Evidence моделі және корреляция

Evidence моделі

Evidence дегеніміз не

Evidence — оның негізінде жүйе Issue жасайтын, жаңартатын немесе верификациялайтын құрылымдалған дәлелдеме.

Evidence мынадай болуы мүмкін:

• автоматты түрде есептелген;
• құрылғыдан алынған;
• сыртқы жүйеден импортталған;
• пайдаланушы қосқан;
• бейінді есеп қалыптастырған;
• құжат, фото немесе пікір түрінде тіркелген.

Evidence құрылымы

evidence_id: EVD-830129
issue_id: OHM-2026-001842
type: detector_finding
source:
  provider: analyze_station
  detector_id: archive.tail_gap.v3
  detector_version: '3.2.1'
observed_at: '2026-07-23T04:00:00Z'
created_at: '2026-07-23T04:03:12Z'

payload:
  missing_hours: 73
  coverage_valid: 0.91
  last_valid_hour: '2026-07-20T03:00:00Z'

quality:
  completeness: 1.0
  freshness: 0.98
  consistency: 0.96
  confidence: 0.98

links:
  report: '/reports/analyze-station/5690'

Evidence түрлері

Evidence сапасы

Әрбір Evidence үшін сапа есептеледі:

мұнда:

• $C$ — толықтық;
• $F$ — өзектілік;
• $S$ — келісімділік;
• $T$ — дереккөзге сенім;
• $w_c + w_f + w_s + w_t = 1$.

Ұсынылатын базалық салмақтар:

Нәтиже 0 мен 1 аралығына нормаланады.

Evidence өзгермейтіндігі

Бастапқы Evidence ешқашан кері күнмен өңделмейді. Түзету жаңа нұсқа немесе бөлек түзетуші Evidence жасайды.

Бұл мыналарды қамтамасыз етеді:

• аудиттеу мүмкіндігін;
• қайталанғыштықты;
• тарихтың сақталуын;
• даулы жағдайларды дұрыс қарауды;
• қайта есептеу мүмкіндігін.

Оқиғалар корреляциясы және Root Cause

Корреляцияның міндеті

Корреляция бір ғана техникалық себеп бойынша көптеген тәуелсіз Issues жасалуын болдырмайды.

Жүйе мыналарды талдайды:

• активтің сәйкестігін;
• уақыттық жақындықты;
• топологиялық тәуелділікті;
• ортақ firmware-ді;
• ортақ шлюзді;
• ортақ байланыс операторын;
• ортақ өңірді;
• ортақ серверлік кезекті;
• симптомдардың реттілігін;
• тарихи байланыстарды;
• өткен жағдайлардың расталған түпкі себептерін.

Корреляция деңгейлері

Бір активтің ішінде

Бірнеше симптом басты канонның айналасына біріктіріледі.

flowchart TD
  A["stale_communication"] --> C{"Актив ішіндегі корреляция"}
  B["no_hourly_archive"] --> C
  D["battery_unknown"] --> C
  C --> R["Басты Issue stale_communication"]
  C --> S1["Қосалқы сигнал no_hourly_archive"]
  C --> S2["Қосалқы сигнал battery_unknown"]

Активтер арасында

Ұқсас проблемалар жаппай инцидентке топтастырылады.

flowchart TD
  A["38 құрылғы"] --> G{"Топтастыру"}
  B["Бір firmware нұсқасы"] --> G
  C["Бір уақыт аралығы"] --> G
  D["Бір ақаулық түрі"] --> G
  G --> M["Massive Incident firmware_regression"]

Тәуелділік бойынша

Еншілес құрылғылардың проблемалары ортақ компоненттің істен шығуымен байланыстырылады.

flowchart TD
  A["Gateway-17 қолжетімсіз"] --> B["12 корректор байланыссыз"]
  B --> C["12 архив жеткізілмеді"]
  C --> D["Бір dependency incident"]

Байланыс бағасы (Correlation Score)

Байланыстың күшін бағалау үшін түсіндірілетін модель қолданылады:

мұнда:

• $A$ — активтің немесе тәуелділіктің сәйкестігі;
• $T$ — уақыттық жақындық;
• $P$ — паттерннің сәйкестігі;
• $C$ — ортақ контекст;
• $H$ — байланыстың тарихи расталуы.

Салмақтардың мысалы:

Біріктіру шегі проблема класы бойынша белгіленеді. Сыни security-сигналдар үшін неғұрлым консервативті шек қолдануға болады.

Root Cause кластары

OHM түпкі себептердің басқарылатын анықтамалығын пайдаланады:

Root Cause статустары

Root Cause-қа сенімділік

Гипотезаға сенімділік дәлелдемелердің жиынтығы бойынша есептеледі:

мұнда:

• $r_i$ — детектордың немесе дереккөздің сенімділігі;
• $q_i$ — Evidence сапасы;
• $a_i$ — Evidence-тің гипотезамен келісімділігі;
• $K_{independence}$ — дереккөздердің тәуелсіздік коэффициенті.

Егер бірнеше Evidence бір ғана бастапқы деректер жиынынан шыққан болса, олар толықтай тәуелсіз деп саналмайды.

Операциялық сенімділік (Operational Confidence)

Operational Confidence жүйенің Issue шынайы әрі дұрыс жіктелген проблема екеніне қаншалықты сенімді екенін көрсетеді.

мұнда:

• $D$ — детекторлардың сенімділігі;
• $E$ — Evidence сапасы;
• $R$ — корреляцияның келісімділігі;
• $H$ — тарихи расталу үлесі;
• $X$ — қайшылықтар мен деректердің жетіспеуі үшін айыппұл.

Интерпретация: