Com a lógica de correlação de alertas, os problemas relacionados são agrupados para reduzir alertas distrativos e redundantes. À medida que entram no seu sistema, eles são elegíveis para nossa lógica de correlação. Os problemas elegíveis são avaliados com base no tempo, no contexto do alerta e nos dados de relacionamento. Se vários problemas estiverem relacionados, nossa lógica de correlação agrupará o incidente relacionado em um problema único e abrangente.
Chamamos essa lógica de correlação decisions. Temos decisões integradas, mas você também pode criar e personalizar as suas próprias na página de decisões. Para encontrar a página de decisões, acesse one.newrelic.com > All capabilities > Alerts > Decisions. Quanto mais você configurar suas decisões para melhor atender às suas necessidades, melhor o New Relic poderá correlacionar seu incidente, reduzir o ruído e fornecer maior contexto para as equipes de plantão.
one.newrelic.com > All capabilities > Alerts > Incident intelligence > Decisions: Nossa interface mostra como cada decisão se correlaciona com o incidente.
O que é correlação e como funciona?
Seus incidentes mais recentes e ativos estão disponíveis para nossa lógica de correlação. Por exemplo, digamos que seu sistema recebeu dois alertas informando que um monitor Sintético está falhando na Austrália e em Londres. Estes dois alertas terão criado o seu próprio incidente único. Esses incidentes gerarão seus próprios problemas exclusivos com base na política de criação de incidentes existente em sua equipe. A lógica de correlação da New Relic irá então testar esses incidentes entre si para encontrar semelhanças. Nesse caso, é o mesmo monitor que está falhando em vários locais, então a New Relic mesclará ambos os incidentes em um único problema que contém cada evento relevante.
Quando correlacionamos um evento, comparamos cada par de combinações entre si e combinamos o maior número possível. Por exemplo:
- Nosso algoritmo correlaciona os incidentes A e B (chame-o de "AB").
- Nosso algoritmo correlaciona os incidentes B e C (chame-o de "BC").
- Como B está presente em ambos os problemas, o algoritmo correlaciona todos os três incidentes em um único problema.
Configurar política de correlação
Para ativar a correlação em problemas baseados em alertas , você precisará conectar-se à correlação para a respectiva política de alertas.
Marque a caixa Correlate and suppress noise para ativar a correlação para a política de alertas.
Tipos de decisão
As decisões determinam como a inteligência do incidente correlaciona os problemas. A lógica de correlação do New Relic está disponível para sua equipe em três tipos de decisão diferentes:
Global decision
: um amplo conjunto de decisões padrão é ativado automaticamente quando você começa a usar alertas.
Suggested decision
: o mecanismo de correlação do New Relic avalia constantemente os dados do evento para sugerir decisões que capturem padrões de correlação para reduzir o ruído. Você pode visualizar os resultados da simulação de uma decisão sugerida e optar por ativá-la.
Custom decision
: sua equipe pode personalizar decisões com base no seu caso de uso para aumentar a eficácia da correlação. A interface de decisão do New Relic oferece flexibilidade para configurar todas as dimensões em uma decisão.
Revise suas decisões ativas
Para revisar as decisões existentes de sua equipe:
Vá para
one.newrelic.com> Alerts > Incident intelligence > Decisions
.
Revise a lista de decisões ativas. Para ver a lógica da regra que cria correlações entre seus problemas, clique na decisão.
Para ver exemplos de incidentes correlacionados à decisão, clique na guia
Recent correlations
.
Você tem a opção de ativar ou desativar essas decisões globais.
Configurar fontes
Antes de configurar suas decisões, é importante determinar as fontes que você gostaria de correlacionar. Fontes são suas entradas de dados.
Você pode obter dados de qualquer uma das seguintes fontes:
Decisões globais
As decisões globais são ativadas automaticamente quando sua equipe começa a usar alertas. Eles não requerem configuração e estão imediatamente disponíveis para sua equipe. As decisões globais abrangem uma variedade de cenários de correlação.
A tabela abaixo fornece descrições de todas as decisões globais que são habilitadas automaticamente.
Nome da decisão | Descrição |
|---|---|
Mesmo nome de destino New Relic (NRQL) | A correlação é ativada quando o nome da entidade com limite excedido e a consulta NRQL são iguais. Será identificado evento relevante do mesmo NRQL condição do alerta . Esta decisão ajuda a relacionar questões que possuem a mesma latência de consulta de transação do Desvio, por exemplo. |
Mesmo nome de destino New Relic (não NRQL) | A correlação é ativada porque o limite de alerta não NRQL do New Relic é o mesmo. Não se aplica à origem REST. Entidade não NRQL refere-se a entidade, normalmente aplicativo, tipos HOST, consulte o repositório New Relic GitHub na síntese de entidade. Com esta decisão serão identificadas questões relevantes da mesma entidade. Por exemplo, problemas de alta memória do host e problemas de não relatório do host podem ser altamente possíveis devido à mesma causa. |
Mesmo ID de destino New Relic | A correlação é ativada porque o limite de alerta não NRQL do New Relic é o mesmo. Não se aplica à origem REST. Use o ID da entidade para identificar exclusivamente uma instância da entidade. Saiba mais sobre entity.guid. |
Mesma condição New Relic | A correlação é ativada porque os IDs de condição do New Relic são iguais. Por exemplo, o aumento do uso da CPU com serviços relacionados desencadeará um incidente da mesma condição de uso da CPU e, portanto, será identificado. Essa lógica é valiosa além da opção de preferência de criação de problemas de política de alertas para um problema por condição, devido à granularidade em nível de condição e à flexibilidade na definição da janela de tempo de correlação. |
Mesma condição New Relic e URL de link direto | A correlação é ativada porque os IDs de condição do New Relic e o URL do link direto são iguais. O URL do link direto fornece informações sobre séries temporais e intervalos de tempo, além da condição do alerta. A correlação dessas questões facilita a visualização dos incidentes relacionados no fluxo de resposta a incidentes com métricas com escopo de tempo e a realização de análises profundas. O URL do link direto pode ser gerado automaticamente se os incidentes forem acionados pela condição de alerta do New Relic , enquanto para a fonte REST o deepLinkUrl deve ser definido pelo usuário. |
Mesma condição e título New Relic | A correlação é ativada porque os nomes e títulos das condições do New Relic são iguais. Esta é uma opção refinada, comparando títulos e condições para revelar maior relevância com a mesma mensagem de alerta. |
Mesma implantação k8s | A lógica de correlação está ativada porque a implantação de kubernetes é a mesma. Muitos incidentes são decorrentes de alterações de implantação única. Esta decisão visa reduzir os problemas da mesma implantação problemática da entidade Kubernetes. |
Mesmo nome de aplicativo, política e ID | A lógica de correlação é ativada porque o nome do aplicativo customizado, a política e o ID customizado são iguais. Correlacionamos problemas com esses elementos para reduzir problemas de aplicativos, principalmente para atender a tag personalizadas do usuário. Saiba mais sobre etiqueta. O ID da tag personalizada pode ser definido pelo ID da família de condições ou outros valores de ID usados como chave para identificar conexões entre dados. |
Mensagem de alerta semelhante | A correlação é ativada porque os incidentes possuem títulos semelhantes e são da mesma entidade. Isto visa reduzir problemas da mesma entidade causados por condições de alerta semelhantes. |
Mesma credencial segura, localização pública e tipo | A correlação é ativada porque a credencial segura, a localização pública e o tipo personalizado são iguais, respectivamente. Isso serve para correlacionar problemas da mesma localização/região geográfica com as mesmas credenciais de segurança que normalmente são acionadas por uma única causa raiz (por exemplo, falha no monitor Sintético) e podem ser altamente prováveis de serem resolvidas com a mesma solução. Adicione tag para se beneficiar desta decisão. |
Estrutura de problema semelhante | A correlação é ativada porque ambos os incidentes possuem estrutura de atributos e conteúdos de dados semelhantes. Esta é uma versão mais simples do cluster, que adota algoritmos avançados de similaridade na computação matricial para reduzir problemas altamente relacionados. |
Topologicamente Dependente | A correlação está ativada porque os incidentes são gerados a partir de instâncias que possuem relacionamentos dependentes. Saiba mais sobre a correlação de topologia pronta para uso. |
Use decisões sugeridas
Os dados das fontes selecionadas são continuamente inspecionados em busca de padrões para ajudar a reduzir o ruído. Depois que os padrões forem observados em seus dados, nossa lógica de correlação sugerirá decisões exclusivas que permitiriam que esses tipos de eventos se correlacionassem no futuro.
Para começar, clique na guia Suggested decisions no tópico da página de interface Decisions . Você pode ver a lógica por trás da decisão sugerida e a taxa de correlação estimada clicando em cada decisão sugerida.
one.newrelic.com > All capabilities > Alerts > Decisions: alguns exemplos de estatísticas da interface de decisões.
Para ativar uma decisão sugerida, clique em Add to your decisions. Uma vez ativada, a decisão aparecerá na tabela de decisão principal da sua equipe. Todas as decisões sugeridas mostrarão o criador como New Relic AI (isso se refere aos alertas da New Relic).
Se a decisão sugerida não for relevante para suas necessidades, clique em Dismiss.
Crie decisões personalizadas
Você pode reduzir o ruído e melhorar a correlação criando suas próprias decisões personalizadas. Para começar a tomar uma decisão, vá para one.newrelic.com > All capabilities > Alerts > Decisions e clique em Create new decision.
Existem duas versões do construtor de decisão:
- Construtor de decisão básico (em versão prévia)
- Construtor de decisão avançado
Para saber mais sobre como usar esses construtores de decisão, continue lendo.
Elementos de decisão
Uma decisão é composta por estes elementos:
- Correlacionar por atributo: Correlacionar todos os incidentes por semelhanças ou diferenças em seu atributo.
- Filtrar por valores específicos: restrinja o incidente àqueles com valores específicos.
- Filtrar por entidade relacionada: Selecione os tipos de conexões compartilhadas ou dependência que deseja que procuremos.
- Intervalo de tempo de correlação: Define a diferença de tempo máxima permitida entre os tempos de criação de dois incidentes para que sejam considerados para correlação.
Uma vez estabelecidas as conexões entre o incidente, nossos grupos de algoritmos correlacionaram o incidente em um único problema.
Construtor de decisão básico
This feature is currently in preview and available for only some customers. Se você não tiver acesso, consulte as instruções do construtor de decisão avançado.
Aqui está um pequeno vídeo (3:25 minutos) mostrando como usar o construtor de decisão básico:
O construtor de decisão básico cobre a maioria dos casos de uso e concentra-se na "correlação por atributo", onde é possível especificar condições de filtro para correspondências de correlação. Você também pode aplicar a mesma lógica de filtro para valores específicos para ambos os incidentes que estão sendo correlacionados. Por exemplo, você pode correlacionar o incidente se o nome da entidade for host 1 para ambos.
Para criar sua própria decisão customizada usando o construtor de decisão básico, conclua as etapas a seguir. Tenha em mente que as etapas 1, 2 e 3 são opcionais por si só, mas pelo menos uma das três deve ser definida para que se possa tomar uma decisão.
Passo 1: Correlacionar por atributo
Escolha um atributo no menu dropdown . O operador equal , a opção mais popular, está pré-selecionado ou você pode escolher outro operador.
O segundo atributo geralmente corresponde ao primeiro, por isso é preenchido automaticamente. Você pode manter a opção de preenchimento automático ou escolher outra operadora.
Quando terminar, uma simulação será executada automaticamente.
Você pode repetir essas etapas para adicionar até oito filtros lógicos.
