AIOps: fahami korelasi amaran dan batasannya

AIOps bermaksud kecerdasan buatan untuk operasi IT: penggunaan kaedah analisis dan AI untuk membantu mentafsir isyarat operasi seperti amaran, log dan metrik. Korelasi amaran mengumpulkan peristiwa yang mungkin berkaitan supaya penyiasat boleh memeriksanya sebagai satu kumpulan. Kumpulan berkorelasi ialah petunjuk penyiasatan, bukan punca asas yang telah dibuktikan.

Soalan yang berguna ialah sama ada bukti yang dibekalkan menyokong hipotesis insiden tertentu. Ringkasan yang ditulis oleh AI boleh membantu menyusun bukti itu, tetapi tidak boleh menggantikan ukuran yang tiada, membuktikan kebergantungan perkhidmatan atau membenarkan tindakan pemulihan.

Oleh Ai Flowi · Diterbitkan 2026-10-10

Maksud AIOps: daripada isyarat kepada penyiasatan

Pemantauan mengumpulkan pemerhatian dan menilai keadaan yang mungkin menghasilkan amaran. Korelasi memeriksa hubungan antara pemerhatian itu: perkhidmatan yang sama, rujukan penempatan perisian, masa atau kebergantungan yang telah disahkan. Diagnosis menanyakan perkara yang menjelaskan tingkah laku yang diperhatikan. Tindak balas mengubah keadaan operasi. Ini ialah tanggungjawab berasingan, walaupun alat memaparkannya pada satu skrin.

Model boleh mencadangkan bahawa dua perkhidmatan wajar disiasat bersama. Cadangan itu masih memerlukan peta kebergantungan atau bukti lain yang menghubungkannya. Perkataan amaran yang serupa mungkin mencerminkan templat mesej yang sama, bukan kerosakan yang sama. Begitu juga, cap masa yang hampir boleh menjadikan peristiwa wajar dibandingkan tanpa menunjukkan peristiwa mana yang menyebabkan peristiwa lain.

Pakej amaran sintetik dengan anotasi

Rekod berikut ialah input pengajaran rekaan, bukan telemetri produksi. Semua masa merujuk kepada hari rekaan yang sama dan menggunakan ofset UTC yang sama. Lajur CSV dinamakan tepat sebagai timestamp; setiap nilai menyertakan ofset UTCnya, jadi tiada lajur zon waktu berasingan. Pakej yang dibekalkan tidak mempunyai peta kebergantungan perkhidmatan yang telah disahkan. observed_status menerangkan isyarat yang dinamakan, bukan keadaan keseluruhan perkhidmatan.

Tatal jadual amaran secara mendatar pada skrin kecil; pengguna papan kekunci boleh memfokuskan kawasannya dan menggunakan kekunci anak panah.

Kedua-dua salinan evt_a adalah sama pada setiap medan dalam pakej ini. Mengikut peraturan latihan bahawa ID peristiwa berulang yang sama mewakili satu lagi penghantaran pemerhatian yang sama, kedua-duanya menjadi satu item bukti dengan bilangan penghantaran dua. Simpan rujukan kedua-dua baris asal; mengurangkan paparan berulang tidak boleh memadamkan sejarah penghantaran.

Ini meninggalkan tiga item bukti berbeza daripada empat baris yang dibekalkan. Jika satu lagi evt_a tiba dengan status atau cap masa berbeza, simpan sebagai percanggahan untuk diperiksa. Latihan ini tidak memilih satu rekod sebagai betul semata-mata kerana ID sepadan. Peraturan kesetaraan mesti diterapkan sebelum meminta model meringkaskan insiden.

Apakah yang boleh disokong oleh kumpulan makluman berkorelasi dalam AIOps?

Kumpulan calon boleh mengandungi evt_a dan evt_b kerana kedua-duanya mengenal pasti perkhidmatan dan rujukan penempatan perisian yang sama. Pemerhatian bagi kedua-dua peristiwa itu berbeza: amaran kependaman dan ujian yang berjaya. Kekalkan kedua-duanya. Ujian mungkin meliputi titik akhir berbeza atau masa berbeza; ia tidak membatalkan pemerhatian kependaman.

evt_c berlaku pada masa yang hampir, tetapi rujukan penempatan perisian bagi peristiwa itu tidak diketahui. Sertakannya sebagai kemungkinan hubungan yang dikenal pasti secara berasingan, dan nyatakan bukti kebergantungan yang masih tiada. Draf hipotesis yang boleh diterima akan menanyakan sama ada permintaan checkout bergantung pada inventory ketika itu. Ia tidak akan mendakwa bahawa kegagalan inventory menyebabkan amaran checkout.

Oleh itu, pakej penyiasatan patut mengandungi ID bukti, hubungan yang dicadangkan, bukti yang menyangkal, telemetri yang tiada dan soalan pengesahan berikutnya. Di sini, soalan yang berguna termasuk titik akhir mana yang terjejas, sama ada panggilan merentasi kedua-dua perkhidmatan dan sama ada sesuatu penempatan perisian mendahului gejala. Jadual sintetik tidak mengandungi jawapan kepada soalan tersebut.

