컴퓨터 시스템의 모니터링에서 이상징후의 경보가 많이 발생한다고 해서 반드시 장애 탐지가 잘 이루어지고 있는 것은 아니다.

정상적인 시스템 상태를 이상으로 잘못 판단할 수도 있고, 실제 장애나 중요한 이상 상태를 정상으로 판단하여 놓칠 수도 있기 때문이다.

이러한 문제를 각각 **오탐(False Positive)**과 **미탐(False Negative)**이라고 한다.

따라서 이상징후 탐지의 품질을 평가하려면 단순히 경보 발생 건수만 확인할 것이 아니라, 경보가 실제 시스템 상태와 얼마나 일치했는지, 탐지하지 못한 장애가 있었는지, 경보가 발생했을 때 실제 대응할 시간이 충분했는지를 함께 분석해야 한다.

1. 컴퓨터 시스템의 오탐이란 무엇인가

오탐은 실제로는 정상 상태인데 시스템이 이를 이상 상태로 판단하여 경보를 발생시키는 경우를 의미한다.

예를 들어 정기적인 백업 작업으로 저장장치의 I/O 사용량이 일시적으로 증가했는데 이를 장애 전조로 판단하여 경보를 발생시킬 수 있다.

또는 업무시간에 사용자 요청이 증가하면서 CPU 사용률이 높아졌지만, 서비스는 정상적으로 동작하고 있는데도 이상 경보가 발생할 수 있다.

이 경우 탐지 시스템은 이상을 감지했지만, 사전에 정의한 판정 기준에 따른 실제 장애나 중요 이상 상태는 확인되지 않은 것이다.

정상 상태 → 이상으로 판단 → 경보 발생

이러한 잘못된 판단이 오탐이다.

다만 경보 발생 시점에 장애가 확인되지 않았다는 이유만으로 모든 경보를 즉시 오탐으로 분류해서는 안 된다. 경보가 실제로 어떤 상태를 나타냈는지, 이후 장애와 관련이 있었는지, 별도의 위험 징후가 존재했는지를 확인해야 한다.

2. 그럼 컴퓨터 시스템의 미탐이란 무엇인가

미탐은 실제 장애 또는 사전에 정의한 중요한 이상 상태가 발생했지만 탐지 시스템이 이를 발견하지 못한 경우를 의미한다.

예를 들어 저장장치의 지연시간이 점진적으로 증가하다가 실제 서비스 장애로 이어졌지만, 설정된 탐지 조건을 충족하지 않아 경보가 발생하지 않았다면 미탐으로 볼 수 있다.

미탐이 위험한 이유는 장애가 발생하기 전에 대응할 기회를 잃을 수 있기 때문이다.

실제 이상 또는 장애 발생 → 정상으로 판단하거나 탐지하지 못함

이러한 상황이 미탐에 해당한다.

다만 탐지 시스템이 모든 이상을 사전에 발견할 수 있는 것은 아니다. 따라서 미탐 분석에서는 탐지 대상과 판정 기준을 먼저 정하고, 어떤 유형의 이상을 놓쳤는지 확인해야 한다.

3. 경보가 많다고 탐지 성능이 좋은 것은 아니다

모니터링 시스템에서 하루에 수백 건의 경보가 발생한다고 가정해 보자.

경보 건수만 보면 시스템이 민감하게 장애를 감시하는 것처럼 보일 수 있다.

그러나 그중 대부분이 정상적인 변동으로 확인된다면 운영자는 불필요한 경보를 반복해서 확인해야 한다. 이 과정에서 실제 장애와 관련된 중요한 경보를 구분하기 어려워질 수 있다.

따라서 중요한 것은 경보를 얼마나 많이 발생시키는가가 아니다.

발생한 경보 중 실제 확인과 대응이 필요한 경보가 얼마나 되는가, 그리고 실제 장애 중 탐지하지 못한 사례가 얼마나 되는가를 함께 확인해야 한다.

경보의 양뿐 아니라 정확성, 대응 가능성, 실제 장애 탐지 여부를 종합적으로 평가해야 한다.

4. 오탐이 반복되면 경보의 가치가 떨어질 수 있다

오탐이 지속적으로 발생하면 운영자는 비슷한 경보를 반복해서 확인하게 된다.

예를 들어 매일 새벽 2시에 정기 백업으로 I/O 사용량이 증가하는데 매번 장애 경보가 발생한다면, 담당자는 해당 경보를 정상적인 이벤트로 인식하게 될 수 있다.

이런 상황이 반복되면 실제 장애가 발생했을 때도 평소와 비슷한 경보라고 생각하여 확인과 대응이 늦어질 가능성이 있다.

따라서 오탐은 단순히 불필요한 알림이 발생하는 문제가 아니다.

중요한 경보를 식별하는 능력과 운영자의 대응 집중도를 떨어뜨릴 수 있는 문제로 봐야 한다.

오탐이 반복된다면 경보를 무조건 무시하거나 임계값을 높이기보다, 어떤 정상 이벤트가 경보를 유발했는지부터 확인해야 한다.

5. 미탐은 장애 대응의 시작을 늦출 수 있다

미탐이 발생하면 시스템 내부에서는 이미 이상 상태가 진행되고 있는데도 모니터링 시스템은 정상으로 판단할 수 있다.

그 결과 문제가 다음과 같은 상황에서야 발견될 수 있다.

• 사용자가 오류를 신고하는 경우
• 서비스 응답시간이나 오류율이 크게 악화되는 경우
• 연계된 다른 시스템에서 장애가 발생하는 경우
• 운영자가 수동으로 시스템 상태를 확인하는 경우

이렇게 되면 사전에 이상을 확인하고 대응할 수 있었던 시간을 잃을 수 있다.

따라서 미탐은 단순히 경보 하나가 발생하지 않았다는 의미가 아니다.

장애를 조기에 발견하고 대응할 기회를 놓쳤다는 의미를 가질 수 있다.

6. 오탐과 미탐은 실제 상태와 비교해 판정해야 한다

탐지 성능을 분석하려면 경보 발생 기록만 확인하는 것으로는 충분하지 않다. 각 시점의 실제 시스템 상태와 탐지 결과를 비교해야 한다.

실제 상태	탐지 결과	분류
정상	정상으로 판단	정상 탐지
정상	이상으로 판단	오탐
이상 또는 장애	정상으로 판단하거나 놓침	미탐
이상 또는 장애	이상으로 판단	정상 탐지

이 분류를 정확하게 적용하려면 먼저 실제 상태를 판정할 기준이 필요하다.

여기서 실제 상태는 단순히 CPU나 메모리 사용률이 높고 낮은지만으로 결정되지 않는다. 서비스 응답시간, 오류율, 요청 성공 여부, 사용자 영향, 장애 기록 등을 함께 확인해야 할 수 있다.

또한 이상 경보가 발생했다고 해서 반드시 장애가 발생한 것은 아니며, 장애가 발생하지 않았다고 해서 모든 지표가 정상적이었다는 의미도 아니다.

따라서 실제 상태를 판정하는 기준과 이상을 탐지하는 기준을 구분하는 것이 중요하다.

7. 컴퓨터 시스템의 실제 장애의 정의가 중요한 이유

어떤 상태를 정상, 이상, 장애로 분류할 것인지 명확하지 않으면 오탐과 미탐을 일관되게 평가하기 어렵다.

예를 들어 CPU 사용률이 95%까지 상승했지만 서비스 응답시간과 오류율이 정상 범위에 있고 사용자 요청도 정상적으로 처리되었다면, CPU 사용률 상승만