Etapa 2: filtrar por valores específicos
Para abrir a seção
Filter by specific valuese ver filtros adicionais, clique emSee more options
.
Escolha um atributo.
O operador
equalestá pré-selecionado ou você pode selecionar outro operador.Selecione os valores esperados para o atributo escolhido, com suporte para múltiplas seleções.
Quando concluída, a simulação será executada automaticamente.
Você pode repetir essas etapas para adicionar até oito filtros lógicos.
Passo 3: Filtrar por entidade relacionada
Clique em Filter by related entities e escolha as classes de entidade.
Quando seus dados são coletados pelo agente New Relic, você obtém correlação automática de topologia. Saiba mais sobre nossa correlação de topologia padrão.
Você também pode definir configurações de topologia usando nossa API NerdGraph. Isso permite que qualquer decisão relacionada à topologia seja combinada com seus dados de topologia. Saiba mais sobre como configurar a correlação de topologia.
Etapa 4: definir o intervalo de tempo de correlação
Isto define a diferença de tempo máxima permitida entre os tempos de criação de dois incidentes para que sejam considerados para correlação. Os incidentes dentro deste intervalo serão avaliados com base em regras específicas, enquanto aqueles fora do intervalo não serão correlacionados.
O intervalo de tempo é definido como 20 minutos por padrão. Você pode ajustá-lo entre 1-120 minutos.
Passo 5: Testando sua decisão usando uma simulação
Depois de adicionar uma lógica de filtro, o sistema executa automaticamente uma simulação usando os dados do incidente dos últimos 7 dias.
Você também pode acionar manualmente a simulação clicando em Simulate, o que você pode fazer se algo for alterado na decisão.
Etapa 6: nomeie e salve sua decisão
Para acessar o painel de nome e descrição, clique em Create decision. O sistema gera um nome com base na sua decisão. Personalize o nome e a descrição conforme desejado.
Construtor de decisão avançado
O construtor de decisão avançado permite a criação de decisões mais complexas, aplicando diferentes filtros lógicos aos dois incidentes que estão sendo correlacionados. Por exemplo, você pode correlacionar o incidente se um tiver o nome de entidade host 1 e o outro tiver o nome de entidade host 2. Existem também configurações mais avançadas além de poder configurar apenas a janela de tempo.
Para usar o construtor de decisão avançado:
Vá para
one.newrelic.com > All capabilities > Alerts > Decisions
.
Clique em
Create new decision
e, em seguida, clique em
Use advanced builder
.
Para obter detalhes sobre as opções disponíveis, continue lendo.
Termos importantes:
- Filtro lógico: Condição lógica definida com um operador em um atributo.
- Segmento: Um grupo de incidentes que satisfaz uma combinação de filtros lógicos.
Para criar sua própria decisão customizada, conclua as etapas a seguir. Tenha em mente que as etapas 1, 2 e 3 são opcionais por si só, mas pelo menos uma das três deve ser definida para que se possa tomar uma decisão.
Etapa 1: Filtre seus dados
A correlação ocorre entre quaisquer dois incidentes. Se nenhum filtro for definido, todos os incidentes recebidos serão considerados na decisão. Quanto mais você configurar suas decisões para atender às suas necessidades, melhor poderemos correlacionar seu incidente, reduzir o ruído e fornecer maior contexto para as equipes de plantão.
Sua equipe pode definir seus filtros para o primeiro segmento de incidente e para o segundo segmento de incidente. Os operadores de filtro variam de correspondência de substring a correspondência de regex para ajudá-lo a definir o incidente que deseja e excluir aqueles que não deseja.
Passo 2: Correlacionar por atributo
Depois de filtrar seus dados, defina a lógica utilizada na comparação do contexto do incidente. Você pode correlacionar eventos com base nos seguintes métodos:
- Comparações de valor de atributo com operadores padrão
- Atributo valor similaridade usando algoritmos de similaridade
- Atributo value regex com grupos de captura
- Comparações de incidentes inteiros usando algoritmos de similaridade ou cluster
Passo 3: Correlacionar por entidade relacionada
Para correlação automática de topologia, certifique-se de que seus dados de telemetria sejam coletados pelo agente New Relic. Saiba mais sobre a correlação de topologia pronta para uso.
