検出ルール¶
システムには豊富な検出ルールが組み込まれており、さまざまなデータの監視ニーズに正確に適合し、誤警報や見逃しを効果的に防止します。
設定フロー¶
モニターを作成するには、以下の順序で設定を完了する必要があります。
- ルールタイプの選択：検出設定のデータ範囲とアルゴリズムロジックを決定します。
- 検出設定：タイプごとに異なる設定項目があります。
- イベント通知：イベントタイトル、内容、関連情報、およびデータ欠落の処理を定義します。
- アラート設定：通知ポリシーとミュート期間を設定します。
- 関連付け：ダッシュボードの関連付けを設定します。
- 権限：操作権限を設定します。
「検出設定」はルールタイプによって異なりますが、イベント通知、アラート設定、関連付け、権限はすべてのルールタイプで同じ設定ロジックです。
ルールタイプ¶
監視対象に応じて適切な検出ロジックを選択できます。
ルール名 |
データ範囲 |
基本説明 |
|---|---|---|
| しきい値検出 | すべて | 設定されたしきい値に基づいてメトリクスデータの異常を検出します |
| 急変検出 | メトリクス(M) | 履歴データに基づいてメトリクスの突発的な異常な変動を検出します。ビジネスデータや短い時間枠のシナリオに適しています |
| 区間検出 | メトリクス(M) | 動的しきい値範囲に基づいてメトリクスの異常データポイントを検出します。傾向が安定した時系列に適しています |
| 区間検出 V2 | メトリクス(M) トレース(T) RUM(R) |
動的しきい値範囲に基づいてメトリクスの異常データポイントを検出します。傾向が安定した時系列に適しています |
| 外れ値検出 | メトリクス(M) | 特定のグループの検出対象のメトリクス/統計データに外れ値の偏差があるかどうかを検出します |
| ログ検出 | ログ(L) | ログデータに基づいてビジネスアプリケーションの異常を検出します |
| プロセス異常検出 | プロセスオブジェクト(O::host_processes) |
定期的にプロセスデータを検出し、プロセスの異常状況を把握します |
| インフラストラクチャ生存検出 V2 | オブジェクト(O) | インフラストラクチャオブジェクトデータに基づいて生存条件を設定し、インフラストラクチャの安定性を監視します |
| APM メトリクス検出 | トレース(T) | APM データに基づいてしきい値ルールを設定し、異常を検出します |
| RUM メトリクス検出 | RUM(R) | RUM データに基づいてしきい値ルールを設定し、異常を検出します |
| 複合検出 | すべて | 複数のモニターの結果を式で組み合わせて1つのモニターとし、その結果に基づいてアラートを発生させます |
| Synthetic テスト異常検知 | Synthetic データ(D::タイプ) |
Synthetic モニタリングデータに基づいてしきい値ルールを設定し、異常を検出します |
| ネットワークデータ検出 | ネットワーク(N) | ネットワークデータに基づいてしきい値ルールを設定し、ネットワークパフォーマンスの安定性を検出します |
| 外部イベント検出 | その他 | 指定された URL アドレスを介して、サードパーティシステムによって生成された異常イベントやレコードを POST リクエストとして HTTP サーバーに送信し、イベントデータを生成します |
| インフラストラクチャ変更検出 | オブジェクト(O) | インフラストラクチャのライフサイクルを追跡し、さまざまな変更動作を監視して、構成のずれ、不正操作などの異常を正確に特定します |
| プログラマブル検出 | すべて | スクリプトで検出ルールを作成します。ルールが多様で複雑な監視シナリオに適しています |
ルールタイプを選択すると、「検出設定」モジュールの設定可能なパラメータが変わります。イベント通知以降の設定は、すべてのタイプで同じです。
検出設定¶
検出ルールのタイプに応じて、それぞれの検出頻度、検出間隔、検出指標を設定できます。
ルールタイプごとに検出設定は大きく異なります。対応するタイプの詳細設定ドキュメントを参照してください。
データ待機時間¶
データ待機時間は、すべてのモニタータイプに適用されます。スケジュールされた実行時間に達した後、モニターは指定された時間待機してから監視判定を実行し、データ遅延による誤報の可能性を低減します。
- デフォルト値は待機なしです。
- 選択可能な待機時間は1分、2分、3分、5分、10分、15分、30分です。
