変化検出¶
現在のドキュメントの位置づけ
本ドキュメントは、検出ルール設定フローの第2ステップです。設定が完了したら、メインドキュメントに戻り第3ステップ：イベント通知を続けてください。
同じメトリクスの異なる2つの時間帯における絶対変化量または相対パーセンテージ変化を比較することで、異常が発生したかどうかを判断します。この方法は、メトリクスのピークや変動を追跡するためによく使用され、異常が検出された場合に、より正確にイベントレコードを生成して、その後の分析と処理を可能にします。
短期間のデータと長期データの相対的な変化や変化率を監視するのに適しています。例えば、MySQLの接続数メトリクスを、最近15分間と過去1日の平均値のパーセンテージ差が500%より大きいと設定した場合、最近15分間の平均接続数が過去1日の平均接続数の5倍を超えると、システムがアラートをトリガーします。
これらのメトリクスを計算する際は、最後の値（last）関数ではなく、平均値（avg）、最大値（max）、最小値（min）などの統計関数を使用することを推奨します。これにより、異常データの影響を軽減し、監視の精度を向上させることができます。
検出メトリクス¶
DQLに基づいて検出データソースと集約方法を定義します（❗️高基数フィールドを検出ディメンションとして選択しないでください。設定が不適切でトリガー条件が緩すぎると、頻繁なアラートが発生する可能性があります。現在のクエリの最大戻り数は10万件です）。
2つの時間帯のメトリクスデータを比較することで、変化異常を検出します：
Result = [時間帯 A] と [時間帯 B] の2つの時間帯における検出メトリクスの [差分/差分パーセンテージ]
設定項目¶
| 設定項目 | 説明 |
|---|---|
| ワークスペース | デフォルトは現在のワークスペースです。他の認可済みワークスペースに切り替えることができます。 認可後、現在のアカウント配下の他のワークスペースの検出メトリクスを使用してモニターを作成できます。ルールの作成が成功すると、ワークスペースを跨いだアラート設定が可能になります。なお、他のワークスペースを選択する場合、検出メトリクスのドロップダウンリストには、現在のワークスペースで使用が認可されているデータタイプのみが表示されます。 |
| データソースタイプ | メトリクス、ログ、トレース、RUMデータなど |
| クエリ方式 | シンプルクエリ、式クエリ |
| フィルター条件 | メトリクスのタグに基づいて検出メトリクスのデータをフィルタリングし、検出するデータ範囲を限定します。1つまたは複数のタグフィルターの追加をサポートします。曖昧一致および曖昧不一致のフィルター条件をサポートします。 |
| 集約アルゴリズム | Avg by（平均値）、Min by（最小値）、Max by（最大値）、Sum by（合計）、Last（最後の値）、First by（最初の値）、Count by（データポイント数）、Count_distinct by（非重複データポイント数）、p50（中央値）、p75（75%位置の値）、p90（90%位置の値）、p99（99%位置の値） |
| 検出ディメンション | データ内の対応する文字列型（keyword）フィールドは、すべて検出ディメンションとして選択できます。現在、検出ディメンションは最大3つのフィールドまでサポートしています。複数の検出ディメンションのフィールドを組み合わせることで、特定の検出オブジェクトを特定できます。システムは、各検出オブジェクトに対応する統計メトリクスがトリガー条件のしきい値を満たしているかどうかを判断し、条件を満たすとイベントを生成します。（例：検出ディメンションとして host と host_ip を選択した場合、検出オブジェクトは {host: host1, host_ip: 127.0.0.1} となります。） |
| エイリアス | 検出メトリクス名をカスタマイズします |
時間帯設定¶
| 設定項目 | 説明 |
|---|---|
| 時間帯 A | 基準として使用する最近のデータ時間帯 |
| 時間帯 B | 比較対象として使用する履歴データ時間帯 |
| 比較方法 | 差分：2つの時間帯の絶対的な差（A - B） 差分パーセンテージ：相対変化パーセンテージ（(A - B) / B × 100%） |
- 選択可能な時間帯：
| 時間帯タイプ | オプション |
|---|---|
| 過去同期 | 先月、先週、昨日、1時間前、前期比、最近15分、最近30分、最近1時間、最近4時間、最近12時間、最近1日 |
| 最近の時間 | 最近1分、最近5分、最近15分、最近30分、最近1時間、最近4時間、最近12時間、最近1日 |
注意
検出区間「昨日」と「1時間前」は、同じ時間範囲内の検出メトリクスの差分または差分パーセンテージを比較します。その他の検出区間は、異なる2つの時間帯の検出メトリクスの差分または差分パーセンテージを比較します。
クリックしてクエリ方式の詳細を確認できます。
検出頻度¶
