智能巡检配置案例

背景信息

本文以Kubernetes监控数据为例，使用数据采集工具（例如：Python SDK）按照一个固定的频率（60秒）将200台服务器的多维度指标（Region、Machine、Index_name和Value）分别写入到日志服务Logstore中。然后您可以开启机器学习服务对时序数据进行智能巡检，并将巡检结果可视化展示。

本案例中，用于存放时序数据的Logstore名称为etl-k8s-monitor，用于存储巡检结果的目标Logstore名称为ml-detector-res。源Logstore中采集到的时序数据日志样例如下图所示。

重要字段说明如下表所示。


字段	说明
region	表示一个集群。
machine	表示一台机器。
index_name	表示一个指标，例如负载，8个常用指标请参见表 1。
value	具体指标的数值。

步骤1：配置时序数据的索引

采集到时序数据后，您需要为相关字段配置字段索引。

登录日志服务控制台。
在Project列表中，单击源Project。
在日志存储 > 日志库页签中，单击源Logstore。
在查询分析页面，配置字段索引。
为index_name、machine、region和value字段配置索引，如下图所示，详细操作步骤请参见开启并配置索引。

步骤2：配置机器学习服务

您可以在保存数据加工时，配置机器学习服务。

在查询分析页面，打开数据加工开关，进入数据加工模式。
单击加工结果。
在加工结果页签中，单击保存数据加工。

在创建数据加工规则页面，配置相关参数，并单击确定。

重要参数说明如下所示，其他参数配置请参见保存数据加工规则参数说明。

在AccessKey ID和AccessKey Secret参数中配置具有当前Logstore读权限且能创建消费组权限的AK信息，权限授权请参见RAM自定义授权场景。

在模型参数配置参数中，配置机器学习服务。

此处以配置流式图算法异常检测为例，具体配置如下图所示。模型参数配置

机器学习服务的相关参数说明如下表所示。


参数	说明
时间列	用于标记时间的名称，所对应字段的值为Unix时间戳，只支持索引类型为long类型的字段。本案例选择__time__字段。
时间粒度	数据写入的粒度，即同一个实例中最小的数据间隔，单位：秒。本案例为60秒。
实例列	选择实例列，该字段标记了一条时序曲线的名称，只支持索引类型为text类型的字段。本案例选择region、machine和index_name，表示某地域中某台机器的某个指标。
选择数值列	某实例在某时刻的数值。本案例选择value。
上界	自定义阈值，如果您所选择的数值列的值大于该值，则直接判断为异常。
下界	自定义阈值，如果您所选择的数值列的值小于该值，则直接判断为异常。
算法类型	选择流式统计算法异常检测。如果您要使用流式统计算法异常检测，请参见流式统计算法异常检测。
仅保留异常结果	开启仅保留异常结果开关后，只保留异常结果到目标Logstore中。
算法检测间隔	指定发起算法检测异常的时间间隔，该值需小于等于时间粒度，单位：秒。本案例为60秒。
数值划分粒度	根据值域划分数据，单位：段，取值范围为[2,20]，默认值为5。分段越多，算法对异常越敏感，检测出的异常点越多。
周期时长	指定时序数据的周期长度，单位：小时，取值范围为[60, +∞)，默认为时间粒度下，2880个时间点所对应的小时数。本案例为48小时。

完成配置后，日志服务启动机器学习服务，对时序数据进行巡检，将结果写入到目标Logstore。

步骤3：配置巡检结果数据的索引

在Project列表中，单击目标Project。
在日志存储 > 日志库页签中，单击目标Logstore。

查看巡检结果日志。


类型	字段	说明
entiy	无固定字段	表示一条时序曲线的实例列信息。
meta	project_name	时序数据来源的Project。
meta	logstore_name	时序数据来源的LogStore。
results	dim_name	您所指定的数值列。
	is_anomaly	流式图算法判断时序数据是否异常，Bool类型。流式图算法默认以0.5为界线，如果score值大于0.5，则为异常，显示为true。
	score	流式图算法输出的异常程度的量化分数，范围为[0,1]，分数越大越异常。-1表示数据缺失。-2表示疑似异常（可能是因为流式图算法还未学习充分）。

配置索引。
为__tag__:job_name__、entity、index_name、machine、region、result、in_anomaly和score字段配置索引，如下图所示，操作步骤详情请参见开启并配置索引。

步骤4：联合查询

您可以通过联合查询将异常结果整合到源Logstore中，帮助您快速了解算法模型的巡检结果。

在目标Logstore的查询分析页面，执行如下查询分析语句，查询某地域中某台机器的某个指标异常巡检结果。

其中0.75为异常分数阈值，代表算法判断出的异常情况，支持自定义。

* | select time, score, index_name, machine, region from
(select time, cast(score as double) as score, index_name, machine, region from(
    (select __time__ as time, 
           json_extract_scalar(result, '$.score') as score, 
           json_extract_scalar(entity, '$.index_name') as index_name, 
           json_extract_scalar(entity, '$.machine') as machine, 
           json_extract_scalar(entity, '$.region') as region, 
           job_name from ml-detector-res) 
    HAVING score > ) where region = 'aysls-pub-cn-beijing-k8s' and 
                               machine = '192.168.***.***:***' and 
                               index_name = 'mem_usage'

切换为源Logstore的查询分析页面。

联合查询源Logstore和目标Logstore。

执行如下查询分析语句，查询对应的时序数据。
说明为了避免有重复数据，日志服务对时序数据按一定时间做一次聚合，此处时间间隔为60s，支持自定义。
```
SELECT __time__ - __time__ % 60 AS time, AVG(value) AS value
FROM log
GROUP BY time
```

执行如下查询分析语句，联合查询源Logstore和目标Logstore。

region: "aysls-pub-cn-beijing-k8s" and 
machine: "192.168.***.***:***" and index_name: "mem_usage" | 
select time, value, 
             case when score is null then 0 else score end as score, 
             case when score is null then 0 else 1 end as label from 
        (select A.time, A.value, B.score, 1 as label from 
             ((select __time__ - __time__ % 60 as time, avg(value) as value from log 
            group by time ) as A left join 
           (select time, cast(score as double) as score, 
                     index_name, machine, region from 
                   (select __time__ as time, 
                           json_extract_scalar(result, '$.score') as score, 
                           json_extract_scalar(entity, '$.index_name') as index_name, 
                           json_extract_scalar(entity, '$.machine') as machine, 
                           json_extract_scalar(entity, '$.region') as region, 
                           job_name from ml-detector-res) 
                   HAVING score > 0.75) where region = 'aysls-pub-cn-beijing-k8s' and 
                               machine = '192.168.***.***:***' and 
                               index_name = 'mem_usage') as B 
       on A.time = B.time) 
        ) order by time limit 100000

在统计图表中，单击图标。

通过折线图展示异常点时序曲线，其中X轴配置为time，左Y轴配置为value，散点列配置为value，散点数值列配置为label，其他参数配置请参见折线图。
单击添加到仪表盘。
根据页面提示，完成添加。

步骤5：可视化展示

您还可以在分析数据时配置交互行为和过滤器，丰富仪表盘展示。

设置变量。
1. 单击数据源。
2. 划选关键字并单击生成变量。
3. 配置变量信息。
  
  此处分别设置region、machine、target_logtore和index_name、score、job_name变量，如下图所示，参数详情请参见设置占位符变量。
配置交互行为。
此处以配置region变量的交互行为为例。
1. 执行如下查询语句，查询分析Kubernetes集群。
```
* | select DISTINCT region from log
```
2. 在统计图表页签中，单击交互行为。
3. 配置交互行为。
  相关参数配置如下图所示，详情请参见下钻分析。
单击添加到仪表盘。
根据页面提示，完成添加。
添加过滤器。
此处以设置异常分数过滤器为例，您可以自定义设置异常分数，实现不同敏感程度的智能巡检。
1. 在目标仪表盘页面，单击编辑。
2. 在操作栏中，单击图标。
3. 在添加过滤器页面，配置相关参数，并单击确定。
  相关参数配置如下图所示，详细操作步骤请参见添加过滤器。
4. 单击保存。
查看仪表盘。
获取针对Kubernetes集群的智能巡检分析仪表盘。

步骤6：告警

您可以根据业务需求设置告警，获取智能化的告警通知，详情请参见设置告警。