🤖 machine learning

Graph-Free Root Cause Analysis

Het artikel introduceert PRISM, een graafvrij framework dat de beperkingen van bestaande op anomalie-scores gebaseerde methoden voor oorzaakanalyse overwint door theoretische garanties te bieden en een aanzienlijk hogere nauwkeurigheid en snelheid te bereiken over real-world datasets heen.

Oorspronkelijke auteurs: Luan Pham

Gepubliceerd 2026-01-30

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Luan Pham

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je de manager bent van een enorm, druk ziekenhuis. Plotseling loopt de spoedeisende hulp over, knipperen de operatielampen en bevriezen de computers van de apotheek. Je moet onmiddellijk uitzoeken waarom dit gebeurt, anders kan het hele ziekenhuis instorten.

Dit is het probleem van Root Cause Analysis (RCA) (oorzaakanalyse). In de digitale wereld zijn "ziekenhuizen" complexe computersystemen (zoals online winkels of bank-apps) die bestaan uit honderden kleine, verbonden programma's die microservices worden genoemd. Wanneer er één breekt, breekt vaak ook de rest mee.

De oude manier: Gissen op basis van de hardste schreeuw

Traditioneel, wanneer er dingen misgaan, kijken ingenieurs naar een lijst met "anomalie-scores". Denk hierbij aan een kamer vol mensen die schreeuwen. De oude methode gaat ervan uit dat de persoon die het hardst schreeuwt, degene is die de problemen heeft veroorzaakt.

Het probleem van het papier: Deze aanname is vaak onjuist.
Stel je een kleine lekkage in een pijp voor (de oorzaak) in de kelder. Het druppelt langzaam. Maar omdat het water door een lange, smalle pijp stroomt, bouwt de druk op en barst er een enorme sluisdeur in de lobby.

De lekkage in de kelder (Oorzaak): Druppelt zachtjes. Lage "schreeuw" (lage anomalie-score).
De overstroming in de lobby (Gevolgschade): Een enorme vloedgolf. Hoge "schreeuw" (enorme anomalie-score).

Als je alleen luistert naar de hardste schreeuw, ren je naar de lobby om de overstroming te repareren, terwijl je de kleine lekkage in de kelder mist die dit alles heeft veroorzaakt. Het papier noemt dit het "fan-in" probleem: kleine vertragingen of fouten kunnen zich opstapelen en downstream groot lijken, waardoor het systeem wordt misleid.

De nieuwe oplossing: PRISM (De detective met twee ogen)

De auteurs stellen een nieuw framework voor genaamd PRISM. In plaats van alleen te luisteren naar de hardste schreeuw, kijkt PRISM naar twee verschillende soorten "bewijs" voor elk onderdeel van het systeem:

Interne eigenschappen (Het "onderbuikgevoel"): Dit zijn dingen die gebeuren binnenin een component die andere componenten niet kunnen zien. Voorbeelden zijn: CPU-gebruik, geheugenniveaus of interne codestaten.
Externe eigenschappen (Het "publieke gezicht"): Dit zijn dingen die andere componenten wel kunnen zien. Voorbeelden zijn: hoe lang het duurt om te reageren (latentie) of hoe vaak er fouten optreden (foutpercentage).

Het magische inzicht:

De echte schuldige (Oorzaak): Heeft een probleem in ZOWAT zijn onderbuik (intern) én zijn publieke gezicht (extern). Het is ziek van binnen en gedraagt zich vreemd van buitenaf.
De onschuldige omstanders (Beïnvloede componenten): Zij zien er intern prima uit (hun onderbuik is gezond), maar gedragen zich vreemd aan de buitenkant omdat ze reageren op de zieke component.

De analogie:
Denk aan een persoon met koorts.

De zieke persoon (Oorzaak): Die voelt zich van binnen warm (Intern) en de huid is rood en heet (Extern).
De persoon ernaast (Beïnvloed): Die voelt zich van binnen prima (Intern), maar zwet en paniekt omdat hij naast het vuur staat (Extern).

PRISM zoekt naar de component die "ziek" is aan de binnenkant én aan de buitenkant. Het negeert de componenten die alleen maar aan de buitenkant "paniekeren".

Hoe het werkt (Zonder een kaart)

Normaal gesproken heb je om dit soort puzzels op te lossen een perfecte kaart (een afhankelijkheidsgrafiek) nodig die precies laat zien hoe elk stuk met elk ander stuk verbonden is. Maar in enorme, veranderende systemen heeft niemand een perfecte kaart.

