptibilidad a las alucinaciones al generar trazas de ejecución complejas. El desafío central abordado es el descubrimiento conjunto de la estructura de ejecución latente a partir de registros brutos y el uso de dicha estructura para guiar la generación de datos sintéticos multirelacionales de manera reglamentada.

Metodología: LogSynthFSM

Los autores proponen LogSynthFSM, un marco de trabajo de LLM multi-agente coordinado diseñado para descubrir estructuras de ejecución latentes y generar datos sintéticos multirelacionales. El sistema descompone la tarea de síntesis en agentes especializados que operan en un flujo de trabajo de ciclo cerrado:

1. Agente de Análisis de Ejecución (Execution Parsing Agent): Convierte registros no estructurados en representaciones de eventos estructuradas ($e_i = (t_i, \theta_i, \tau_i)$), extrayendo plantillas, parámetros y marcas de tiempo. Esto actúa como un operador de compresión para reducir el ruido léxico y mitigar las limitaciones de contexto de los LLM.
2. Agente de Descubrimiento de Estados (State Discovery Agent): Infiere una Máquina de Estados Finitos (FSM) latente ($F = (S, A, \delta)$) a partir de las secuencias de eventos estructuradas. Agrupa eventos en estados de tal manera que la secuencia resultante satisfaga la propiedad de Markov, equilibrando expresividad e identificabilidad para recuperar el flujo de control que gobierna el sistema.
3. Agente de Inducción de Esquema (Schema Induction Agent): Transforma la FSM inferida en un esquema relacional de múltiples tablas explícito ($R$). Este esquema incluye tablas para trazas, eventos, estados, transiciones y parámetros, conectados mediante restricciones de clave primaria y clave foránea. Esta factorización separa el flujo de control de los atributos condicionales al estado, asegurando la fidelidad estructural.
4. Agente de Síntesis Relacional (Relational Synthesis Agent): Genera datos relacionales sintéticos muestreando rutas de estado válidas de la FSM inferida y sintetizando registros de eventos/parámetros condicionados a distribuciones específicas de estado. Este agente amplifica comportamientos de ejecución raros pero válidos, adhiriéndose estrictamente a las restricciones estructurales y temporales de la FSM.
5. Agente de Evaluación de Consistencia (Consistency Evaluation Agent): Evalúa los datos generados en tres dimensiones:
   • Consistencia Estructural: Verifica las restricciones del esquema (claves, ordenamiento, transiciones válidas).
   • Consistencia de Proceso: Asegura que las ejecuciones correspondan a recorridos legales de la FSM.
   • Consistencia Distribucional: Compara las distribuciones de atributos contra los datos reales para detectar deriva (drift).
     Este agente proporciona retroalimentación para guiar el refinamiento iterativo, filtrando salidas inválidas o alucinadas.

El marco opera como un bucle iterativo donde el Agente de Evaluación de Consistencia valida lotes de datos sintéticos contra la FSM y el esquema inferidos, asegurando que solo los datos estructuralmente válidos y distribucionalmente realistas se retengan para su uso posterior.

Contribuciones Clave

• Descubrimiento de Estructura Latente: El artículo demuestra que los registros de ejecución codifican implícitamente una base de datos relacional gobernada por una máquina de estados latente, la cual puede recuperarse directamente de registros brutos sin conocimiento previo de la arquitectura del sistema.
• Marco Multi-Agente: Introduce una novedosa arquitectura multi-agente que descompone la compleja tarea de la síntesis de registros en etapas verificables (análisis, descubrimiento de estados, inducción de esquema, síntesis y evaluación), superando las limitaciones de la generación de un solo paso de los LLM.
• Datos Sintéticos Relacionales: A diferencia de la aumentación basada en secuencias, LogSynthFSM genera datos relacionales de múltiples tablas que preservan la semántica global del proceso, el orden temporal y las dependencias entre entidades.
• Generación Consciente de Restricciones: Al utilizar la FSM recuperada como un prior generativo, el marco asegura que los datos sintéticos se adhieran a estrictas restricciones de ejecución, evitando la creación de trazas semánticamente incoherentes.

Resultados Experimentales

El marco fue evaluado en cuatro conjuntos de datos de registros de sistemas del mundo real (BGL, Thunderbird, Hadoop, OpenStack) utilizando una Red Neuronal de Grafos (GNN) para la detección de anomalías descendente.

• Desempeño en la Detección de Anomalías: LogSynthFSM alcanzó un PR-AUC de 0.742, superando al modelo de referencia basado en LLM más fuerte (GraphMaster con 0.701) y a los métodos de aumentación clásicos.
• Detección de Eventos Raros: El método mejoró significamente la detección de comportamientos raros, aumentando el PR-AUC de Eventos Raros de 0.438 (GraphMaster) a 0.511.
• Fidelidad Estructural:
  • Tasa de Validez de Transición (TVR): 0.985, indicando que el 98.5% de las transiciones sintéticas fueron válidas según la FSM inferida.
  • Similitud Distribucional: La divergencia de Jensen–Shannon de las rutas k-gramas se redujo a 0.091 (comparado con 0.137 para GraphMaster), mostrando una mayor alineación con la dinámica de ejecución real.
  • Distinguibilidad: El AUC del Test de Dos Muestras de Clasificador (C2ST) fue de 0.503 (cercano al ideal de 0.50), lo que sugiere que las trazas sintéticas son difíciles de distinguir de las reales.
• Estudios de Ablación: Eliminar el Agente de Descubrimiento de Estados causó la degradación más severa (el PR-AUC de Eventos Raros cayó a 0.341), confirmando que el modelado explícito de estados es esencial. Eliminar el Agente de Evaluación de Consistencia también redujo el PR-AUC (a 0.703) e incrementó el AUC de C2ST (a 0.567), resaltando la necesidad de la validación de ciclo cerrado.
• Eficiencia: El sistema funciona eficazmente en hardware de consumo (una sola RTX 4080 SUPER) con tiempos de ejecución de 41–52 minutos, demostrando que no se requiere infraestructura especializada.

Significado y Reivindicaciones

El artículo sostiene que los registros de ejecución codifican implícitamente una base de datos relacional gobernada por una máquina de estados latente. La recuperación de esta estructura permite una generación de datos sintéticos reglamentada que es tanto robusta como interpretable.

Los autores enfatizan que las mejoras en el desempeño no se deben meramente al uso de modelos de lenguaje más grandes o al aumento del volumen de datos. En su lugar, las mejoras provienen de la integración arquitectónica del análisis de ejecución, el descubrimiento de estados, la inducción de esquemas y la síntesis relacional consciente de las restricciones dentro de un marco multi-agente de ciclo cerrado. Este enfoque asegura la corrección estructural y el realismo distribucional, abordando la limitación fundamental de los métodos existentes que ignoran la estructura relacional y de proceso de las ejecuciones de software. El trabajo sugiere una dirección prometedora para generar datos sintéticos conscientes de la ejecución para mejorar la detección de anomalías en sistemas de software complejos y distribuidos.