Technische Samenvatting: SAGE – Een Multi-Agent LLM Framework voor Gestructureerde Tijdsreeksanomaliediagnose

1. Probleemstelling

Tijdsreeksanomaliedetectie (TSAD) is cruciaal voor toepassingen in industriële monitoring, financiën en netwerkbeveiliging. Hoewel bestaande methoden variëren van klassieke statistiek tot diep leren, richten ze zich voornamelijk op het genereren van anomaliescores in plaats van het bieden van gestructureerde uitleg over anomalietypen of bewijs voor beslissingen. Menselijke experts diagnosticeren anomalieën doorgaans door statistieken, trends, seizoenspatronen en patroonveranderingen gezamenlijk te overwegen, maar huidige geautomatiseerde methoden slagen er vaak niet in deze perspectieven te ontleden.

Recente pogingen om Large Language Models (LLM's) in te zetten voor TSAD ondervinden aanzienlijke beperkingen. Enkele algemene LLM's worstelen met lange numerieke invoer, precieze statistische bewerkingen (bijvoorbeeld changepoint-analyse) en gelijktijdig redeneren over meerdere temporale perspectieven. Bovendien ontbreekt het bij bestaande multi-agentbenaderingen vaak aan expliciete organisatie rondom distincte anomaliefamilies (punt, structureel, seizoensgebonden, patroon), en veel methoden vertrouwen op echte anomalievoorbeelden voor in-context learning (ICL), wat vaak niet beschikbaar is in zero-shot of onbewerkte settings.

2. Methodologie: Het SAGE Framework

De auteurs stellen SAGE (Specialized Analyzer Group for Expert-like Detection) voor, een multi-agent LLM framework ontworpen voor gestructureerde anomaliediagnose in univariate tijdsreeksen. In plaats van TSAD te behandelen als een enkel scoreprobleem, ontbindt SAGE de analyse in gespecialiseerde perspectieven en aggregeert het bewijs tot een verenigde diagnostische beslissing.

2.1 Algemene Architectuur

SAGE functioneert als een hiërarchische pijplijn met vijf fasen:

1. Invoerstadium: Ontvangt een univariate tijdsreeks.
2. Representatiestadium: Implementeert een Dual Representation Strategy. De originele tijdsreeks wordt bewaard voor precieze numerieke berekening door middel van speciale tools, terwijl een gecomprimeerde samenvatting (met belangrijke statistieken en afgeronde representatieve steekproeven) wordt gebruikt voor token-efficiënte LLM-prompting. Dit vermindert het tokengebruik met ongeveer 75% voor invoer van 400 punten zonder numerieke fideliteit op te offeren.
3. Multi-Analyzer Stadium: Vier gespecialiseerde Analyzers werken parallel, elk gericht op een specifieke anomaliefamilie:
   • Point Analyzer: Detecteert globale en contextuele puntanomalieën met behulp van uitbijterdetectie (Z-score, IQR) en rollende statistieken.
   • Struct Analyzer: Identificeert trend-, gemiddelde- en variantieveranderingen met behulp van decompositie (STL), changepoint-tests (CUSUM) en segmentvergelijkingen.
   • Season Analyzer: Detecteert amplitude- en seizoensgebonden anomalieën via autocorrelatie, spectrale analyse (FFT) en tijd-frequentie representaties (Wavelet, STFT).
   • Pattern Analyzer: Identificeert patroonverschuivingen en golfvormvervormingen met behulp van symbolische representaties (SAX) en recurrentie-gebaseerde methoden (Recurrence Plots, GAF, MTF).
     Elke analyzer genereert kwantitatieve outputs en diagnostische visualisaties specifiek voor de familie.
4. Detector Stadium: Een Evidence-Grounded Detector aggregeert de heterogene outputs van de vier Analyzers. Het produceert anomalie-intervallen, kandidaattypen en confidence scores. De Detector maakt gebruik van een door een rubriek geleide scoreprotocol (schaal 0–100) dat prioriteit geeft aan kandidaten die worden ondersteund door sterke tool-outputs en overeenstemming tussen analyzers.
5. Diagnose Stadium: Een Supervisor agent converteert de gestructureerde detectieregisters naar een rapport voor de analist, inclusief alarmniveaus, redenen voor alarm, kenmerken van de tijdsreeks en aanbevolen acties.

2.2 Synthetische In-Context Learning (ICL)

Een belangrijke innovatie is de constructie van Synthetische ICL referenties. In plaats van echte anomalie-segmenten of anomalie-type labels te gebruiken als in-context voorbeelden (die vaak niet beschikbaar zijn), bouwt SAGE een database op basis van normale-referentie trainingssegmenten.

• Representatieve normale subsequenties worden geëxtraheerd via k-medoids clustering.
• Op regel gebaseerde perturbaties worden toegepast op deze normale prototypes om synthetische contrastieve paren te genereren voor negen specifieke anomalietypen.
• Tijdens inferentie haalt het systeem de top-k meest vergelijkbare normale prototypes op met Dynamic Time Warping (DTW) en selecteert het synthetische contrastieve referenties op basis van de anomalietype-kandidaten die door de Analyzers worden voorgesteld.
• Deze aanpak stelt de Detector in staat confidence scoring en type-ranking uit te voeren zonder te vertrouwen op echte anomaliedemonstraties of labels van de testset.

3. Belangrijkste Bijdragen

1. Hervorming van TSAD: Het artikel herformuleert tijdsreeksanomaliedetectie als een gestructureerde diagnoseopdracht, waarbij de analyse wordt ontbonden op basis van bewijspatronen om intervallen, confidence scores, anomalietypen en diagnostische outputs te produceren.
2. Gespecialiseerde Multi-Agent Architectuur: SAGE introduceert vier gespecialiseerde Analyzers voor punt-, structurele, seizoensgebonden en patroonanomalieën, gekoppeld aan een evidence-grounded Detector die heterogene tool-bewijzen aggregeert.
3. Synthetische ICL Strategie: Het framework bouwt synthetische in-context voorbeelden op basis van normale-referentie trainingssegmenten, waardoor de behoefte aan echte anomalie-segmenten of anomalie-type labels als in-context voorbeelden wordt vermeden.
4. Uitgebreide Evaluatie: De auteurs tonen verbeterde detectieprestaties en diagnostisch nut aan over drie benchmarks, ablatiestudies, synthetische type-evaluaties en menselijke evaluaties.

4. Experimentele Resultaten

De auteurs evalueerden SAGE op drie representatieve TSAD benchmarkdatasets: Yahoo S5 (webverkeer), KPI (IT-infrastructuur) en WSD (webdiensten-metrics).

• Prestaties: SAGE behaalde de beste gemiddelde prestaties over alle metrieken (Point-F1, PA-F1, Affiliation-F1, Delayed-F1) in vergelijking met sterke ML/DL baselines (bijvoorbeeld Isolation Forest, LSTM-AE, Anomaly Transformer) en recente op LLM/VLM gebaseerde methoden (bijvoorbeeld LLMAD, TAMA, TSAD-Agents).
  • Gemiddeld verbeterde SAGE de Point-F1 met 43,8% ten opzichte van de beste deep learning baseline (LSTM-VAE) en met 44,1% ten opzichte van de beste LLM baseline (LLMAD).
  • SAGE toonde bijzonder sterke winsten op operationele datasets (KPI en WSD), wat de effectiviteit aangeeft van het ontbinden van analyse in gespecialiseerde bewijsgeneratie.
• Type-niveau Analyse: Met behulp van een synthetische evaluatieset met gecontroleerde anomalie-injecties, toonde SAGE hoge type-overeenstemming voor structurele veranderingen (93%) en hoge detectierecall voor patroonanomalieën (97%). Hoewel de recall voor seizoensdetectie lager was (54%), bood het framework nuttige diagnostische aanwijzingen.
• Ablatiestudies: Het verwijderen van tool-augmentatie of multi-analyzer specialisatie degradeerde de prestaties aanzienlijk op de diverse Yahoo-dataset, wat bevestigt dat de winsten worden gedreven door kwantitatieve tools en gespecialiseerde analyse en niet alleen door LLM-prompting. Op operationele datasets speelden visueel bewijs en synthetische ICL een grotere rol.
• Menselijke Evaluatie: In een blinde evaluatie door 10 technisch ervaren experts, behaalde SAGE de hoogste rangschikking over alle vier criteria: Nauwkeurigheid, Validiteit, Duidelijkheid en Bruikbaarheid. Het werd vooral geprezen om het bieden van coherente, interpreteerbare diagnoses met uitvoerbare aanbevelingen, en presteerde beter dan baselines zoals LLMAD en TSAD-Agents.

5. Betekenis en Claims

Het artikel stelt dat gestructureerde bewijsgeneratie een veelbelovende richting is om LLM-gebaseerde tijdsreeksanomaliedetectie beter controleerbaar en interpreteerbaar te maken. Door diagnostische perspectieven te scheiden in gespecialiseerde analyses en hun bewijs te integreren, adresseert SAGE de beperkingen van single-model inferentie en grove multi-agent decompositie.

De auteurs benadrukken dat SAGE het paradigma verschuift van directe anomalie-inferentie naar gestructureerde diagnose, waarbij niet alleen "waar" een anomalie is wordt aangegeven, maar ook "wat" het is en "waarom" het werd gedetecteerd. Het gebruik van synthetische ICL afgeleid van normale data vermindert de afhankelijkheid van schaarse of niet-beschikbare echte anomalievoorbeelden, waardoor het framework beter toepasbaar is op zero-shot scenario's.

Beperkingen en Toekomstig Werk:
De auteurs erkennen dat het huidige framework beperkt is tot univariate tijdsreeksen en hoge rekenkosten met zich meebrengt door meerdere LLM-aanroepen per venster. Bovendien kunnen op regels gebaseerde synthetische perturbaties niet alle real-world faalmodi dekken, met name subtiele systeemspecifieke anomalieën. Er wordt voorgesteld om in toekomstig werk adaptieve filtering te onderzoeken, het framework uit te breiden naar multivariate tijdsreeksen en fijnkorrelige lokalisatie te verbeteren. De auteurs presenteren SAGE als een beslissingshulpmiddel voor menselijke analisten in plaats van een autonoom controlesysteem, en wijzen op de noodzaak van domeinvvalidatie en menselijk toezicht in veiligheidskritieke toepassingen.