Docs » Splunk Observability Cloudのアラートとディテクターの概要 » 内蔵アラート条件 » 履歴的異常

履歴的異常 🔗

「履歴的異常」は、シグナルが過去の同じ期間と異なる場合にアラートを発します(周期的データまたは季節的データの場合)。「履歴的異常」アラート条件は、既知の一定期間にわたって繰り返されるパターンを持つメトリクスの監視に使用します。パターンが繰り返される期間を指定するには、サイクル長 パラメータを使用します。

🔗

  • 例えば、あなたの環境では一般的に月曜日の朝の方が金曜日の夜よりもログイン数が多いなど、同時ログイン数に週例のパターンがあります。この場合、サイクル長 を「1w」に設定します。

  • 3ヶ月に一度、季節ごとの売り尽くしセールがあると、売上は急増します。この場合、サイクル長 を「13w」に設定します。

  • 増分バックアップの開始によって、ディスクの読み取り回数が12時間ごとに急増します。この場合、サイクル長 を「12h」に設定します。

基本的な設定 🔗

パラメータ

注意事項

サイクル長

>= 1の整数の後に時間を表す指標(s、m、h、d、w)を付す。例:30s、10m、2h、5d、1w。この値は、ネイティブ解像度より大幅に大きくなるように設定します。

The time range that reflects the cycle of your signal. For example, a value of 1w indicates your signal follows a weekly cycle, and a value of 1d indicates your signal follows a daily cycle.
Cycle length works in conjunction with the duration of the time window used for data comparison, represented by the Current window parameter. Data from the current window will be compared against data from one or more previous cycles to detect historical anomaly, depending on the value of the Number of previous cycles parameter.
For example, if the current window is 1h and the cycle length is 1w, data in the past hour ([-1h, now]) is compared against data from the [-1w1h, -1w] hour, [-2w1h, -2w] hour, and so on.

アラートのタイミング

Too highToo lowToo high or Too low

Alert is triggered when the signal is either above a threshold, below a threshold, or outside a specified range (for example, more than 3.5 deviations above or below normal, or more than 30% above or below normal). To specify whether anomalies are based on standard deviations from normal or percentage difference from normal, choose Custom sensitivity and then the Normal based on parameter.

トリガー感度

LowMediumHighCustom

アラートのトリガー頻度の目安。「Low」を選択するとアラートのトリガー頻度は低くなり、アラートが解除されるまでの時間が長くなります(最も flappy でなくなる)。トリガーと解除の感度を決定する設定を変更するには、Custom を選択します(以下にリスト)。

詳細な設定 🔗

パラメータ

注意事項

正常値の基準

Mean plus standard deviationMean plus percentage change

If the short-term variation in a signal is small relative to the scale of the signal, and the scale is somehow natural, using Mean plus percentage change is recommended; using Mean plus standard deviation might trigger alerts even for a large number of standard deviations. In addition, Mean plus percentage change is recommended for metrics which admit a direct business interpretation. For instance, if user_sessions drops by 20%, revenue drops by 5%.

現在のウィンドウ

Integer >= 1, followed by time indicator (s, m, h, d, w). For example, 30s, 10m, 2h, 5d, 1w. Set this value to be shorter than cycle length, and significantly larger than the native resolution.

データを比較する対象となる時間範囲。移動平均のウィンドウと考えることができます。値が高いほど、より多くのデータポイントの平均が計算され、一般的に値が平滑化されるため、感度は低くなり、アラート数は潜在的に少なくなります。

過去のサイクル数

>=1 かつ <= 8の整数

サイクル長と連動して動作します。履歴ベースの基準またはベースラインを設定するために使用するサイクル数です。例えば、サイクル長が1wの場合、このパラメータは、履歴上の基準を計算する際に使用する過去の週数を指定するものです。先週を基準とする場合は、この値に1を使用します。過去4週間の平均を基準とする場合は、この値に4を使用します。値が大きいほど、基準値を定義するために使用されるデータが多いことを意味します。

トリガーの閾値 および 解除の閾値正常値の基準Mean plus standard deviation の場合)

>= 0の数値。解除の閾値はトリガーの閾値より低くする必要があります

アラートのトリガーおよび解除のために必要な、基準からの標準偏差の数。

例えば、トリガーの値が3.5の場合、比較される値が3.5標準偏差以上異なる場合にアラートをトリガーします。値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。

解除の値が2.5の場合、比較される値が2.5標準偏差以下の差である場合にアラートを解除します。値が大きいほど、アラートの解除にかかる時間が長くなります。

トリガーの閾値 および 解除の閾値正常値の基準Mean plus percentage change の場合)

0~100の数値(0と100を含む)。解除の閾値はトリガーの閾値より低くする必要があります。

アラートのトリガーまたは解除に必要な変化のパーセンテージ。

例えば、トリガーの値が30の場合、比較される値が30%以上異なる場合にアラートをトリガーします。値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。

解除の値が20の場合、比較される値が20%以下の差である場合にアラートを解除します。値が大きいほど、アラートの解除にかかる時間が長くなります。

履歴的極値を無視

YesNo

過去のサイクル数 が3以上の場合のみ該当します。

正常値の基準Mean plus percentage change の場合は、Yes に設定すると履歴ベースの基準値の中央値を取り、No に設定するとその平均値を取ります。

正常値の基準Mean plus standard deviation の場合は、Yes に設定すると平均が最大のサイクルと平均が最小のサイクルを除外し、No に設定するとそれらを含めます。

一般的には、Yes が推奨されます。例えば、先週インシデント発生した場合、その関連データを閾値の計算から除外することで、シグナル測定の比較基準となる「正常」の挙動をより正確に表すことができます。

参考 🔗

パラメータ

注釈

サイクル長と現在のウィンドウ

この両パラメータは、ネイティブ解像度より大幅に大きく設定します。

現在のウィンドウとネイティブ解像度

現在のウィンドウとネイティブ解像度の比率が小さい場合、ローリング標準偏差が小さくなる可能性があります。そのような場合、Mean plus percentage change を使用すると、より良い結果が得られる可能性があります。

シグナル

このアラート条件は、ローリング平均に標準偏差を加えたものをシグナルに適用するため、シグナルに適用される他の変換との相互作用が悪くなる可能性があります(例えば、カウントが重複したり、標準偏差が小さくなったりする可能性があります)。

このページは 2024年12月05日 に最終更新されました。