Resumo Técnico: CelerLog: Análise Rápida de Logs via Roteamento Dinâmico

Declaração do Problema

A análise de logs é um pré-requisito para a análise automatizada de sistemas, transformando mensagens de log brutas e semiestruturadas em formatos estruturados compostos por modelos estáticos e parâmetros dinâmicos. Embora os analisadores baseados em sintaxe (por exemplo, Drain) ofereçam alta eficiência, eles frequentemente carecem do raciocínio semântico necessário para lidar com padrões de log complexos ou em evolução, resultando em menor precisão. Por outro lado, os analisadores semânticos baseados em LLMs emergentes alcançam precisão superior ao aproveitar a compreensão da linguagem natural, mas sofrem com latência e custos financeiros proibitivos. Esses custos decorrem de uma falha fundamental de design: aplicar inferência semântica pesada a cada mensagem de log, independentemente de tal complexidade ser necessária. Estratégias de otimização existentes, como cache ou amostragem, falham em abordar a causa raiz: a incapacidade de distinguir logs que exigem raciocínio semântico daqueles que podem ser resolvidos por meio de análise estatística simples.

Metodologia

Os autores propõem o CelerLog, um analisador híbrido de logs que roteia dinamicamente os logs para o motor de processamento mais adequado com base em suas características estatísticas. A ideia central é que a vasta maioria dos logs exibe padrões repetitivos com parâmetros variados (grupos densos) que podem ser analisados por meio de análise estatística, enquanto apenas uma minoria de logs carece desses padrões (grupos esparsos) e requer inferência semântica baseada em LLM.

O CelerLog consiste em três componentes principais:

1. Roteador Dinâmico

O roteador atua como um controlador de tráfego, classificando os logs de entrada em grupos densos e esparços por meio de um processo de duas etapas:

• Agrupamento em Duas Etapas:
  • Agrupamento baseado em Esqueleto Mascarado: Os logs brutos são pré-processados para mascarar tokens variáveis (números, strings, etc.) em espaços reservados designados (por exemplo, <NUM>, <UCL>), criando "esqueletos mascarados". Logs que compartilham esqueletos idênticos são agrupados.
  • Agrupamento baseado em Comprimento: Esses grupos de esqueletos são agregados em "buckets" com base em seu comprimento de token, pois logs do mesmo modelo geralmente compartilham o mesmo comprimento.
• Mesclagem baseada em Âncora: Dentro de cada bucket, o roteador identifica grupos "âncora" (aqueles com a maior contagem de logs únicos). Em seguida, calcula a Similaridade Jaccard Consciente de Posição entre a âncora e outros grupos.
  • Um limiar de similaridade dinâmico é derivado da "Curva de Razão de Singleton" para determinar o corte ótimo para mesclagem, evitando a mesclagem excessiva enquanto captura padrões válidos.
  • Uma verificação leve de verbo garante consistência semântica (por exemplo, garantindo que o verbo de ação principal seja compartilhado).
  • Grupos que mesclam com sucesso com uma âncora são classificados como grupos de logs densos. Grupos não mesclados são classificados como grupos de logs esparsos.

2. Processador Estatístico (Via Rápida)

Grupos de logs densos são roteados para este módulo eficiente. Em vez de invocar um LLM, ele realiza uma análise estatística direta:

• Alinha os logs no grupo e analisa a distribuição de valores em cada posição de token.
• Posições contendo múltiplos valores distintos são identificadas como parâmetros e mascaradas com curingas (por exemplo, <*>).
• Posições com valores únicos são mantidas como partes de modelo estático.
• Esse processo produz o modelo final e os parâmetros com sobrecarga computacional mínima e zero risco de alucinação do LLM.

3. Processador Baseado em LLM (Via Lenta)

Grupos de logs esparsos, que carecem de sinais estatísticos suficientes, são roteados para um LLM.

