Zum Inhalt

Anomalien & Prognosen

Vesana lernt für jeden geeigneten Check, was zu welcher Stunde normal ist, und rechnet für Füllstände voraus, wann die Grenze erreicht ist. Beides läuft von selbst, sobald genug Daten da sind.

Keine zweite Problem-Ebene

Fehlerübersicht, Hosts-Liste und Host-Detail zeigen nur Statusse. Anomalien und Prognosen sieht man im Check-Detail und auf der Seite Anomalien & Prognosen. Zum Problem werden sie nur, wenn man es am Check (oder als Vorgabe) einschaltet — dann setzen sie einen ganz normalen Status, siehe Status aus Anomalie und Prognose.

Normalbereich

Je Check lernt Vesana aus den Stundenwerten der letzten 8 Wochen, welcher Bereich für diese Stunde normal ist:

Daten vorhanden Profil
unter 7 Tagen lernt noch („Lernt · Tag 3 von 7") — kein Normalbereich
ab 7 Tagen Tagesprofil: je Stunde, Werktag und Wochenende getrennt
ab 21 Tagen Wochenprofil: je Wochentag und Stunde

Gerechnet wird mit dem Median und der robusten Streuung (MAD) der Stunde samt Nachbarstunden — ein einzelner Ausreißer im Lernzeitraum verschiebt nichts. Nicht mitgelernt werden:

  • Zeiten in einer Downtime
  • Zeiten, in denen der Check selbst gestört war (WARNING/CRITICAL/…)
  • Zeiten mit einer Anomalie — nur ihr Mittel; ihre Spitzen zählen mit (siehe unten), sonst könnte sich eine regelmäßige Spitze nie als normal erweisen. Als normal markierte Anomalien lernen ganz mit.
  • alles vor „Normalbereich neu lernen"

Übliche Spitzen gehören dazu. Neben dem Stundenmittel lernt Vesana die Spitzen jeder Stunde: Was zu dieser Stunde an den meisten Tagen erreicht wird (Backup um 3 Uhr), und was über das ganze Lernfenster in mindestens 5 % der Stunden vorkommt (Builds zu wechselnden Zeiten), liegt im Normalbereich. Eine einmalige Spitze bleibt eine Anomalie.

Der Bereich hat eine Mindestbreite: bei Prozentwerten ±5 Punkte, bei Antwortzeiten ±5 ms bzw. die Hälfte des Normalwerts. „2 % → 6 % CPU" ist also nie eine Anomalie, und ein Wert, der immer 0 ist, bekommt trotzdem einen Bereich.

Empfindlichkeit

Stufe Breite Wann
Niedrig 6 robuste Standardabweichungen nur deutliche Ausreißer
Mittel (Vorgabe) 4,5 Normalfall
Hoch 3,5 ruhige Werte, bei denen schon kleine Sprünge zählen
Aus — dieser Check wird nicht bewertet

Die Vorgabe gilt instanzweit (siehe Einstellungen) und lässt sich überschreiben — am Check (Check-Detail → Konfiguration, Rechtsklick auf der Seite Anomalien & Prognosen) oder als Super-Admin am Profil für alle Hosts mit diesem Profil. Reihenfolge: Check › Profil › automatisch angepasst › Vorgabe.

Automatisch angepasste Empfindlichkeit

Hat ein Check in 21 Tagen mindestens 4 Anomalien, die alle von selbst vorbeigingen (kein CRITICAL während der Anomalie), stellt Vesana ihn nachts eine Stufe unempfindlicher — nie unter „Niedrig". Das geschieht nur, wenn niemand selbst entschieden hat: keine Stufe am Check oder Profil, kein Normalbereich von Hand. Die Anpassung steht mit Grund im Reiter Einstellungen (Filter „Automatisch angepasst") und im Check-Detail und lässt sich dort verwerfen.

Normalbereich von Hand

Liegt der gelernte Bereich daneben, legt man ihn selbst fest (Check-Detail → Konfiguration → Normalbereich, oder Rechtsklick → Normalbereich festlegen):

Wirkung
Gelernt Vesana bestimmt den Bereich (Vorgabe)
Mindestens gelernt, aber Werte in diesem Bereich sind nie eine Anomalie, z. B. „bis 70 %"
Fest genau dieser Bereich, nichts gelernt — gilt sofort, auch in der Lernphase

Super-Admins legen den Bereich auch für alle Hosts mit einem Profil fest; ein Bereich am Check schlägt den des Profils.

