Riepilogo Tecnico: SAGE – Un Framework LLM Multi-Agente per la Diagnosi Strutturata di Anomalie nelle Serie Temporali

1. Enunciato del Problema

La rilevazione di anomalie nelle serie temporali (TSAD) è fondamentale per applicazioni nel monitoraggio industriale, nelle finanze e nella sicurezza di rete. Sebbene i metodi esistenti spazino dalla statistica classica al deep learning, si concentrano prevalentemente sulla generazione di punteggi di anomalia piuttosto che sulla fornitura di spiegazioni strutturate dei tipi di anomalia o delle evidenze decisionali. Gli esperti umani diagnosticano solitamente le anomalie considerando congiuntamente statistiche, tendenze, stagionalità e cambiamenti di pattern, tuttavia i metodi automatizzati attuali spesso non riescono a decomporre queste prospettive.

I recenti tentativi di sfruttare i Large Language Models (LLM) per la TSAD incontrano limitazioni significative. I singoli LLM generici faticano con input numerici lunghi, operazioni statistiche precise (ad esempio, analisi dei punti di cambiamento) e il ragionamento simultaneo attraverso molteplici prospettive temporali. Inoltre, gli approcci multi-agente esistenti spesso mancano di un'organizzazione esplicita attorno a distinte famiglie di anomalie (puntuali, strutturali, stagionali, di pattern), e molti si affidano a esempi reali di anomalie per l'apprendimento in contesto (ICL), che spesso non sono disponibili in contesti zero-shot o non supervisionati.

2. Metodologia: Il Framework SAGE

Gli autori propongono SAGE (Specialized Analyzer Group for Expert-like Detection), un framework LLM multi-agente progettato per la diagnosi strutturata di anomalie in serie temporali univariate. Invece di trattare la TSAD come un singolo problema di punteggio, SAGE scompone l'analisi in prospettive specializzate e aggrega le evidenze in una decisione diagnostica unificata.

2.1 Architettura Generale

SAGE opera come una pipeline gerarchica con cinque stadi:

1. Stadio di Input: Riceve una serie temporale univariata.
2. Stadio di Rappresentazione: Implementa una Strategia di Doppia Rappresentazione. La serie temporale originale è preservata per il calcolo numerico preciso tramite strumenti dedicati, mentre un riassunto compresso (contenente statistiche chiave e campioni rappresentativi arrotondati) è utilizzato per il prompting efficiente in token degli LLM. Ciò riduce l'uso di token di circa il 75% per input di 400 punti senza sacrificare la fedeltà numerica.
3. Stadio Multi-Analizzatore: Quattro Analizzatori specializzati operano in parallelo, ciascuno mirato a una specifica famiglia di anomalie:
   • Analizzatore Puntuale: Rileva anomalie puntuali globali e contestuali utilizzando il rilevamento di outlier (Z-score, IQR) e statistiche mobili.
   • Analizzatore Strutturale: Identifica cambiamenti di tendenza, media e varianza utilizzando la decomposizione (STL), test di punti di cambiamento (CUSUM) e confronti di segmenti.
   • Analizzatore Stagionale: Rileva anomalie di ampiezza e stagionalità tramite autocorrelazione, analisi spettrale (FFT) e rappresentazioni tempo-frequenza (Wavelet, STFT).
   • Analizzatore di Pattern: Identifica spostamenti di pattern e distorsioni della forma d'onda utilizzando rappresentazioni simboliche (SAX) e metodi basati sulla ricorrenza (Recurrence Plots, GAF, MTF).
     Ogni analizzatore genera output quantitativi specifici per la famiglia e visualizzazioni diagnostiche.
4. Stadio Rilevatore: Un Rilevatore Basato su Evidenze aggrega gli output eterogenei dei quattro Analizzatori. Produce intervalli di anomalia, tipi candidati e punteggi di confidenza. Il Rilevatore utilizza un protocollo di punteggio guidato da una rubrica (scala 0–100) che priorizza i candidati supportati da forti output degli strumenti e accordo tra gli analizzatori.
5. Stadio Diagnosi: Un agente Supervisore converte i record di rilevamento strutturati in un rapporto rivolto all'analista, inclusi livelli di allerta, motivazioni dell'allarme, caratteristiche della serie temporale e azioni raccomandate.

2.2 Apprendimento in Contesto Sintetico (ICL)

Un'innovazione chiave è la costruzione di riferimenti ICL Sintetici. Invece di utilizzare segmenti anomali reali o etichette di tipo di anomalia come esempi in contesto (spesso non disponibili), SAGE costruisce un database da segmenti di training di riferimento normali.

• Sottosequenze normali rappresentative sono estratte tramite clustering k-medoids.
• Perturbazioni basate su regole sono applicate a questi prototipi normali per generare coppie contrastive sintetiche per nove specifici tipi di anomalia.
• Durante l'inferenza, il sistema recupera i top-k prototipi normali più simili utilizzando la Warping Temporale Dinamica (DTW) e seleziona riferimenti contrastivi sintetici basati sui candidati di tipo di anomalia proposti dagli Analizzatori.
• Questo approccio permette al Rilevatore di eseguire la valutazione della confidenza e il ranking dei tipi senza fare affidamento su dimostrazioni reali di anomalie o etichette del set di test.

