技術概要：SAGE – 構造化時系列異常診断のためのマルチエージェント LLM フレームワーク

1. 問題定義

時系列異常検出（TSAD）は、産業監視、金融、ネットワークセキュリティにおける応用において不可欠である。既存の手法は古典的な統計から深層学習まで多岐にわたるが、それらの多くは異常スコアの生成に焦点を当てており、異常の種類や判断根拠に関する構造化された説明を提供することには注力していない。人間の専門家は通常、統計、傾向、季節性、パターン変化を総合的に考慮して異常を診断するが、現在の自動化手法はこれらの視点を分解して処理することに失敗することが多い。

最近、大規模言語モデル（LLM）を TSAD に活用しようとする試みは、重大な限界に直面している。単一の汎用 LLM は、長い数値入力、正確な統計演算（例えば、変化点分析）、および複数の時間的視点にわたる同時推論において困難をきたす。さらに、既存のマルチエージェント手法は、点、構造的、季節的、パターンという異なる異常ファミリーを中心に明確に組織化されていないことが多く、多くの手法はコンテキスト内学習（ICL）のために実際の異常事例に依存している。これは、ゼロショットまたは教師なし設定ではしばしば利用不可能である。

2. 手法：SAGE フレームワーク

著者は、単変量時系列における構造化された異常診断のために設計されたマルチエージェント LLM フレームワークであるSAGE（Specialized Analyzer Group for Expert-like Detection）を提案する。SAGE は、TSAD を単一のスコアリング問題として扱うのではなく、分析を専門的な視点に分解し、証拠を統合された診断判断に集約する。

2.1 全体アーキテクチャ

SAGE は、5 つの段階からなる階層的パイプラインとして機能する：

1. 入力段階：単変量時系列を受信する。
2. 表現段階：二重表現戦略を実装する。元の時系列は、専用ツールによる正確な数値計算のために保持され、一方、要約されたサマリー（主要な統計量と丸められた代表サンプルを含む）は、トークン効率の高い LLM プロンプトに使用される。これにより、400 点の入力に対して数値忠実性を損なうことなく、トークン使用量を約 75% 削減する。
3. マルチアナライザ段階：4 つの専門的なアナライザが並列に動作し、それぞれが特定の異常ファミリーを対象とする：
   • ポイントアナライザ：外れ値検出（Z スコア、IQR）とローリング統計を用いて、グローバルおよびコンテキスト的な点異常を検出する。
   • ストラクアナライザ：分解（STL）、変化点テスト（CUSUM）、セグメント比較を用いて、傾向、平均、分散の変化を特定する。
   • シーズンアナライザ：自己相関、スペクトル分析（FFT）、時間 - 周波数表現（ウェーブレット、STFT）を介して、振幅および季節性の異常を検出する。
   • パターンアナライザ：記号的表現（SAX）および再帰に基づく手法（再帰プロット、GAF、MTF）を用いて、パターンのシフトと波形の歪みを特定する。
     各アナライザは、ファミリー固有の定量的出力と診断用可視化を生成する。
4. 検出器段階：証拠に基づく検出器が、4 つのアナライザからの異質な出力を集約する。これは、異常区間、候補タイプ、および信頼度スコアを生成する。検出器は、強力なツール出力とアナライザ間の合意によって支持される候補を優先する、0〜100 スケールのルブリックガイド付きスコアリングプロトコルを使用する。
5. 診断段階：スーパーバイザエージェントは、構造化された検出記録を分析者向けのレポートに変換し、アラートレベル、警報の根拠、時系列特性、および推奨されるアクションを含む。

2.2 合成コンテキスト内学習（ICL）

重要な革新は、合成 ICL参照の構築にある。コンテキスト内例として実際の異常セグメントや異常タイプラベルを使用する代わりに（これらはしばしば利用不可能である）、SAGE は正常参照トレーニングセグメントからデータベースを構築する。

• 代表的な正常部分系列は、k-medoids クラスタリングを介して抽出される。
• ルールベースの摂動がこれらの正常プロトタイプに適用され、9 つの特定の異常タイプに対する合成の対照ペアが生成される。
• 推論時、システムは動的時間 warping（DTW）を使用して最も類似した上位 k 個の正常プロトタイプを検索し、アナライザによって提案された異常タイプ候補に基づいて合成対照参照を選択する。
• このアプローチにより、検出器は実際の異常デモンストレーションやテストセットラベルに依存することなく、信頼度スコアリングとタイプ順位付けを実行できる。

