SLS Intelligent Anomaly Analysis - architecture benefits limits - Simple Log Service: Central de Documentação do Alibaba Cloud

A Análise Inteligente de Anomalias é um aplicativo do SLS altamente disponível e escalável que oferece verificação inteligente de integridade, análise de texto e análise de causa raiz.

Importante

A partir de 15 de julho de 2025 (UTC+8), o recurso de análise inteligente de anomalias não estará mais disponível para novos usuários. Usuários existentes podem continuar a utilizá-lo.

Escopo do impacto

Os seguintes recursos principais serão despublicados: verificação inteligente de integridade, análise de texto e previsão de séries temporais.
Soluções de migração de recursos

Os recursos de sintaxe de machine learning, consulta e análise agendada (SQL agendado) e painel do SLS substituem totalmente os recursos despublicados.

Arquitetura do serviço

A Análise Inteligente de Anomalias aplica machine learning a métricas, logs e relacionamentos de serviços em cenários de O&M. Ela gera eventos anômalos e correlaciona dados de séries temporais com eventos por meio de topologias de serviço. Isso reduz a complexidade de O&M e melhora a qualidade do serviço.

Componentes principais:

Logstore: o SLS fornece Logstores para armazenar dados de log. Consulte e analise logs com a sintaxe SQL-92. Visão geral da consulta e análise de logs.
Metricstore: o SLS fornece Metricstores para armazenar dados de séries temporais. Analise métricas com a sintaxe SQL-92 ou PromQL. Sintaxe para consulta e análise de dados de métricas.
Algoritmos de machine learning: o SLS oferece algoritmos específicos para cenários de dados de séries temporais e texto que geram dados de anomalia. Algoritmos de verificação inteligente de integridade e Algoritmos de análise de texto.
Alertas: gere alertas para resultados de anomalias. O que é o recurso de alertas do Simple Log Service?.

Benefícios

Detecta anomalias em diversas métricas de entidades com configuração mínima, sem necessidade de regras de alerta específicas.
Analisa logs de texto não estruturados para descobrir automaticamente padrões anormais.
Permite anotar resultados de algoritmos para aprimorar a precisão do modelo ao longo do tempo.
Oferece disponibilidade de alertas de 99,9%, baseada na alta disponibilidade e confiabilidade de dados do SLS.
Integra-se profundamente ao recurso de alertas do SLS para uma experiência contínua.

Cenários

Cenários recomendados:

Você precisa observar diversos objetos em múltiplas dimensões.
As curvas de métricas não possuem regras de limiar claras.
O gerenciamento manual de muitas regras de monitoramento é impraticável.
Você precisa minerar padrões em logs de texto durante o processamento de dados de log não estruturados.
Seu cenário de rastreamento possui uma topologia de serviço definida.
Você utiliza topologias de serviço personalizadas.

