Bir sunucu çökmeden saatler önce loglarda genellikle “sessiz” işaretler birikir: yavaşça artan hata oranı, alışılmadık bellek kullanım örüntüsü, tekrarlayan uyarılar. Sorun şu ki bu işaretleri insan gözüyle günlük log hacmi içinde fark etmek neredeyse imkânsız.
Sabit Eşiklerin Sınırı
Geleneksel izleme sistemleri sabit eşiklere dayanır — “CPU %90’ı geçerse uyar” gibi. Sorun, her sistemin “normal” davranışının farklı olması: bir veritabanı sunucusu için sürekli %70 CPU normalken, bir dosya sunucusu için bu anormal sayılabilir. Anomali tespiti, her sistemin kendi geçmiş davranış örüntüsünü öğrenip o örüntüden sapmaları işaretleyerek bu sınırı aşıyor.
Basit Bir Başlangıç: İstatistiksel Yöntem
Karmaşık derin öğrenme modellerine gitmeden önce oldukça etkili olabilen bir yaklaşım var: bir metriğin (örneğin saatlik hata log satırı sayısı) hareketli ortalamasını ve standart sapmasını hesaplayıp, bu ortalamadan belirli bir sapma — mesela 3 standart sapma — dışına çıkan değerleri işaretlemek.
Metriklerin Ötesinde: Log Metninin Kendisi
Sayısal metrikler tek sinyal kaynağı değil. Daha önce hiç görülmemiş bir hata mesajı kalıbının aniden ve tekrarlayan şekilde ortaya çıkması genellikle yeni bir sorunun habercisidir. Bu “yeni kalıp tespiti”, metin gömme (embedding) tabanlı benzerlik karşılaştırmasıyla yapılabiliyor — yeni bir log satırı geçmişteki hiçbir kalıba yeterince benzemiyorsa işaretleniyor.
Kurumsal ortamda kritik bir uygulama sunucusunun loglarını bu şekilde izleyen bir pilot çalıştırdığımda, bir bellek sızıntısının sunucu gerçekten çökmeden yaklaşık 6 saat önce, hata log yoğunluğundaki kademeli artıştan tespit edilebildiğini gördüm. Altı saatlik erken uyarı, planlı bir yeniden başlatma ile kesintisiz bir gece arasındaki fark anlamına geliyor.
En Büyük Pratik Tuzak: Yanlış Pozitifler
Anomali tespit sistemleri aşırı hassas ayarlandığında “her şeyi anormal” işaretlemeye başlıyor (alert fatigue). Bunu azaltmak için uyarıları önem seviyelerine ayırıyorum — bilgilendirme, dikkat, kritik — ve sadece kritik seviyedekiler için anlık bildirim gönderiyorum; geri kalanı günlük özet raporunda topluyorum.
Pratikte Ne Değişir?
Anomali tespiti “her şeyi öngören sihirli bir kristal küre” değil; insan gözünün kaçırdığı zayıf sinyalleri güçlendiren bir araç. Basit istatistiksel yöntemlerle başlayıp, gerçek değer kanıtlandıkça daha sofistike modellere geçmek bu alanda gerçekçi bir yol haritası.