Resumen Técnico: Detección de Anomalías y Análisis de Causa Raíz en Sistemas de Microservicios

1. Planteamiento del Problema

Las arquitecturas de microservicios, si bien ofrecen modularidad y escalabilidad, introducen una complejidad inherente que hace que los fallos sean inevitables y difíciles de diagnosticar. Cuando ocurre un fallo en un servicio, este suele propagarse, causando una degradación generalizada en el rendimiento y la disponibilidad. El monitoreo manual es inviable debido al volumen de datos de observabilidad (métricas, registros, trazas y eventos). En consecuencia, la detección de anomalías (AD) y el análisis de causa raíz (RCA) automatizados son críticos.

Sin embargo, los enfoques existentes sufren cinco limitaciones significativas identificadas en esta tesis:

1. Desacoplamiento de AD y RCA: La mayoría de los métodos asumen que la detección de anomalías es perfecta. En la realidad, la detección imprecisa (por ejemplo, marcas de tiempo de fallo retrasadas o ruidosas) propaga errores a la fase de RCA, degradando la precisión de la localización.
2. Datos de Eventos Subexplorados: Mientras que las métricas y los registros están bien estudiados, los datos de eventos estructurados (por ejemplo, llamadas a la API, cambios de configuración) que capturan las interacciones entre actores y recursos permanecen mayormente inexplorados para AD y RCA.
3. Puntos Ciegos en la Cobertura de Trazas: Muchos métodos de RCA multimodales requieren un grafo de llamadas de servicio completo derivado de trazas distribuidas. En la práctica, existen "puntos ciegos" debido a servicios de terceros, componentes heredados o instrumentación incompleta, lo que invalida estos métodos.
4. Falta de Benchmarks Estandarizados: El campo carece de conjuntos de datos y marcos de evaluación estandarizados, lo que dificulta la comparación justa y la evaluación de la generalizabilidad.
5. Evaluación Limitada de Métodos Causales: Los métodos de RCA basados en la inferencia causal son dominantes, pero carecen de una evaluación empírica sistemática respecto a su efectividad, eficiencia y robustez en diversos escenarios y longitudes de datos.

2. Metodología

La tesis propone un marco unificado que aborda estas limitaciones a través de dos grupos de contribuciones: métodos novedosos para la detección y el análisis, e infraestructura de benchmarking.

A. Métodos Novedosos

Los métodos propuestos progresan a lo largo de dos ejes: la modalidad de observabilidad consumida y la relajación de las suposiciones.

1. BARO (AD y RCA basado en Métricas)

• Modalidad: Series temporales multivariantes de métricas.
• Innovación Central: Un marco de extremo a extremo que realiza conjuntamente AD y RCA para mitigar el impacto de la detección imprecisa.
• Mecanismo:
  • Detección de Anomalías: Utiliza la Detección de Cambio de Punto de Origen Bayesiano Multivariante (BOCPD) para modelar dependencias y correlaciones entre métricas, detectando cambios de distribución sin umbrales definidos por el usuario.
  • Análisis de Causa Raíz: Introduce RobustScorer, una técnica de prueba de hipótesis no paramétrica. A diferencia de los métodos existentes que dependen de la media y la desviación estándar (sensibles a valores atípicos), RobustScorer utiliza la mediana y el Rango Intercuartílico (IQR). Esto lo hace robusto ante la imprecisión en el tiempo de detección del fallo ($\hat{t}_A$), permitiéndole clasificar los servicios y métricas de causa raíz incluso cuando el tiempo de detección de la anomalía es ligeramente temprano o retrasado.

2. EventADL (AD y RCA basado en Eventos)

• Modalidad: Datos de eventos estructurados (por ejemplo, esquema OCSF).
• Innovación Central: El primer marco de "caja abierta" para la detección de anomalías y localización basada en eventos, fundamentado en un análisis de 520 incidentes reales de AWS.
• Mecanismo:
  • Aprendizaje de Patrones: Modela el comportamiento normal mediante Patrones Semánticos de Eventos (ESP) (relaciones actor-operación-recurso) y Patrones de Frecuencia de Eventos (EFP).
  • Detección: Detecta desviaciones en los patrones semánticos o de frecuencia.
  • Localización: Construye un Grafo de Intervención para rastrear relaciones causales y localiza las causas raíz mediante caminatas aleatorias conscientes del tiempo, proporcionando explicaciones interpretables sobre por qué se detectó una anomalía.

3. TORAI (RCA Multimodal)

• Modalidad: Métricas, registros y trazas (multimodal).
• Innovación Central: Un enfoque de RCA multimodal diseñado para funcionar sin un grafo de llamadas de servicio completo, abordando el problema de los "puntos ciegos".
• Mecanismo:
  • Clustering de Severidad: Agrupa los servicios por severidad para manejar la cobertura de trazas incompleta.
  • CausalRanker: Construye grafos causales a partir de los datos disponibles y aplica el ranking causal para identificar causas raíz finas.
  • FineGrainer: Refina el diagnóstico hacia indicadores específicos.
  • Robustez: Al no depender de un grafo completo derivado de trazas, diagnostica eficazmente fallos incluso cuando partes del sistema no están instrumentadas.