Termos

Conceitos básicos	Descrição
Série temporal	Valores de métricas registrados em intervalos iguais com carimbos de data/hora UNIX. Necessário como entrada para algoritmos de verificação de integridade.
Entidade	Objeto observado em uma tarefa de verificação inteligente de integridade. Por exemplo, uma entidade para um serviço em uma máquina é descrita como `"192.0.2.0": endereço IP da máquina, "80": número da porta do serviço`. Identifique exclusivamente a entidade usando o endereço IP da máquina e o número da porta do serviço.
Métrica dourada	Métrica que descreve com precisão a qualidade de um serviço ou a estabilidade de uma entidade observada. Exemplos: Para descrever a qualidade das solicitações de um nome de domínio, as métricas douradas correspondentes são a latência média de resposta por minuto, o número de solicitações por minuto, o número de solicitações com falha por minuto e a quantidade de tráfego de gravação por minuto. Para descrever o status de uma máquina, as métricas douradas correspondentes são a utilização da CPU no modo de usuário por minuto, a utilização da CPU no modo kernel por minuto, o tamanho da memória residente por minuto, o número de E/S de disco por minuto e a carga média do sistema por minuto. Para descrever o status de um bucket do OSS, as métricas douradas correspondentes são o número de operações de gravação no bucket por minuto, o número de operações de leitura no bucket por minuto e a quantidade de tráfego de gravação no bucket por minuto.
Tipo de anomalia	Sete tipos de anomalia integrados ajudam a filtrar pontos de interesse. Tipos de anomalia da verificação inteligente de integridade e Tipos de anomalia da análise de texto.
Método de normalização	Converte expressões dimensionais em escalares adimensionais para melhorar a eficácia da detecção de anomalias.
Método de filtragem	Remove sinais de bandas de frequência específicas para suprimir interferências. Produz curvas mais suaves para uma detecção de anomalias mais eficaz.
Anotar	Rotula resultados de verificação de integridade como feedback para o sistema de análise de anomalias.
Falso positivo	Se o modelo relatar uma anomalia incorreta, rotule-a como falso positivo. O sistema usa esse feedback para retreinar o modelo.
Falso negativo	Se o modelo não detectar uma anomalia, rotule manualmente qualquer ponto de dados para relatar a detecção perdida.
Extração de padrões	Extrai padrões do texto para descrever uma classe de textos semelhantes.
Clusterização	Agrupa objetos semelhantes em clusters. Objetos dentro de um cluster são semelhantes entre si e diferentes dos objetos em outros clusters.
Não supervisionado	Reconhecimento de padrões usando amostras de treinamento não rotuladas.
Supervisionado	Infere uma função ou modelo a partir de dados de treinamento rotulados.
Constante de log	Logs são frequentemente gerados por instruções `logging` ou `print` em um programa. Por exemplo, o log `connect mysql server, latency 212ms` pode ser gerado pela instrução de saída de log `logging.info("connect mysql server, latency %dms")`. A parte incluída sempre que a instrução de saída de log é executada é chamada de constante de log, como `connect mysql server, latency ms`.
Variável de log	Logs são frequentemente gerados por instruções `logging` ou `print` em um programa. Por exemplo, o log `connect mysql server, latency 212ms` pode ser gerado pela instrução de saída de log `logging.info("connect mysql server, latency %dms")`. A parte que muda sempre que a instrução de saída de log é executada é chamada de variável de log, como o número `212` neste exemplo.
Modelo de log	Texto composto pela parte constante de um log e caracteres curinga para a parte variável é chamado de modelo de log. Por exemplo, o modelo para o log `connect mysql server, latency 212ms` é `connect mysql server, latency ms`. O caractere curinga asterisco () substitui a variável numérica `212`. Selecione um caractere curinga com base no tipo de variável. Por exemplo, use `NUM` para representar uma variável numérica. O modelo de log será então `connect mysql server, latency NUMms`.
Classe de log	Cada classe de log inclui um modelo de log que representa a classe. Se o conteúdo do log corresponder ao modelo de log, considera-se que o log pertence a essa classe de log.

Limites

Tipo de trabalho	Limitações	Descrição
Verificação inteligente de integridade	Escala de entidades de verificação	Uma única tarefa suporta no máximo 10.000 entidades de verificação. Para aumentar esse limite, envie um ticket para fazer a solicitação.
	Granularidade da série temporal de verificação	A curva de uma única entidade deve ter espaçamento igual e ser contínua. Em cenários SQL, a granularidade mínima suportada é de minutos. Para uma granularidade mais fina, envie um ticket para fazer a solicitação.
	Notificação de resultados de anomalias	Atualmente, apenas o canal de notificação DingTalk Robot suporta rotulagem de feedback para resultados de anomalias. Para outros canais de notificação, envie um ticket para fazer a solicitação.
Análise de texto	Escala de campos de texto	Máximo de cinco campos de texto por tarefa.
Análise de texto	Escala de modelos de campo gerais	Máximo de seis modelos gerais por tarefa.

Faturamento

O aplicativo de verificação inteligente de integridade está em visualização pública e é gratuito.