Você também pode definir configurações de topologia usando nossa API NerdGraph. Isso permite que qualquer decisão relacionada à topologia seja combinada com seus dados de topologia. Saiba mais sobre como configurar a correlação de topologia.
Etapa 4: dê um nome a ele
Depois de configurar sua lógica de decisão, forneça a ela um nome reconhecível e uma descrição.
Dica
Minimize as preocupações de segurança garantindo não adicionar informações confidenciais ou pessoais a esses campos de texto abertos.
Isto é usado em notificações e outras áreas da interface para indicar qual decisão fez com que um par de incidentes fosse correlacionado. Se não quiser atualizar as configurações avançadas padrão na próxima etapa, clique em Create decision para finalizar a criação.
Etapa 5: use configurações avançadas
Use a área de configurações avançadas para personalizar ainda mais como sua decisão se comporta ao correlacionar eventos. Cada configuração possui um valor padrão, portanto a personalização é opcional.
Time window
: Define o tempo máximo entre dois incidentes criados para que eles sejam elegíveis para correlação.
Issue priority
: substitui a configuração de prioridade padrão (
inherit priority) para adicionar prioridade mais alta ou mais baixa se os incidentes estiverem correlacionados.Frequency
: modifica o número mínimo de incidentes que precisam atender à lógica de decisão para que a decisão seja acionada.
Similarity
: se você estiver usando operadores
similar toem sua lógica de decisão, poderá escolher em uma lista de algoritmos e definir sua sensibilidade. Isso se aplicará a todos ossimilar tooperadores na sua decisão.
Operadores lógicos
O Decision fornece um conjunto de operadores para ajudá-lo a definir com flexibilidade como o valor do atributo de um incidente é avaliado em um filtro lógico. Os básicos são equals, contains, starts with, ends with, exists e seus operadores de negação de acordo. Por exemplo, does not equal.
Existe um operador de similaridade is similar to, o algoritmo de similaridade subjacente pode ser especificado para este operador. Por padrão, ele usa Distância Levenshtein.
O operador contains (regex) permite definir a condição regex . Poderoso para combinar valores de dados arbitrários.
Algoritmos de similaridade
Aqui estão os detalhes técnicos sobre os algoritmos de similaridade que usamos:
Operadores Regex
Ao construir uma decisão, os operadores disponíveis incluem:
contains (regex): usado na Etapa 1: Filtre seus dados.regular expression match: usado na Etapa 2: Correlação contextual.
O construtor de decisões segue os padrões descritos nestes documentos para expressões regulares.
Assistente de correlação
Você pode usar o assistente de correlação para analisar incidentes mais rapidamente, criar lógica de decisão e testar a lógica com uma simulação. Para usar o assistente de correlação:
Vá para a guia
one.newrelic.com > All capabilities > Alerts > Issues & activity > Incidents
.
Marque as caixas do incidente que você deseja correlacionar. Em seguida, na parte inferior da lista de incidentes, clique em
Correlate incidents
.
Para obter melhores resultados de correlação de incidentes, selecione um atributo comum com percentual de frequência baixo. Saiba mais sobre como usar frequência.
Clique em
Simulate
para ver o efeito provável da sua nova decisão na última semana dos seus dados.
Clique nos exemplos de pares de correlações para determinar quais correlações usar.
Se você gostou do que foi simulado, clique em
Next
e nomeie e descreva sua decisão.
Se o resultado da simulação mostrar muitos incidentes potenciais, você pode escolher um conjunto diferente de atributo e incidente para sua decisão e executar outra simulação. Saiba mais sobre simulação.
