💻 computer science

TORAI: Unsupervised Fine-grained RCA using Multi-Source Telemetry Data

O artigo apresenta o TORAI, uma abordagem não supervisionada para análise de causa raiz (RCA) em sistemas de microsserviços que, ao utilizar dados de telemetria de múltiplas fontes sem depender de um grafo de chamadas de serviço, supera as limitações dos métodos existentes ao identificar com precisão causas raiz de alta granularidade mesmo na presença de serviços "cegos" sem rastreamento.

Autores originais: Luan Pham, Huong Ha, Xiuzhen Zhang, Hongyu Zhang

Publicado 2026-04-16

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Luan Pham, Huong Ha, Xiuzhen Zhang, Hongyu Zhang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você é o médico de um hospital gigante e super moderno, onde cada departamento (cardiologia, neurologia, pediatria) é uma equipe independente que se comunica o tempo todo. Esse hospital é o seu sistema de microsserviços.

Quando algo dá errado (um paciente começa a piorar), você precisa descobrir rapidamente: qual departamento causou o problema? Foi um erro no coração? Foi um remédio errado na farmácia? Ou foi um problema no ar condicionado que afetou tudo?

O problema é que, em muitos hospitais modernos, alguns departamentos são "caixas pretas". Eles não têm câmeras internas (chamadas de traces ou rastreamento) que mostram exatamente o que está acontecendo por dentro. Eles podem ser sistemas legados, softwares de terceiros ou serviços que os engenheiros esqueceram de monitorar. Vamos chamar esses departamentos de "Pontos Cegos".

Aqui entra o TORAI, a nova ferramenta apresentada no artigo.

O Problema: Os Detetives Antigos

Antes do TORAI, os detetives (métodos de análise de causa raiz) funcionavam assim:

Eles tentavam montar um mapa completo de quem fala com quem no hospital, usando as câmeras (rastreamento).
Se um departamento não tinha câmera (era um "Ponto Cego"), o mapa ficava incompleto.
O detetive ficava confuso: "Não consigo ver o Departamento X, então não posso culpar ele, mesmo que os sintomas pareçam vir de lá."
Além disso, muitos desses detetives precisavam de um manual de treinamento gigante (dados rotulados) para aprender o que era um problema, o que é impossível em hospitais que mudam todos os dias.

A Solução: O TORAI (O Detetive Intuitivo)

O TORAI é diferente. Ele não precisa de um mapa completo e não precisa de um manual de treinamento. Ele funciona como um detetive experiente que usa a intuição e os sintomas.

Aqui está como o TORAI funciona, passo a passo, com analogias simples:

1. Ouvir os Gritos (Medir a Gravidade)

Quando o hospital começa a ter problemas, o TORAI não olha para o mapa. Ele apenas escuta os gritos.

Ele olha para os sintomas de cada departamento: "O coração está batendo muito rápido?" (Métricas de CPU). "O médico está gritando 'Erro 500'?" (Logs).
Ele cria um "Índice de Gravidade" para cada um. Se o Departamento de Cardiologia está gritando muito alto, ele recebe uma nota alta de perigo. Se o "Ponto Cego" (que não tem câmera) está gritando, ele também recebe uma nota alta, porque o TORAI consegue ouvir os gritos sem precisar de câmera.

2. Agrupar os Vizinhos (Agrupamento por Sintomas)

Agora, o TORAI junta os departamentos que estão gritando de forma parecida.

Imagine que o Departamento A e o Ponto Cego B estão ambos com febre alta e tremendo. O TORAI diz: "Eles estão no mesmo grupo de 'doentes graves'".
Isso ajuda a ignorar os departamentos que estão saudáveis e focar apenas nos que estão doentes.

3. Descobrir a Causa (Análise Causal)

Dentro desse grupo de "doentes graves", o TORAI faz uma pergunta inteligente: Quem começou a doença?

Ele analisa a ordem dos eventos. "O Departamento A começou a gritar antes do Ponto Cego B?"
Se o A gritou primeiro e o B gritou depois, é provável que o A tenha passado o problema para o B. O TORAI usa lógica de causa e efeito para descobrir quem é o "paciente zero".

4. O Diagnóstico Fino (Hypothesis Testing)

Finalmente, o TORAI não diz apenas "O Departamento A está doente". Ele diz: "O Departamento A está doente porque a válvula de ar (CPU) travou!"

