Baselines & N-Sigma

Feste Schwellwerte passen selten für alle Zeiten: 60 % CPU sind Montag früh normal, am Sonntag um 3 Uhr aber verdächtig. Baselines lösen das, indem sie das normale Verhalten pro Server lernen.

Wie die Baseline gebildet wird

Der Monitor berechnet gleitenden Durchschnitt und Standardabweichung je Wochentag × Stunde. So bekommt jede Metrik ein erwartetes Band, das den echten Tages- und Wochenrhythmus abbildet.

N-Sigma-Abweichung

Ein Alert kann auf einer N-Sigma-Abweichung basieren statt auf einem festen Wert: Er feuert, wenn der aktuelle Messwert mehr als N Standardabweichungen vom Baseline- Durchschnitt für dieses Zeitfenster entfernt liegt.

• Kleines N (z. B. 2) → empfindlicher, mehr Alerts.
• Großes N (z. B. 4) → nur deutliche Ausreißer.

Beispiel: Liegt die CPU sonntagnachts typischerweise bei 10 % ± 5 %, schlägt ein Wert von 40 % bei N = 3 an – obwohl 40 % als fester Schwellwert nie aufgefallen wären.

Zusammenspiel mit Hysterese

N-Sigma-Alerts nutzen dieselbe Hysterese und Silences wie feste Regeln, verhalten sich also genauso ruhig.

Baselines brauchen etwas Historie, um aussagekräftig zu sein. Direkt nach der Einrichtung eines Servers ist das Band noch weit; es wird mit den Tagen präziser.