Docs » Splunk Observability Cloudのアラートとディテクターの概要 » 内蔵アラート条件 » 急激な変化

急激な変化 🔗

「急激な変化」は、直近の（短い）時間窓（現在のウィンドウ）で受信した値が、その前の（一般的に長い）時間窓（履歴的ウィンドウ）で受信した値と比較して異常である場合にアラートを発します。この条件を使用すると、比較のための静的な基準がない場合に、メトリクスの急激な変化を検出できます。

例 🔗

  • コードプッシュの結果、アプリケーションの応答時間が増加するという場合、応答時間を測定するシグナルにこの条件を使用すると、アラートがトリガーされます。

  • あるサーバーのログイン数が突然大幅に減少した場合、そのサーバーに問題がある可能性があります。

基本的な設定 🔗

パラメータ

値

注意事項

Alert when

Too high、Too low、Too high or Too low

Alert is triggered when the signal is either above a threshold, below a threshold, or outside a specified range (e.g. more than 3.5 standard deviations above or below the mean of the preceding window, or higher than the 95th percentile of the preceding window). Choose Custom sensitivity and then the Normal based on parameter on to specify whether anomalies are based on standard deviations from the mean, a percentile value, or mean plus percentage change.

Trigger Sensitivity

Low、Medium、High、Custom

アラートのトリガー頻度の目安。「Low」を選択するとアラートのトリガー頻度は低くなり、アラートが解除されるまでの時間が長くなります（最も flappy でなくなる）。トリガーと解除の感度を決定する設定を変更するには、Custom を選択します（以下にリスト）。

詳細な設定 🔗

パラメータ

値

注意事項

正常値の基準

Mean plus standard deviation、Percentile、Mean plus percentage change

履歴ウィンドウとの比較における異常の定義方法。

Use Percentile for signals such as application response time or latency, where the signal might be more likely to have small but consistent increases or decreases. In general, Percentile aims to be representative but can be rigid (a new maximum value is seen as anomalous regardless of scale). Mean plus standard deviation is more flexible but can be unduly influenced by extreme observations. Mean plus percentage change is more interpretable but might be harder to tune.

現在のウィンドウ

>= 1の整数の後に時間を表す指標（s、m、h、d、w）を付す。例：30s、10m、2h、5d、1w

監視する時間範囲。例えば、値が10mの場合、直近10分間に発生した異常を探すということを示します。

履歴ウィンドウ

>= 1の整数の後に時間を表す指標（s、m、h、d、w）を付す。例：30s、10m、2h、5d、1w。現在のウィンドウより大きくする必要があります。

最近の傾向を定義するために使用される時間範囲。たとえば、値が8hの場合、現在のウィンドウで受信した値と、前の8時間に受信した値を比較するということを示します。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Mean plus standard deviation の場合）

>= 0の数値。解除の閾値はトリガーの閾値より低くする必要があります

アラートのトリガーまたは解除のために必要な、過去の平均値からの標準偏差の数。トリガーの値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。解除の値が高いほど、アラートはより迅速に解除されます。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Percentile の場合）

0～100の数値（0と100を含む）。これらの値が互いにどのように関連していなければならないかについての詳細は、以下の トリガーの閾値と解除の閾値の指定 を参照してください。

アラートのトリガーまたは解除の閾値として使用される履歴ウィンドウのパーセンタイル。トリガーの値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。解除の値が高いほど、アラートはより迅速に解除されます。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Mean plus percentage change の場合）

0～100の数値（0と100を含む）。解除の閾値はトリガーの閾値より低くする必要があります。

アラートのトリガーまたは解除に必要な変化のパーセンテージ。

例えば、トリガーの値が30の場合、比較される値が30%以上異なる場合にアラートをトリガーします。値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。

解除の値が20の場合、比較される値が20%以下の差である場合にアラートを解除します。値が大きいほど、アラートの解除にかかる時間が長くなります。

履歴的極値を無視 （ 正常値の基準 が Mean plus standard deviation の場合）

Yes、No

Yes に設定すると、履歴データにフィルターが適用されます。 トリガーの閾値 の標準偏差以上平均から離れたデータポイントを、関連する上限値（すなわち、平均からちょうど トリガーの閾値 の標準偏差離れた値）で置き換え、その修正セットで閾値を計算します。No に設定した場合は、フィルターは適用されません。

一般的に、シグナルの測定基準となる「正常な」動作の定義が異常値による影響を受けることを防ぐためには、Yes が推奨されます。

EWMAを使用 （ 正常値の基準 が Mean plus standard deviation または Mean plus percentage change の場合）

Yes、No

Yes に設定すると、二重指数加重移動平均を計算します（そして、必要に応じて標準偏差またはパーセンテージを追加します）。No に設定すると、通常の移動平均を使用します。一般的に、閾値が現在の値から大きく遅れるのを防ぐためには、 Yes が推奨されます。

トリガーの閾値と解除の閾値の指定 🔗

前述のように、正常値の基準 が Mean plus standard deviation または Mean plus percentage change の場合、「解除の閾値」の値は「トリガーの閾値」の値よりも小さくする必要があります。ただし、正常値の基準 が Percentile の場合は、これらの2つの値の関係は少し複雑になります。

後者の場合は、以下の条件が存在する必要があります：

|TriggerThreshold - 50| >= |ClearThreshold - 50|

この条件が満たされない場合、ディテクターは期待通りに動作しません。

ただし、比較のタイプに合わせて閾値を変化させる必要はないことに注意してください。つまり、トリガーの閾値として「99」を指定した場合、Alert when が Too low であれば、自動的に1に変換されます。

参考 🔗

パラメータ

注釈

アラートのタイミング

Too high or Too low の設定は、指定域を超えて上下に振動するシグナルに対してはアラートをトリガーしません。シグナルは、少なくとも Current window で指定した時間以上にわたって、指定域のどちらか片側にとどまっている必要があります。

現在のウィンドウ、履歴ウィンドウ、ネイティブ解像度

Current window と Historical window は、共にネイティブ解像度より大幅に大きく設定します。

現在のウィンドウ

The alert condition applies rolling minimum and maximum transformations (over the current window), which can interact poorly with other analytics on the signal. The alert condition is not influenced by missing data points in the current window or historical window. That is, all of the received values must be above/below the threshold; missing data points do not prevent an alert from triggering. Similarly, the threshold calculations ignore missing data points.

トリガーの閾値と解除の閾値

These produce dynamic thresholds, which can be somewhat disorienting. For example, an alert can be triggered when the signal value is 31.4 (units of the original metric, not deviations or a percentile) and clear when the value is 55.1 (because the dynamic threshold has been influenced by the elevated values that have occurred since the alert was triggered). The clear event does not mean the signal is below the threshold in effect when the alert was triggered.

このページは 2024年10月17日 に最終更新されました。