Ele usa testes estatísticos para olhar nos detalhes (logs específicos, picos de memória) e apontar exatamente qual peça quebrou. É como se ele dissesse: "Não é o remédio, é o ar condicionado que está superaquecendo o servidor."

Por que o TORAI é incrível?

Não precisa de mapa completo: Ele funciona perfeitamente mesmo se 50% ou até 100% dos departamentos forem "Pontos Cegos" (sem rastreamento). Ele usa o que tem (sintomas e gritos) para chegar à verdade.
Não precisa de treinamento: Ele é "não supervisionado". Isso significa que ele não precisa de um manual escrito por humanos dizendo "quando X acontece, é culpa de Y". Ele aprende sozinho olhando para os dados do momento.
É rápido: Em testes, ele encontrou a causa do problema em segundos, mesmo em hospitais gigantes com 64 departamentos.
Funciona na vida real: Eles testaram o TORAI em falhas reais de uma grande empresa de internet e ele acertou a causa raiz em 100% dos casos, colocando a resposta certa no top 3 das sugestões.

Resumo da Ópera

Enquanto os métodos antigos tentavam desenhar um mapa perfeito de todo o sistema para achar o erro (e falhavam quando havia buracos no mapa), o TORAI é como um médico que olha para os sintomas, agrupa os doentes, descobre quem infectou quem e aponta exatamente qual remédio ou máquina quebrou.

Ele é a ferramenta perfeita para o mundo moderno de software, onde as coisas mudam rápido e nem tudo pode ser monitorado com câmeras. Ele encontra a agulha no palheiro, mesmo que metade do palheiro esteja escondida na escuridão.

1. Problema Identificado

O artigo aborda um desafio crítico na análise de causa raiz (RCA - Root Cause Analysis) em sistemas de microsserviços: a existência de "pontos cegos" (blind spots).

Limitação das Abordagens Atuais: A maioria dos métodos existentes de RCA multi-fonte assume que o sistema possui cobertura total de traces (rastreamento distribuído), permitindo a construção de um grafo de chamadas de serviço completo.
Realidade Prática: Em sistemas reais e em rápida evolução, muitos serviços são "caixas-pretas" (software compilado, serviços de terceiros, componentes sem instrumentação) ou simplesmente não possuem instrumentação de tracing devido ao custo e esforço de implementação. Isso resulta em serviços que não aparecem no grafo de chamadas.
Consequências: Quando pontos cegos existem, os métodos baseados em grafos falham em diagnosticar serviços invisíveis, ignorando métricas e logs cruciais. Além disso, muitas soluções atuais são:
1. Supervisionadas: Requerem grandes volumes de dados rotulados, o que é impraticável em sistemas dinâmicos.
2. Intrusivas: Exigem modificações no código-fonte (ex: integrar trace_id em cada linha de log) ou instrumentação pesada, o que é inviável para componentes fechados.

2. Metodologia: TORAI

O TORAI é uma abordagem não supervisionada e multi-fonte projetada para identificar causas raiz de forma granular sem depender de um grafo de chamadas completo ou de dados rotulados. O processo funciona em seis etapas principais:

Transformação de Dados Multi-fonte:
- Coleta de Métricas (sinais dourados: tráfego, saturação, latência, erros), Logs (frequência de templates de log, não semântica) e Traces (latência e códigos de status).
- Os dados são transformados em séries temporais para análise.
SeverityScorer (Avaliador de Severidade):
- Calcula um escore de severidade de anomalia para cada fonte de dados de cada serviço.
- Utiliza a média e o desvio padrão do período normal para medir o desvio no período de falha.
- Gera um vetor de severidade $[\rho_m, \rho_l, \rho_{tc}]$ para cada serviço. Se uma fonte de dados (ex: trace) estiver ausente, o valor é imputado como 0, permitindo o funcionamento mesmo com dados parciais.
SymptomCluster (Agrupamento de Sintomas):
- Agrupa serviços com sintomas de severidade semelhantes usando um Modelo de Mistura Gaussiana (GMM).
- O objetivo é separar serviços anormais dos normais e reduzir a complexidade computacional para a etapa seguinte, evitando analisar causalidade em todos os serviços simultaneamente.
- Identifica clusters de alta severidade que têm maior probabilidade de conter a causa raiz.
CausalRanker (Classificador Causal):
- Dentro de cada cluster de severidade, aplica inferência causal para identificar a causa raiz.
- Utiliza uma estratégia "dividir e conquistar" com o algoritmo $\Psi$ -PC para construir grafos causais a partir das séries temporais.
- Identifica nós sem pais no grafo causal (alvos de intervenção) como potenciais causas raiz e os classifica.
RankAggregation (Agregação de Classificação):
- Combina a classificação dos clusters (do SymptomCluster) com a classificação interna dos serviços (do CausalRanker) para gerar uma lista ordenada de serviços candidatos à causa raiz (causa raiz de nível grosseiro).
FineGrainer (Refinamento Fino):
- Para os serviços candidatos, realiza testes de hipóteses para identificar indicadores específicos de causa raiz (ex: qual métrica específica ou qual template de log).
- Utiliza a mediana e o intervalo interquartil (IQR) em vez da média e desvio padrão para maior robustez contra outliers e imprecisões no tempo de detecção da anomalia.
- Identifica indicadores que apresentam mudanças significativas na distribuição após a falha.

