突变检测¶
概述¶
通过比较两个不同时间段内同一个指标的绝对或相对（%）变化值来判断是否产生异常情况。多应用于追踪某个指标的峰值或者数据变化，当出现异常情况时可以更精准的产生事件留做记录。
应用场景¶
突变检测可用于近期与长期的相对变化/相对变化率的监控，如当您为 Mysql 的连接数指标设置为最近 15 分钟与最近 1 天的平均值的百分比差值 >500 时意味着最近十五分钟的平均连接数超过最近一天平均连接数的 5 倍时进行预警。
建议统计函数选 AVG，MAX，MIN 等统计值，避免选 last 函数。
规则说明¶
进入监控器 > 新建监控器，选择突变检测，进入突变检测规则配置页面。
步骤一：检测配置¶
1）检测指标：监控的指标数据。支持比较两个时间段内该指标的差值或者差值百分比。
| 字段 | 说明 |
|---|---|
| 数据类型 | 当前检测的数据类型，包含检测指标、日志、基础设施、自定义对象、事件、应用性能监测、用户访问监测、安全巡检、网络和 Profile。 |
| 指标集 | 当前检测指标所在的指标集。 |
| 指标 | 当前检测所针对的指标。 |
| 聚合算法 | 包含Avg by（取平均值）、Min by（取最小值）、Max by（取最大值）、Sum by（求和）、Last（取最后一个值）、First by（取第一个值）、Count by（取数据点数）、Count_distinct by（取非重复的数据点数）、p50(取中位数值)、p75（取处于75%位置的值）、p90（取处于90%位置的值）、p99(取处于99%位置的值)。 |
| 检测维度 | 配置数据里对应的字符串类型（keyword）字段都可以作为检测维度进行选择，目前检测维度最多支持选择三个字段。通过多个检测维度的字段组合，可以确定一个确定的检测对象，观测云会判断某个检测对象对应的统计指标是否满足触发条件的阈值，若满足条件则产生事件。（例如选择检测维度【 host 】与【 host_ip 】,则检测对象可以为{host: host1, host_ip: 127.0.0.1}） |
| 筛选条件 | 基于指标的标签对检测指标的数据进行筛选，限定检测的数据范围，支持添加一个或多个标签筛选，支持模糊匹配和模糊不匹配的筛选条件。 |
| 别名 | 自定义检测指标名称。 |
| 查询方式 | 支持简单查询和表达式查询，详情参考 查询。 |
时间段可以选择的检测区间包括昨日、一小时前、最近 15 分钟、最近 30 分钟、最近 1 小时、最近 4 小时、最近 12 小时和最近 1 天。
注意：检测区间”昨日“和”一小时前“，比较的是相同时间范围内检测指标的差值或差值百分比，其他的检测区间比较的是两个时间段内检测指标的差值或差值百分比。
| 检测区间（下拉可选项） | 检测频率 |
|---|---|
| 最近 15 分钟 | 5 分钟 |
| 最近 30 分钟 | 5 分钟 |
| 最近 1 小时 | 15 分钟 |
| 最近 4 小时 | 30 分钟 |
| 最近 12 小时 | 1 小时 |
| 最近 1 天 | 1 小时 |
2）检测频率：检测规则的执行频率，自动匹配用户所选两个检测区间中时间范围更大的检测区间。
3）触发条件：设置告警级别的触发条件。支持向上（数据升高）、向下（数据下降）、向上或向下 3 种形式的数据比较。
配置触发条件及严重程度，当查询结果为多个值时，任一值满足触发条件则产生事件。
更多详情，可参考 事件等级说明。
1、告警级别紧急（红色）、重要（橙色）、警告（黄色）基于配置条件判断运算符。
更多详情，可参考 运算符说明。
2、告警级别正常（绿色）、信息（蓝色）基于配置检测次数，说明如下：
- 每执行一次检测任务即为 1 次检测，如【检测频率 = 5 分钟】，则 1 次检测= 5 分钟；
- 可以自定义检测次数，如【检测频率 = 5 分钟】，则 3 次检测 = 15 分钟。
a. 正常（绿色）：检测规则生效后，产生紧急、重要、警告异常事件后，在配置的自定义检测次数内，数据检测结果恢复正常，则产生恢复告警事件。
注意：恢复告警事件不受告警沉默限制。若未设置恢复告警事件检测次数，则告警事件不会恢复，且一直会出现在事件 > 未恢复事件列表中。
b. 信息（蓝色）：正常检测结果也产生事件。
3、告警级别无数据（灰色）：无数据状态支持触发无数据事件、触发恢复事件、不触发事件三种配置策略。
步骤二：事件通知¶
4）事件标题：设置告警触发条件的事件名称，支持使用预置的模板变量。
注意：最新版本中监控器名称将由事件标题输入后同步生成。旧的监控器中可能存在监控器名称和事件标题不一致的情况，为了给您更好的使用体验，请尽快同步至最新。支持一键替换为事件标题。
5）事件内容：满足触发条件时发送的事件通知内容，支持输入 Markdown 格式文本信息，支持预览效果，支持使用预置的 关联链接 ，支持使用预置的 模板变量。
注意：不同告警通知对象支持的 Markdown 语法不同，例如：企业微信不支持无序列表。
无数据通知配置：支持自定义无数据通知内容，若没有配置，则自动使用官方默认的通知模版。
6）告警策略：监控满足触发条件后，立即发送告警消息给指定的通知对象。告警策略中包含需要通知的事件等级、通知对象、以及告警沉默周期。
7）同步创建 Issue：若该监控器下产生了异常事件，将同步创建 Issue 异常追踪，投递到异常追踪的频道中。您可以前往异常追踪 > 您选定的频道进行查看。
步骤三：关联¶
8）关联仪表板：每一个监控器都支持关联一个仪表板，即通过关联仪表板功能能够自定义快速跳转的仪表板（监控器关联的仪表板，支持快速跳转查看监控视图）。
示例¶
当主机用户 cpu 使用率设置为最近 15 分钟与最近 1 天的平均值的百分比差值 >90 时意味着最近十五分钟的平均 cpu 使用率超过最近一天平均 cpu 使用率的 90% 时进行预警。