Usando simulação
A simulação testará a lógica em relação à última semana de seus dados e mostrará quantas correlações teriam acontecido. Aqui está um detalhamento das informações de visualização de decisão exibidas quando você simula:
Potential correlation rate:
A porcentagem de incidentes testados que esta decisão teria afetado.
Total created incidents:
O número de incidentes testados por esta decisão.
Total estimated correlated incidents:
O número estimado de incidentes que esta decisão teria correlacionado.
Incident examples:
Uma lista de pares de incidentes que a decisão teria correlacionado, incluindo os atributos e valores da regra, bem como outros atributos populares em cada par. Clique no incidente para ver detalhes.
Execute a simulação com atributos diferentes quantas vezes precisar até ver os resultados desejados. Quando estiver pronto, siga as instruções da interface para salvar sua decisão.
Correlação de topologia
Para alertas da New Relic, a topologia é uma representação do seu mapa de serviços: como os serviços e recursos da sua infraestrutura se relacionam entre si.
Para decisões do usuário, uma decisão de topologia padrão é adicionada e habilitada em sua conta. Você também tem a opção de criar decisões personalizadas.
Nossa correlação de topologia encontra relacionamentos entre fontes de incidentes para determinar se o incidente e, portanto, seus respectivos problemas devem estar correlacionados. A correlação de topologia foi projetada para melhorar a qualidade de suas correlações e a velocidade com que elas são encontradas.
Requisitos
Para correlação automática de topologia (sem a necessidade de configurar explicitamente o gráfico de topologia), certifique-se de que seus dados de telemetria sejam coletados pelo agente New Relic. Quanto mais tipos de agente New Relic estiverem instalados em seus serviços e ambiente, mais oportunidades para decisões de topologia correlacionarem seu incidente.
Como funciona a correlação de topologia?
Neste mapa de serviço, os hosts e aplicativos são os vértices e as linhas que mostram seus relacionamentos são as arestas.
Para configurar sua topologia além da entidade e relacionamentos coletados pelo agente New Relic, utilize nossa API NerdGraph.
A correlação de topologia personalizada depende de dois conceitos principais:
Vertex:
Um vértice representa uma entidade monitor. É a fonte de onde vem o seu evento ou descreve um sintoma problemático. Um vértice possui atributos (pares de valores principais) configurados para ele, como GUIDs de entidade ou outros IDs, que permitem que ele seja associado a um evento de incidente de entrada.
Edges:
Uma aresta é uma conexão entre dois vértices. As arestas descrevem o relacionamento entre os vértices.
Pode ser útil entender como a topologia é usada para correlacionar incidentes:
Primeiro, a New Relic reúne todos os incidentes relevantes. Isso inclui incidentes onde as etapas 1 e 2 da lógica de decisão são verdadeiras e que também estão dentro da janela de tempo definida nas configurações avançadas.
A seguir, tentamos associar cada incidente a um vértice em seu gráfico de topologia, usando o atributo definidor de um vértice e o atributo disponível no incidente.
Um exemplo dos passos para associar o incidente às informações do gráfico de topologia.
Em seguida, os pares de vértices que foram associados ao incidente são testados usando o operador "topologicamente dependente" para determinar se esses vértices estão conectados entre si.
Este operador verifica se existe algum caminho no gráfico que conecte os dois vértices em cinco saltos.
Os incidentes são então correlacionados e os problemas são mesclados.
Adicionar atributo ao evento de incidente
Os incidentes são conectados aos vértices usando um atributo definidor do vértice. (No exemplo de topologia em Topologia explicada, cada vértice possui um atributo definidor "CID" com um valor exclusivo.) Em seguida, o sistema de alertas da New Relic encontra um vértice que corresponde ao atributo.
Se o atributo definidor que você gostaria de usar em seus vértices ainda não estiver no evento de incidente, use uma destas opções para adicioná-lo:
Criar ou visualizar topologia
Para configurar sua topologia ou visualizar a topologia existente, consulte o tutorial de topologia do NerdGraph.