技術要約：異常検知のための、状態遷移マシンに導かれたログからの多重関係型合成データ生成

問題の定式化

現代のソフトウェアシステムは、挙動、失敗、およびコンポーネント間の相互作用を記録する、膨大な量の非構造化実行ログを生成する。これらのログは異常検知において中心的役割を果たすが、既存の手法は主に、イベントテンプレートの平坦なシーケンスとしてこれらを扱う。このアプローチは、実行がどのように進化するかを支配する、潜在的な関係的実行構造（制御フロー、状態遷移、およびパラメータ、リソース、コンポーネント間の依存関係）を見落としている。

現在のログ合成および拡張技術は、多くの場合、テンプレートまたはシーケンスのレベルで動作しており、基礎となる実行セマンティクスを尊重できていない。その結果、非現実的または構造的に無効なトレースを頻繁に生成してしまい、複雑な故障モードへの汎化が困難となっている。さらに、大規模言語モデル（LLM）は非構造化テキストの理解において有望であるものの、ログ合成のためにシングルパス（一回限りの処理）で適用することは、コンテキストウィンドウの制限、構造的保証の欠如、および複雑な実行トレースを生成する際のハルシネーション（幻覚）への脆弱性の観点から不十分である。解決すべき核心的な課題は、生のログから潜在的な実行構造を発見することと、その構造を用いて多テーブルの関係型合成データを原理に基づき生成することの結合である。

手法：LogSynthFSM

著者らは、潜在的な実行構造を発見し、多重関係型合成データを生成するために設計された、協調的なマルチエージェントLLMフレームワークであるLogSynthFSMを提案する。本システムは、合成タスクを、クローズドループ・パイプライン内で動作する特化したエージェントへと分解する：

1. 実行パース・エージェント (Execution Parsing Agent): 生の非構造化ログを、テンプレート、パラメータ、タイムスタンプを抽出した構造化されたイベント表現 ($e_i = (t_i, \theta_i, \tau_i)$) に変換する。これは、語彙的なノイズを低減し、LLMのコンテキスト制限を緩和するための圧縮演算として機能する。
2. 状態発見エージェント (State Discovery Agent): 構造化されたイベントシーケンスから、潜在的な有限状態マシン (FSM) ($F = (S, A, \delta)$) を推論する。イベントを状態へとグループ化し、結果として得られるシーケンスがマルコフ性を満たすようにすることで、表現力と識別性のバランスを取り、システムの制御フローを復元する。
3. スキーマ誘導エージェント (Schema Induction Agent): 推論されたFSMを、明示的な多重テーブル関係型スキーマ ($R$) へと変換する。このスキーマには、トレース、イベント、状態、遷移、およびパラメータのためのテーブルが含まれ、主キーおよび外部キー制約によって接続されている。この因数分解により、制御フローと状態条件付き属性を分離し、構造的な忠実性を確保する。
4. 関係型合成エージェント (Relational Synthesis Agent): 推論されたFSMから有効な状態パスをサンプリングし、状態固有の分布に基づいたイベント/パラメータレコードを合成することで、関係型データを生成する。このエージェントは、FSMの構造的および時間的制約を厳格に遵守しながら、稀ではあるが有効な実行挙動を増幅させる。
5. 整合性評価エージェント (Consistency Evaluation Agent): 生成されたデータを以下の3つの次元で評価する：
   • 構造的一貫性 (Structural Consistency): スキーマ制約（キー、順序、有効な遷移）を検証する。
   • プロセス的一貫性 (Process Consistency): 実行が法的なFSMのトラバーサルに対応していることを確認する。
   • 分布的一貫性 (Distributional Consistency): 属性分布を実データと比較し、ドリフトを検出する。
     このエージェントは、無効またはハルシネーションによる出力をフィルタリングするためのフィードバックを提供し、反復的な洗練をガイドする。

