학교 내부 학습 사이트에 접속했을 때 평소에는 바로 열리던 과제 화면이 몇 초간 멈춘 뒤 나타난 경험이 있었다. 그러나 다른 친구의 기기에서는 곧바로 접속되었고, 잠시 뒤에는 내 기기에서도 정상적으로 작동하였다. 이 경험을 통해 한 번의 느린 접속을 서버 장애라고 판단할 수 있는지, 혹은 네트워크 상태에 따른 자연스러운 흔들림으로 보아야 하는지 의문이 생겼다.

응답시간은 요청을 보낸 뒤 서버가 결과를 돌려줄 때까지 걸린 시간이며, 단위는 보통 ms이다. 동시 접속자 수, 네트워크 혼잡, 서버의 처리 작업량에 따라 같은 서비스도 매 요청마다 다른 응답시간을 보일 수 있다. 따라서 500 ms라는 한 값만 보고 느리다고 판단하면, 원래 변동이 큰 시간대에는 오경보가 생기고 실제로 비정상적으로 느린 요청을 놓치는 미탐도 발생할 수 있다.

이를 수치로 판단하려면 평소 응답시간의 중심과 흔들림의 크기를 함께 알아야 한다. 교과서에서 배운 평균은 평소 응답시간의 대표 수준을, 표준편차는 그 평균 주변에서 자연스럽게 변하는 폭을 나타낸다. 예를 들어 평균이 100 ms인 두 서비스라도 표준편차가 5 ms인 서비스와 50 ms인 서비스는 130 ms를 해석하는 방식이 달라진다. 평균만으로는 ‘평소보다 얼마나 벗어났는가’를 판단할 수 없다는 점에서 두 값의 결합이 필요하다.

이에 탐구 질문을 첫째, 평균과 표준편차로 서버 응답시간 이상치를 정할 수 있는가, 둘째, 정규분포 가정이 어긋날 때 어떤 한계가 생기는가로 좁혔다. 많은 요청을 사람이 하나씩 확인할 수 없는 시스템에서는 이러한 통계 기준이 자동 경보의 출발점이 되므로, 이 탐구는 컴퓨터공학의 시스템 성능 관리와 직접 연결된다.

앞 절에서 단일 응답시간만으로는 장애 여부를 판단하기 어렵다고 보았으므로, 먼저 여러 요청의 응답시간을 하나의 분포로 해석할 필요가 있다. 표본 응답시간을 $x_1, x_2, \cdots, x_n$이라 할 때 평균 $\bar{x}$는 평소 처리 속도의 중심이고, 표준편차 $s$는 개별 값이 그 중심에서 얼마나 흩어지는지를 나타낸다.

예를 들어 오전의 평균이 100 ms, 표준편차가 10 ms라면 120 ms는 평균보다 20 ms 느리다. 반면 저녁의 평균이 200 ms, 표준편차가 40 ms인 경우 220 ms 역시 평균보다 20 ms 느리지만, 평소 변동 폭 안에 있을 가능성이 더 크다. 즉 평균은 중심을 제시하고, 표준편차는 ‘얼마나 벗어나야 특이한가’를 정하는 기준이 된다.

응답시간이 평균 근처에 많이 모이고 양쪽으로 멀어질수록 적어지는 정규분포에 가깝다고 가정하면, 68-95-99.7 법칙으로 평소 범위를 해석할 수 있다. 평균에서 1표준편차 이내에는 약 68%, 2표준편차 이내에는 약 95%, 3표준편차 이내에는 약 99.7%가 포함될 것으로 기대한다. 서버 지연은 짧은 값보다 긴 값이 문제이므로, 평균보다 2표준편차 이상 큰 요청을 1차 경보 후보로 두는 방식이 가능하다.

시간대별 평균과 변동 폭이 다를 때는 표준화를 사용한다.

여기서 $X$는 한 요청의 응답시간(ms), $\mu$는 평균 응답시간(ms), $\sigma$는 표준편차(ms)이다. 오전 120 ms는 $Z=2$, 저녁 280 ms도 평균 200 ms·표준편차 40 ms라면 $Z=2$가 된다. 실제 시간은 다르지만 둘 다 평소보다 2표준편차 느리다는 같은 상대적 위치로 비교된다. 이 개념들을 다음 절의 시스템 경보 원리와 이후 두 데이터셋의 이상치 판별 도구로 사용하였다.

앞 절의 표준화 개념을 실제 컴퓨팅 환경에 연결하기 위해 클라우드 서비스 운영의 로그 분석을 사례로 정하였다. 웹 서비스는 짧은 시간에도 다수의 요청을 처리하며, 각 요청에는 시각, 응답시간, 오류 코드, 서버 상태 등의 로그가 남는다. 운영자가 모든 응답시간을 직접 읽어 보는 것은 불가능하므로, 평균 수준과 변동 폭을 계산해 기준을 넘는 요청 또는 시간 구간만 우선 표시하는 자동화가 필요하다.

예를 들어 최근 5분 동안의 응답시간 평균이 평소보다 상승하거나, 평균은 유지되어도 표준편차가 커진다면 일부 서버에서 처리 지연이 시작되었을 가능성을 점검할 수 있다. 이후 CPU 사용률, 메모리, 네트워크 전송량, 오류 로그를 함께 확인하면 과부하·통신 지연·프로그램 오류 중 어느 원인을 더 의심할지 좁힐 수 있다. 따라서 통계 기준은 장애 원인을 확정하는 진단이 아니라, 추가 점검이 필요한 구간을 선별하는 경보 기준으로 이해해야 한다.

Nicholas Jeffrey et al.은 여러 시스템 분야에서 이상 탐지가 비정상 상태를 찾아 후속 대응을 돕는 방법임을 정리하였다^[1]. 또한 Mohammed Ayalew Belay et al.은 시간에 따라 변화하는 데이터에서는 단일 시점만이 아니라 변화 양상과 여러 변수의 관계를 함께 고려할 필요가 있음을 제시하였다^[2]. 이를 바탕으로 나는 응답시간의 급증을 곧바로 장애로 단정하기보다, 통계적 기준으로 ‘평소와 다른 후보’를 찾아 운영 판단을 보조하는 과정이 중요하다고 해석하였다.

이상 탐지에는 고정 임계값, 이동평균, 시계열 예측, 여러 변수를 동시에 활용하는 방법 등이 있다. 다만 본 탐구에서는 그 출발점으로서 한 종류의 수치만 이용하는 단변량 Z-score 기준을 적용하고, 다음 분석에서 이 기준이 정규분포에 가까운 자료와 치우친 자료에서 어떻게 달라지는지 비교하였다.