Модель Evidence и корреляция

Модель Evidence

Что такое Evidence

Evidence — структурированное доказательство, на основании которого система создаёт, обновляет или верифицирует Issue.

Evidence может быть:

• автоматически рассчитанным;
• полученным от устройства;
• импортированным из внешней системы;
• добавленным пользователем;
• сформированным профильным отчётом;
• приложенным в виде документа, фото или комментария.

Структура Evidence

evidence_id: EVD-830129
issue_id: OHM-2026-001842
type: detector_finding
source:
  provider: analyze_station
  detector_id: archive.tail_gap.v3
  detector_version: '3.2.1'
observed_at: '2026-07-23T04:00:00Z'
created_at: '2026-07-23T04:03:12Z'

payload:
  missing_hours: 73
  coverage_valid: 0.91
  last_valid_hour: '2026-07-20T03:00:00Z'

quality:
  completeness: 1.0
  freshness: 0.98
  consistency: 0.96
  confidence: 0.98

links:
  report: '/reports/analyze-station/5690'

Типы Evidence

Качество Evidence

Для каждого Evidence рассчитывается качество:

где:

• $C$ — completeness, полнота;
• $F$ — freshness, актуальность;
• $S$ — consistency, согласованность;
• $T$ — trust, доверие к источнику;
• $w_c + w_f + w_s + w_t = 1$.

Рекомендуемые базовые веса:

Результат нормируется в диапазон от 0 до 1.

Неизменяемость Evidence

Исходное Evidence не редактируется задним числом. Исправление создаёт новую версию или отдельное корректирующее Evidence.

Это обеспечивает:

• аудит;
• воспроизводимость;
• защиту истории;
• корректный разбор спорных случаев;
• возможность повторного расчёта.

Корреляция событий и Root Cause

Задача корреляции

Корреляция предотвращает создание множества независимых Issues на одну и ту же техническую причину.

Система анализирует:

• совпадение актива;
• временную близость;
• топологическую зависимость;
• общую прошивку;
• общий шлюз;
• общего оператора связи;
• общий регион;
• общую серверную очередь;
• последовательность симптомов;
• исторические связи;
• подтверждённые root causes прошлых случаев.

Уровни корреляции

Внутри одного актива

Несколько симптомов объединяются вокруг главного канона.

flowchart TD
  A["stale_communication"] --> C{"Корреляция внутри актива"}
  B["no_hourly_archive"] --> C
  D["battery_unknown"] --> C
  C --> R["Главный Issue stale_communication"]
  C --> S1["Вторичный сигнал no_hourly_archive"]
  C --> S2["Вторичный сигнал battery_unknown"]

Между активами

Похожие проблемы группируются в массовый инцидент.

flowchart TD
  A["38 устройств"] --> G{"Группировка"}
  B["Одна версия firmware"] --> G
  C["Один временной интервал"] --> G
  D["Один тип сбоя"] --> G
  G --> M["Massive Incident firmware_regression"]

По зависимости

Проблемы дочерних устройств связываются с отказом общего компонента.

flowchart TD
  A["Gateway-17 недоступен"] --> B["12 корректоров без связи"]
  B --> C["12 архивов не доставлены"]
  C --> D["Один dependency incident"]

Оценка связи (Correlation Score)

Для оценки силы связи используется объяснимая модель:

где:

• $A$ — совпадение актива или зависимости;
• $T$ — временная близость;
• $P$ — совпадение паттерна;
• $C$ — общий контекст;
• $H$ — историческая подтверждённость связи.

Пример весов:

Порог объединения задаётся по классу проблемы. Для критичных security-сигналов допускается более консервативный порог.

Классы Root Cause

OHM использует управляемый справочник первопричин:

Статусы Root Cause

Уверенность в Root Cause

Уверенность в гипотезе рассчитывается по совокупности доказательств:

где:

• $r_i$ — надёжность детектора или источника;
• $q_i$ — качество Evidence;
• $a_i$ — согласованность Evidence с гипотезой;
• $K_{independence}$ — коэффициент независимости источников.

Если несколько Evidence происходят из одного и того же исходного набора данных, они не считаются полностью независимыми.

Операционная уверенность (Operational Confidence)

Operational Confidence показывает, насколько система уверена, что Issue является реальной и правильно классифицированной проблемой.

где:

• $D$ — надёжность детекторов;
• $E$ — качество Evidence;
• $R$ — согласованность корреляции;
• $H$ — историческая подтверждаемость;
• $X$ — штраф за противоречия и недостаток данных.

Интерпретация: