[논문 리뷰] A Joint Model for Anomaly Detection and Trend Prediction on IT Operation Series

Run-Qing Chen, Guanghui Shi외 2명|arXiv (Cornell University)|2019. 10. 09.

Network Security and Intrusion Detection인용 수 4

한 줄 요약

이 논문은 IT 운영 시계열에서 이중적으로 이상 탐지와 추세 예측을 동시에 수행할 수 있도록 변분 오토인코더(Variational Auto-Encoder, VAE)와 장기 단기 기억(Long Short-Term Memory, LSTM) 네트워크를 통합한 공동 모델 ADTP를 제안한다. VAE를 통해 복원된 청소년 시계열을 LSTM에 입력함으로써 모델은 노이즈에 대한 강건성을 향상시키고 장기 패턴을 포착하게 되어, 이상 탐지 및 예측 성능이 향상된다. 이는 두 개의 벤치마크 데이터셋에서 검증되었다.

ABSTRACT

Anomaly detection and trend prediction are two fundamental tasks in automatic IT systems monitoring. In this paper, a joint model Anomaly Detector & Trend Predictor (ADTP) is proposed. In our design, the variational auto-encoder (VAE) and long short-term memory (LSTM) are joined together to address both anomaly detection and trend prediction. The prediction block (LSTM) takes clean input from the reconstructed time series by VAE, which makes it robust to the anomalies and noise. In the meantime, the LSTM block maintains the long-term sequential patterns, which are out of the sight of a VAE encoding window. This leads to the better performance of VAE in anomaly detection than it is trained alone. In the whole processing pipeline, the spectral residual analysis is integrated with VAE and LSTM to boost the performance of both. The superior performance on two tasks is confirmed with the experiments on two challenging evaluation benchmarks.

연구 동기 및 목표

• IT 운영 모니터링 시스템에서 이상 탐지와 추세 예측이라는 이중 과제를 해결한다.
• 장기 의존성을 포착하고 노이즈가 있는 데이터를 처리하는 데에 한계가 있는 단독 VAE의 문제점을 극복한다.
• 스펙트럴 잔여 분석을 딥러닝 구성 요소와 통합하여 예측 정확도와 이상 탐지 성능을 향상시킨다.
• 재구성 품질과 순차적 모델링을 활용하는 통합 프레임워크를 개발하여 시계열 이해를 향상시킨다.

제안 방법

• 입력 시계열을 재구성하고 노이즈 및 이상 현상을 걸러내기 위해 변분 오토인코더(Variational Auto-Encoder, VAE)를 사용한다.
• VAE를 통해 재구성된 청소년 시계열을 LSTM 네트워크에 입력하여 장기적인 시간적 의존성을 모델링하고 추세 예측을 가능하게 한다.
• 스펙트럴 잔여 분석을 파ip라인에 통합하여 이상 탐지 민감도를 향상시키고 재구성 품질을 개선한다.
• 이상 탐지 및 예측 목표를 동시에 최적화하기 위해 VAE와 LSTM 구성 요소를 공동으로 훈련시킨다.
• VAE에서 재구성된 시계열을 LSTM의 입력으로 사용함으로써 예측 블록이 노이즈가 제거되고 안정된 데이터에서 작동하도록 보장한다.
• VAE(표현 학습 및 노이즈 제거 기능)와 LSTM(순차적 모델링 기능)의 상호보완적 강점을 통합된 아키텍처에서 활용한다.

실험 결과

연구 질문

• RQ1 공동 모델이 IT 운영 시계열에서 이상 탐지와 추세 예측을 효과적으로 동시에 수행할 수 있는가?
• RQ2 노이즈와 이상 현상이 존재하는 환경에서 VAE 재구성 시계열을 사용할 경우 LSTM 기반의 추세 예측 성능가 어떻게 향상되는가?
• RQ3 스펙트럴 잔여 분석을 통합할 경우 공동 모델의 성능 향상 정도는 어느 정도인가?
• RQ4 VAE와 LSTM을 공동으로 훈련시키는 것이 VAE를 별도로 훈련시키는 것보다 이상 탐지 성능을 더 좋게 만드는가?

주요 결과

• 공동 ADTP 모델은 기준 모델 대비 이상 탐지 및 추세 예측 과제에서 뛰어난 성능을 달성한다.
• VAE 재구성 시계열을 LSTM의 입력으로 사용함으로써 노이즈 및 이상 현상의 영향을 줄여 예측의 강건성과 정확도가 향상된다.
• 스펙트럴 잔여 분석의 통합은 모델의 이상 탐지 민감도를 향상시켜 탐지 성능을 향상시킨다.
• ADTP 프레임워크 내의 VAE는 더 깔끔하고 장기적 인식 능력을 갖춘 시계열에서 재구성 품질이 향상되어 단독으로 훈련된 경우보다 이상 탐지 성능이 뛰어나다.
• 모델는 두 개의 도전적인 실제 IT 운영 벤치마크에서 강력한 일반화 능력을 보이며 실질적인 모니터링 시나리오에서의 효과성을 확인한다.