Влияние разбора журналов на обнаружение аномалий на основе глубокого обучения

Программные системы генерируют огромные объемы данных журналов, содержащих важную информацию о функционировании системы. Такие журналы используются, например, для обнаружения аномалий на основе журналов, целью которого является автоматическое выявление аномального поведения анализируемой системы путем обработки информации, записанной в ее журналах. Многие методы обнаружения аномалий на основе журналов, использующие модели глубокого обучения, включают этап предварительной обработки, называемый разбором журналов. Однако влиянию разбора журналов на точность методов обнаружения аномалий до настоящего времени уделялось на удивление мало внимания. Поэтому необходимо исследовать ключевые свойства, которыми в идеале должны обладать методы разбора журналов для поддержки обнаружения аномалий. В этой статье представлен комплексный эмпирический анализ влияния разбора журналов на точность обнаружения аномалий с использованием 13 методов разбора журналов, семи методов обнаружения аномалий (пяти на основе глубокого обучения и двух на основе традиционного машинного обучения) и трех общедоступных наборов данных журналов. Результаты эмпирического исследования показывают, что, вопреки распространенному предположению, сильной корреляции между точностью разбора журналов и точностью обнаружения аномалий нет, независимо от метрики, используемой для измерения точности разбора журналов. Кроме того, мы экспериментально подтверждаем существующие теоретические результаты, согласно которым именно свойство, называемое различимостью результатов разбора журналов, а не их точность, играет существенную роль в обеспечении точного обнаружения аномалий.