# システムの正常状態 ## 定義 システムの正常状態(system normality / host normality)とは、計算機システムの観測変数(接続数・プロセス数・CPU 使用率など)について「何をもって平常とみなすか」を統計的に定義する営みである。[[@2002__TOCS__Measuring System Normality]](Burgess, Haugerud, Straumsnes, Reitan, ACM TOCS 2002)は、正常を「統計的システムにおける平均的な振る舞い(average behavior)」と定義し、不変量(invariant)・持続的シグネチャ(persistent signature)・ランダムな揺らぎ(random fluctuation)・過渡的変化(transient)を区別することを本質的な課題として位置づけた。異常検知([[異常検知]])が「正常からの逸脱を見つける」タスクであるのに対し、システムの正常状態はその手前にある「そもそも正常とは何か、どう測るか」という基礎付けの問いを扱う。 ## 横断的知見 - 複数のソースを並べて初めて見える観察をここに蓄積する(単一ソースの事実は書かない)。現時点では本 concept に投入されたソースが 1 件のみのため、この節はソース追加時に育てる。 ## 未解決の問い - Burgess+ 2002 の統計力学的アプローチ(最大エントロピー原理 + Planck 分布フィット)は、軽〜中負荷の学術ネットワークホストでのみ検証されている。高負荷のクラウドサービスや訓練クラスタのような現代的ワークロードで、同じ「日次/週次周期を局所標準偏差で除去 → 定常分布へ写像」という手続きは成立するか。それとも高負荷域特有の相転移的な分布変化(論文が示唆する非対称形の反転)が支配的になるか。 - 「正常」を統計的な平均・分布として定義するアプローチ(本ページ)と、[[異常検知]]の横断的知見が整理する「正常は文脈相対」(Minder のマシン間類似度、RFT-FM の Normal-Profile Calibration)というアプローチは、同じ問題への異なる解法なのか、それとも補完的か。前者は単一ホストの時間軸上の分布、後者は複数ホスト間の相対比較であり、両者を統合する枠組みは存在するか。 - 統計的な状態判定に 1〜2 週間以上のデータを要するという Burgess+ 2002 の知見は、現代の高頻度テレメトリ(秒単位のメトリクス)や短命なコンテナ・サーバーレス環境でも成り立つか、それとも観測密度の向上で必要な窓幅は短縮できるか。 ## 関連 - [[異常検知]] — 正常状態の定義を前提とする下流タスク。 - [[Mark Burgess]] — 本 concept の起点となる著者。免疫学的アプローチ([[@1998__LISA__Computer Immunology]])と統計力学的アプローチ(本ソース)の 2 つの柱を持つ。 - [[SREの工学化]] — システム管理を学術的・工学的に扱う系譜との接続。 ## 出典 - [[@2002__TOCS__Measuring System Normality]]