🤖 AI

Anomaly Detection and Root Cause Analysis for Microservice Systems

본 논문은 서비스 호출 그래프를 요구하지 않으면서 다양한 관측 가능성 데이터를 활용하는 새로운 엔드 투 엔드 프레임워크(BARO, EventADL, TORAI)를 통해 다섯 가지 주요 한계점을 해결함으로써, 마이크로서비스 시스템을 위한 자동화된 이상 탐지 및 근본 원인 분석 기술을 발전시키고, 이와 함께 RCAEval 벤치마크 도입과 체계적인 평가를 통해 향후 연구를 표준화한다.

원저자: Luan Pham

게시일 2026-08-11

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Luan Pham

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인터넷을 거대한, 북적이는 도시라고 상상해 보세요. 여러분이 사용하는 모든 앱은 서로 다른 동네와 같습니다. 옛날에는 이 동네들이 하나의 거대한 성벽 도시(즉, "모놀리스")의 일부였습니다. 만약 빵집에 불이 나면 도시 전체가 암흑에 빠질 수도 있었지만, 적어도 어디를 찾아봐야 할지는 정확히 알 수 있었습니다. 하지만 오늘날 우리는 이 도시를 "마이크로서비스"라고 불리는 수천 개의 작고 독립적인 마을들로 대체했습니다. 이 마을들은 여러분의 온라인 쇼핑이나 비디오 스트리밍이 원활하게 작동하도록 서로 끊임없이 대화합니다. 문제는 무엇일까요? 만약 이 작은 마을 중 하나에 결함이 생기면, 그것이 파급 효과를 일으켜 도시 전체를 무너뜨리고 로딩 속도를 늦추거나 완전한 블랙아웃을 일으킬 수 있다는 점입니다. 이 디지털 도시를 계속 운영하기 위해 엔지니어들은 매우 똑똑한 탐정처럼 행동해야 합니다. 그들은 무언가 잘못된 순간을 포착하고(이를 "이상 탐지"라고 합니다), 정확히 어떤 마을이 문제를 일으켰는지(이를 "근본 원인 분석"이라고 합니다) 알아내야 합니다. 하지만 초당 수백만 개의 데이터 포인트—트래픽 수, 전력 사용량, 에러 메시지 등—가 날아다니는 상황에서, 인간이 수동으로 건더기 속에서 바늘을 찾는 것은 불가능합니다.

Qui Luan Pham이 작성한 이 논문은 이러한 디지털 도시를 위한 자동화된 탐정 시스템을 구축하는 과제를 다룹니다. 저자는 대부분의 기존 탐정 도구들이 결함이 있다고 주장하는데, 그 이유는 "문제를 포착하는 것"과 "범인을 찾는 것"을 별개의 작업으로 취급하며, 첫 번째 작업이 완벽하게 수행되었다고 가정하기 때문입니다. 실제로 자동 탐지 도구들은 노이즈 때문에 혼란을 겪거나 타이밍을 약간 어긋나게 하여 조사 전체를 망치곤 합니다. 또한, 이 논문은 많은 기존 도구들이 마을들이 어떻게 연결되어 있는지에 대한 완벽한 지도를 가지고 있다고 가정하지만, 현실 세계에서는 그러한 지도를 얻는 것이 불가능한 경우가 많다고 지적합니다. 이를 해결하기 위해 저자는 세 가지의 더 똑똑한 새로운 탐정 도구와 이를 테스트하기 위한 거대하고 표준화된 "훈련장"을 개발했습니다.

세 가지 새로운 탐정 도구

이 논문은 각각 다른 종류의 단서와 서로 다른 수준의 데이터 불확제로 대응하도록 설계된 세 가지 구별된 방법을 소개합니다.