B. Infraestructura de Benchmarking y Evaluación

4. RCAEval

• Contribución: El primer benchmark de código abierto y exhaustivo para RCA en microservicios.
• Componentes: Incluye tres conjuntos de datos a gran escala (735 casos de fallo en Online Boutique, Sock Shop y Train Ticket), quince líneas base reproducibles y protocolos de evaluación estandarizados tanto para RCA de grano grueso (nivel de servicio) como de grano fino (nivel de métrica/evento).

5. Evaluación Sistemática de la Inferencia Causal

• Contribución: Un estudio empírico a gran escala que evalúa nueve métodos de descubrimiento causal y veintiún métodos de RCA.
• Alcance: Evalúa el rendimiento en conjuntos de datos sintéticos y reales, variando las longitudes de los datos y las configuraciones de hiperparámetros para identificar las fortalezas y debilidades del paradigma de la inferencia causal.

3. Resultados Clave

Los experimentos se realizaron en sistemas de referencia (Online Boutique, Sock Shop, Train Ticket) y datos de incidentes del mundo real.

• Rendimiento de BARO:
  • Detección de Anomalías: Logró los puntajes F1 más altos (0.82, 0.75, 0.81) en tres conjuntos de datos, superando a las líneas base como N-Sigma, SPOT y BIRCH.
  • Análisis de Causa Raíz: Superó consistentemente a los métodos de vanguardia (por ejemplo, CIRCA, RCD, CausalRCA) en el ranking de servicios de causa raíz (Avg@5). Crucialmente, mantuvo una alta precisión incluso cuando el tiempo de detección de la anomalía de entrada era impreciso, mientras que las líneas base sufrieron caídas significativas de rendimiento.
• Rendimiento de EventADL:
  • Logró puntajes F1 de al menos 90% para la detección de anomalías y un 100% de precisión en el top-3 para la localización de la causa raíz en sistemas reales basados en la nube.
  • Demostró una interpretabilidad superior en comparación con los enfoques de aprendizaje profundo de "caja negra".
• Rendimiento de TORAI:
  • Superó a las líneas base en escenarios con cobertura de trazas incompleta (puntos ciegos), identificando con éxito causas raíz donde los métodos dependientes de trazas fallaron.
• Evaluación de la Inferencia Causal:
  • No existe un único mejor método: Ningún método basado en descubrimiento causal funcionó mejor en todos los entornos.
  • Problemas de Escalabilidad: La mayoría de los métodos de descubrimiento causal (por ejemplo, PC, FCI, Granger) y los métodos de RCA tuvieron dificultades con sistemas a gran escala (>200 métricas), con tiempos de ejecución que aumentaron significativamente.
  • Longitud de los Datos: El rendimiento generalmente mejoró con longitudes de datos mayores para métodos como RCD y CausalRCA, pero métodos como BARO y NSigma funcionaron bien incluso con longitudes de datos cortas si el tiempo de fallo era preciso.
  • Eficiencia: BARO y NSigma fueron los métodos más rápidos, mientras que los métodos causales basados en aprendizaje profundo (por ejemplo, CausalRCA, RUN) fueron significativamente más lentos.

4. Significado y Reivindicaciones

La tesis afirma avanzar en el campo de la detección de anomalías y el RCA automatizado en sistemas de microservicios a través de un marco cohesivo que opera a través de múltiples modalidades de datos.

• Avance Metodológico: Demuestra que relajar la suposición de una detección de anomalías perfecta (vía RobustScorer) y trascender el análisis de un solo modo (vía EventADL y TORAI) mejora significativamente la robustez diagnóstica y la cobertura.
• Aplicabilidad Práctica: Los métodos propuestos son no supervisados (no requieren datos de fallos etiquetados), computacionalmente eficientes para uso en línea y proporcionan salidas interpretables, abordando las restricciones operativas de los sistemas del mundo real.
• Estandarización: Al introducir RCAEval, la tesis aborda la falta crítica de benchmarks estandarizados, permitiendo comparaciones justas y acelerando la investigación futura.
• Perspectiva Empírica: La evaluación sistemática de los métodos de inferencia causal proporciona nuevas perspectivas sobre sus limitaciones prácticas, particularmente respecto a la escalabilidad y la sensibilidad al tiempo de fallo, guiando las direcciones de investigación futuras.

El trabajo concluye que, si bien se ha logrado un progreso significativo, el camino hacia sistemas de microservicios verdaderamente autónomos y capaces de autorreparación requiere una innovación continua en la explicabilidad, la remediación proactiva y la escalabilidad hacia entornos masivos y heterogéneos.