Riepilogo Tecnico: CelerLog: Analisi Rapida dei Log tramite Instradamento Dinamico

Enunciato del Problema

L'analisi dei log è un prerequisito per l'analisi automatizzata dei sistemi, trasformando messaggi di log grezzi e semi-strutturati in formati strutturati composti da modelli statici e parametri dinamici. Sebbene i parser basati sulla sintassi (ad esempio Drain) offrano elevata efficienza, spesso mancano del ragionamento semantico necessario per gestire pattern di log complessi o in evoluzione, portando a una minore accuratezza. Al contrario, i nuovi parser semantici basati su LLM raggiungono un'accuratezza superiore sfruttando la comprensione del linguaggio naturale, ma soffrono di latenze e costi finanziari proibitivi. Questi costi derivano da un difetto fondamentale di progettazione: l'applicazione di un'inferenza semantica pesante a ogni messaggio di log, indipendentemente dal fatto che tale complessità sia necessaria. Le strategie di ottimizzazione esistenti, come la memorizzazione nella cache o il campionamento, non affrontano la causa radice: l'incapacità di distinguere i log che richiedono ragionamento semantico da quelli che possono essere risolti tramite una semplice analisi statistica.

Metodologia

Gli autori propongono CelerLog, un parser ibrido di log che instrada dinamicamente i log al motore di elaborazione più appropriato in base alle loro caratteristiche statistiche. L'idea centrale è che la stragrande maggioranza dei log presenta pattern ripetitivi con parametri variabili (gruppi densi) che possono essere analizzati tramite analisi statistica, mentre solo una minoranza di log manca di tali pattern (gruppi sparsi) e richiede inferenza semantica basata su LLM.

CelerLog è composto da tre componenti principali:

1. Instradatore Dinamico

L'instradatore funge da controllore del traffico, classificando i log in ingresso in gruppi densi e sparsi attraverso un processo in due fasi:

• Raggruppamento in Due Fasi basato su Scheletri Mascherati:
  • Raggruppamento basato su Scheletri Mascherati: I log grezzi vengono pre-elaborati per mascherare i token variabili (numeri, stringhe, ecc.) in segnaposto designati (ad esempio <NUM>, <UCL>), creando "scheletri mascherati". I log che condividono scheletri identici vengono raggruppati.
  • Raggruppamento basato sulla Lunghezza: Questi gruppi di scheletri vengono ulteriormente aggregati in "secchi" (bucket) in base alla loro lunghezza in token, poiché i log provenienti dallo stesso modello condividono tipicamente la stessa lunghezza.
• Fusione basata su Ancoraggi: All'interno di ogni secchio, l'instradatore identifica i gruppi "ancora" (quelli con il conteggio più alto di log unici). Successivamente, calcola la Similarità Jaccard Consapevole della Posizione tra l'ancora e gli altri gruppi.
  • Una soglia di similarità dinamica viene derivata dalla "Curva del Rapporto dei Singoli" (Singleton Ratio Curve) per determinare il taglio ottimale per la fusione, prevenendo fusioni eccessive pur catturando pattern validi.
  • Un controllo leggero del verbo garantisce la coerenza semantica (ad esempio, assicurando che il verbo d'azione principale sia condiviso).
  • I gruppi che si fondono con successo con un'ancora vengono classificati come gruppi di log densi. I gruppi non fusi vengono classificati come gruppi di log sparsi.

2. Processore Statistico (Percorso Veloce)

I gruppi di log densi vengono instradati a questo modulo efficiente. Invece di invocare un LLM, esegue una semplice analisi statistica:

• Allinea i log nel gruppo e analizza la distribuzione dei valori in ogni posizione del token.
• Le posizioni contenenti valori distinti multipli vengono identificate come parametri e mascherate con jolly (ad esempio <*>).
• Le posizioni con valori singoli vengono mantenute come parti del modello statico.
• Questo processo produce il modello finale e i parametri con un minimo sovraccarico computazionale e zero rischio di allucinazione da parte dell'LLM.

3. Processore basato su LLM (Percorso Lento)

I gruppi di log sparsi, che mancano di segnali statistici sufficienti, vengono instradati a un LLM.

• Progettazione del Compito: Per minimizzare l'allucinazione e i costi, all'LLM non viene chiesto di generare l'intero modello. Invece, viene sollecitato a eseguire l'identificazione delle variabili, restituendo un elenco di stringhe di variabili esatte trovate nel log.
• Verifica: Il sistema verifica che le variabili identificate esistano nel log originale prima di mascherarle per generare il modello finale. Se l'LLM fallisce o produce un output non valido, il sistema torna al log originale per prevenire errori.
• Parallelismo: Per gestire la scalabilità, CelerLog impiega il parallelismo dei dati per la fase di instradamento (elaborando i secchi attraverso i core della CPU) e I/O asincrono per la fase LLM (raggruppando le richieste).

Contributi Chiave

1. Intuizione sulla Distribuzione dei Log: Gli autori identificano che il collo di bottiglia nei parser basati su LLM esistenti è l'applicazione uniforme dell'inferenza semantica. Dimostrano che la maggior parte dei log possiede pattern statistici ripetitivi sufficienti per l'analisi senza LLM.
2. Categorizzazione Densa vs Sparsa: Il documento definisce formalmente i gruppi di log densi (ricchi di variazione statistica) e i gruppi di log sparsi (statici o isolati), proponendo una strategia ibrida per sfruttare questa distinzione.
3. Framework CelerLog: L'introduzione di un meccanismo di instradamento dinamico che indirizza i log a un processore statistico veloce o a un processore basato su LLM, massimizzando sia l'efficienza che l'efficacia.
4. Valutazione Completa: Esperimenti estensivi su 14 dataset pubblici che dimostrano che CelerLog supera le linee di base dello stato dell'arte in termini di accuratezza, riducendo drasticamente tempo e costi.

Risultati Sperimentali

Valutato su 14 dataset pubblici (inclusi Apache, HPC, OpenSSH e Zookeeper), CelerLog dimostra una superiorità significativa rispetto sia alle basi di riferimento basate sulla sintassi (Drain, AEL, Brain) che a quelle basate su LLM (LILAC, LogBatcher, LUNAR):

• Efficacia: CelerLog raggiunge una Precisione di Raggruppamento (GA) media di 0,927 e una Precisione di Analisi (PA) di 0,875, superando la migliore linea di base basata su LLM (LogBatcher) con un margine significativo nella PA (0,875 contro 0,786).
• Efficienza:
  • CelerLog è da 7,9× a 18,6× più veloce dei metodi basati su LLM.
  • In modo notevole, la versione parallela di CelerLog è fino a 1,5× più veloce del parser basato sulla sintassi Drain, ampiamente adottato.
• Riduzione dei Costi:
  • Consumo di Token: Ridotto dell'80,2%–94,1% rispetto ai metodi LLM (ad esempio, da ~207k token per LUNAR a ~12k per CelerLog).
  • Invocazioni LLM: Ridotte dell'86,4%–90,9% (ad esempio, da ~370 invocazioni per LUNAR a ~34 per CelerLog).
• Robustezza: Gli studi di ablazione confermano che rimuovere l'instradatore o il processore statistico degrada gravemente le prestazioni o aumenta i costi. L'analisi di sensibilità mostra che CelerLog è robusto alle impostazioni degli iperparametri (soglie di similarità e selezione top-k). Inoltre, il sistema mantiene prestazioni stabili su vari LLM di base, dai modelli grandi (Gemini-3-pro) a quelli più piccoli (Qwen3-8b).

Significato

Il documento afferma che CelerLog stabilisce una nuova frontiera di Pareto per l'analisi dei log, offrendo una soluzione simultaneamente altamente accurata ed economicamente vantaggiosa. Riconoscendo che non tutti i log richiedono una comprensione semantica complessa, CelerLog colma il divario tra la velocità dei parser basati sulla sintassi e l'accuratezza dei parser semantici. Gli autori posizionano questo lavoro come un abilitatore pratico per l'analisi dei log su larga scala nel mondo reale, dove i costi proibitivi degli approcci attuali basati su LLM hanno finora limitato il loro dispiegamento. L'approccio ibrido garantisce che le costose risorse LLM siano riservate solo ai log che ne hanno genuinamente bisogno, rendendo l'analisi automatizzata dei log scalabile ed economicamente sostenibile.