外れ値検出¶
本ドキュメントの位置づけ
本ドキュメントは、検出ルール設定フローの第2ステップです。設定完了後、メインドキュメントに戻り第3ステップ：イベント通知を続行してください。
アルゴリズムを用いて、特定のグループ内の検出対象のメトリクスや統計データを分析し、有意な外れ値の偏差が存在するかを特定します。検出された不一致が事前に設定されたしきい値を超えた場合、システムは外れ値検出異常イベントを生成し、後続のアラート追跡と分析に使用します。この方法により、潜在的な異常をタイムリーに発見して処理し、監視の精度と応答速度を向上させることができます。
メトリクスデータの特性に基づいて適切な距離パラメータを設定し、データが通常の範囲から大きく逸脱した場合にアラートをトリガーする場合に適しています。例えば、あるホストのメモリ使用率が同じグループ内の他のホストよりも著しく高い場合、システムはタイムリーにアラートを発し、潜在的なパフォーマンス問題を迅速に特定して対応できます。
検出設定¶
検出頻度¶
検出を実行する時間周期を設定します。選択した検出間隔に自動的に一致します。
- デフォルト選択：5 分
検出間隔¶
毎回の検出でクエリするデータの時間範囲を設定します（❗️検出間隔は検出頻度以上である必要があり、データの実際の報告周期と一致させる必要があります。漏検や誤検を防ぐためです）。
| 検出間隔（ドロップダウン選択肢） | 検出頻度 |
|---|---|
| 15m | 5m |
| 30m | 5m |
| 1h | 15m |
| 4h | 30m |
| 12h | 1h |
| 1d | 1h |
検出メトリクス¶
DQL に基づいて検出データソースと集計方法を定義します（❗️検出ディメンションには高カーディナリティフィールドを選択しないでください。設定が不適切でトリガー条件が緩すぎると、頻繁なアラートが発生する可能性があります。現在のクエリの最大戻り数は 10 万レコードです）。
設定項目¶
| 設定項目 | 説明 |
|---|---|
| ワークスペース | デフォルトは現在のワークスペースです。他の認可済みワークスペースに切り替えることができます。 認可後、現在のアカウント配下の他のワークスペースの検出メトリクスを使用してモニターを作成できます。ルールが正常に作成されると、ワークスペースを跨いだアラート設定が可能になります。なお、他のワークスペースを選択した場合、検出メトリクスのドロップダウンリストには、現在のワークスペースで使用が認可されているデータタイプのみが表示されます。 |
| データソースタイプ | メトリクス、ログ、インフラストラクチャー、リソースカタログ、イベント、APM、RUM、ネットワーク、プロファイルなど |
| クエリ方式 | シンプルクエリ、式クエリ |
| フィルター条件 | メトリクスのタグに基づいて検出メトリクスのデータをフィルタリングし、検出のデータ範囲を限定します。1つ以上のタグフィルターを追加できます。模糊一致および模糊不一致のフィルター条件をサポートします。 |
| 集計アルゴリズム | Avg by（平均値）、Min by（最小値）、Max by（最大値）、Sum by（合計）、Last（最後の値）、First by（最初の値）、Count by（データポイント数）、Count_distinct by（重複を除いたデータポイント数）、p50（中央値）、p75（75パーセンタイル値）、p90（90パーセンタイル値）、p99（99パーセンタイル値） |
| 検出ディメンション | データ内の文字列型（keyword）フィールドを検出ディメンションとして選択できます。現在、最大3つのフィールドを検出ディメンションとして選択できます。複数の検出ディメンションフィールドの組み合わせにより、特定の検出対象を特定できます。システムは、特定の検出対象に対応する統計メトリクスがトリガー条件のしきい値を満たすかどうかを判断し、条件を満たす場合にイベントを生成します。（例：検出ディメンションとして host と host_ip を選択した場合、検出対象は {host: host1, host_ip: 127.0.0.1} となります。） |
| エイリアス | 検出メトリクス名をカスタマイズします |
クリックしてクエリ方式の詳細を参照してください。
