SLS Intelligent Anomaly Analysis - architecture benefits limits - Simple Log Service

L'analyse intelligente des anomalies est une application SLS hautement disponible et évolutive qui propose un contrôle de santé intelligent, une analyse textuelle et une analyse des causes racines.

Important

À compter du 15 juillet 2025 (UTC+8), la fonctionnalité d'analyse intelligente des anomalies ne sera plus disponible pour les nouveaux utilisateurs. Les utilisateurs existants peuvent continuer à l'utiliser.

Portée de l'impact

Les fonctionnalités principales suivantes seront retirées : contrôle de santé intelligent, analyse textuelle et prévision de séries temporelles.
Solutions de migration des fonctionnalités

La syntaxe d'apprentissage automatique, les requêtes et analyses planifiées (SQL planifié) ainsi que les tableaux de bord de SLS peuvent remplacer intégralement les fonctionnalités retirées.

Architecture du service

L'analyse intelligente des anomalies applique l'apprentissage automatique aux métriques, aux journaux et aux relations entre services dans les scénarios d'exploitation et de maintenance (O&M). Elle génère des événements anormaux et met en corrélation les données de séries temporelles avec ces événements via les topologies de service, réduisant ainsi la complexité des opérations O&M et améliorant la qualité des services.

Composants clés :

Logstore : SLS fournit des Logstores pour stocker les données de journal. Interrogez et analysez les journaux à l'aide de la syntaxe SQL-92. Présentation de l'interrogation et de l'analyse des journaux.
Metricstore : SLS fournit des Metricstores pour stocker les données de séries temporelles. Analysez les métriques à l'aide de la syntaxe SQL-92 ou PromQL. Syntaxe d'interrogation et d'analyse des données de métriques.
Algorithmes d'apprentissage automatique : SLS propose des algorithmes adaptés à des scénarios spécifiques pour les données de séries temporelles et textuelles afin de générer des données d'anomalie. Algorithmes de contrôle de santé intelligent et Algorithmes d'analyse textuelle.
Alertes : Générez des alertes pour les résultats d'anomalie. Qu'est-ce que la fonctionnalité d'alerte de Simple Log Service ?.

Avantages

Détecte les anomalies sur de nombreuses métriques d'entités avec une configuration minimale, sans nécessiter de règles d'alerte spécifiques.
Analyse les journaux textuels non structurés pour découvrir automatiquement des modèles anormaux.
Prend en charge l'annotation des résultats d'algorithme afin d'améliorer la précision du modèle au fil du temps.
Disponibilité des alertes de 99,9 %, bâtie sur la haute disponibilité et la fiabilité des données de SLS.
Intégration profonde avec la fonctionnalité d'alerte de SLS pour une expérience fluide.

Scénarios

Scénarios recommandés :

Vous devez observer de nombreux objets selon plusieurs dimensions.
Les courbes de métriques ne disposent pas de règles de seuil claires.
La gestion manuelle d'un grand nombre de règles de surveillance s'avère peu pratique.
Vous devez extraire des modèles des journaux textuels tout en traitant des données de journal non structurées.
Votre scénario de traçage dispose d'une topologie de service définie.
Vous possédez une topologie de service personnalisée.