本フレームワークは、整合性評価エージェントが推論されたFSMおよびスキーマに対して生成データのバッチを検証し、構造的に妥当かつ分布的に現実的なデータのみがダウンストリームでの使用のために保持されることを保証する、反復ループとして動作する。

主な貢献

• 潜在構造の発見: 本論文は、実行ログが潜在的な状態マシンによって支配される関係型データベースを暗黙的にエンコードしており、システムのアーキテクチャに関する事前知識なしに、生のログから直接これを復元できることを示している。
• マルチエージェント・フレームワーク: 複雑なログ合成タスクを、検証可能なステージ（パース、状態発見、スキーマ誘導、合成、評価）へと分解する新しいマルチエージェント・アーキテクチャを導入し、シングルパスのLLM生成の限界を克服している。
• 関係型合成データ: シーケンスベースの拡張とは異なり、LogSynthFSMは、グローバルなプロセスセマンティクス、時間的順序、およびエンティティ間の依存関係を保持する多重テーブルの関係型データを生成する。
• 制約を考慮した生成: 復元されたFSMを生成的な事前分布として用いることで、合成データが厳格な実行制約に従うことを保証し、意味的に不整合なトレースの生成を防ぐ。

実験結果

本フレームワークは、ダウンストリームの異常検知にグラフニューラルネットワーク (GNN) を用いて、4つの実世界のシステムログデータセット（BGL, Thunderbird, Hadoop, OpenStack）で評価された。

• 異常検知性能: LogSynthFSMは PR-AUC 0.742 を達成し、最強のLLMベースのベースライン（GraphMasterの0.701）および古典的な拡張手法を上回った。
• 希少事象の検出: 本手法は希少な挙動の検出を大幅に改善し、希少PR-AUCを0.438 (GraphMaster) から0.511へと向上させた。
• 構造的忠実度:
  • 遷移妥当率 (Transition Validity Rate: TVR): 0.985。これは、合成された遷移の98.5%が推論されたFSMに従って有効であることを示している。
  • 分布的類似性: $k$-gramパスのJensen–Shannonダイバージェンスは0.091に減少した（GraphMasterの0.137と比較）。これは、実実行のダイナミクスにより密接に適合していることを示している。
  • 判別可能性: Classifier Two-Sample Test (C2ST) AUCは0.503（理想的な0.50に近い）であり、合成されたトレースが実データと区別困難であることを示唆している。
• アブレーション研究: 状態発見エージェントを除去すると最も深刻な劣化が生じ（希少PR-AUCが0.341に低下）、明示的な状態モデリングが不可欠であることが確認された。整合性評価エージェントを除去した場合も、PR-AUCが低下（0.703へ）し、C2ST AUCが増加（0.567へ）したことから、クローズドループ検証の必要性が浮き彫りになった。
• 効率性: システムは、実行時間が41〜52分であり、消費者向けハードウェア（単一の RTX 4080 SUPER）で効果的に動作し、特別なインフラストラクチャを必要としないことを示している。

意義と主張

本論文は、実行ログが、潜在的な状態マシンによって支配される関係型データベースを暗黙的にエンコードしていると主張している。この構造を復元することで、堅牢かつ解釈可能な、原理に基づいた合成データ生成が可能になる。

著者らは、性能の向上は単に、より大きな言語モデルの使用やデータ量の増加によるものではないことを強調している。むしろ、その改善は、実行パース、状態発見、スキーマ誘導、および制約を考慮した関係型合成を、クローズドループのマルチエージェント・フレームワーク内にアーキテクチャとして統合していることに由来する。このアプローチは、構造的正当性と分布的な現実性を確保し、ソフトウェア実行の関係的およびプロセスレベルの構造を無視してしまう既存手法の根本的な限界に対処している。本研究は、複雑で分散型のソフトウェアシステムにおける異常検知を向上させるための、実行を考慮した合成データの生成に向けた有望な方向性を提示している。