トリガー条件¶
トリガー条件と重大度を設定します。クエリ結果が複数の値を持つ場合、いずれかの値がトリガー条件を満たすとイベントが生成されます。
外れ値検出は DBSCAN アルゴリズムを使用して異常を識別します。深刻レベルのしきい値と正常回復条件の設定をサポートしています。
| レベル | 設定 | 説明 |
|---|---|---|
| 深刻 | DBSCAN アルゴリズム、距離 [値] |
DBSCAN アルゴリズムを使用して外れ値を検出します。距離パラメータは、あるサンプルが別のサンプルに隣接する場合の2つのサンプル間の最大距離を示します（float、デフォルト=0.5）。 ❗️ range(0-3.0) の任意の浮動小数点値を設定できます。設定しない場合、デフォルトの距離パラメータは 0.5 です。距離を大きく設定すると検出される異常点は少なくなり、小さく設定しすぎると非常に多くの外れ値が検出される可能性があります。また、大きく設定しすぎると外れ値がまったく検出されない可能性があります。データの特徴に応じて適切な距離パラメータを設定する必要があります。 |
| 正常 | [N] 回の検出でイベントが発生しない |
検出ルールが有効になった後、設定されたカスタム検出回数内に、データの検出結果が異常（深刻）から正常に回復した場合、回復アラートイベントがトリガーされます。 ❗️ 回復アラートイベントはアラートサイレンシングの制限を受けません。回復アラートイベントの検出回数が設定されていない場合、アラートイベントは回復せず、常にイベント > 未復旧イベント一覧に表示され続けます。 |
詳細については、イベントレベルの説明を参照してください。
大量アラート保護¶
システムデフォルトで有効です。
1回の検出で生成されるアラート数が事前に設定されたしきい値を超えた場合、システムは自動的にステータス集約戦略に切り替わります。アラート対象を個別に処理するのではなく、イベントステータスに基づいて少数のサマリアラートを生成し、プッシュします。
これにより、通知のタイムリーさを確保しつつ、アラートノイズを大幅に削減し、過剰なアラート処理によるタイムアウトリスクを回避できます。
このスイッチがオンの場合、後続のモニターが異常を検出した後に生成されるこのようなイベント詳細には、履歴と関連イベントは表示されません。
データ欠落¶
検出間隔内で検出メトリクスのクエリ結果が空の場合の処理戦略です。
| オプション | 説明 |
|---|---|
| イベントをトリガーしない（デフォルト） | 検出間隔の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果に基づいて、イベントを生成するかどうかを判断します。データの欠落が許容されるシナリオに適しています。 |
| クエリ結果を 0 とみなす | 検出間隔の時間範囲に連動し、検出メトリクスの直近数分間のクエリ結果を 0 とみなして、上記のトリガー条件で設定されたしきい値と再度比較し、異常イベントをトリガーするかどうかを判断します。 |
| カスタム値を入力しイベントをトリガー | 検出間隔の値をカスタムで入力し、以下のイベントタイプをそれぞれトリガーすることをサポートします：データ欠落イベント、深刻イベント、重要イベント、警告イベント、および回復イベント。 ❗️この戦略を選択する場合、カスタムのデータ欠落時間は ≥ 検出間隔の時間間隔 に設定することを推奨します。設定時間が検出間隔の時間間隔以下の場合、データ欠落と異常が同時に発生する可能性があり、その場合はデータ欠落の処理結果が優先的に適用されます。 |
トリガー条件、データ欠落、情報生成を同時に設定する場合、トリガーの優先順位は次のとおりです：データ欠落 > トリガー条件 > 情報イベント生成。
つまり、最初にデータ欠落かどうかを判断し、次にしきい値トリガーかどうかを判断し、最後に情報イベントを生成するかどうかを判断します。
情報生成¶
このオプションを有効にすると、上記のトリガー条件に一致しなかったすべての検出結果が「情報」イベントとして書き込まれます。
通常の状態変化や優先度の低い情報を記録する必要があるシナリオに適しています。
後続設定¶
上記の検出設定が完了したら、以下の設定を続行してください。