1. BARO: 메트릭 탐정
"메트릭"을 시스템의 생체 신호라고 생각해보세요: 심박수(CPU 사용량), 호흡 속도(지연 시간), 체온(에러율) 같은 것들입니다. 첫 번째 도구인 BARO는 이러한 생체 신호를 읽도록 설계되었습니다. 이전의 탐정들은 심박수를 보고 "심장마비다!"라고 외친 뒤, 경보가 100% 정확하다고 가정하고 즉시 원인을 찾으려 했습니다. BARO는 다릅니다. BARO는 경보가 흔들릴 수 있다는 것을 알고 있습니다. 이 도구는 "다변량 베이지안 온라인 변화점 탐지(Multivariate Bayesian Online Change Point Detection)"라는 특수한 통계 기법을 사용하여 모든 생체 신호가 함께 어떻게 움직이는지 관찰합니다. 만약 심박수는 치솟는데 호흡은 차분하다면, 그것은 단순한 오보일 수 있습니다. 하지만 모든 것이 함께 변한다면, 진짜 문제가 발생했음을 인지합니다. 설령 경보가 몇 초 일찍 혹은 늦게 울리더라도, BARO는 "강건한 스코어러(Robust Scorer)"를 가지고 있어 여전히 어떤 마을이 범인인지 찾아낼 수 있습니다. 이는 마치 목격자가 범행 시간을 약간 불확실하게 말하더라도 사건을 해결할 수 있는 탐정과 같습니다.

2. EventADL: 이벤트 탐정
생체 신호도 훌륭하지만, 때로는 진짜 단서가 "이벤트"—예를 들어 "사용자 X가 파일을 삭제함" 또는 "서버 Y가 재시작됨"과 같은 구체적인 행동—에 있을 때가 있습니다. 대부분의 기존 도구들은 이러한 이벤트 로그를 무시하거나 이를 정리되지 않은 텍ert(text)처럼 취급했습니다. EventADL은 이벤트를 구조화된 이야기처럼 다루는 최초의 도구입니다. 이 도구는 한 주요 클라우드 기업의 실제 사례 520건을 분석하여 학습되었습니다. 이 도구는 누가, 무엇을, 어떤 리소스에 했는지에 대한 패턴을 찾습니다. 예를 들어, 특정 보안 그룹이 삭제된 직후 서버가 시작되지 못하는 패턴을 포착할 수 있습니다. 이 도구는 "인터벤션 그래프(Intervention Graph)"라는 "스토리 맵"을 구축하여 하나의 행동이 어떻게 재앙으로 이어졌는지 정확히 보여줍니다. 이 도구는 "오픈 박스(open-box)" 방식으로, 단순히 "무언가 잘못되었다"라고 말하는 데 그치지 않고 왜 그런 일이 일어났는지에 대한 이야기를 설명해주어, 인간 엔지니어가 이를 신뢰하고 수정하기 훨씬 쉽게 만듭니다.

3. TORAI: 멀티모달 탐정
현실 세계에서는 가끔 지도의 일부가 누락되기도 합니다. 어떤 마을들은 "블라인드 스팟(사각지대)"입니다. 예를 들어, 오래되었거나 제3자가 운영하고 있어서 내부 로그나 트레이스(trace)를 볼 수 없는 경우입니다. 대부분의 도구는 전체 지도를 볼 수 없으면 완전히 실패합니다. TORAI는 깨진 지도에서도 작동하는 궁극의 탐정입니다. 이 도구는 사용 가능한 모든 단서, 즉 생체 신호(메트릭), 행동 로그(이벤트), 그리고 확보할 수 있는 소수의 트레이스를 결합합니다. 이 도구는 서비스들을 증상의 "심각도"에 따라 그룹화하고 "인과 관계 랭킹(causal ranking)"이라는 방법을 사용하여, 모든 연결을 다 볼 수 없더라도 근본 원인을 찾아냅니다. 이는 마치 목격자가 절반쯤 사라진 상황에서도 남겨진 몇 안 되는 단서들을 조합해 미스터리를 풀 수 있는 탐정과 같습니다.

훈련장: RCAEval

이 새로운 탐정들이 실제로 기존의 것들보다 뛰어난지 증명하기 위해, 저자는 단순히 몇 번의 테스트를 수행한 것이 아닙니다. 저자는 이 분야를 위한 최초의 표준화된 "훈련장"인 RCAEval을 구축했습니다. 그 전에는 모든 연구자가 각기 다른 데이터셋과 규칙을 사용했기 때문에, 누가 실제로 더 나은지 비교하는 것이 불가능했습니다. RCAEval은 세 가지 서로 다른 디지털 도시를 아우르는 735개의 다양한 실패 시나리오 라이브러리와, 경쟁 상대가 될 15가지의 서로 다른 "베이스라인" 탐정 방법들을 제공합니다. 이는 마치 모든 러너가 공정하게 평가받을 수 있도록 표준화된 올림픽 트랙을 만드는 것과 같습니다.

테스트 결과

저자는 BARO, EventADL, TORAI를 이 벤치마크 시스템에서 엄격하게 테스트했습니다.

