Janelas de alerta no NOC: ruído versus tempo de detecção
Compare quatro regras de persistência em oito sequências sintéticas de falha e veja o efeito na detecção.
Nas oito sequências simuladas, exigir cinco amostras consecutivas não acionou nenhum dos quatro eventos breves e ainda detectou todos os quatro eventos persistentes. A troca foi o tempo: o alerta ocorreu na quinta observação, quatro minutos depois da primeira falha observada.
Metodologia
Amostramos uma vez por minuto. Simulamos quatro eventos breves com 1, 1, 2 e 3 falhas consecutivas e quatro persistentes com 5, 8, 10 e 15. Cada sequência começa após uma amostra saudável. A regra emite um alerta na primeira vez que alcança o limite de 1, 2, 3 ou 5 falhas.
O que o modelo deixa de fora
A distinção entre evento breve e persistente foi escolhida para o exercício. Não é um conjunto de incidentes de clientes. Não medimos latência de coleta, amostras ausentes, falhas intermitentes, notificação nem recuperação. A regra modelada não equivale à semântica exata de uma configuração do Prometheus.
Como escolher uma janela real
Para uma transação essencial, quatro minutos adicionais podem ser caros. Use testes independentes para confirmar falhas e considere critérios mais rápidos para sinais críticos. Antes de alterar a regra, simule com o histórico real e compare o tempo até ação e a quantidade de alertas úteis.
| Amostras exigidas | Eventos breves alertados | Persistentes detectados | Espera após a primeira falha |
|---|---|---|---|
| 1 | 4/4 | 4/4 | 0 min |
| 2 | 2/4 | 4/4 | 1 min |
| 3 | 1/4 | 4/4 | 2 min |
| 5 | 0/4 | 4/4 | 4 min |