Anomaly Detection and Root Cause Analysis for Microservice Systems
本論文は、サービス・コールグラフを必要とせずに多様なオブザーバビリティ・データを活用する斬新なエンドツーエンドのフレームワーク（BARO、EventADL、およびTORAI）を通じて5つの主要な限界に対処することにより、マイクロサービス・システムにおける自動異常検知および根本原因分析を前進させるとともに、将来の研究を標準化するためのRCAEvalベンチマークの導入と体系的な評価を提示するものである。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
インターネットを、あらゆるアプリが異なる街区（ネイバーフッド）となっている、巨大で賑やかな都市だと想像してみてください。昔々、これらの街区はすべて一つの巨大な城壁に囲まれた都市（「モノリス」）の一部でした。もしパン屋が火事になれば、都市全体が暗闇に包まれることもありましたが、少なくともどこを見ればよいかは明確に分かっていました。しかし今日、私たちはその都市を、「マイクロサービス」と呼ばれる数千の小さく独立した村々に置き換えました。これらは、あなたのオンラインショッピングや動画ストリーミングを機能させるために、常に互いに通信し合っています。問題は何でしょうか？もし一つの小さな村で不具合が発生すると、それが波及効果を引き起こして都市全体をクラッシュさせ、読み込みの遅延や完全なブラックアウトを引き起こす可能性があるのです。このデジタル都市を稼働させ続けるために、エンジニアは超スマートな探偵のように振る舞う必要があります。彼らは、何かがうまくいかなくなった瞬間（「異常検知」と呼ばれます）を特定し、次にどの村がトラブルの元になったのか（「根本原因分析」と呼ばれます）を突き止めなければなりません。しかし、交通量、電力使用量、エラーメッセージといった、毎秒数百万ものデータポイントが飛び交う中で、人間が手作業で干し草の山の中から針を見つけ出すことは不可能です。
Qui Luan Pham氏によって執筆されたこの論文は、これらのデジタル都市のための自動化された探偵システムを構築するという課題に取り組んでいます。著者は、現在のほとんどの探偵ツールには欠陥がある、と主張しています。なぜなら、それらは「問題を特定すること」と「犯人を見つけること」を別々の仕事として扱っており、多くの場合、最初の仕事が完璧に完了したことを前提としているからです。実際には、自動検知ツールはノイズによって混乱したり、タイミングがわずかにずれたりすることがあり、それが調査全体を狂わせてしまいます。また、本論文は、既存の多くのツールが、村同士がどのように接続されているかという完璧な地図を持っていることを前提としているが、現実の世界ではそのような地図を入手することは不可能であることも指摘しています。これを解決するために、著者は3つの新しい、よりスマートな探偵ツールと、それらをテストするための巨大で標準化された「訓練場」を開発しました。
3つの新しい探偵ツール
この論文では、それぞれが異なる種類のヒントと、データの乱雑さのレベルを扱うように設計された、3つの異なる手法を紹介しています。
1. BARO：メトリック探偵
「メトリック」を、システムのバイタルサイン（生命兆候）だと考えてください。心拍数（CPU使用率）、呼吸速度（レイテンシ）、そして体温（エラー率）です。最初のツールであるBAROは、これらのバイタルサインを読み取るように設計されています。従来の探偵は、心拍数を見て「心臓発作だ！」と叫び、アラームが100%正確であると仮定してすぐに原因を探そうとしていました。BAROは異なります。BAROは、アラームが不安定になり得ることを知っています。BAROは「多変量ベイズ・オンライン変化点検知（Multivariate Bayesian Online Change Point Detection）」という特別な統計手法を用いて、すべてのバイタルサインがどのように連動して動いているかを観察します。もし心拍数が急上昇しても呼吸が穏やかなままであれば、それは単なる誤報かもしれません。しかし、すべてが同時に変化していれば、BAR上記は本当の問題が起きていると判断します。たとえアラームが数秒早く、あるいは遅れて鳴ったとしても、BAROには「ロバスト・スコアラー（堅牢な評価器）」が備わっており、どの村が犯人であるかを特定できます。これは、目撃者が犯行時刻について少し確信を持てなくても、事件を解決できる探偵のようなものです。
2. EventADL：イベント探偵