検出ルールの実行頻度です。選択した2つの検出区間のうち、時間範囲が大きい方の検出区間を自動的にマッチングします。
- デフォルトで選択：5分
トリガー条件¶
トリガー条件と重大度を設定します。クエリ結果が複数の値を持つ場合、いずれかの値がトリガー条件を満たすとイベントが生成されます。
致命的、重大、重要、警告の4段階のしきい値と、正常の復旧条件の設定をサポートします。
| レベル | 設定 | 説明 |
|---|---|---|
| 致命的 | Result >= [値] の場合 |
最高レベルのアラート。即時対応が必要です。 |
| 重大 | Result >= [値] の場合 |
高レベルのアラート。優先的に対応が必要です。 |
| 重要 | Result >= [値] の場合 |
中レベルのアラート。注意が必要です。 |
| 警告 | Result >= [値] の場合 |
低レベルのアラート。留意が必要です。 |
| 正常 | [N] 回の検出でイベントが発生しない場合 |
検出ルールが有効になった後、設定されたカスタム検出回数内で、データの検出結果が異常（致命的、重大、重要、警告）から正常に戻った場合、復旧アラートイベントがトリガーされます。 ❗️ 復旧アラートイベントはアラートミュートの制限を受けません。復旧アラートイベントの検出回数が設定されていない場合、アラートイベントは復旧せず、常にイベント > 未復旧イベント一覧に表示され続けます。 |
詳細については、イベントレベルの説明を参照してください。
トリガー前提条件¶
システムデフォルトで有効です。変化検出のエントリー基準として、検出値が前提条件で設定されたしきい値を満たした場合にのみ、変化検出ルールの判定を続行します。
- 設定形式：
[時間帯]の検出値が[演算子][しきい値]を満たす場合のみ、以下の判定を実行します。 - サポートされる演算子：
>、>=、<、<=（デフォルトで>が選択されます） - この設定をオフにすると、システムはエントリー基準を設定せずに、直接変化検出ルールの判定を実行します。
変化方向¶
変化方向が [方向] の場合にイベントをトリガーします：
- 上昇：検出データが増加（上昇）する変化
- 下降：検出データが減少（低下）する変化
- 上昇または下降：検出データが双方向に変動（上昇または下降）する変化
大量アラート保護¶
システムデフォルトで有効です。
1回の検出で生成されるアラート数が事前設定されたしきい値を超えた場合、システムは自動的にステータス別集約ポリシーに切り替わります。アラートオブジェクトを個別に処理するのではなく、イベントステータスに基づいて少数のサマリアラートを生成し、プッシュします。
これにより、通知の即時性を確保しつつ、アラートノイズを大幅に削減し、過剰なアラート処理によるタイムアウトのリスクを回避できます。
このスイッチがオンの場合、後続のモニターが異常を検出した後に生成されるこのようなイベント詳細には、履歴レコードや関連イベントは表示されません。
データ欠落¶
検出区間内で検出メトリクスのクエリ結果が空の場合の処理ポリシー：
| オプション | 説明 |
|---|---|
| イベントをトリガーしない（デフォルト） | 検出区間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果に基づいて、イベントを生成するかどうかを判断します。データ欠落が許容されるシナリオに適しています。 |
| クエリ結果を0とみなす | 検出区間の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果を0とみなして、上記のトリガー条件で設定されたしきい値と再度比較し、異常イベントをトリガーするかどうかを判断します。 |
| カスタムフィルしてイベントをトリガー | 検出区間の値をカスタムでフィルし、以下のイベントタイプをそれぞれトリガーすることをサポートします：データ欠落イベント、致命的イベント、重大イベント、重要イベント、警告イベント、および復旧イベント。 ❗️このポリシーを選択する場合、カスタムのデータ欠落時間の設定は ≥ 検出区間の時間間隔 とすることを推奨します。設定時間が検出区間の時間間隔以下の場合、データ欠落と異常が同時に満たされる可能性があり、その場合はデータ欠落の処理結果が優先的に適用されます。 |
トリガー条件、データ欠落、情報生成を同時に設定する場合、以下の優先順位でトリガーを判断します：データ欠落 > トリガー条件 > 情報イベント生成。
つまり、最初にデータ欠落かどうかを判断し、次にしきい値トリガーかどうかを判断し、最後に情報イベントを生成するかどうかを判断します。
情報生成¶
このオプションを有効にすると、情報生成条件の設定が必要になります。検出結果が「致命的」「重大」「重要」「警告」のいずれのしきい値にも該当せず、かつ情報生成条件を満たした場合にのみ、システムは「情報」イベントを書き込みます。
正常な状態変化や優先度の低い情報を記録する必要があるシナリオに適しています。
後続の設定¶
上記の検出設定が完了したら、以下の設定を続けてください：