- 待機時間は、隣接する2回のスケジュール実行時間の間隔よりも短くする必要があります。そうしないと、モニターを保存できず、「データ待機時間は監視実行間隔より短くする必要があります」というメッセージが表示されます。Crontab モードでも、隣接する2回のスケジュール実行時間に基づいてチェックされます。
たとえば、モニターが 10:00 に実行されるようにスケジュールされ、データ待機時間が 5 分に設定されている場合、タスクは約 10:05 に実行を開始します。待機は実行時間を遅らせるだけで、クエリ時間範囲は変更しません。検出間隔が直近 1 時間の場合、09:00 ~ 10:00 のデータを引き続きクエリします。
詳細な実行ロジックについては、モニター内部の仕組みを参照してください。
イベント通知¶
モニターがトリガーされたときに生成されるイベントのタイトル、内容、通知メンバー、および関連する処理を定義します。
イベントタイトル¶
アラートトリガー条件のイベント名を定義します。プリセットのテンプレート変数を使用できます。
注意
最新バージョンでは、モニター名はイベントタイトルを入力すると自動的に生成されます。古いモニターでは、モニター名とイベントタイトルが一致しない場合があります。最新の状態に同期することをお勧めします。
イベント内容¶
イベント通知の内容を記述します。トリガー条件が満たされると、システムはこの部分の内容を外部に送信します。通常、以下の情報が含まれます。
関連リンク¶
+ リンクをクリックすると、システムは現在の検出指標に基づいてジャンプリンクを自動生成します。リンクアドレスには、現在のドメイン名、ワークスペース ID、検出時間範囲 （{{df_check_range_start}} ~ {{df_check_range_end}}）、および動的フィルター条件が含まれます。
| リンクタイプ | 説明 | 設定要件 |
|---|---|---|
| カスタムリンク | 任意の URL をサポートし、テンプレート変数を使用可能 | 完全なリンクアドレスを手動で入力する必要があります |
| 関連ログを表示 | ログエクスプローラーにジャンプ | 自動生成、挿入後にフィルター条件と時間範囲を調整可能 |
| 関連トレースを表示 | トレースエクスプローラーにジャンプ | 自動生成、現在の trace_id またはサービス名を自動的に関連付け |
| 関連 Profile を表示 | Profile エクスプローラーにジャンプ | 自動生成、サービス名と時間範囲を自動的に入力 |
| 関連コンテナを表示 | コンテナオブジェクトの詳細にジャンプ | 自動生成、コンテナ名とホストタグを自動的に一致 |
| 関連 Pod を表示 | Pod オブジェクトの詳細にジャンプ | 自動生成、Pod 名と名前空間を自動的に入力 |
| 関連プロセスを表示 | プロセスオブジェクトの詳細にジャンプ | 自動生成、ホストとプロセス名を自動的に一致 |
| 関連 Session を表示 | RUM セッションリプレイにジャンプ | 自動生成、Session ID を自動的に入力 |
| 関連 View を表示 | RUM View エクスプローラーにジャンプ | 自動生成、ビューパスを自動的に入力 |
| 関連 Error を表示 | RUM Error エクスプローラーにジャンプ | 自動生成、エラータイプと時間範囲を自動的に入力 |
| 関連 Resource を表示 | RUM Resource エクスプローラーにジャンプ | 自動生成、リソースパスを自動的に入力 |
| 関連 Synthetic テストを表示 | Synthetic テストの詳細にジャンプ | 自動生成、Synthetic テスト名を自動的に関連付け |
| 関連ダッシュボードを表示 | 指定されたダッシュボードにジャンプ | ダッシュボード ID と名前を手動で入力する必要があります。ビュー変数と時間範囲の調整をサポート |
リンク形式の例：
ログエクスプローラー：[関連ログを表示](<{{STUDIO_CONSOLE_BASE_URL}}/logIndi/log/all?time={{df_check_range_start}},{{df_check_range_end}}&w={{df_workspace_uuid}}>)
トレースエクスプローラー：[関連トレースを表示](<{{STUDIO_CONSOLE_BASE_URL}}/tracing/link/all?time={{df_check_range_start}},{{df_check_range_end}}&w={{df_workspace_uuid}}>)