BARO는 초기 경보가 약간 부정확하더라도 근본 원인을 찾는 데 있어 기존 방식들을 지속적으로 능가했습니다. 이는 타이밍 오류에 대해 강건하게 대응하는 것이 얼마나 중요한지를 입증했습니다.
EventADL은 구조화된 이벤트를 살펴보는 것이 판도를 바꾸는 게임 체인저임을 보여주었으며, 이상 탐지와 설명 모두에서 매우 높은 정확도를 달양했습니다.
TORAI는 완벽한 지도가 없어도 미스터리를 풀 수 있다는 것을 입증했습니다. 시스템의 일부가 보이지 않는 상황에서도 근본 원인을 찾아낼 수 있었습니다.

그러나 논문은 모든 기존 방식이 동일하게 우수하지는 않다는 점도 발견했습니다. 저자는 21가지의 서로 다른 "인과 추론(causal inference)" 방법(원인과 결과 관계를 파악하려는 도구들)에 대해 대규모 연구를 실시했습니다. 그 결과, 많은 인기 있는 도구들이 시스템 규모가 커지거나(서비스 200개 이상) 데이터가 지저받을 때 어려움을 겪는다는 것을 발견했습니다. 일부 방법은 매우 느려서 몇 초 안에 해결해야 할 문제를 해결하는 데 몇 시간이 걸리기도 했고, 데이터가 완벽하지 않으면 완전히 실패하기도 했습니다.

결론

이 논문은 디지털 도시를 고치는 미래가 다양한 유형의 단서(메트릭, 이벤트, 트레이스)를 결합하고, 불완전한 데이터를 처리할 수 있을 만큼 강력한 도구를 구축하는 데 달려 있음을 시사합니다. 저자는 단순히 새로운 도구를 발명한 것이 아니라, 이를 공정하게 테스트할 수 있는 인프라를 구축했습니다. 이 논문이 세상의 모든 문제를 해결했다고 주장하는 것은 아니지만, 이 분야를 "추측"에서 "확신"으로 옮겨놓는 견고하고 재현 가능한 토대를 제공합니다. 적절한 통계적 기법과 모든 유형의 데이터를 살펴보려는 의지가 있다면, 우리는 그 어느 때보다 빠르게 스스로를 감지하고 고칠 수 있는 시스템을 구축할 수 있음을 보여줍니다.

기술 요약: 마이크로서비스 시스템을 위한 이상 탐지 및 근본 원인 분석

1. 문제 정의

마이크로서비스 아키텍처는 모듈성과 확장성을 제공하지만, 내재된 복잡성으로 인해 장애 발생이 불가피하며 진단이 어렵다는 특징이 있습니다. 한 서비스에서 장애가 발생하면, 이는 종종 전파되어 성능 저하와 가용성 문제를 광범위하게 일으킵니다. 관측 데이터(메트릭, 로그, 트레이스, 이벤트)의 양이 방대하기 때문에 수동 모니터링은 불가능합니다. 따라서 자동화된 이상 탐지(Anomaly Detection, AD)와 근본 원인 분석(Root Cause Analysis, RCA)이 필수적입니다.

그러나 기존 방식들은 본 논문에서 식별된 다섯 가지 주요 한계점을 가지고 있습니다:

AD와 RCA의 결합 결여: 대부분의 방법론은 이상 탐지가 완벽하다고 가정합니다. 하지만 실제로는 부정확한 탐지(예: 지연되거나 노이즈가 섞인 장애 타임스탬프)가 RCA 단계로 오류를 전이시켜 국지화 정확도를 떨어뜨립니다.
이벤트 데이터의 미개척: 메트릭과 로그는 잘 연구되어 있지만, 행위자-리소스 간의 상호작용을 포착하는 구조화된 이벤트 데이터(예: API 호출, 구성 변경)는 AD 및 RCA를 위해 여전히 충분히 탐구되지 않았습니다.
트레이스 커버리지의 사각지대: 많은 다중 모드(multimodal) RCA 방법들은 분산 트레이스로부터 도출된 완전한 서비스 호출 그래프를 필요로 합니다. 그러나 실제 환경에서는 제3자 서비스, 레거시 컴포넌트 또는 불완전한 계측(instrumentation)으로 인해 "사각지대"가 존재하며, 이는 해당 방법들을 무력하게 만듭니다.
표준 벤치마크의 부재: 이 분야에는 표준화된 데이터셋과 평가 프레임워크가 부족하여, 공정한 비교와 일반화 가능성 평가가 어렵습니다.
인과 관계 방법론에 대한 평가 제한: 인과 추론 기반의 RCA 방법론이 지배적이지만, 다양한 시나리오와 데이터 길이에 따른 효과성, 효율성 및 강건성에 대한 체계적인 실증적 평가가 부족합니다.

