区間検出¶
現在のドキュメントの位置づけ
本ドキュメントは、検出ルールの設定フローにおける第2ステップです。設定後、メインドキュメントに戻り第3ステップ：イベント通知を続けてください。
選択した時間範囲内で、システムはメトリクスデータに対して異常検出を実行します。検出されたデータポイントの中で、急変異常の割合が事前に設定された閾値を超えた場合、区間異常イベントがトリガーされます。
トレンドが安定しているデータやメトリクスの監視に適しています。例えば、過去1日間において、ホストCPU使用率が急変異常となったデータポイントの割合が10%を超えた場合に異常イベントを生成する、といったケースです。
検出設定¶
検出頻度¶
検出を実行する時間周期を設定します。選択した検出区間に自動的にマッチングされます。
| 検出区間（プルダウン選択肢） | 検出頻度 |
|---|---|
| 15m | 5m |
| 30m | 5m |
| 1h | 15m |
| 4h | 30m |
| 12h | 1h |
| 1d | 1h |
検出区間¶
毎回の検出でクエリするデータの時間範囲を設定します（❗️検出区間は検出頻度以上である必要があり、データの実際の報告周期と一致させることで、検出漏れや誤検知を防ぎます）。
- プリセットオプション: 過去15分、過去30分、過去1時間、過去4時間、過去12時間、過去1日
- カスタム形式: 検出区間をカスタム入力します。例：
20m（過去20分）、2h（過去2時間）、1d（過去1日）。
検出メトリクス¶
DQLに基づいて検出データソースと集約方法を定義します（❗️検出ディメンションとして高基数フィールドを選択しないでください。設定が不適切でトリガー条件が緩すぎると、頻繁なアラートが発生する可能性があります。現在のクエリの最大戻り数は10万レコードです）。
設定項目¶
| 設定項目 | 説明 |
|---|---|
| ワークスペース | デフォルトは現在のワークスペースです。他の権限を持つワークスペースに切り替えることができます。 権限付与後、現在のアカウント配下の他のワークスペースの検出メトリクスを使用してモニターを作成できます。ルール作成が成功すると、ワークスペースを跨いだアラート設定が可能になります。ただし、他のワークスペースを選択した場合、検出メトリクスのプルダウンリストには、現在のワークスペースで使用が許可されているデータタイプのみが表示される点に注意してください。 |
| データソースタイプ | メトリクス、ログ、インフラストラクチャー、リソースカタログ、イベント、APM、RUM、ネットワーク、プロファイルなど |
| クエリ方法 | 単純クエリ、式クエリ |
| 検出ディメンション | 設定データ内の対応する文字列型（keyword）フィールドは、すべて検出ディメンションとして選択できます。現在、検出ディメンションは最大3つのフィールドまで選択可能です。複数の検出ディメンションフィールドを組み合わせることで、特定の検出対象を決定できます。システムは、特定の検出対象に対応する統計メトリクスがトリガー条件の閾値を満たすかどうかを判断し、条件を満たした場合にイベントを生成します。（例：検出ディメンションとして host と host_ip を選択した場合、検出対象は {host: host1, host_ip: 127.0.0.1} となります。） |
| フィルター条件 | メトリクスのタグに基づいて、検出メトリクスのデータをフィルタリングし、検出データ範囲を限定します。1つ以上のタグフィルターを追加できます。あいまい一致およびあいまい不一致のフィルター条件をサポートします。 |
| 集約アルゴリズム | Avg by（平均値）、Min by（最小値）、Max by（最大値）、Sum by（合計）、Last（最後の値）、First by（最初の値）、Count by（データポイント数）、Count_distinct by（ユニークなデータポイント数）、p50（中央値）、p75（75パーセンタイル値）、p90（90パーセンタイル値）、p99（99パーセンタイル値）など |
| エイリアス | 検出メトリクス名をカスタマイズします。 |
クリックしてクエリ方法の詳細を確認できます。
トリガー条件¶
トリガー条件と重大度を設定します。クエリ結果が複数の値を持つ場合、いずれかの値がトリガー条件を満たすとイベントが生成されます。