PRISM is bijzonder omdat het de kaart niet nodig heeft. Het kijkt simpelweg naar de data: "Wie gedraagt zich vreemd intern? Wie gedraagt zich vreemd extern?" Door deze twee signalen te combineren, kan het de boosdoener aanwijzen, zelfs als de kaart ontbreekt.

De resultaten: Snel en accuraat

De auteurs hebben PRISM getest op 735 echte foutgevallen uit negen verschillende systemen (zoals online boetieks en ticketboekingsapps).

Nauwkeurigheid: PRISM vond de exacte oorzaak als de nummer 1 gok 68% van de tijd. De beste eerdere methode kreeg het slechts 19% van de tijd goed. Dat is een enorme sprong (een verbetering van 258%).
Snelheid: Het is ongelooflijk snel. Het duurt ongeveer 8 milliseconden (minder dan een knipperen van het oog) om een probleem te diagnosticeren. Sommige andere methoden duren seconden of zelfs minuten.

Waarom dit ertoe doet

In de echte wereld telt bij een systeemfout elke seconde. Als je 30 seconden nodig hebt om uit te zoeken welke computer kapot is, kun je duizenden dollars verliezen of, zoals het papier opmerkt, zelfs levens in gevaar brengen (zoals bij ziekenhuissystemen).

PRISM biedt een eenvoudige, snelle en zeer nauwkeurige manier om de "lekkende pijp" in de kelder te vinden, zelfs wanneer de "overstroming" in de lobby het hardst schreeuwt, en zelfs wanneer je geen blauwdruk van het gebouw hebt.

Technische Samenvatting: Grafiekvrije Root Cause Analysis via PRISM

Probleemstelling

In complexe, evoluerende IT-systemen (bijv. microservices) is snelle Root Cause Analysis (RCA) cruciaal om cascadefouten te voorkomen. Bestaande RCA-benaderingen kampen met een fundamentele dichotomie:

Grafiekgebaseerde methoden: Deze gaan uit van een bekende afhankelijkheidsgrafiek of proberen er een te construeren via causale ontdekking. Echter, afhankelijkheidsgrafieken zijn vaak niet beschikbaar in grote systemen, en technieken voor causale ontdekking blijken beperkt in nauwkeurigheid en schaalbaarheid.
Score-gebaseerde methoden (Grafiekvrij): Deze rangschikken componenten op basis van anomaliescores, uitgaande van de aanname dat de oorzaak (root cause) de hoogste anomaliescore heeft. Het artikel betoogt dat deze aanname fundamenteel gebrekkig is wanneer fouten zich voortplanten. In "fan-in" patronen (bijv. een service die een backend $k$ keer aanroept), kan een kleine vertraging bij de oorzaak accumuleren tot een enorme downstream-anomalie. Bijgevolg vertonen getroffen componenten vaak hogere anomaliescores dan de werkelijke oorzaak, wat de score-gebaseerde rangschikking misleidt.

Methodologie: Het PRISM-framework

De auteurs stellen PRISM voor, een eenvoudig en efficiënt framework voor RCA dat werkt zonder kennis van de structurele afhankelijkheden. PRISM steunt op een nieuwe observatie: een fundamentele asymmetrie tussen de oorzaak en de getroffen componenten met betrekking tot hun interne en externe eigenschappen.

1. Het Component-Eigenschap Model

PRISM formaliseert een klasse van systemen met behulp van het Component-Eigenschap Model, dat systeemeigenschappen decomponeert in twee onderscheidende categorieën:

Interne eigenschappen ( $I$ ): Lokaal aan een component en niet direct observeerbaar door anderen (bijv. CPU-gebruik, geheugengebruik, wachtrijlengte, interne statusvariabelen).
Externe eigenschappen ( $E$ ): Observeerbaar door andere componenten via interacties (bijv. responstijd, foutpercentages).

Het model is gebouwd op twee axioma's:

Axioma 2.5 (Intracomponent): Interne eigenschappen zijn causale voorouders van externe eigenschappen binnen een component. Fouten ontstaan intern en manifesteren zich extern.
Axioma 2.6 (Intercomponent Isolatie): Causale invloed tussen componenten vindt alleen plaats via externe eigenschappen. Een component kan de interne staat van een andere component niet direct wijzigen.

Kerninzicht: Een component die de oorzaak vormt, vertoont anomalieën in zowel zijn interne als zijn externe eigenschappen. In tegenstelling hiertoe vertonen getroffen (downstream) componenten anomalieën alleen in hun externe eigenschappen (door voortplanting), terwijl hun interne eigenschappen op een nominaal niveau blijven.

