BMW、1万4千のクラウドアカウントのコスト異常を毎日検知。月約50ドル

14,000のクラウドアカウントを抱えていると、コストの異常はまず見つからない。BMW Group は AWS 上に自社 FinOps システム Cloud Efficiency Analytics（CLEA）を構築し、Reply と共同でグループ全体のクラウド環境を監視する。CLEA はもともと QuickSight のダッシュボード群で、社員がクラウド支出を見るためのものだった。だがダッシュボードは、すでに起きたことを、誰かが開いたときにだけ見せる。そこで CLEA は毎日の異常検知を回し、支出が想定パターンから外れたらアカウント所有者にメールを送る仕組みへ拡張された。全アカウントを毎日処理し、計算コストは月およそ50ドルだ。

データは AWS Cost and Usage Report（CUR）を主軸に、グループが使う他クラウドの請求エクスポートも取り込む。生データは月あたり約30億行、500列。これを「アカウント×サービス×日次コスト」という粒度に集約する。データは T-1 で届くため、昨日の支出を今日分析して通知する。

ベースラインには Meta の OSS 予測ライブラリ Prophet を使い、アカウントとサービスの組ごとに365日分の日次コスト履歴を加法的季節性で学習させる。1アカウントが15サービスを使えば15本の時系列になり、全体では数十万の組み合わせに達する。日次実行は Step Functions が統括し、準備用の Lambda がアクティブなアカウントを列挙してS3 に JSON で書き出し、Distributed Map が最大500並列の Lambda に処理を配る。全体で約20分で終わる。

予測だけではアラートにならない。実績から予測を引いた値を「インパクト」と呼び、実績が Prophet の信頼区間の外に出た日を候補として立てる。区間はモデル自身の不確実性に応じて広がるため、固定の帯を当てるより適応的に働き、これだけで日常的な変動の大半が落ちる。検知の前段では、直近3日の平均が0.10ドル未満の低額サービス、履歴が10日未満のサービス、予測対象として意味のない明細や課金種別を除外する。そのうえで、予測から40%以上乖離していることを条件とし、全アカウント共通の閾値（乖離率とクラスタごとの最小金額インパクト）に、もともと変動の大きいサービスやアカウント向けのケース別閾値を重ねる。0.10ドルのサービスが1.00ドルになれば900%増だが、絶対額はごくわずかだからだ。

限界も率直に書かれている。トレンドに追従するモデルは、いずれそのトレンドを取り込む。支出が恒常的に一段上がると、最初の数日は検知されるが、学習窓が追いつけばそれが新しい平常値になる。この種の検知がもっとも強いのはスパイクに対してである。