テンプレート変数¶
+ 変数をクリックしてプリセットのテンプレート変数を挿入します。これらの変数は、イベントがトリガーされたときに実際の値に動的に置き換えられます。
| 変数 | 説明 |
|---|---|
{{df_dimension}} |
検出ディメンションオブジェクト |
{{df_monitor_checker_name}} |
現在のモニター名 |
{{df_monitor_name}} |
所属するアラートポリシー名 |
{{Result}} |
検出結果の数値 |
{{df_status}} |
イベントステータス（error/warning/ok） |
{{df_event_id}} |
イベントの一意の識別子 |
サポートされているすべてのテンプレート変数を表示するにはクリックしてください。
詳細設定¶
「詳細設定」では、DQL を使用してイベントに関連データコンテキストを埋め込むことができます。
1. 関連ログを追加
クリックすると、テンプレートが自動生成されます。
{% set dql_data = DQL("L::RE(`.*`):(`message`) { `index` = 'default' } LIMIT 1") %}
{{ dql_data.message | limit_lines(10) }}
設定のポイント：
{index= 'default' }を実際のインデックス名に置き換える必要があります。RE(``.*``)は正規表現マッチングをサポートします（例：RE(``error\|exception``)）。limit_lines(10)は出力行数を制限し、通知が長くなりすぎるのを防ぎます。
2. 関連エラースタックトレースを追加
クリックすると、テンプレートが自動生成されます。
{% set dql_data = DQL("T::re(`.*`):(`error_message`,`error_stack`){ (`source` NOT IN ['service_map', 'tracing_stat', 'service_list_1m', 'service_list_1d', 'service_list_1h', 'profile']) AND (`error_stack` = exists()) } LIMIT 1") %}
{{ dql_data.error_message | limit_lines(10) }}
{{ dql_data.error_stack | limit_lines(10) }}
設定のポイント：
source NOT IN [...]は統計集約データを除外し、元のトレースのみを保持します。(error_stack= exists())は、スタックトレース情報を含むエラーのみを返すようにします。
通知メンバー（@）¶
クリックしてワークスペースのメンバーを選択します。
有効化ロジック：
- インシデントの関連付けが有効になっている場合にのみ、
@ メンバー設定が有効になり、指定されたメンバーにこのイベント内容が送信されます。 - この設定は、アラート設定の通知オブジェクトとは独立しており、アラート通知の範囲には影響しません。
カスタム通知内容¶
デフォルトでは、システムはイベント内容をアラート通知内容として使用します。実際に外部に送信する通知をカスタマイズする必要がある場合は、ここでスイッチを有効にして通知情報を入力できます。
- 独立したエディターが展開され、外部に送信する通知内容を個別に定義できます。
- 元のイベント内容はプラットフォーム内に保持され、イベント詳細の表示に使用されます。
- 独立したエディターでも、Markdown、テンプレート変数、関連リンク、詳細設定がサポートされています。
データ欠落イベント¶
データ欠落（データが報告されていない）時の通知内容をカスタマイズします。このタイプのイベントが最終的に外部に送信される際のタイトル、内容などを設定できます。
カスタマイズ設定がない場合、システムは公式のデフォルトテンプレートを使用して欠落アラートを送信します。
インシデントの関連付け¶
関連付けを有効にすると、このモニターで異常イベントが発生した場合、同時にインシデントが作成されます。
設定項目¶
- 自動的に作成されるインシデントにタグを追加して、インシデントセンターでの分類とフィルタリングを容易にします。
-
イベントレベルとインシデントレベルのマッピング関係を設定します。複数のルールを追加できます。
