Рассмотрена задача обнаружения аномалий в потоке эксплуатационных метрик информационной системы. Предложен адаптивный порог на основе экспоненциально взвешенного скользящего среднего и текущей оценки разброса, подстраивающийся под суточные изменения нагрузки. На реальных данных показано, что адаптивный порог по сравнению с фиксированным повышает полноту обнаружения при меньшем числе ложных срабатываний и сокращает время до обнаружения инцидента.
обнаружение аномалий, мониторинг, временные ряды, адаптивный порог, наблюдаемость, обработка информации, метрики, информационная система, надёжность
Эксплуатация информационной системы немыслима без мониторинга: непрерывно собираются метрики – время ответа, частота запросов, доля ошибок, загрузка ресурсов. Главная задача мониторинга – вовремя заметить, что система перешла в нештатное состояние, и оповестить дежурного до того, как сбой почувствуют пользователи. Поэтому от качества обнаружения аномалий напрямую зависят надёжность и время восстановления сервиса.
Самый распространённый способ – фиксированный порог: оповещение срабатывает, когда метрика превышает заранее заданное значение. Он прост, но плохо работает с метриками, у которых есть выраженный суточный ритм. Если порог задать высоким, чтобы не реагировать на дневные пики, то ночью реальная аномалия его не достигнет и останется незамеченной. Если задать низким, то каждый дневной пик нагрузки будет давать ложное срабатывание. В обоих случаях дежурный либо пропускает инциденты, либо перестаёт доверять оповещениям из-за их обилия.
Выход – порог, который подстраивается под текущее поведение метрики: днём поднимается, ночью опускается, следуя естественному ритму нагрузки. Решение о том, считать ли отклонение аномалией, по сути принимается в условиях шума и неопределённости, что роднит задачу с известными подходами к принятию решений [1]. Цель работы – предложить адаптивный порог для обнаружения аномалий в потоке метрик и сравнить его с фиксированным по полноте обнаружения, числу ложных срабатываний и времени до обнаружения инцидента.
Источником данных служил поток эксплуатационных метрик веб-сервиса за 30 суток с шагом в одну минуту: время ответа по 95-му перцентилю, частота запросов и доля ошибочных ответов. Эти ряды имеют выраженную суточную периодичность — днём значения закономерно выше, ночью ниже, — а также редкие настоящие аномалии: всплески времени ответа при деградации, провалы частоты запросов при недоступности, скачки доли ошибок.
Задача формулируется так: по поступающим значениям метрики в реальном времени относить каждую точку к норме или к аномалии, не имея заранее размеченных примеров. Это задача обработки информации в условиях, когда «норма» сама по себе меняется во времени. Качество решения оценивалось тремя величинами: полнота (доля выявленных настоящих аномалий), точность (доля настоящих среди всех срабатываний) и время до обнаружения – задержка между началом инцидента и оповещением. Перечень контролируемых показателей и эталонные интервалы их значений задавались на основе модели нормального функционирования системы [2, 3].
Схема обработки потока метрик показана на рисунке 1. Метрики снимаются с узлов и сервисов агентом сбора, складываются в хранилище временных рядов, откуда поступают на детектор аномалий. Детектор сравнивает каждое значение с адаптивным порогом и при выходе за его границы формирует оповещение дежурному инженеру. Такая организация отделяет сбор данных от логики обнаружения: правило выявления аномалий можно менять, не затрагивая остальные звенья.
Рисунок 1 – Схема обнаружения аномалий в потоке метрик
информационной системы
Ключевое звено — детектор с адаптивным порогом. В отличие от фиксированного значения, его границы пересчитываются на каждом шаге по недавней истории метрики, поэтому порог «дышит» вместе с нагрузкой. Контроль штатности функционирования по непрерывно наблюдаемым показателям характерен для управления высоконадёжными системами, где отклонение требуется обнаружить как можно раньше [4].
В основу порога положено экспоненциально взвешенное скользящее среднее (exponentially weighted moving average, EWMA). На каждом шаге оценка среднего уровня метрики пересчитывается по правилу:
где xₜ – текущее значение метрики;
mₜ – сглаженная оценка её уровня;
α – коэффициент сглаживания (0 < α < 1), задающий, насколько быстро оценка реагирует на изменения.
Аналогично, по экспоненциальному сглаживанию отклонений оценивается текущий разброс σₜ. Границы нормального коридора задаются как mₜ ± k·σₜ, и значение признаётся аномальным, если выходит за этот коридор. Коэффициент k определяет чувствительность: при k = 3 в коридор попадают практически все обычные колебания, а за его пределы – лишь редкие, действительно нетипичные значения.
Поскольку оценки (1) непрерывно следуют за метрикой, коридор автоматически расширяется в часы высокой изменчивости и сужается в спокойные периоды. Благодаря этому один и тот же детектор без перенастройки одинаково корректно работает и днём, и ночью. Параметры α и k подбираются как компромисс: меньшие значения дают более чувствительный, но и более «нервный» детектор, бо́льшие – устойчивый, но медленнее реагирующий.
На собранных данных адаптивный порог сравнивался с фиксированным. Фиксированный порог подбирался по обучающему участку так, чтобы не реагировать на типичные дневные пики. Параметры адаптивного детектора приняты равными α = 0,08 и k = 3. Фрагмент работы детектора показан на рисунке 2: метрика времени ответа колеблется в пределах коридора, а одиночный всплеск около 95-й минуты выходит за верхнюю границу и помечается как аномалия.
Рисунок 2 – Поток метрики, адаптивный коридор нормы и обнаруженная
аномалия
По размеченному вручную набору из 32 настоящих инцидентов за месяц подсчитаны показатели качества обнаружения. Сводное сравнение приведено в таблице 1. Адаптивный порог выявил больше настоящих аномалий при существенно меньшем числе ложных срабатываний, а также раньше реагировал на ночные инциденты, которые фиксированный порог систематически пропускал.
Таблица 1 – Качество обнаружения аномалий
|
Показатель |
Фиксированный порог |
Адаптивный порог |
|
Полнота обнаружения, % |
72 |
91 |
|
Точность (доля верных тревог), % |
63 |
88 |
|
Ложных срабатываний за сутки |
11,4 |
2,3 |
|
Среднее время до обнаружения, мин |
8,5 |
3,1 |
Главная причина различия – суточный ритм. Фиксированный порог приходится ставить выше дневных пиков, и тогда ночные аномалии, не достигающие этого уровня, остаются незамеченными; адаптивный же порог ночью опускается вслед за метрикой и улавливает их. Сокращение времени до обнаружения с 8,5 до 3,1 минуты напрямую уменьшает время восстановления сервиса, поскольку дежурный получает сигнал раньше.
Адаптивный порог переводит обнаружение аномалий из ручной настройки «магического числа» в воспроизводимое правило, которое само следует за поведением метрики. Это снижает нагрузку на дежурного — меньше ложных тревог – и одновременно повышает шансы заметить настоящий инцидент. Решение о тревоге при этом принимается по понятному критерию, что согласуется с подходами к выбору решений в условиях неопределённости и с ситуационным моделированием состояния системы [1, 5].
У метода есть ограничения. Экспоненциальное сглаживание хорошо описывает плавный суточный ритм, но хуже – резкие штатные переходы (например, регламентные работы), которые оно может принять за аномалию; такие периоды разумно помечать отдельно. Кроме того, медленно нарастающая деградация способна «увести» за собой сам порог и остаться незамеченной — против этого помогает контроль и более долгого тренда. Тем не менее даже простой адаптивный порог заметно превосходит фиксированный и не требует обучающей разметки, что делает его удобным средством повышения наблюдаемости информационной системы.
Предложен адаптивный порог обнаружения аномалий в потоке эксплуатационных метрик информационной системы, основанный на экспоненциально взвешенном скользящем среднем и текущей оценке разброса. Коридор нормы по правилу (1) автоматически подстраивается под суточный ритм нагрузки, что позволяет одному детектору одинаково работать в разное время суток. На реальных данных за месяц адаптивный порог по сравнению с фиксированным повысил полноту обнаружения с 72 % до 91 % и точность с 63 % до 88 %, сократив среднее время до обнаружения инцидента с 8,5 до 3,1 минуты. Метод не требует размеченных данных и применим как практическое средство мониторинга интеллектуальных информационных систем.
1. Горбунов, В. Г. Сравнительный анализ методов «Прометей» и нечетких отношений в условиях принятия решений / В. Г. Горбунов, О. Л. Бордюжа, А. А. Пак // Моделирование систем и процессов. – 2024. – Т. 17, № 1. – С. 42-56. – DOIhttps://doi.org/10.12737/2219-0767-2024-17-1-42-56. – EDN LSMBMD.
2. Морозов, Н. Д. Введение в управление микросервисами / Н. Д. Морозов, Д. Д. Романов, К. В. Пугин // Современные проблемы лингвистики и методики преподавания русского языка в ВУЗе и школе. – 2022. – № 40. – С. 689-702. – EDN DMLLTW.
3. Системное моделирование и разработка протоколов информационного взаимодействия блоков в программно-аппаратном комплексе САПР / К. В. Зольников, Д. В. Шеховцов, М. А. Махиборода [и др.] // Моделирование систем и процессов. – 2025. – Т. 18, № 2. – С. 53-62. – DOIhttps://doi.org/10.12737/2219-0767-2025-18-2-53-62. – EDN XKOLNC.
4. Комплексирование технического обеспечения в САПР / М. И. Конча, А. С. Мещеряков, М. А. Махиборода [и др.] // Моделирование систем и процессов. – 2025. – Т. 18, № 4. – С. 39-47. – DOIhttps://doi.org/10.12737/2219-0767-2025-18-4-39-47. – EDN CVAQJW.
5. Сумин, В. И. Использование ситуационного моделирования в разработке систем принятия решений для сложных организационных систем / В. И. Сумин, А. С. Кравченко, А. В. Толкачев // Моделирование систем и процессов. – 2024. – Т. 17, № 3. – С. 71-79. – DOIhttps://doi.org/10.12737/2219-0767-2024-69-77. – EDN FBBHJO.