• Design da Tarefa: Para minimizar alucinações e custos, o LLM não é solicitado a gerar o modelo completo. Em vez disso, é instruído a realizar identificação de variáveis, retornando uma lista de strings exatas de variáveis encontradas no log.
• Verificação: O sistema verifica se as variáveis identificadas existem no log original antes de mascará-las para gerar o modelo final. Se o LLM falhar ou produzir saída inválida, o sistema reverte para o log original para prevenir erros.
• Paralelismo: Para lidar com escalabilidade, o CelerLog emprega paralelismo de dados para a fase de roteamento (processando buckets em núcleos de CPU) e I/O assíncrono para a fase de LLM (agrupando solicitações).

Contribuições Principais

1. Insight sobre a Distribuição de Logs: Os autores identificam que o gargalo nos analisadores baseados em LLMs existentes é a aplicação uniforme de inferência semântica. Eles demonstram que a maioria dos logs possui padrões estatísticos repetitivos suficientes para análise sem LLMs.
2. Categorização Densa vs. Esparsa: O artigo define formalmente grupos de logs densos (ricos em variação estatística) e grupos de logs esparsos (estáticos ou isolados), propondo uma estratégia híbrida para explorar essa distinção.
3. Estrutura CelerLog: A introdução de um mecanismo de roteamento dinâmico que direciona logs para um processador estatístico rápido ou um processador baseado em LLM, maximizando tanto a eficiência quanto a eficácia.
4. Avaliação Abrangente: Experimentos extensivos em 14 conjuntos de dados públicos demonstrando que o CelerLog supera as bases de referência mais avançadas em precisão, reduzindo drasticamente o tempo e o custo.

Resultados Experimentais

Avaliado em 14 conjuntos de dados públicos (incluindo Apache, HPC, OpenSSH e Zookeeper), o CelerLog demonstra superioridade significativa sobre as bases de referência baseadas em sintaxe (Drain, AEL, Brain) e baseadas em LLM (LILAC, LogBatcher, LUNAR):

• Eficácia: O CelerLog alcança uma Precisão de Agrupamento (GA) média de 0,927 e uma Precisão de Análise (PA) de 0,875, superando a melhor base de referência baseada em LLM (LogBatcher) por uma margem significativa em PA (0,875 vs. 0,786).
• Eficiência:
  • O CelerLog é 7,9× a 18,6× mais rápido que os métodos baseados em LLM.
  • Notavelmente, a versão paralela do CelerLog é até 1,5× mais rápida que o analisador baseado em sintaxe amplamente adotado Drain.
• Redução de Custos:
  • Consumo de Tokens: Reduzido em 80,2%–94,1% em comparação com métodos de LLM (por exemplo, de ~207 mil tokens para LUNAR para ~12 mil para CelerLog).
  • Invocações de LLM: Reduzidas em 86,4%–90,9% (por exemplo, de ~370 invocações para LUNAR para ~34 para CelerLog).
• Robustez: Estudos de ablação confirmam que remover o roteador ou o processador estatístico degrava severamente o desempenho ou aumenta os custos. A análise de sensibilidade mostra que o CelerLog é robusto às configurações de hiperparâmetros (limiares de similaridade e seleção top-k). Além disso, o sistema mantém desempenho estável em vários LLMs de base, desde modelos grandes (Gemini-3-pro) até modelos menores (Qwen3-8b).

Significado

O artigo afirma que o CelerLog estabelece uma nova fronteira de Pareto para análise de logs, oferecendo uma solução que é simultaneamente altamente precisa e economicamente viável. Ao reconhecer que nem todos os logs exigem compreensão semântica complexa, o CelerLog preenche a lacuna entre a velocidade dos analisadores baseados em sintaxe e a precisão dos analisadores semânticos. Os autores posicionam este trabalho como um facilitador prático para análise de logs em grande escala no mundo real, onde os custos proibitivos das abordagens atuais baseadas em LLM limitaram anteriormente sua implantação. A abordagem híbrida garante que recursos caros de LLM sejam reservados apenas para os logs que genuinamente os exigem, tornando a análise automatizada de logs escalável e economicamente viável.