致命的、重大、重要、警告の4段階の閾値と、正常回復条件を設定できます。
| レベル | 設定 | 説明 |
|---|---|---|
| 致命的 | 急変方向が 上昇または下降/上昇/下降 の場合、Result >= [値] % |
急変異常のデータポイントの割合を比較します。設定範囲外の場合、イベントがトリガーされます。 |
| 重大 | 急変方向が 上昇または下降/上昇/下降 の場合、Result >= [値] % |
急変異常のデータポイントの割合を比較します。設定範囲外の場合、イベントがトリガーされます。 |
| 重要 | 急変方向が 上昇または下降/上昇/下降 の場合、Result >= [値] % |
急変異常のデータポイントの割合を比較します。設定範囲外の場合、イベントがトリガーされます。 |
| 警告 | 急変方向が 上昇または下降/上昇/下降 の場合、Result >= [値] % |
急変異常のデータポイントの割合を比較します。設定範囲外の場合、イベントがトリガーされます。 |
| 正常 | [N] 回の検出でイベントが発生しない |
検出ルールが有効になった後、設定されたカスタム検出回数内で、データの検出結果が異常（致命的、重大、重要、警告）から正常に戻った場合、回復アラートイベントがトリガーされます。 ❗️ 回復アラートイベントはアラートサイレンシングの制限を受けません。回復アラートイベントの検出回数が設定されていない場合、アラートイベントは回復せず、イベント > 未復旧イベント一覧に表示され続けます。 |
詳細については、イベントレベルの説明を参照してください。
大量アラート保護¶
システムデフォルトで有効です。
1回の検出で生成されるアラート数が事前設定された閾値を超えると、システムは自動的にステータス集約戦略に切り替わります：アラート対象を個別に処理する代わりに、イベントステータスに基づいて少数のサマリアラートを生成し、プッシュします。
これにより、通知の即時性を確保しつつ、アラートノイズを大幅に削減し、過剰なアラート処理によるタイムアウトリスクを回避できます。
このスイッチが有効な場合、後続のモニターが異常を検出して生成したこのようなイベント詳細には、履歴レコードや関連イベントは表示されません。
データ欠落¶
検出区間内で検出メトリクスのクエリ結果が空の場合の処理戦略です。
| オプション | 説明 |
|---|---|
| イベントをトリガーしない（デフォルト） | 検出区間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果に基づいて、イベントを生成するかどうかを判断します。データ欠落が許容されるシナリオに適しています。 |
| クエリ結果を0とみなす | 検出区間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果を0とみなして、上記のトリガー条件で設定された閾値と再度比較し、異常イベントをトリガーするかどうかを判断します。 |
| カスタム値を入力してイベントをトリガー | 検出区間の値をカスタム入力し、以下のイベントタイプをそれぞれトリガーできます：データ欠落イベント、緊急イベント、重要イベント、警告イベント、回復イベント。 ❗️この戦略を選択する場合、カスタムのデータ欠落時間は 検出区間の時間間隔以上 に設定することを推奨します。設定時間が検出区間の時間間隔以下の場合、データ欠落と異常が同時に満たされる可能性があり、その場合はデータ欠落の処理結果が優先的に適用されます。 |
トリガー条件、データ欠落、情報生成を同時に設定する場合、以下の優先順位でトリガーが判断されます：データ欠落 > トリガー条件 > 情報イベント生成。
つまり、最初にデータ欠落の有無を判断し、次に閾値トリガーの有無を判断し、最後に情報イベントを生成するかどうかを判断します。
情報生成¶
このオプションを有効にすると、情報生成条件の設定が必要です。検出結果が「致命的」「重大」「重要」「警告」のいずれの閾値もトリガーせず、かつ情報生成条件を満たした場合にのみ、システムは「情報」イベントを書き込みます。
正常な状態変化や低優先度の情報を記録する必要があるシナリオに適しています。
後続の設定¶
上記の検出設定が完了したら、以下の設定を続けて行ってください。