Woher kommt der Normalbereich?

Am Normalbereich im Check-Detail, in der Konfiguration und an jeder Anomalie zeigt „Woher?" die Zahlen hinter dem Bereich von jetzt: aus wie vielen Stunden gelernt, Tages- oder Wochenprofil, üblicher Wert und Streuung dieser Stunde, Breite aus der Empfindlichkeit, übliche Spitzen, ein Bereich von Hand und was nicht mitgelernt hat (Downtime, Störung, Anomalie, vor „neu lernen").

Richtung

Werte, bei denen „zu hoch" das Problem ist (CPU, Last, Antwortzeit, Fehlerzähler), werden nur nach oben bewertet. Hat der Check die Schwellwert-Richtung unten (freier Platz, Füllstand, Uptime), nur nach unten.

Anomalie

Alle 5 Minuten vergleicht Vesana das Mittel der letzten 15 Minuten mit dem Normalbereich der Stunde.

  • Liegt der Wert mindestens 15 Minuten außerhalb, entsteht eine Anomalie. Eine kurze Spitze bleibt still.
  • Liegt er wieder 15 Minuten innerhalb, endet die Anomalie.
  • Keine Anomalie, solange der Check selbst gestört ist (das sagt der normale Alarm), in einer Downtime, wenn der Host nicht erreichbar ist, in den ersten 30 Minuten nach einer Rückkehr aus „No Data" (ein Wiederanlauf ist immer ungewöhnlich) und in der ersten Stunde nach einer Änderung am Check (wer umbaut, ändert absichtlich etwas).
  • In einer Downtime ruht eine laufende Anomalie: sie endet nicht und wird danach normal weiter bewertet.

Eine Anomalie sagt in einem Satz, was los ist: „92 % über dem Normalbereich 20–35 %".

Nach einem Umbau (neue Hardware, Migration, neuer Dienst) im Check unter Konfiguration → Normalbereich neu lernen: alles davor zählt nicht mehr, der Check lernt neu.

Keine Anomalie? Rechtsklick → Ist normal …: die Spanne lernt mit, setzt keinen Status mehr und steht unter „Als normal markiert"; auf Wunsch gleich „Werte bis X nie als Anomalie". Doch eine Anomalie nimmt es zurück. Läuft eine Anomalie länger als einen Tag, fragt die Zeile „neuer Normalzustand?" — Als neuen Normalzustand übernehmen lernt ab ihrem Beginn neu.

Geeignete Checks

Jeder Check mit Zahlwert. Ausgenommen sind Füllstände und Restlaufzeiten — Datenträger (agent_disk, ssh_disk, SNMP-Storage), Zertifikate, Internetlinie: dort beantwortet die Prognose die richtige Frage.

Prognose

Für jeden Füllstand rechnet Vesana täglich voraus, wann die kritische Grenze des Checks erreicht wird — bei Datenträgern je Partition, bei Scripts mit Prozent-Serien je Serie (z. B. Datastores). Füllstand heißt: ein Prozentwert oder ein Datenträger-Check. Zähler und Alter (Backup-Alter, Anzahl Fehler) und Last-/CPU-Werte bekommen keine Prognose — sie haben eine Schwelle, aber keine Kapazität.
Grenze CRIT-Schwelle des Checks, sonst WARN, sonst 100 % bei Prozentwerten
Richtung folgt dem Check: bei „unten" (Toner, freier Platz) gegen die untere Grenze
Daten Tageshöchstwert (bei „unten": Tagestiefstwert) der letzten 30 Tage
Aufräumen ein deutlicher Rückgang beginnt neu — gerechnet wird nur ab dem letzten Aufräumen
Steigung robust (Theil–Sen), einzelne Ausreißer kippen sie nicht
Ergebnis ein Bereich: „Grenze 90 % in 9–14 Tagen"

Keine Zahl, wenn sie nicht belegbar ist: kein Wachstum (flach, fallend, im Rauschen oder weiter als ein Jahr) oder zu wenig Daten (weniger als 7 Tage seit dem letzten Aufräumen). RAM, CPU und Last bekommen keine Prognose — sie wachsen nicht, sie schwanken.

Dringende Prognose

Stufe wenn die wahrscheinliche Restzeit …
WARNING ≤ Warnung-Tage (Vorgabe 14)
CRITICAL ≤ Kritisch-Tage (Vorgabe 3)

Zusätzlich muss der Wert mindestens die Hälfte des Weges zur Grenze zurückgelegt haben — eine fast leere Platte, die schnell wächst, ist noch nicht dringend. Die Tage lassen sich je Check überschreiben (Konfiguration → Normalbereich & Prognose).