2. 방법론

본 논문은 두 그룹의 기여(새로운 탐지 및 분석 방법, 벤치마킹 인프라)를 통해 이러한 한계점들을 해결하는 통합 프레임워크를 제안합니다.

A. 새로운 방법론

제안된 방법론은 소비되는 관측 모달리티(modality)와 완화되는 가정(assumption)이라는 두 가지 축을 따라 발전합니다.

1. BARO (메트릭 기반 AD & RCA)

모달리티: 다변량 시계열 메트릭.
핵 핵심 혁신: 부정확한 탐지의 영향을 완화하기 위해 AD와 RCA를 공동으로 수행하는 엔드 투 엔드 프레임워크.
메커니즘:
- 이상 탐지: **다변량 베이지안 온라인 변화점 탐지(BOCPD)**를 사용하여 메트릭 간의 의존성과 상관관계를 모델링하고, 사용자 정의 임계값 없이 분포 변화를 탐지합니다.
- 근본 원인 분석: 비모수적 가설 검정 기법인 RobustScorer를 도입합니다. 평균과 표준편차에 의존하여 이상치에 민감한 기존 방식과 달리, RobustScorer는 **중앙값(median)과 사분위 범위(IQR)**를 사용합니다. 이를 통해 탐지된 장애 시간( $\hat{t}_A$ )이 다소 빠르거나 늦더라도 근본 원인 서비스와 메트릭의 순위를 매길 수 있는 강건함을 갖춥니다.

2. EventADL (이벤트 기반 AD & RCA)

모달리티: 구조화된 이벤트 데이터 (예: OCSF 스키마).
핵심 혁신: 520건의 실제 AWS 장애 사례 분석에 기반한, 이벤트 기반 AD 및 국지화를 위한 최초의 오픈 박스(open-box) 프레임워크.
메커니즘:
- 패턴 학습: 이벤트 시맨틱 패턴(ESP)(행위자-연산-리소스 관계)과 **이벤트 빈도 패턴(EFP)**을 사용하여 정상 동작을 모델링합니다.
- 탐지: 시맨틱 또는 빈도 패턴의 편차를 탐지합니다.
- 국지화: 인과 관계를 추적하기 위해 **개입 그래프(Intervention Graph)**를 구축하고, 시간 인지적 랜덤 워크(time-aware random walks)를 통해 근본 원인을 국지화하며, 왜 이상이 탐지되었는지에 대한 해석 가능한 설명을 제공합니다.

3. TORAI (다중 모드 RCA)

모달리티: 메트릭, 로그, 트레이스 (다중 모드).
핵심 혁신: 완전한 서비스 호출 그래프 없이도 작동하도록 설계되어 "사각지대" 문제를 해결하는 다중 모드 RCA 접근 방식.
메커니즘:
- 심각도 클러스터링(Severity Clustering): 불완전한 트레이스 커버리지를 처리하기 위해 서비스를 심각도별로 그룹화합니다.
- CausalRanker: 가용한 데이터를 통해 인과 그래프를 구축하고 인과 랭킹을 적용하여 세밀한 근본 원인을 식별합니다.
- FineGrainer: 특정 지표(indicator) 수준까지 진단을 정교화합니다.
- 강건성: 전체 트레이스 기반 그래프에 의존하지 않음으로써, 일부가 계측되지 않은 시스템에서도 효과적으로 장애를 진단합니다.

B. 벤치마킹 및 평가 인프라

4. RCAEval

기여: 마이크로서비스 RCA를 위한 최초의 오픈 소스 종합 벤치마크.
구성 요소: Online Boutique, Sock Shop, Train Ticket의 735개 장애 사례를 포함한 세 개의 대규모 데이터셋, 15개의 재현 가능한 베이스라인, 그리고 거친 입도(coarse-grained, 서비스 레벨) 및 세밀한 입도(fine-grained, 메트릭/이벤트 레벨) RCA를 위한 표준화된 평가 프로토콜을 포함합니다.