- 致命的/重大/重要/警告/データ欠落レベルのイベントが発生した場合、新しいインシデントレベル P0/P1/P2/P3/... が同時に作成されます。
ここで作成されたインシデントは、インシデントセンターで表示できます（❗️これらのインシデントにはタグフィルター条件が含まれます）。
連携メカニズム¶
- イベントがトリガーされると、自動的にインシデントセンターにインシデントレコードが作成されます。インシデントの説明はイベント内容が自動的に同期されます。
- イベント内容の @ メンバーリストに基づいて、インシデント追加通知が送信されます。
- インシデントセンターでインシデントの詳細を表示できます。システムは自動的に関連するすべてのデータ（パフォーマンス指標、エラーログ、トレース、インフラストラクチャトポロジーなど）を関連付けて表示します。
アラート設定¶
監視がトリガー条件を満たすと、すぐに指定された通知オブジェクトにアラートメッセージが送信されます。
アラートポリシー¶
作成済みのアラートポリシーを選択します。複数選択可能です。ポリシー名をクリックすると詳細が表示され、アラートポリシーの編集をクリックすると設定を変更できます。
| 設定項目 | 説明 |
|---|---|
| 通知設定 | このポリシーにバインドされている通知オブジェクトグループ（例：すべてなど）を表示します |
| 重複アラート | 同じイベントは、指定された時間内（例：10分）に重複したアラート通知を送信しません |
| アラート集約 | 集約方式（例：AI 集約） |
| 集約期間 | 指定された時間内（例：5分）の新しいイベントを1つのアラート通知に集約して送信します。期間を超えると、新しいイベントは新しいアラート通知に集約されます |
関連付け¶
作成済みのダッシュボードを選択して、モニターとダッシュボードの関連付けを確立し、すばやくジャンプして監視データを視覚化できます。
権限¶
モニターの操作権限を設定し、さまざまなユーザーがそのロールと権限レベルに応じて適切な操作を実行できるようにします。現在のワークスペースの Owner は、ここでの操作権限設定の影響を受けません。
- この設定を有効にしない場合：「モニター設定管理」のデフォルト権限に従います。
- この設定を有効にし、カスタム権限オブジェクトを選択した場合：作成者と権限が付与されたオブジェクトのみが、このモニターに設定されたルールの有効化/無効化、編集、削除を実行できます。
- この設定を有効にしたが、カスタム権限オブジェクトを選択しなかった場合：作成者のみがこのモニターの有効化/無効化、編集、削除権限を持ちます。
また、ワークスペース Owner は統一権限管理設定を使用して、管理者、ロール、またはメンバーに一元的にモニター操作権限を付与できます。権限が付与されたオブジェクトは、カスタム操作権限が有効になっているすべてのモニターを操作できます。個々のモニターのカスタム権限オブジェクトに逐一追加する必要はありません。
即時トリガー検出¶
ルールの設定が完了したら、即時トリガー検出をクリックして手動でテストを実行し、現在のルール設定の全体的な効果を検証できます。テストの実行によって実際のアラート通知が生成されることはありません。
アラートキャッシュ保護メカニズム¶
設定が完了すると、モニターは実行中に次の保護戦略を実行します。システムは以下のメカニズムにより、高基数の集約による過剰な検出オブジェクトの発生を防ぎ、システムへの負荷を軽減します。
| フェーズ | トリガー条件 | システムの動作 |
|---|---|---|
| しきい値警告 | 検出オブジェクト数がシステム制限の 80%（80,000 件）に達した | システム通知をトリガー（1日最大1回）。クエリ条件とグループ設定の確認を促します |
| 制限超過保護 | 検出オブジェクト数がシステム上限の 100,000 件に達した | モニターを自動的に一時停止し、通知を送信します。一時停止中は実行が停止されます |
アラートキャッシュの上限は 100,000 件、警告比率は 80% です。
一時停止からの復旧メカニズム¶
アラートキャッシュの制限超過によりシステムによってモニターが一時停止された場合、次のいずれかの操作を実行すると自動的に復旧します。
- クエリ条件を変更してモニターを再保存する
- モニターを直接再保存する
システムは自動的にアラートキャッシュマークをクリアし、モニターを通常の実行状態に復旧します。追加の操作は必要ありません。
詳細情報¶
モニタールールの作成が成功したら、次の操作が必要になる場合があります。