Wo man es sieht

  • Check-Detail: im Graph der Normalbereich als ruhiges Band, Anomalien als markierte Spannen und bei Füllständen eine gestrichelte Prognose-Linie bis zur Grenze; im Status-Reiter „Normalbereich 20–35 %" bzw. „Lernt · Tag 3 von 7", eine laufende Anomalie und je Partition/Serie die Prognose.
  • Seite Anomalien & Prognosen (Navigation, Rechtsklick auf jeder Zeile = Menü dieser Seite: Ist normal, Normalbereich, Empfindlichkeit, Status-Optionen, Check/Gerät öffnen): oben die Eingrenzung — Suche sowie Tenants und Geräte als Mehrfachauswahl. Reiter Anomalien (laufende und beendete, mit Zeitraum, nach Abweichung sortiert, kleiner Graph je Zeile; aufgeklappt Beginn, Ende, Dauer, Höchstwert, Normalbereich und der Verlauf rund um die Anomalie), Prognosen (alle Füllstände nach Zeit bis zur Grenze, mit Füllstand-Balken und Zuwachs je Tag; Zustände „Nähert sich", „Erreicht", „Stabil", „Zu wenig Daten"; aufgeklappt der Graph, aus dem die Prognose rechnet: höchster Wert je Tag, Trend ab dem letzten Aufräumen, Bereich frühestens bis spätestens — für jede Partition) und Einstellungen (je Check Lernfortschritt, Empfindlichkeit mit Herkunft, Normalbereich, Status-Optionen; ein Check per Rechtsklick, mehrere per Häkchen, alle des Filters über „Alle im Filter auswählen"). Das Auffrischen der Listen lässt aufgeklappte Zeilen, Seite und Menüs stehen. Vom Host-Detail aus führt Anomalien & Prognosen auf die Seite, gefiltert auf diesen Host.
  • Dashboards: Widgets Anomalien und Kapazitätsprognosen.

Fehlerübersicht, Hosts-Liste und die Check-Liste eines Hosts zeigen Anomalien und Prognosen nur, wenn sie einen Status gesetzt haben — dann als ganz normales WARNING/CRITICAL.

Status aus Anomalie und Prognose

Ob Anomalie oder Prognose einen Status setzen dürfen, wird je Check entschieden (Check-Detail → Konfiguration, „Vorgabe" / „An" / „Aus") oder für alle als Vorgabe (siehe Einstellungen).

Vorgabe Status
Status aus Prognose an WARNING ab der Warnung-Stufe, CRITICAL ab der Kritisch-Stufe (siehe Dringende Prognose)
Status aus Anomalie aus höchstens WARNING, erst nach 30 Minuten laufender Anomalie und ab dem 14. Lerntag

Der Status wird nur angehoben, nie gesenkt, und kommt mit Begründung in der Meldung des Checks („Anomalie: außerhalb des Normalbereichs 80–150 ms", „Prognose: C: erreicht 90 % in ~9 Tagen"). Danach ist er ein Status wie jeder andere: Fehlerübersicht, Alert-Regeln, ACK und Downtime gelten unverändert. Eigene Meldungen für Anomalien und Prognosen gibt es nicht — wer gemeldet werden will, schaltet den Status ein.

Einstellungen

Admin → System → Anomalien & Prognosen (Super-Admin):

Vorgabe
Anomalien & Prognosen an
Empfindlichkeit Mittel
Prognose: Warnung ab 14 Tage
Prognose: Kritisch ab 3 Tage
Status aus Prognose an
Status aus Anomalie aus
Anomalie setzt Status nach 30 Minuten

Aus heißt: nichts wird gerechnet, gezeigt oder als Status gesetzt. Gelernte Bereiche bleiben gespeichert und gelten nach dem Wiedereinschalten sofort.

Was es nicht kann

  • Saisonales über eine Woche hinaus — Monatsende, Feiertage: werden nicht als eigenes Muster gelernt.
  • Zusammenhänge — „CPU hoch UND Disk-IO hoch" ist keine gemeinsame Anomalie; jeder Check wird für sich bewertet.
  • Prognose bei sprunghaftem Wachstum — ein einmaliger großer Zuwachs (Backup-Kopie) verschiebt die Restzeit, bis genug Tage danach vorliegen.

Anschluss