Evidence a korelácia

Model Evidence

Čo je Evidence

Evidence je štruktúrovaný dôkaz, na základe ktorého systém vytvára, aktualizuje alebo verifikuje Issue.

Evidence môže byť:

• automaticky vypočítané;
• prijaté zo zariadenia;
• importované z externého systému;
• pridané používateľom;
• vygenerované špecializovaným reportom;
• priložené ako dokument, fotografia alebo komentár.

Štruktúra Evidence

evidence_id: EVD-830129
issue_id: OHM-2026-001842
type: detector_finding
source:
  provider: analyze_station
  detector_id: archive.tail_gap.v3
  detector_version: '3.2.1'
observed_at: '2026-07-23T04:00:00Z'
created_at: '2026-07-23T04:03:12Z'

payload:
  missing_hours: 73
  coverage_valid: 0.91
  last_valid_hour: '2026-07-20T03:00:00Z'

quality:
  completeness: 1.0
  freshness: 0.98
  consistency: 0.96
  confidence: 0.98

links:
  report: '/reports/analyze-station/5690'

Typy Evidence

Kvalita Evidence

Pre každé Evidence sa vypočíta kvalita:

kde:

• $C$ — úplnosť;
• $F$ — aktuálnosť;
• $S$ — konzistentnosť;
• $T$ — dôvera k zdroju;
• $w_c + w_f + w_s + w_t = 1$.

Odporúčané základné váhy:

Výsledok sa normalizuje do rozsahu od 0 do 1.

Nemennosť Evidence

Pôvodné Evidence sa nikdy neupravuje spätne. Oprava vytvára novú verziu alebo samostatné korekčné Evidence.

Tým sa zabezpečuje:

• auditovateľnosť;
• reprodukovateľnosť;
• ochrana histórie;
• korektné posúdenie sporných prípadov;
• možnosť opakovaného prepočtu.

Korelácia udalostí a Root Cause

Úloha korelácie

Korelácia bráni tomu, aby pre tú istú technickú príčinu vzniklo množstvo samostatných Issues.

Systém analyzuje:

• zhodu aktíva (Asset);
• časovú blízkosť;
• topologickú závislosť;
• spoločný firmvér;
• spoločnú bránu;
• spoločného telekomunikačného operátora;
• spoločný región;
• spoločnú serverovú frontu;
• postupnosť symptómov;
• historické väzby;
• potvrdené koreňové príčiny minulých prípadov.

Úrovne korelácie

V rámci jedného aktíva

Viaceré symptómy sa zlúčia okolo hlavného kánonu.

flowchart TD
  A["stale_communication"] --> C{"Korelácia v rámci aktíva"}
  B["no_hourly_archive"] --> C
  D["battery_unknown"] --> C
  C --> R["Hlavný Issue stale_communication"]
  C --> S1["Sekundárny signál no_hourly_archive"]
  C --> S2["Sekundárny signál battery_unknown"]

Medzi aktívami

Podobné problémy sa zoskupia do hromadného incidentu (Massive Incident).

flowchart TD
  A["38 zariadení"] --> G{"Zoskupenie"}
  B["Jedna verzia firmvéru"] --> G
  C["Jedno časové okno"] --> G
  D["Jeden typ poruchy"] --> G
  G --> M["Massive Incident firmware_regression"]

Podľa závislosti

Problémy podriadených zariadení sa naviažu na výpadok spoločného komponentu.

flowchart TD
  A["Gateway-17 nedostupný"] --> B["12 korektorov bez spojenia"]
  B --> C["12 nedoručených archívov"]
  C --> D["Jeden incident závislosti"]

Skóre väzby (Correlation Score)

Na posúdenie sily väzby sa používa vysvetliteľný model:

kde:

• $A$ — zhoda aktíva alebo závislosti;
• $T$ — časová blízkosť;
• $P$ — zhoda vzoru;
• $C$ — spoločný kontext;
• $H$ — historické potvrdenie väzby.

Príklad váh:

Prah zlúčenia sa nastavuje podľa triedy problému. Pri kritických bezpečnostných signáloch je prípustný konzervatívnejší prah.

Triedy Root Cause

OHM používa riadený katalóg koreňových príčin:

Stavy Root Cause

Istota v Root Cause

Istota v hypotéze sa počíta zo súhrnu dôkazov:

kde:

• $r_i$ — spoľahlivosť detektora alebo zdroja;
• $q_i$ — kvalita Evidence;
• $a_i$ — súlad Evidence s hypotézou;
• $K_{independence}$ — koeficient nezávislosti zdrojov.

Ak viaceré Evidence pochádzajú z tej istej pôvodnej množiny údajov, nepovažujú sa za úplne nezávislé.

Prevádzková istota (Operational Confidence)

Operational Confidence vyjadruje, nakoľko si je systém istý, že Issue je skutočný a správne klasifikovaný problém.

kde:

• $D$ — spoľahlivosť detektorov;
• $E$ — kvalita Evidence;
• $R$ — konzistentnosť korelácie;
• $H$ — historická miera potvrdenia;
• $X$ — penalizácia za rozpory a nedostatok údajov.

Interpretácia: