Aturan peringatan dan deteksi anomali

Aturan peringatan adalah kondisi tersimpan yang dievaluasi terhadap data langsung secara terjadwal. Ia berdiri di atas definisi metrik: sebuah ukuran dari lapisan semantik platform, dimensi waktu tempat ia diagregasi, serta filter dan dimensi yang membatasinya — misalnya jumlah kejadian gempa per hari, insiden di satu provinsi, atau jumlah kapal di satu selat.

Aturannya menambahkan bagian yang menentukan kapan sebuah nilai menarik: jenis kondisi, ambang batas, batasan spasial opsional, dan kanal yang dijangkau saat aturan aktif. Karena definisinya berada di dalam aturan dan bukan di dalam kode, ambang batas dapat diubah oleh orang yang memantau metrik itu, dan perubahannya berlaku pada evaluasi berikutnya.

• Metrik — sebuah ukuran beserta dimensi waktu, granularitas, dimensi, dan filternya.
• Kondisi — apa yang harus benar dari ukuran itu agar aturan aktif.
• Batasan spasial — radius dan titik pusat opsional yang mengikat kondisi ke satu wilayah.
• Kanal — tempat notifikasi dikirim, dipilih per aturan.
• Tingkat keparahan — bobot yang dibawa notifikasi, sehingga dapat dibaca sekali lihat.

Pada setiap evaluasi, aturan meminta lapisan semantik untuk metriknya pada granularitas yang dikonfigurasi, diurutkan dari yang terbaru dan dibatasi ke periode berjalan serta periode sebelumnya. Hasilnya dibandingkan dengan ambang batas memakai jenis kondisi aturan itu, lalu dicatat bersama nilai aktual, nilai periode sebelumnya untuk kondisi perubahan, serta keterangan singkat yang mudah dibaca.

Beberapa kondisi dapat disusun menjadi pohon AND/OR, sehingga satu aturan dapat mensyaratkan lebih dari satu hal sekaligus. Aktivitas di atas suatu tingkat dan perubahan di atas suatu laju dapat dituntut bersamaan, bukan salah satu saja, dan itulah yang biasanya dimaksud operator dengan kata menarik.

• Ambang batas — aktif ketika nilai saat ini lebih besar dari angka yang dikonfigurasi.
• Perubahan persentase — aktif ketika perubahan antar-periode melewati persentase tertentu, ke arah mana pun.
• Perubahan absolut — aktif ketika selisih antara dua periode melewati jumlah tertentu.
• Batasan spasial — kondisi berlaku dalam radius dari sebuah lokasi, sehingga satu metrik dapat dipantau per wilayah, bukan hanya secara nasional.
• Data tidak cukup — kondisi perubahan dengan satu periode saja melaporkan bahwa ia tidak dapat memutuskan, bukan aktif berdasarkan dugaan.

Tidak setiap kejadian menarik punya angka yang bisa disebutkan lebih dahulu oleh operator. Deteksi anomali membandingkan sebuah metrik dengan riwayatnya sendiri: platform menyimpan baseline bergulir dan menandai ketika jendela berjalan menyimpang darinya, sehingga daerah tenang yang mendadak meningkat memunculkan sinyal yang tidak akan tertangkap ambang batas tetap.

Perbandingan yang sama menopang perubahan mingguan dan bulanan serta prakiraan jangka pendek, yang menjawab pertanyaan lanjutan setelah sebuah anomali — apakah keadaan makin buruk, mendatar, atau kembali normal. Aturan menyatakan apa yang sudah Anda tahu; baseline menyatakan apa yang biasanya dilakukan metrik itu.

Aturan menangkap hal yang sudah Anda tahu harus dicari; baseline menangkap hal yang belum.

Setiap aturan menyimpan evaluasi terakhirnya, sehingga daftar aturan sekaligus menjadi papan status: metrik mana yang masih dalam rentang, mana yang mendekat, dan mana yang aktif. Aturan yang aktif memunculkan notifikasi dengan pesan yang disusun dari templat, tempat nama metrik, nilai, dan ambang batas disisipkan.

Pengulangan dikendalikan, bukan diasumsikan, karena kondisi yang bertahan semalaman semestinya menghasilkan catatan yang bisa dipakai, bukan aliran notifikasi kembar. Tingkat keparahan, jeda minimum, dan jendela jam tenang semuanya bagian dari aturan, bukan dari alat yang menerima notifikasi.

• Evaluasi terakhir — nilai aktual, pembandingnya, dan keterangan lulus atau gagal per kondisi.
• Jeda minimum — selang waktu paling singkat antara dua kali aturan yang sama aktif.
• Jam tenang — jendela ketika notifikasi ditahan sementara evaluasi tetap berjalan.
• Teks keterangan — alasan sebuah aturan lulus atau gagal, dalam satu kalimat, bukan angka telanjang.
• Daftar aturan — seluruh definisi di satu tempat beserta keadaannya saat ini.

Peringatan adalah salah satu permukaan dari lapisan semantik yang sama dengan yang menopang dasbor dan laporan situasi otomatis. Metrik yang didefinisikan sekali dapat dibuat grafiknya, dipasangi aturan, dan diringkas tanpa definisi kedua yang menyimpang dari yang pertama.

Karena notifikasi adalah peristiwa yang punya tempat dan waktu, ia dapat dibaca bersama lapisan yang menjelaskannya dan dibawa ke alur kerja yang menanganinya. Peringatan adalah awal pekerjaan, bukan pemberitahuan yang berakhir di dirinya sendiri.

• Dasbor — metrik yang sama ditampilkan sebagai panel atau grafik.
• Laporan — metrik yang sama diringkas dalam laporan situasi tertulis.
• Respons — notifikasi dapat dibaca berdampingan dengan peta, graf entitas, dan papan krisis yang menanganinya.

Aturan adalah sinyal, bukan keputusan, dan ia tidak dapat mengarang metrik yang belum didefinisikan: ukuran, dimensi waktu, dan filternya harus sudah ada di lapisan semantik sebelum aturan diletakkan di atasnya. Dengan begitu setiap peringatan dapat dilacak ke definisi yang ada pemiliknya.

Ambang batas ditetapkan manusia, sehingga bisa keliru ke dua arah, dan platform menyatakannya secara terbuka: aturan melaporkan nilai yang dilihatnya dan perbandingan yang dilakukannya, sehingga ambang batas yang salah terlihat di dalam catatan alih-alih tersembunyi di dalam kotak hitam. Catatan itulah yang membuat ambang batas yang keliru dapat diperbaiki, dan perbaikannya adalah perubahan pada aturan, bukan pada perangkat lunaknya.