Delving into Large Language Models for Effective Time-Series Anomaly Detection

Overview

• LLM은 numerical reasoning과 시계열 분석에 활용 가능하지만 TS anomaly detection에서는 한계 존재
• 기존 연구는 성능 향상에 집중하고 실패 원인 분석은 부족
• 본 연구는 LLM 기반 TSAD의 failure를 understanding vs localization으로 분해하여 분석
• 이를 바탕으로 간단한 input transformation 기반 개선 방법 제안

Key Takeaways

Problem Setting

• LLM 기반 TSAD는 prompt와 input representation에 크게 의존
• 기존 연구는 detection accuracy 중심으로 평가되고 근본적 한계 분석 부족
• TSAD는 두 가지 subtask로 구성됨
  • sequence가 정상/이상인지 판단
  • anomaly 발생 구간을 localization
• 실제로는 두 단계 모두에서 성능 저하 발생

Main Idea

• LLM failure를 두 가지 관점에서 분석하고 대응 방법 제안
• Failure Analysis
  • understanding failure
    • trend, seasonality, frequency 패턴을 제대로 해석하지 못함
    • 복잡한 패턴이나 subtle anomaly에서 성능 급락
  • localization failure
    • anomaly 위치를 정확히 찾지 못함
    • 근본 원인은 token-level counting 능력 부족
• Method 1: De-seasonalization
  • seasonality 제거로 anomaly signal을 더 명확하게 만듦
  • FFT 기반 decomposition으로 입력 시계열 변환
  • subtle anomaly가 masking되는 문제 완화
• Method 2: Index-aware Prompting
  • 단순 sequence 대신 (index, value) 형태로 입력 제공
  • counting 문제를 완화하고 localization 성능 개선
  • sequence를 lookup 문제로 변환
• 추가 학습 없이 preprocessing과 prompting만으로 개선

Result

• 다양한 LLM에서 모든 anomaly type에 대해 일관된 성능 향상
• text-only 설정에서도 vision 기반보다 높은 성능 달성 가능
• 기존 TSAD 모델과 비교 시 일부 설정에서 최고 성능 달성
• ablation 결과
  • index 정보 제거 시 성능 크게 감소
  • de-seasonalization은 trend/frequency 문제에서 핵심 역할
• LLM reasoning 능력과 TSAD 성능 사이에 강한 상관관계 존재
• context-aware filtering을 통해 anomaly를 더 정확하게 해석 가능