인터리빙 환경에서 로그-엔티티 그래프 인접 구조 설계의 비교 분석 = Comparative Analysis of Adjacency Construction Strategies for Log-Entity Graph-Based Anomaly Detection under Interleaving

국문 초록 (Abstract)

로그는 시스템에서 발생하는 이벤트와 상태 변화를 시간순으로 기록한 데이터로 시스템의 문제를 파악할 수 있는 중요한 정보이다. 로그의 내재된 다양한 정보를 통해 시스템의 운영에 문제가 되는 이상 신호를 탐지하는데 사용된다. 이러한 로그 이상 탐지는 서비스 신뢰성과 운영 안정성을 확보하는 핵심 기술이다. 이에 따라 시퀀스 기반 및 그래프 기반 로그 이상 탐지 연구가 발전해 왔지만, 비정상 로그의 희소성으로 인한 클래스 불균형, 시스템 업데이트 및 워크로드 변화에 따른 로그 불안정성, 병렬로 수행되는 작업으로 인해 로그가 시간축에서 교차하는 인터리빙 문제 등 다양한 문제에 직면해 있다.
본 논문은 이러한 제약 중에서 인터리빙 문제에 주목하여 로그 이벤트와 엔티티를 동일 그래프 내에서 공동으로 모델링하는 로그-엔티티 그래프(Log-Entity Graph) 기반 이상 탐지에서 인접행렬을 네 가지 형태로 재설계하여 비교 평가하였다. 제안한 설계 중 시간적 근접성을 반영하는 단일 지수형 시간 가중 커널이 인터리빙 환경에서 일관된 성능 향상을 보였으며, 나머지 설계는 개선 효과가 제한적임을 확인하였다. 이런 결과는 로그-엔티티 그래프에서 시간적 근접성 신호가 상대적으로 강건한 이상 신호의 단서로 작동할 수 있음을 확인하였다.

다국어 초록 (Multilingual Abstract)

Logs are data that record events and state changes in systems in chronological order and provide critical information for identifying system-level issues. The diverse information embedded in logs can be leveraged to detect anomalous signals that indicate operational problems. Log anomaly detection therefore serves as a core technique for ensuring service reliability and operational stability. Accordingly, research on sequence-based and graph-based log anomaly detection has advanced; however, these approaches continue to face practical challenges, including class imbalance caused by the rarity of anomalous logs, log instability induced by system updates and workload changes, and the interleaving problem in which logs from tasks executed in parallel overlap along the time axis.
Focusing on the interleaving setting, this thesis conducts a comparative evaluation of four redesigned adjacency matrices within a Log-Entity Graph framework that jointly models log events and entities in a unified graph. Among the proposed designs, only the single exponential time-weighted kernel that captures temporal proximity demonstrates consistent performance improvements under interleaving, while the remaining designs exhibit limited benefits. These results suggest that temporal-proximity signals in log-entity graphs can serve as relatively robust cues for identifying anomalous signals in interleaved log environments.

목차 (Table of Contents)

• 제1장 서론 1
• 제2장 관련 연구 3
• 2.1. 로그 이상 탐지 3
• 2.2. 시퀀스 기반 로그 이상 탐지 8
• 2.3. 그래프 기반 로그 이상 탐지 13
• 2.4. Lograph 모델 16
• 제3장 제안 방법론 19
• 3.1. 기존 로그 인접행렬의 한계 19
• 3.2. 인접행렬의 재정의 21
• 제4장 실험 27
• 4.1. 데이터셋 27
• 4.2. 실험 설정 28
• 4.3. 평가 지표 29
• 제5장 실험 결과 32
• 제6장 결론 34
• 참고문헌 35
• Appendix 39
• Abstract 44