Evidence a korelace

Model Evidence

Co je Evidence

Evidence je strukturovaný důkaz, na jehož základě systém vytváří, aktualizuje nebo verifikuje Issue.

Evidence může být:

• automaticky vypočtena;
• přijata ze zařízení;
• importována z externího systému;
• přidána uživatelem;
• vytvořena specializovaným reportem;
• přiložena jako dokument, fotografie nebo komentář.

Struktura Evidence

evidence_id: EVD-830129
issue_id: OHM-2026-001842
type: detector_finding
source:
  provider: analyze_station
  detector_id: archive.tail_gap.v3
  detector_version: '3.2.1'
observed_at: '2026-07-23T04:00:00Z'
created_at: '2026-07-23T04:03:12Z'

payload:
  missing_hours: 73
  coverage_valid: 0.91
  last_valid_hour: '2026-07-20T03:00:00Z'

quality:
  completeness: 1.0
  freshness: 0.98
  consistency: 0.96
  confidence: 0.98

links:
  report: '/reports/analyze-station/5690'

Typy Evidence

Kvalita Evidence

Pro každou Evidence se počítá kvalita:

kde:

• $C$ — úplnost;
• $F$ — aktuálnost;
• $S$ — konzistence;
• $T$ — důvěra ve zdroj;
• $w_c + w_f + w_s + w_t = 1$.

Doporučené základní váhy:

Výsledek se normalizuje do rozsahu od 0 do 1.

Neměnnost Evidence

Původní Evidence se nikdy neupravuje zpětně. Oprava vytvoří novou verzi nebo samostatnou korekční Evidence.

Tím se zajišťuje:

• auditovatelnost;
• reprodukovatelnost;
• ochrana historie;
• korektní rozbor sporných případů;
• možnost přepočtu.

Korelace událostí a Root Cause

Úloha korelace

Korelace zabraňuje vzniku mnoha nezávislých Issues k jedné a téže technické příčině.

Systém analyzuje:

• shodu aktiva;
• časovou blízkost;
• topologickou závislost;
• společný firmware;
• společnou bránu;
• společného komunikačního operátora;
• společný region;
• společnou serverovou frontu;
• posloupnost symptomů;
• historické vazby;
• potvrzené kořenové příčiny z minulých případů.

Úrovně korelace

V rámci jednoho aktiva

Několik symptomů se konsoliduje kolem hlavního kánonu (Canon).

flowchart TD
  A["stale_communication"] --> C{"Korelace v rámci aktiva"}
  B["no_hourly_archive"] --> C
  D["battery_unknown"] --> C
  C --> R["Hlavní Issue stale_communication"]
  C --> S1["Sekundární signál no_hourly_archive"]
  C --> S2["Sekundární signál battery_unknown"]

Napříč aktivy

Podobné problémy se sdružují do hromadného incidentu.

flowchart TD
  A["38 zařízení"] --> G{"Seskupení"}
  B["Jedna verze firmwaru"] --> G
  C["Jedno časové okno"] --> G
  D["Jeden typ poruchy"] --> G
  G --> M["Massive Incident firmware_regression"]

Podle závislosti

Problémy podřízených zařízení se spojují s výpadkem společné komponenty.

flowchart TD
  A["Gateway-17 nedostupná"] --> B["12 korektorů bez spojení"]
  B --> C["12 archivů nedoručeno"]
  C --> D["Jeden incident závislosti"]

Hodnocení vazby (Correlation Score)

Pro posouzení síly vazby se používá vysvětlitelný model:

kde:

• $A$ — shoda aktiva nebo závislosti;
• $T$ — časová blízkost;
• $P$ — shoda vzoru;
• $C$ — společný kontext;
• $H$ — historické potvrzení vazby.

Příklad vah:

Práh pro sloučení se nastavuje podle třídy problému. U kritických security-signálů je přípustný konzervativnější práh.

Třídy Root Cause

OHM používá řízený číselník kořenových příčin:

Statusy Root Cause

Míra jistoty Root Cause

Míra jistoty hypotézy se počítá ze souhrnu důkazů:

kde:

• $r_i$ — spolehlivost detektoru nebo zdroje;
• $q_i$ — kvalita Evidence;
• $a_i$ — soulad Evidence s hypotézou;
• $K_{independence}$ — koeficient nezávislosti zdrojů.

Pochází-li několik Evidence z téže zdrojové datové sady, nepovažují se za plně nezávislé.

Provozní jistota (Operational Confidence)

Operational Confidence vyjadřuje, nakolik si je systém jistý, že Issue je reálný a správně klasifikovaný problém.

kde:

• $D$ — spolehlivost detektorů;
• $E$ — kvalita Evidence;
• $R$ — konzistence korelace;
• $H$ — historická míra potvrzení;
• $X$ — penalizace za rozpory a nedostatek dat.

Interpretace: