Résumé Technique : Analyse de la Cause Racine sans Graphe via PRISM

Énoncé du Problème

Dans les systèmes informatiques complexes et évolutifs (par exemple, les microservices), une analyse rapide de la cause racine (RCA - Root Cause Analysis) est cruciale pour prévenir les défaillances en cascade. Les approches de RCA existantes font face à une dichotomie fondamentale :

1. Méthodes basées sur les graphes : Elles supposent un graphe de dépendance connu ou tentent d'en construire un via la découverte causale. Cependant, les graphes de dépendance sont souvent indisponibles dans les grands systèmes, et les techniques de découverte causale se sont révélées limitées en termes de précision et de scalabilité.
2. Méthodes basées sur les scores (sans graphe) : Elles classent les composants par scores d'anomalie, en partant du postulat que la cause racine présente le score d'anomalie le plus élevé. L'article soutient que ce postulat est fondamentalement erroné lorsque les fautes se propagent. Dans les schémas de « fan-in » (par exemple, lorsqu'un service appelle un backend $k$ fois), un léger retard au niveau de la cause racine peut s'accumuler pour devenir une anomalie massive en aval. Par conséquent, les composants affectés présentent souvent des scores d'anomalie plus élevés que la cause racine réelle, induisant en erreur le classement par score.

Méthodologie : Le Framework PRISM

Les auteurs proposent PRISM, un framework de RCA simple et efficace qui opère sans connaissance de la structure de dépendance. PRISM repose sur une observation novatrice : une asymétrie fondamentale entre les causes racines et les composants affectés concernant leurs propriétés internes et externes.

1. Le Modèle Composant-Propriété

PRISM formalise une classe de systèmes en utilisant le Modèle Composant-Propriété, qui décompose les propriétés du système en deux catégories distinctes :

• Propriétés Internes ($I$) : Locales à un composant et non directement observables par les autres (ex: utilisation du CPU, utilisation de la mémoire, longueur de la file d'attente, variables d'état internes).
• Propriétés Externes ($E$) : Observables par d'autres composants via des interactions (ex: latence de réponse, taux d'erreur).

Le modèle est construit sur deux axiomes :

• Axiome 2.5 (Intracomposant) : Les propriétés internes sont des ancêtres causaux des propriétés externes au sein d'un composant. Les fautes prennent naissance en interne et se manifestent en externe.
• Axiome 2.6 (Isolation Intercomposant) : L'influence causale entre les composants se produit uniquement via les propriétés externes. Un composant ne peut pas modifier directement l'état interne d'un autre composant.

Insight Clé : Un composant de cause racine présente des anomalies dans ses deux propriétés, internes et externes. En revanche, les composants affectés (en aval) présentent des anomalies uniquement dans leurs propriétés externes (du fait de la propagation), tandis que leurs propriétés internes restent à des niveaux nominaux.

2. Le Pipeline PRISM

PRISM exécute la RCA en trois étapes :

1. Scoring d'Anomalie : Calcule les scores d'anomalie basés sur l'écart (ex: z-score, basé sur l'IQR) pour toutes les propriétés. L'article prouve que les scoreurs basés sur l'écart satisfont la monotonie et l'injectivité, ce qui est théoriquement nécessaire pour distinguer des magnitudes d'écart distinctes. Cela contraste avec les scoreurs d'Information Théorique (IT), qui souffrent de saturation et manquent d'injectivité lorsque les anomalies dépassent les limites historiques.

2. Regroupement de Scores (Score Pooling) : Agrège les scores par propriété en scores par composant :

   • $S^I_i$ : Score interne regroupé pour le composant $C_i$.
   • $S^E_i$ : Score externe regroupé pour le composant $C_i$.
   • La fonction de regroupement est monotone et invariante par permutation (ex: max, somme, moyenne).

3. Classement de la Cause Racine : Combine $S^I_i$ et $S^E_i$ en un score de cause racine final $M(C_i)$. PRISM propose deux fonctions de scoring :

   • Score Additif ($M_{add}$) : $S^I + S^E - \log(1 + S^I + S^E)$.
   • Score Conjontif ($M_{conj}$) : $\min(S^I, S^E)$.

   Ces deux fonctions satisfont la bornage interne, garantissant que le score final d'un composant est contrôlé par son score d'anomalie interne. Cela empêche les composants affectés (qui ont un $S^E$ élevé mais un $S^I$ nominal) de surclasser la cause racine (qui a un $S^E$ élevé et un $S^I$ élevé).

Contributions Clés

1. Framework PRISM : Un framework de RCA sans graphe qui localise efficacement les causes racines en exploitant la distinction entre les anomalies des propriétés internes et externes.
2. Garanties Théoriques : L'article formalise le Modèle Composant-Propriété et prouve que sous les Axiomes 2.5 et 2.6, PRISM classe correctement la cause racine au-dessus des composants affectés. Il établit également que les scoreurs basés sur l'écart sont nécessaires pour éviter les problèmes de saturation inhérents aux scoreurs basés sur l'IT.
3. Validation Empirique : Expériences étendues sur 735 cas de défaillance à travers 9 jeux de données réels (benchmark RCAEval).

Résultats

• Précision : PRISM atteint une précision Top-1 de 68%, soit une amélioration de 258% par rapport au meilleur baseline (BARO, qui a atteint 19%). Il atteint également 91% de précision Top-3.
• Efficacité : PRISM nécessite seulement 8 ms par diagnostic (médiane), ce qui le rend presque aussi rapide que le baseline le plus rapide (BARO à 6,3 ms) et des ordres de grandeur plus rapide que les méthodes basées sur les graphes ou les LLM (ex: PC-PageRank à 1,2 s, RCLAgent à 7 9 s).
• Robustesse :
  • PRISM est robuste aux différentes stratégies de regroupement (max, somme, moyenne) et aux fonctions de scoring.
  • Il performe exceptionnellement bien sur les fautes de ressources (100% Top-3 sur CPU, MEM, DISK, SOCKET) et maintient une forte performance sur les fautes réseau.
  • Il atteint sa précision maximale avec des observations précoces post-défaut (81% Top-1 à 10% de données), permettant un diagnostic immédiat avant que la propagation de la faute n'accumule du bruit.
• Ablation : Supprimer la décomposition interne-externe (ex: classer par scores marginaux seuls) fait chuter la précision Top-1 à 19%, confirmant la nécessité de l'approche proposée.

Signification et Revendications

L'article affirme que PRISM comble une lacune critique en RCA : l'incapacité de diagnostiquer les défaillances lorsque les graphes de dépendance sont inconnus et lorsque les anomalies en aval s'amplifient au-delà de la cause racine. En déplaçant l'attention de "l'anomalie la plus élevée" vers "l'anomalie dans les propriétés internes ET externes", PRISM fournit une solution théoriquement fondée, efficace et hautement précise pour les systèmes de microservices modernes. Les auteurs soulignent que cette approche ne nécessite ni découverte causale ni connaissance structurelle, ce qui la rend applicable aux grands systèmes évolutifs où ces informations sont souvent indisponibles. Ce travail démontre qu'une décomposition simple et fondée de l'observable peut surpasser les méthodes complexes d'inférence causale et de graphes, tant en précision qu'en vitesse.