2. De PRISM-pipeline

PRISM voert RCA uit in drie stadia:

Anomaliescoring: Berekent afwijkingsgebaseerde anomaliescores (bijv. z-score, IQR-gebaseerd) voor alle eigenschappen. Het artikel bewijst dat afwijkingsgebaseerde scorers voldoen aan monotoniciteit en injectiviteit, wat theoretisch noodzakelijk is om verschillende afwijkingsgraden te onderscheiden. Dit staat in contrast met Informatie-theoretische (IT) scorers, die lijden aan verzadiging en een gebrek aan injectiviteit wanneer anomalieën de historische grenzen overschrijden.
Score Pooling: Aggregeert eigenschapsgebaseerde scores naar componentgebaseerde scores:
- $S^I_i$ : Gepoolde interne score voor component $C_i$ .
- $S^E_i$ : Gepoolde externe score voor component $C_i$ .
- De poolingfunctie is monotoon en permutatie-invariant (bijv. max, som, gemiddelde).
Root Cause Ranking: Combineert $S^I_i$ en $S^E_i$ tot een definitieve oorzaakscore $M(C_i)$ . PRISM stelt twee scoringfuncties voor:
- Additieve Score ( $M_{add}$ ): $S^I + S^E - \log(1 + S^I + S^E)$ .
- Conjunctieve Score ( $M_{conj}$ ): $\min(S^I, S^E)$ .
Beide functies voldoen aan interne begrenzing, wat ervoor zorgt dat de definitieve score van een component wordt gecontroleerd door zijn interne anomaliescore. Dit voorkomt dat getroffen componenten (die een hoge $S^E$ maar een nominale $S^I$ hebben) de oorzaak overtreffen in de rangschikking.

Belangrijkste Bijdragen

PRISM Framework: Een grafiekvrij RCA-framework dat effectief de oorzaken lokaliseert door gebruik te maken van het onderscheid tussen interne en externe anomalieën.
Theoretische Garanties: Het artikel formaliseert het Component-Eigenschap Model en bewijst dat onder Axioma's 2.5 en 2.6, PRISM de oorzaak correct boven de getroffen componenten rangschikt. Het stelt ook vast dat afwijkingsgebaseerde scorers noodzakelijk zijn om de verzadigingsproblemen van IT-gebaseerde scorers te vermijden.
Empirische Validatie: Uitgebreide experimenten op 735 faalgevallen over 9 real-world datasets (RCAEval benchmark).

Resultaten

Nauwkeurigheid: PRISM bereikt een 68% Top-1 nauwkeurigheid, een verbetering van 258% ten opzichte van de beste baseline (BARO, die 19% behaalde). Het bereikt ook 91% Top-3 nauwkeurigheid.
Efficiëntie: PRISM vereist slechts 8ms per diagnose (mediaan), waardoor het bijna even snel is als de snelste baseline (BARO op 6,3ms) en orden van grootte sneller dan grafiekgebaseerde of LLM-gebaseerde methoden (bijv. PC-PageRank met 1,2s, RCLAgent met 79s).
Robuustheid:
- PRISM is robuust tegen verschillende poolingstrategieën (max, som, gemiddelde) en scoringfuncties.
- Het presteert uitzonderlijk goed op resource-fouten (100% Top-3 op CPU, MEM, DISK, SOCKET) en behoudt een sterke prestatie op netwerkfouten.
- Het behaalt de hoogste nauwkeurigheid bij vroege observaties na de fout (81% Top-1 bij 10% data), wat directe diagnose mogelijk maakt voordat de voortplanting van de fout ruis accumuleert.
Ablatie: Het verwijderen van de interne-externe decompositie (bijv. rangschikken op basis van marginale scores alleen) verlaagt de Top-1 nauwkeurigheid naar 19%, wat de noodzaak van de voorgestelde aanpak bevestigt.

Betekenis en Claims

Het artikel claimt dat PRISM een kritiek gat in RCA aanpakt: het onvermogen om fouten te diagnosticeren wanneer afhankelijkheidsgrafieken onbekend zijn en wanneer downstream-anomalieën groter worden dan de oorzaak zelf. Door de focus te verschuiven van "hoogste anomaliescore" naar "anomalie in zowel interne als externe eigenschappen", biedt PRISM een theoretisch gefundeerde, efficiënte en zeer nauwkeurige oplossing voor moderne microservicesystemen. De auteurs benadrukken dat deze aanpak geen causale ontdekking of structurele kennis vereist, wat het toepasbaar maakt voor grote, evoluerende systemen waar dergelijke informatie vaak niet beschikbaar is. Het werk toont aan dat een eenvoudige, principiële decompositie van observeerbare variabelen de complexe causale inferentie en grafiekgebaseerde methoden kan overtreffen in zowel nauwkeurigheid als snelheid.