バイタルサインも素晴らしいものですが、時には真のヒントは「イベント」――例えば「ユーザーXがファイルを削除した」や「サーバーYが再起動された」といった、人々が行った具体的なアクションの中にあります。ほとんどの従来のツールは、これらのイベントログを無視するか、あるいは構造化されていない乱雑なテキストとして扱っていました。EventADLは、イベントを構造化された物語として扱う最初のツールです。これは、ある主要なクラウド企業における520件の実世界のインシデントを分析することで学習しました。これは、「誰が」「何を」「どのリソースに対して」行ったのかというパターンを探ります。例えば、特定のセキュリティグループが削除された直後に、サーバーの起動に失敗するというパターンを検知するかもしれません。これは「介入グラフ（Intervention Graph）」という「ストーリーマップ」を構築し、一つのアクションがいかにして災難につながったのかを正確に示します。このツールは「オープンボックス」型であり、単に「何かがおかしい」と言うだけでなく、なぜそれが起きたのかという物語を説明するため、人間のエンジニアが信頼し、修正することを非常に容易にします。
3. TORAI：マルチモーダル探偵
現実の世界では、地図に欠落があることもあります。いくつかの村は「ブラインドスポット（死角）」となっており、例えば、それらが古いか、あるいはサードパーティによって運営されているため、内部のログやトレースを見ることができない場合があります。ほとんどのツールは、完全な地図が見えないと完全に機能しなくなります。TOROは、壊れた地図であっても機能する究極の探偵です。これは、利用可能なすべてのヒント、すなわちバイタルサイン（メトリック）、アクションログ（イベント）、そして手元にある限られたトレースを組み合わせます。これは、サービスの症状がどれほど「深刻」であるかに基づいてサービスをグループ化し、「因果関係ランキング（causal ranking）」という手法を用いて、たとえすべての接続が見えていなくても、根本原因を突き止めます。これは、目撃者の半分が欠けていても、残されたわずかな手がかりをつなぎ合わせることで、謎を解き明かすことができる探偵のようなものです。
訓練場：RCAEval
これらの新しい探偵たちが実際に古いものよりも優れていることを証明するために、著者は単にいくつかのテストを行っただけではありません。彼らは、この分野における最初の標準化された「訓練場」であるRCAEvalを構築しました。これまでは、研究者ごとに異なるデータセットやルールを使用していたため、誰が本当に優れているのかを比較することが不可能でした。RCAEvalは、3つの異なるデジタル都市にわたる735の異なる障害シナリオの膨大なライブラリと、競合相手となる15種類の「ベースライン」となる探偵手法を提供します。これは、すべてのランナーが公平に判定されるように、標準化されたオリンピックのトラックを作成するようなものです。
テストの結果が示したこと
著者は、これらのベンチマーク・システム上でBARO、EventADL、およびTORAIに対して厳格なテストを行いました。
- BAROは、初期のアラームがわずかに不正確であった場合でも、根本原因を見つけるにおいて既存の手法を一貫して上回りました。これは、タイミングのエラーに対して堅牢であることが極めて重要であることを証明しました。
- EventADLは、構造化されたイベントを見ることがゲームチェンジャーであることを示し、異常の検知と説明の両方において非常に高い精度を達成しました。
- TORAIは、謎を解くために完璧な地図は必要ないことを実証しました。システムの一部が見えない状態であっても、根本原因を見つけ出すことができました。
しかし、本論文は、すべての既存手法が同等ではないことも明らかにしました。著者は、21種類の異なる「因果推論（cause-and-effectを特定しようとするツール）」手法について大規模な調査を行いました。その結果、多くの人気のあるツールは、システムが大きくなりすぎたり（200以上のサービス）、データが乱雑であったりすると苦戦することが分かりました。一部の手法は非常に遅く、本来数秒で解決すべき問題を解決するのに数時間を要しており、他の手法はデータが完璧でない場合に完全に失敗しました。
結論
この論文は、デジタル都市を修復する未来は、異なる種類のヒント（メトリック、イベント、トレース）を組み合わせること、そして不完全なデータに対処できるほどタフなツールを構築することにあると示唆しています。著者は単に新しいツールを発明しただけでなく、それらを公平にテストするためのインフラストラクチャを構築しました。この論文は、世界のあらゆる問題を解決したと主張しているわけではありませんが、この分野を「推測」から「確信」へと進化させる、堅実で再現可能な基盤を提供しています。適切な統計的手法と、あらゆる種類のデータを見ようとする姿勢があれば、これまでよりもはるかに速く、自律的に検知し修復できるシステムを構築できることを示しているのです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。