Docs » Splunk Observability Cloudのアラートとディテクターの概要 » 内蔵アラート条件 » 急激な変化

急激な変化 🔗

「急激な変化」は、直近の（短い）時間窓（現在のウィンドウ）で受信した値が、その前の（一般的に長い）時間窓（履歴的ウィンドウ）で受信した値と比較して異常である場合にアラートを発します。この条件を使用すると、比較のための静的な基準がない場合に、メトリクスの急激な変化を検出できます。

例 🔗

  • コードプッシュの結果、アプリケーションの応答時間が増加するという場合、応答時間を測定するシグナルにこの条件を使用すると、アラートがトリガーされます。

  • あるサーバーのログイン数が突然大幅に減少した場合、そのサーバーに問題がある可能性があります。

基本的な設定 🔗

パラメータ

値

注意事項

Alert when

Too high、Too low、Too high or Too low

アラートは、シグナルが閾値を超えたとき、閾値を下回ったとき、または指定した範囲外にあるときにトリガーされます（例：直前のウィンドウの平均値より3.5標準偏差以上上または下、または直前のウィンドウの95パーセンタイルより高い場合）。カスタム感度 を選択し、正常値の基準 のパラメータを選択して、異常の基準を平均値からの標準偏差とするか、パーセンタイル値とするか、または平均に変化率を加えたものとするかを指定します。

Trigger Sensitivity

Low、Medium、High、Custom

アラートのトリガー頻度の目安。「Low」を選択するとアラートのトリガー頻度は低くなり、アラートが解除されるまでの時間が長くなります（最も flappy でなくなる）。トリガーと解除の感度を決定する設定を変更するには、Custom を選択します（以下にリスト）。

詳細な設定 🔗

パラメータ

値

注意事項

正常値の基準

Mean plus standard deviation、Percentile、Mean plus percentage change

履歴ウィンドウとの比較における異常の定義方法。

アプリケーションの応答時間やレイテンシのように、小さくとも一貫した増減を示す可能性の高いシグナルには、Percentile を使用します。一般的に、Percentile は代表的であることを目指しているものの、柔軟性に欠ける可能性があります（新たな最大値は、スケールに関係なく異常とみなされる）。Mean plus standard deviation はより柔軟ですが、極値が観測された場合に過度に影響される可能性があります。Mean plus percentage change はより解釈しやすいですが、調整が難しい可能性があります。

現在のウィンドウ

>= 1の整数の後に時間を表す指標（s、m、h、d、w）を付す。例：30s、10m、2h、5d、1w

監視する時間範囲。例えば、値が10mの場合、直近10分間に発生した異常を探すということを示します。

履歴ウィンドウ

>= 1の整数の後に時間を表す指標（s、m、h、d、w）を付す。例：30s、10m、2h、5d、1w。現在のウィンドウより大きくする必要があります。

最近の傾向を定義するために使用される時間範囲。たとえば、値が8hの場合、現在のウィンドウで受信した値と、前の8時間に受信した値を比較するということを示します。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Mean plus standard deviation の場合）

>= 0の数値。解除の閾値はトリガーの閾値より低くする必要があります

アラートのトリガーまたは解除のために必要な、過去の平均値からの標準偏差の数。トリガーの値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。解除の値が高いほど、アラートはより迅速に解除されます。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Percentile の場合）

0～100の数値（0と100を含む）。これらの値が互いにどのように関連していなければならないかについての詳細は、以下の トリガーの閾値と解除の閾値の指定 を参照してください。

アラートのトリガーまたは解除の閾値として使用される履歴ウィンドウのパーセンタイル。トリガーの値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。解除の値が高いほど、アラートはより迅速に解除されます。

トリガーの閾値 および 解除の閾値 （ 正常値の基準 が Mean plus percentage change の場合）

0～100の数値（0と100を含む）。解除の閾値はトリガーの閾値より低くする必要があります。

アラートのトリガーまたは解除に必要な変化のパーセンテージ。

例えば、トリガーの値が30の場合、比較される値が30%以上異なる場合にアラートをトリガーします。値が高いほど感度は低くなり、アラート数は潜在的に少なくなります。

解除の値が20の場合、比較される値が20%以下の差である場合にアラートを解除します。値が大きいほど、アラートの解除にかかる時間が長くなります。

履歴的極値を無視 （ 正常値の基準 が Mean plus standard deviation の場合）

Yes、No

Yes に設定すると、履歴データにフィルターが適用されます。 トリガーの閾値 の標準偏差以上平均から離れたデータポイントを、関連する上限値（すなわち、平均からちょうど トリガーの閾値 の標準偏差離れた値）で置き換え、その修正セットで閾値を計算します。No に設定した場合は、フィルターは適用されません。

一般的に、シグナルの測定基準となる「正常な」動作の定義が異常値による影響を受けることを防ぐためには、Yes が推奨されます。

EWMAを使用 （ 正常値の基準 が Mean plus standard deviation または Mean plus percentage change の場合）

Yes、No

Yes に設定すると、二重指数加重移動平均を計算します（そして、必要に応じて標準偏差またはパーセンテージを追加します）。No に設定すると、通常の移動平均を使用します。一般的に、閾値が現在の値から大きく遅れるのを防ぐためには、 Yes が推奨されます。

トリガーの閾値と解除の閾値の指定 🔗

前述のように、正常値の基準 が Mean plus standard deviation または Mean plus percentage change の場合、「解除の閾値」の値は「トリガーの閾値」の値よりも小さくする必要があります。ただし、正常値の基準 が Percentile の場合は、これらの2つの値の関係は少し複雑になります。

後者の場合は、以下の条件が存在する必要があります：

|TriggerThreshold - 50| >= |ClearThreshold - 50|

この条件が満たされない場合、ディテクターは期待通りに動作しません。

ただし、比較のタイプに合わせて閾値を変化させる必要はないことに注意してください。つまり、トリガーの閾値として「99」を指定した場合、Alert when が Too low であれば、自動的に1に変換されます。

参考 🔗

パラメータ

注釈

アラートのタイミング

Too high or Too low の設定は、指定域を超えて上下に振動するシグナルに対してはアラートをトリガーしません。シグナルは、少なくとも Current window で指定した時間以上にわたって、指定域のどちらか片側にとどまっている必要があります。

現在のウィンドウ、履歴ウィンドウ、ネイティブ解像度

Current window と Historical window は、共にネイティブ解像度より大幅に大きく設定します。

現在のウィンドウ

このアラート条件は、（現在のウィンドウに）ローリング最小値および最大値の変換を適用するため、シグナルに対する他の分析との相互作用が悪くなる可能性があります。このアラート条件は、現在のウィンドウまたは履歴ウィンドウにおけるデータポイントの欠落の影響を受けません。つまり、すべての受信値が閾値を超えるか閾値未満である必要があります。データポイントが欠落しても、アラートのトリガーを妨げることはありません。同様に、閾値の計算もデータポイントの欠落を無視します。

トリガーの閾値と解除の閾値

これらは動的な閾値を生成するため、多少混乱を生じさせる可能性があります。例えば、あるアラートは、シグナル値が31.4（偏差やパーセンタイルではなく、元のメトリクスの単位）のときにアラートがトリガーされ、55.1のときに解除されるという可能性があります（アラートがトリガーされてから発生した値の上昇によって動的閾値が影響を受けたため）。解除イベントは、アラートがトリガーされたときに有効であった閾値をシグナルが下回ったことを意味するもの ではありません。

This page was last updated on 2024年10月17日.