기술 요약: PRISM을 통한 그래프 프리(Graph-Free) 근본 원인 분석

문제 정의

복잡하고 진화하는 IT 시스템(예: 마이크로서비스)에서 신속한 근본 원인 분석(Root Cause Analysis, RCA)은 연쇄 장애를 방방지하기 위해 매우 중요합니다. 기존의 RCA 접근 방식은 다음과 같은 근본적인 이분법적 한계에 직면해 있습니다:

1. 그래프 기반 방법(Graph-Based Methods): 이 방식은 알려진 의존성 그래프를 가정하거나 인과 관계 발견(causal discovery)을 통해 그래프를 구축하려고 시도합니다. 그러나 대규모 시스템에서는 의존성 그래프를 사용할 수 없는 경우가 많으며, 인과 관계 발견 기술은 정확도와 확장성 측면에서 한계를 보였습니다.
2. 점수 기반 방법(Score-Based Methods, Graph-Free): 이 방식은 구성 요소들을 이상 점수(anomaly score)에 따라 순위를 매기며, 근본 원인이 가장 높은 이상 점수를 나타낸다는 가정을 전제로 합니다. 본 논문은 장애가 전파될 때 이러한 가정이 근본적으로 결함이 있다고 주장합니다. "팬인(fan-in)" 패턴(예: 서비스가 백엔드를 $k$번 호출하는 경우)에서는 근본 원인에서의 작은 지연이 하위 단계에서 거대한 이상 현상으로 누적될 수 있습니다. 결과적으로, 영향을 받은 구성 요소들이 실제 근본 원인보다 더 높은 이상 점수를 나타내어 점수 기반의 순위 산정을 오도하게 됩니다.

방법론: PRISM 프레임워크

저자들은 구조적 의전 관계에 대한 지식 없이 작동하는 단순하고 효율적인 RCA 프레임워크인 PRISM을 제안합니다. PRISM은 근본 원인과 영향을 받은 구성 요소 간의 내부 및 외부 속성에 관한 근본적인 비대칭성을 활용합니다.

1. 구성 요소-속성 모델 (The Component-Property Model)

PRISM은 시스템 속성을 두 가지 별개의 범주로 분해하는 구성 요소-속성 모델을 사용하여 클래스 시스템을 정형화합니다:

• 내부 속성 ($I$): 구성 요소에 국한되며 다른 구성 요소에 의해 직접 관찰되지 않는 속성 (예: CPU 사용률, 메모리 사용률, 큐 길이, 내부 상태 변수).
• 외부 속성 ($E$): 상호작용을 통해 다른 구성 요소에 의해 관찰되는 속성 (예: 응답 지연 시간, 에러율).

이 모델은 다음 두 가지 공리(Axiom)를 기반으로 구축됩니다:

• 공리 2.5 (구성 요소 내 상관관계): 내부 속성은 구성 요소 내에서 외부 속성의 인과적 조상입니다. 장애는 내부에서 시작되어 외부로 나타납니다.
• 공리 2.6 (구성 요소 간 격리): 구성 요소 간의 인과적 영향은 오직 외부 속성을 통해서만 발생합니다. 한 구성 요소는 다른 구성 요소의 내부 상태를 직접 변경할 수 없습니다.

핵심 통찰: 근본 원인 구성 요소는 내부 및 외부 속성 모두에서 이상 징상을 보입니다. 반면, 영향을 받은(하위) 구성 요소는 (전파로 인해) 외부 속성에서만 이상 징상을 보이며, 내부 속성은 정상 수준을 유지합니다.

2. PRISM 파이프라인

PRISM은 세 단계로 RCA를 수행합니다:

1. 이상 점수 산출 (Anomaly Scoring): 모든 속성에 대해 편차 기반 이상 점수(예: z-score, IQR 기반)를 계산합니다. 본 논문은 편차 기반 스코어러가 서로 다른 편차 크기를 구별하는 데 이론적으로 필요한 **단조성(monotonicity)**과 **단사성(injectivity)**을 만족함을 증명합니다. 이는 정보 이론(IT) 기반 스코어러가 이상 현상이 역사적 범위를 초과할 때 포화(saturation) 현상을 겪고 단사성이 결여되는 것과 대조됩니다.

2. 점수 풀링 (Score Pooling): 속성 수준의 점수를 구성 요소 수준의 점수로 집계합니다:

   • $S^I_i$: 구성 요소 $C_i$의 풀링된 내부 점수.
   • $S^E_i$: 구성 요소 $C_i$의 풀링된 외부 점수.
   • 풀링 함수는 단조적이며 순열 불변(permutation-invariant)입니다 (예: max, sum, mean).

3. 근본 원인 순위 결정 (Root Cause Ranking): $S^I_i$와 $S^E_i$를 결합하여 최종 근본 원인 점수 $M(C_i)$를 산출합니다. PRISM은 두 가지 점수 함수를 제안합니다:

   • 가산 점수 ($M_{add}$): $S^I + S^E - \log(1 + S^I + S^E)$.
   • 결합 점수 ($M_{conj}$): $\min(S^I, S^E)$.

   두 함수 모두 **내부 유계성(internal boundedness)**을 만족하여, 구성 요소의 최종 점수가 내부 이상 점수에 의해 제어되도록 합니다. 이를 통해 높은 $S^E$를 갖지만 정상적인 $S^I$를 가진 영향을 받은 구성 요소가 근본 원인보다 높은 순위를 차지하는 것을 방지합니다.

주요 기여

1. PRISM 프레임워크: 내부 및 외부 속성의 이상 징상 구분을 활용하여 근본 원인을 효과적으로 국지화하는 그래프 프리 RCA 프레임워크를 제공합니다.
2. 이론적 보장: 구성 요소-속성 모델을 정형화하고, 공리 2.5와 2.6 하에서 PRISM이 영향을 받은 구성 요소보다 근본 원인을 올바르게 상위에 배치함을 증명했습니다. 또한, 편차 기반 스코어러가 IT 기반 스코어러의 포화 문제를 피하기 위해 필수적임을 입증했습니다.
3. 실증적 검증: 9개의 실제 데이터셋(RCAEval 벤치마크)에 걸친 735개의 장애 사례에 대해 광범 **실험을 수행했습니다.

결과

• 정확도: PRISM은 68%의 Top-1 정확도를 달성하였으며, 이는 가장 우수한 베이스라인인 BARO(19% 달성)보다 258% 향상된 수치입니다. 또한 91%의 Top-3 정확도를 달성했습니다.
• 효율성: PRISM은 진단당 8ms(중앙값)를 소요하여, 가장 빠른 베이스라인인 BARO(6.3ms)와 거의 유사한 속도를 보였으며, 그래프 기반 또는 LLM 기반 방법(예: PC-PageRank 1.2s, RCLAgent 79s)보다는 수십 배 더 빠릅니다.
• 강건성:
  • PRISM은 다양한 풀링 전략(max, sum, mean)과 점수 함수에 대해 강건합니다.
  • 리소스 결함(CPU, MEM, DISK, SOCKET에서 100% Top-3)에 대해 탁월한 성능을 보이며, 네트워크 결함에 대해서도 강력한 성능을 유지합니다.
  • 장애 발생 초기 관측 데이터(10% 데이터 기준)에서 가장 높은 정확도(81% Top-1)를 달성하여, 장애 전파로 인해 노이즈가 축적되기 전 즉각적인 진단이 가능함을 보여주었습니다.
• 절제 실험 (Ablation): 내부-외부 분해를 제거할 경우(예: 단일 마진 점수로 순위 결정) Top-1 정확도가 19%로 떨어지며, 이는 제안된 접근 방식의 필요성을 확인시켜 줍니다.

의의 및 주장

본 논문은 PRISM이 의존성 그래프를 알 수 없거나 하위 단계의 이상 현상이 근본 원인보다 증폭될 때 발생하는 RCA의 핵심적인 공백을 해결한다고 주장합니다. "가장 높은 이상 점수"라는 관점에서 "내부 및 외부 속성 모두에서의 이상 징상"이라는 관점으로 전환함으로써, PRISM은 현대 마이크로서비스 시스템을 위한 이론적으로 근거 있고 효율적이며 매우 정확한 솔루션을 제공합니다. 저자들은 이 방식이 인과 관계 발견이나 구조적 지식을 요구하지 않으므로, 그러한 정보를 얻기 어려운 대규모의 진화하는 시스템에 적용 가능하다는 점을 강조합니다. 이 연구는 단순하고 원칙적인 관측값의 분해가 복잡한 인과 추론 및 그래프 기반 방법보다 정확도와 속도 모두에서 더 뛰어난 성능을 낼 수 있음을 입증합니다.