Termes

Concepts de base	Description
Série temporelle	Valeurs de métriques enregistrées à intervalles réguliers avec des horodatages UNIX. Requis comme entrée pour les algorithmes de contrôle de santé.
Entité	Objet observé dans une tâche de contrôle de santé intelligent. Par exemple, une entité pour un service sur une machine est décrite comme `"192.0.2.0" : adresse IP de la machine, "80" : numéro de port du service`. Vous pouvez identifier l'entité de manière unique à l'aide de l'adresse IP de la machine et du numéro de port du service.
Métrique clé (Golden metric)	Métrique qui décrit avec précision la qualité d'un service ou la stabilité d'une entité observée. Exemples : Pour décrire la qualité des requêtes d'un nom de domaine, les métriques clés correspondantes sont la latence moyenne de réponse par minute, le nombre de requêtes par minute, le nombre de requêtes échouées par minute et le volume de trafic d'écriture par minute. Pour décrire l'état d'une machine, les métriques clés correspondantes sont l'utilisation du CPU en mode utilisateur par minute, l'utilisation du CPU en mode noyau par minute, la taille de la mémoire résidente par minute, le nombre d'E/S disque par minute et la charge système moyenne par minute. Pour décrire l'état d'un compartiment OSS, les métriques clés correspondantes sont le nombre d'opérations d'écriture dans le compartiment par minute, le nombre d'opérations de lecture dans le compartiment par minute et le volume de trafic d'écriture dans le compartiment par minute.
Type d'anomalie	Sept types d'anomalie intégrés vous aident à filtrer les points d'intérêt. Types d'anomalie de contrôle de santé intelligent et Types d'anomalie d'analyse textuelle.
Méthode de normalisation	Convertit les expressions dimensionnelles en scalaires sans dimension pour améliorer l'efficacité de la détection d'anomalies.
Méthode de filtrage	Supprime les signaux de bandes de fréquence spécifiques pour atténuer les interférences. Produit des courbes plus lisses pour une détection d'anomalies plus efficace.
Annoter	Étiqueter les résultats du contrôle de santé comme retour d'information au système d'analyse des anomalies.
Faux positif	Lorsque le modèle signale une anomalie que vous jugez incorrecte, étiquetez-la comme faux positif. Le système utilise ce retour d'information pour le réentraînement du modèle.
Faux négatif	Lorsque le modèle omet une anomalie, étiquetez manuellement n'importe quel point de données pour signaler la détection manquée.
Extraction de motifs	Extrait des motifs du texte pour décrire une classe de textes similaires.
Clustering	Regroupe des objets similaires en clusters. Les objets au sein d'un cluster se ressemblent et diffèrent des objets appartenant à d'autres clusters.
Non supervisé	Reconnaissance de motifs utilisant des échantillons d'entraînement non étiquetés.
Supervisé	Déduit une fonction ou un modèle à partir de données d'entraînement étiquetées.
Constante de journal	Les journaux sont souvent générés par des instructions `logging` ou `print` dans un programme. Par exemple, le journal `connect mysql server, latency 212ms` pourrait être généré par l'instruction de sortie de journal `logging.info("connect mysql server, latency %dms")`. La partie incluse à chaque exécution de l'instruction de sortie de journal est appelée constante de journal, telle que `connect mysql server, latency ms`.
Variable de journal	Les journaux sont souvent générés par des instructions `logging` ou `print` dans un programme. Par exemple, le journal `connect mysql server, latency 212ms` pourrait être généré par l'instruction de sortie de journal `logging.info("connect mysql server, latency %dms")`. La partie qui change à chaque exécution de l'instruction de sortie de journal est appelée variable de journal, comme le nombre `212` dans cet exemple.
Modèle de journal	Un texte composé de la partie constante d'un journal et de caractères génériques pour la partie variable est appelé modèle de journal. Par exemple, le modèle pour le journal `connect mysql server, latency 212ms` est `connect mysql server, latency ms`. Le caractère générique astérisque () remplace la variable numérique `212`. Vous pouvez sélectionner un caractère générique en fonction du type de variable. Par exemple, vous pouvez utiliser `NUM` pour représenter une variable numérique. Le modèle de journal devient alors `connect mysql server, latency NUMms`.
Classe de journal	Chaque classe de journal inclut un modèle de journal qui représente la classe. Si le contenu du journal correspond au modèle de journal, le journal est considéré comme appartenant à cette classe de journal.

Limites

Type de tâche	Limitations	Description
Contrôle de santé intelligent	Échelle des entités contrôlées	Une seule tâche prend en charge un maximum de 10 000 entités contrôlées. Pour augmenter cette limite, soumettez une demande d'assistance.
	Granularité des séries temporelles contrôlées	La courbe d'une seule entité doit être espacée régulièrement et continue. Dans les scénarios SQL, la granularité minimale prise en charge est la minute. Pour une granularité plus fine, soumettez une demande d'assistance.
	Notification des résultats d'anomalie	Actuellement, seul le canal de notification DingTalk Robot prend en charge l'étiquetage de retour d'information pour les résultats d'anomalie. Pour les autres canaux de notification, soumettez une demande d'assistance.
Analyse textuelle	Échelle des champs textuels	Maximum de cinq champs textuels par tâche.
Analyse textuelle	Échelle des modèles de champ général	Maximum de six modèles généraux par tâche.

Facturation

L'application de contrôle de santé intelligent est en aperçu public et gratuite.