3. Contribuições Principais

Identificação de Limitações: Mapeou três limitações críticas das abordagens atuais: dependência de cobertura total de traces, necessidade de dados rotulados e instrumentação intrusiva.
Novo Método (TORAI): Propôs uma solução que elimina a necessidade de um grafo de chamadas completo, funcionando eficazmente mesmo com serviços "cegos" (sem traces).
Abordagem Não Supervisionada: Elimina a dependência de dados históricos rotulados, tornando a ferramenta aplicável a sistemas dinâmicos e em constante mudança.
Robustez e Eficiência: Demonstra que é possível realizar RCA precisa utilizando apenas métricas e logs, sem a necessidade de instrumentação pesada de código.

4. Resultados Experimentais

Os autores avaliaram o TORAI em três sistemas de referência (Online Boutique, Sock Shop, Train Ticket) e em 10 falhas reais de um provedor de internet.

Desempenho em Pontos Cegos:
- No sistema Sock Shop (100% de pontos cegos, sem traces), o TORAI alcançou 0.84 de AC@1 (precisão no top-1) e 0.94 de Avg@5, superando significativamente métodos baseados em traces que falharam completamente.
- No Train Ticket (sistema grande com 64 serviços e muitos pontos cegos), o TORAI superou os baselines de última geração (como CausalRCA e RCD) com uma margem significativa (Avg@5 de 0.89 vs. 0.43 do melhor concorrente).
Análise de Causa Raiz Fina:
- O TORAI superou todos os baselines na identificação de indicadores específicos (métricas/logs), alcançando uma precisão média de 0.68 no Online Boutique, comparado a 0.39 do segundo melhor (BARO).
Eficiência:
- O TORAI é altamente eficiente, analisando falhas em segundos (ex: ~20s para o sistema com 64 serviços), enquanto métodos concorrentes baseados em redes neurais profundas levaram horas ou excederam limites de tempo.
Robustez:
- A análise de sensibilidade mostrou que o TORAI mantém alta precisão mesmo quando a porcentagem de serviços sem traces varia de 0% a 100%. A precisão degrada-se gradualmente e se recupera quando totalmente sem traces (confiando apenas em métricas/logs).
Cenário Real:
- Em falhas reais de produção, o TORAI alcançou 100% de AC@3, significando que a causa raiz real estava sempre entre as 3 principais recomendações.

5. Significado e Impacto

O TORAI representa um avanço significativo na engenharia de confiabilidade de software (SRE) para microsserviços.

Viabilidade Prática: Remove a barreira de entrada para RCA em sistemas complexos onde a instrumentação completa é impossível ou economicamente inviável.
Autonomia: Ao ser não supervisionado, pode ser implantado imediatamente em novos sistemas sem necessidade de treinamento prévio.
Diagnóstico Preciso: A capacidade de ir além da identificação do serviço falho para apontar o indicador exato (ex: "latência no serviço X" ou "erro de overflow no código Y") acelera drasticamente o tempo de resolução de incidentes (MTTR).

Em resumo, o TORAI oferece uma solução robusta, eficiente e prática para a análise de falhas em ambientes de microsserviços modernos, onde a visibilidade total do sistema é frequentemente inatingível.