5. 인과 추론의 체계적 평가

기여: 9개의 인과 발견(causal discovery) 방법과 21개의 RCA 방법을 평가하는 대규모 실증 연구.
범위: 인과 추론 패러다임의 강점과 약점을 파악하기 위해 합성 및 실제 데이터셋, 다양한 데이터 길이 및 하이퍼파라미터 설정을 대상으로 성능을 평가합니다.

3. 주요 결과

실험은 벤치마크 시스템(Online Boutique, Sock Shop, Train Ticket) 및 실제 사고 데이터를 대상으로 수행되었습니다.

BARO 성능:
- 이상 탐지: 세 가지 데이터셋에서 N-Sigma, SPOT, BIRCH와 같은 베이스라인을 능가하며 가장 높은 F1-score(0.82, 0.75, 0.81)를 달성했습니다.
- 근본 원인 분석: 근본 원인 서비스 랭킹(Avg@5)에서 최신 기법들(예: CIRCA, RCD, CausalRCA)을 일관되게 앞질렀습니다. 결정적으로, 입력된 이상 탐지 시간이 부정확할 때 베이스라인들은 성능이 크게 저하된 반면, BARO는 높은 정확도를 유지했습니다.
EventADL 성능:
- 실제 클라우드 기반 시스템에서 이상 탐지에 대해 최소 90% 이상의 F1-score를, 근본 원인 국지화에 대해 100%의 Top-3 정확도를 달술했습니다.
- "클로즈 박스(closed-box)" 딥러닝 방식에 비해 우수한 해석 가능성을 입증했습니다.
TORAI 성능:
- 불완전한 트레이스 커버리지(사각지대)가 있는 시나리오에서 베이스라인보다 우수한 성능을 보였으며, 트레이스 의존적 방법들이 실패하는 상황에서도 성공적으로 근본 원인을 식별했습니다.
인과 추론 평가:
- 최적의 단일 방법론 부재: 모든 설정에서 가장 뛰어난 성능을 보이는 단일 인과 추론 기반 방법론은 없었습니다.
- 확장성 문제: 대부분의 인과 발견 방법(예: PC, FCI, Granger)과 RCA 방법들은 대규모 시스템(메트릭 200개 초과)에서 어려움을 겪었으며, 실행 시간이 크게 증가했습니다.
- 데이터 길이: RCD 및 CausalRCA와 같은 방법은 데이터 길이가 길수록 일반적으로 성능이 향려되었으나, BARO와 NSigma는 장애 시간이 정확하다면 짧은 데이터 길이에서도 잘 작동했습니다.
- 효율성: BARO와 NSigma가 가장 빨랐던 반-면, 딥러닝 기반 인과 방법(예: CausalRCA, RUN)은 현저히 느렸습니다.

4. 의의 및 주장

본 논문은 다양한 데이터 모달리티를 가로지르는 응집력 있는 프레임워크를 통해 마이크로서비스 시스템의 자동화된 이상 탐지 및 RCA 분야를 발전시킨다고 주장합니다.

방법론적 진보: 완벽한 이상 탐지 가정을 완화하고(RobustScor를 통해), 단일 모드 분석을 넘어선 방식(EventADL 및 TORAI를 통해)이 진단의 강건성과 커버리지를 어떻게 크게 향상시키는지 입증했습니다.
실무적 적용 가능성: 제안된 방법들은 비지도 학습 방식(레이블된 장애 데이터 불필요)이며, 온라인 사용에 효율적이고 해석 가능한 출력을 제공하여 실제 운영 제약 조건을 해결합니다.
표준화: RCAEval을 도입함으로써 표준화된 벤치마크의 결핍을 해결하고, 공정한 비교와 미래 연구를 가속화합니다.
실증적 통찰: 인과 추론 방법에 대한 체계적 평가는 확장성 및 장애 타이밍에 대한 민감도와 같은 실질적인 한계점에 대한 새로운 통찰을 제공하여 향-후 연구 방향을 제시합니다.

본 연구는 상당한 진전이 이루어졌으나, 진정으로 자율적이고 자기 치유(self-healing)가 가능한 마이크로서비스 시스템을 구축하기 위해서는 설명 가능성, 선제적 복구, 그리고 거대하고 이질적인 환경에 대한 확장성 측면에서 지속적인 혁신이 필요하다고 결론짓습니다.