Contoh AI Flowi Workflow dengan skop terhad

Gunakan rujukan Load CSV untuk kontrak penghurai dan Data → DataFrame untuk batas JSON kepada Table. Table Operations dan Structured Output disenaraikan dalam katalog komponen. Keupayaan yang digunakan di bawah berstatus didokumenkan: didokumenkan dalam katalog; belum diuji dalam persekitaran produksi oleh Ai Flowi.

contoh konfigurasi, bukan ujian yang direkodkan

Sediakan eksport CSV sintetik yang dibenarkan dan akses kepada editor Workflow. Untuk peringkat model, anda memerlukan akaun penyedia dan kunci API sendiri; anda membayar penyedia itu secara berasingan. Latihan ini bermula daripada rekod yang dibekalkan, tanpa sambungan pengambilan data pemantauan atau pemulihan.

1. Tetapkan Load CSV.csv_string kepada pengepala tepat event_id,service,timestamp,signal,deployment_ref,observed_status diikuti empat rekod yang ditunjukkan di atas. Kekalkan ofset dalam setiap nilai timestamp dan simpan penghantaran kedua evt_a.
2. Salurkan rekod yang dimuatkan melalui Data → DataFrame.data_list kepada Table Operations.df, dengan mengikuti rujukan penukaran untuk sambungan perantaraan. Semak bahawa timestamp kekal sebagai nama lajur sebelum mengkonfigurasikan pengisihan.
3. Untuk pakej dengan hari dan ofset yang sama ini, cadangkan Table Operations.operation = "Sort", column_name = timestamp dan ascending = true. Kekalkan setiap status. Tarikh atau ofset yang berbeza memerlukan penyeragaman sebelum perbandingan mengikut masa.
4. Semak kumpulan pendua menggunakan peraturan kesamaan jelas di atas. Katalog menyenaraikan "Drop Duplicates", tetapi tidak membuktikan subset perbandingan atau dasar pengekalan rekodnya. Langkah Sort yang dicadangkan tidak melaksanakan pengelompokan ID peristiwa.
5. Bekalkan pakej bukti yang telah disemak dalam Structured Output.input_value, dengan menggunakan penerangan output berstruktur untuk mengkonfigurasikan modelnya dan bentuk hasil yang dicadangkan. Dalam system_prompt, wajibkan setiap hipotesis menamakan ID peristiwa sokongan, mengekalkan ujian yang berjaya dan mengenal pasti bukti kebergantungan yang tiada.

Model menerima ringkasan insiden yang disediakan secara manual selepas semakan pengelompokan. Sertakan julat masa pengumpulan bersama ringkasan itu: pakej berakhir pada 09:00:08, jadi ia tidak dapat membuktikan sama ada kependaman pulih kemudian. Permintaan yang berjaya selepas itu akan meluaskan julat masa bukti; ia tidak menjadikan pemerhatian ambang terdahulu salah secara retroaktif. Biarkan soalan tentang tempoh tidak terjawab sehingga ukuran meliputi selang masa yang berkenaan.

Batas semakan dan kesilapan lazim

Semak bahawa hipotesis yang dicadangkan mengekalkan evt_b, menandakan kebergantungan inventory sebagai tidak diketahui dan mengambil kira penghantaran kedua evt_a. Tolak sebarang draf yang mereka-reka penempatan perisian untuk inventory, menggugurkan ujian yang menunjukkan keadaan sihat tanpa penjelasan atau menyatakan sebab tanpa bukti tambahan.

Jangan samakan bilangan amaran dengan bilangan insiden. Jangan anggap telemetri yang tiada sebagai ukuran keadaan sihat. Asingkan masa pemerhatian daripada masa penerimaan apabila menyiasat penghantaran tertangguh. Jika jam sumber berbeza, susunan yang kelihatan mungkin perlu dibetulkan sebelum kumpulan ditafsirkan.

Gunakan prosedur operasi sedia ada apabila peraturan yang diketahui sudah mengenal pasti semakan berikutnya. Contoh ini tidak sesuai untuk penutupan insiden tanpa pengawasan, pengembalian automatik kepada versi terdahulu atau keputusan yang memerlukan telemetri yang tidak tersedia. Tiada kadar pengesanan gangguan, ketepatan diagnosis atau tindak balas berjaya didakwa.

Istilah berkaitan dan rujukan seterusnya

Kebolehcerapan LLM menerangkan bukti daripada permintaan model, bukan korelasi insiden merentasi perkhidmatan. Sistem produksi dalam AI menerangkan peraturan jelas untuk memilih tindakan. Perancangan ejen menerangkan kebergantungan antara langkah penyiasatan.

Untuk laporan eksport sumber yang berulang, ikuti automasi laporan dan jangan anggap hipotesis insiden sebagai pengiraan laporan. Gunakan penyelesaian masalah Workflow untuk kegagalan pembina.