3. Contributi Chiave

1. Riformulazione della TSAD: Il documento ripropone la rilevazione di anomalie nelle serie temporali come un compito di diagnosi strutturata, decomponendo l'analisi per pattern di evidenza per produrre intervalli, punteggi di confidenza, tipi di anomalia e output diagnostici.
2. Architettura Multi-Agente Specializzata: SAGE introduce quattro Analizzatori specializzati per anomalie puntuali, strutturali, stagionali e di pattern, accoppiati a un Rilevatore basato su evidenze che aggrega evidenze eterogenee degli strumenti.
3. Strategia ICL Sintetica: Il framework costruisce esempi in contesto sintetici da segmenti di training di riferimento normali, evitando la necessità di segmenti anomali reali o etichette di tipo di anomalia come esempi in contesto.
4. Valutazione Completa: Gli autori dimostrano prestazioni di rilevamento migliorate e utilità diagnostica su tre benchmark, studi di ablazione, valutazioni di tipo sintetico e valutazioni umane.

4. Risultati Sperimentali

Gli autori hanno valutato SAGE su tre dataset di benchmark TSAD rappresentativi: Yahoo S5 (traffico web), KPI (infrastruttura IT) e WSD (metriche di servizi web).

• Prestazioni: SAGE ha ottenuto le migliori prestazioni medie su tutte le metriche (Point-F1, PA-F1, Affiliation-F1, Delayed-F1) rispetto a forti baseline ML/DL (ad esempio, Isolation Forest, LSTM-AE, Anomaly Transformer) e recenti metodi basati su LLM/VLM (ad esempio, LLMAD, TAMA, TSAD-Agents).
  • In media, SAGE ha migliorato il Point-F1 del 43,8% rispetto alla migliore baseline di deep learning (LSTM-VAE) e del 44,1% rispetto alla migliore baseline LLM (LLMAD).
  • SAGE ha mostrato guadagni particolarmente forti su dataset operativi (KPI e WSD), indicando l'efficacia della decomposizione dell'analisi in generazione di evidenze specializzate.
• Analisi a Livello di Tipo: Utilizzando un set di valutazione sintetico con iniezioni controllate di anomalie, SAGE ha dimostrato un alto accordo sui tipi per cambiamenti strutturali (93%) e un alto richiamo di rilevamento per anomalie di pattern (97%). Sebbene il richiamo di rilevamento stagionale fosse inferiore (54%), il framework ha fornito indicazioni diagnostiche utili.
• Studi di Ablazione: La rimozione dell'aumento degli strumenti o della specializzazione multi-analizzatore ha degradato significativamente le prestazioni sul dataset Yahoo diversificato, confermando che i guadagni sono guidati da strumenti quantitativi e analisi specializzate piuttosto che dal solo prompting LLM. Sui dataset operativi, le evidenze visive e l'ICL sintetico hanno svolto ruoli più grandi.
• Valutazione Umana: In una valutazione in cieco condotta da 10 esperti tecnicamente esperti, SAGE si è classificato al primo posto su tutti e quattro i criteri: Accuratezza, Validità, Chiarezza e Utilità. È stato particolarmente elogiato per fornire diagnosi coerenti e interpretabili con raccomandazioni attuabili, superando baseline come LLMAD e TSAD-Agents.

5. Significato e Affermazioni

Il documento afferma che la generazione di evidenze strutturate è una direzione promettente per rendere la rilevazione di anomalie nelle serie temporali basata su LLM più controllabile e interpretabile. Separando le prospettive diagnostiche in analisi specializzate e integrando le loro evidenze, SAGE affronta le limitazioni dell'inferenza con modelli singoli e della decomposizione multi-agente grossolana.

Gli autori sottolineano che SAGE sposta il paradigma dall'inferenza diretta di anomalie verso la diagnosi strutturata, fornendo non solo "dove" si trova un'anomalia, ma "cosa" è e "perché" è stata rilevata. L'uso di ICL sintetico derivato da dati normali riduce la dipendenza da esempi reali di anomalie scarsi o non disponibili, rendendo il framework più applicabile a scenari zero-shot.

Limitazioni e Lavori Futuri:
Gli autori riconoscono che il framework attuale è limitato alle serie temporali univariate e comporta costi computazionali elevati a causa di molteplici chiamate LLM per finestra. Inoltre, le perturbazioni sintetiche basate su regole potrebbero non coprire tutti i modi di guasto reali, in particolare le anomalie sottili specifiche del sistema. È proposto un lavoro futuro per esplorare il filtraggio adattivo, estendere il framework alle serie temporali multivariate e migliorare la localizzazione fine. Gli autori inquadrano SAGE come uno strumento di supporto decisionale per analisti umani piuttosto che come un sistema di controllo autonomo, notando la necessità di validazione di dominio e supervisione umana in applicazioni critiche per la sicurezza.