3. 主要な貢献

1. TSAD の再定義：本論文は、時系列異常検出を構造化された診断タスクとして再定義し、証拠パターンによって分析を分解することで、区間、信頼度スコア、異常タイプ、および診断出力を生成する。
2. 専門的多エージェントアーキテクチャ：SAGE は、点、構造的、季節的、パターン異常のための 4 つの専門アナライザを導入し、異質なツール証拠を集約する証拠に基づく検出器と組み合わせている。
3. 合成 ICL 戦略：このフレームワークは、正常参照トレーニングセグメントから合成コンテキスト内例を構築し、実際の異常セグメントや異常タイプラベルをコンテキスト内例として必要としない。
4. 包括的な評価：著者は、3 つのベンチマーク、アブレーション研究、合成タイプ評価、および人間評価を通じて、検出性能と診断有用性の向上を実証した。

4. 実験結果

著者は、SAGE を 3 つの代表的な TSAD ベンチマークデータセット：Yahoo S5（ウェブトラフィック）、KPI（IT インフラ）、WSD（ウェブサービスメトリクス）で評価した。

• 性能：SAGE は、強力な ML/DL ベースライン（例：Isolation Forest、LSTM-AE、Anomaly Transformer）および最近の LLM/VLM ベースの手法（例：LLMAD、TAMA、TSAD-Agents）と比較して、すべての指標（Point-F1、PA-F1、Affiliation-F1、Delayed-F1）で平均して最高の性能を達成した。
  • 平均して、SAGE は最良の深層学習ベースライン（LSTM-VAE）に対して Point-F1 を 43.8% 改善し、最良の LLM ベースライン（LLMAD）に対して 44.1% 改善した。
  • SAGE は、運用データセット（KPI および WSD）で特に顕著な改善を示し、分析を専門的な証拠生成に分解することの有効性を示している。
• タイプレベル分析：制御された異常注入を伴う合成評価セットを使用して、SAGE は構造的変化に対して高いタイプ一致率（93%）を、パターン異常に対して高い検出再現率（97%）を示した。季節性の検出再現率は低い（54%）ものの、フレームワークは有用な診断の手がかりを提供した。
• アブレーション研究：ツール拡張またはマルチアナライザ専門性を除去すると、多様な Yahoo データセットでの性能が著しく低下し、改善が LLM プロンプト単独ではなく、定量的ツールと専門的分析によって駆動されていることが確認された。運用データセットでは、視覚的証拠と合成 ICL がより大きな役割を果たした。
• 人間評価：10 名の技術的に経験豊富な専門家によるブラインド評価において、SAGE は精度、妥当性、明瞭さ、有用性のすべての基準で最高位にランクインした。特に、LLMAD や TSAD-Agents などのベースラインを上回る、実行可能な推奨事項を伴う一貫性のある解釈可能な診断を提供した点が高く評価された。

5. 意義と主張

本論文は、構造化された証拠生成が、LLM ベースの時系列異常検出をより制御可能で解釈可能にする有望な方向性であると主張する。診断的視点を専門的分析に分離し、その証拠を統合することで、SAGE は単一モデル推論と粗いマルチエージェント分解の限界に対処する。

著者は、SAGE が直接異常推論から構造化診断へとパラダイムを転換し、異常が「どこ」にあるかだけでなく、「何」であり、「なぜ」検出されたかを提示することを強調している。正常データから派生した合成 ICL の使用は、希少または利用不可能な実際の異常例への依存を減らし、フレームワークをゼロショットシナリオにより適用可能にする。

限界と今後の課題：
著者は、現在のフレームワークが単変量時系列に限定されており、ウィンドウあたりの複数の LLM 呼び出しにより高い計算コストを伴うことを認めている。さらに、ルールベースの合成摂動は、特に微妙なシステム固有の異常を含む、すべての現実世界の故障モードを網羅していない可能性がある。今後の課題として、適応的フィルタリングの探求、フレームワークの多変量時系列への拡張、および微細な局所化の改善が提案されている。著者は、SAGE を自律制御システムではなく、人間の分析家向けの意思決定支援ツールとして位置づけ、安全性が重要なアプリケーションにおけるドメイン検証と人間の監督の必要性を指摘している。