間隔検出 V2¶
本ドキュメントの位置づけ
本ドキュメントは、検出ルール設定フローの第2ステップです。設定完了後、メインドキュメントに戻り第3ステップ：イベント通知に進んでください。
データ範囲：メトリクス（M）、トレース（T）、リアルユーザーモニタリング（R）
V2 バージョンの間隔検出は、過去データを使用して信頼区間を構築し、正常な変動範囲を予測します。システムは現在のデータ特性と履歴データを比較し、信頼区間を超えているかどうかを判断することで、異常を特定してアラートをトリガーし、データの安定性とセキュリティを確保します。
主な特徴：
- 詳細分析：履歴データに基づき信頼区間を構築し、正常な変動を予測します。
- 継続的な更新：Guanceアルゴリズムチームにより継続的に更新され、データ処理能力を向上させます。
概念¶
信頼区間範囲（confidence_interval）：時系列データの特定の検出範囲における変動許容度を測定する指標で、値の範囲は 1% ～ 100% です。
- データの変動が大きくランダム性が強い場合は、この値を適宜大きく設定します。
- データの変動に規則性がある場合は、この値を小さく設定します。
注意点：
- 信頼区間が大きすぎると、上下の境界が広くなり、異常点の検出数が減少します。
- 信頼区間が小さすぎると、異常値が過剰に検出される可能性があります。
- 信頼区間が大きすぎると、異常をまったく検出できない場合があります。
そのため、データの変動特性に応じてこのパラメータを適切に調整することは、異常検出の感度と精度のバランスを取る上で極めて重要であり、過剰な誤検出や異常の見逃しを効果的に回避できます。
検出設定¶
検出頻度¶
検出を実行する時間間隔を設定します。
- 固定頻度：10 分（変更不可）
検出メトリクス¶
DQL に基づき、検出データソースと集計方法を定義します。
| 設定項目 | 説明 |
|---|---|
| ワークスペース | デフォルトは現在のワークスペースです。他の承認済みワークスペースに切り替えることも可能です。承認後、現在のアカウント配下の他のワークスペースの検出メトリクスを使用してモニターを作成できます。 |
| データタイプ | 現在検出するデータタイプ。メトリクス、APM（トレース）、RUM（リアルユーザーモニタリング）を含みます。 |
| メジャーメント | 現在の検出メトリクスが属するメジャーメント。 |
| メトリクス | 今回の検出対象となるメトリクス。 |
| 集計アルゴリズム | Avg by（平均値）、Min by（最小値）、Max by（最大値）、Sum by（合計）、Last（最後の値）、First by（最初の値）、Count by（データポイント数）、Count_distinct by（ユニークデータポイント数）、p50（中央値）、p75（75% 位置値）、p90（90% 位置値）、p99（99% 位置値）をサポートします。 |
| 検出ディメンション | データ内の対応する文字列型（keyword）フィールドを検出ディメンションとして選択できます。最大 3 つのフィールドまで選択可能です。複数の検出ディメンションのフィールドを組み合わせることで、特定の検出対象（例：{host: host1, host_ip: 127.0.0.1}）を特定できます。 |
| フィルター条件 | メトリクスのタグに基づいて検出データをフィルタリングし、検出範囲を限定します。1 つ以上のタグフィルターを追加可能で、あいまい一致およびあいまい不一致のフィルター条件をサポートします。 |
| エイリアス | カスタムの検出メトリクス名。 |
| クエリ方式 | シンプルクエリと式クエリをサポートします。 |
トリガー条件¶
各アラートレベル（致命的、重大、重要、警告）のトリガー条件と、正常復旧条件を設定します。
| 設定項目 | 説明 |
|---|---|
| 変化方向 | データの異常方向を選択します。 |
| 信頼区間上下限範囲 | 信頼区間の幅（1-100%）を設定します。予測信頼区間の範囲の幅です。変動が大きいメトリクスの場合は、誤検出を避けるために信頼区間の幅を適宜広げることができます。 |
| 致命的 / 重大 / 重要 / 警告 | Result >= [値] % の場合にトリガーします。変動異常のデータポイントの割合を比較し、設定範囲外の場合にイベントをトリガーします。 |
| 正常 | [N] 回の検出でイベントが発生しなかった場合。検出ルールが有効になった後、設定したカスタム検出回数内でデータ検出結果が異常から正常に復帰した場合、復旧アラートイベントがトリガーされます。 |
大量アラート保護¶
デフォルトで有効です。1回の検出で生成されるアラート数が事前設定されたしきい値（100）を超えた場合、システムは自動的にステータス集約ポリシーを有効にし、個々のオブジェクトに対する集約とミュートフローを一時停止して、ステータスごとにサマリーイベントを生成・プッシュします。これにより、通知の即時性を確保しつつ、ノイズを大幅に低減し、処理タイムアウトのリスクを回避します。このスイッチがオンの場合、後続のモニターが異常を検出して生成したこの種のイベント詳細には、履歴レコードと関連イベントは表示されません。
注意
復旧アラートイベントはアラートミュートの制限を受けません。復旧アラートイベントの検出回数が設定されていない場合、アラートイベントは復旧されず、イベント > 未復旧イベント一覧 に引き続き表示されます。
データ欠損¶
検出メトリクスの検出期間内におけるクエリ結果が空の場合の処理ポリシーです。
| オプション | 説明 |
|---|---|
| イベントをトリガーしない | 検出期間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果に基づいてイベントを生成するかどうかを判断します。 |
| クエリ結果を 0 とみなす | 検出期間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果を 0 とみなした上で、上記トリガー条件で設定されたしきい値と再度比較し、異常イベントをトリガーするかどうかを判断します。 |
| カスタム値で埋めてイベントをトリガーする | 検出期間の値をカスタムで埋め、以下のイベントタイプをそれぞれトリガーします：データ欠損イベント、緊急イベント、重要イベント、警告イベント、復旧イベント。 このポリシーを選択する場合、カスタムのデータ欠損時間は 検出期間の時間間隔以上 に設定することを推奨します。設定時間が検出期間の時間間隔以下の場合、データ欠損と異常が同時に満たされる可能性があり、その場合はデータ欠損の処理結果が優先適用されます。 |
情報生成¶
このオプションを有効にすると、上記のトリガー条件に一致しなかったすべての検出結果が、「情報」イベントとして書き込まれます。
トリガー条件、データ欠損、情報生成を同時に設定する場合、以下の優先順位でトリガーが判断されます：データ欠損 > トリガー条件 > 情報イベント生成。
後続設定¶
上記の検出設定が完了したら、次の設定を続けて行ってください。