Faux positif

Définition

En supervision informatique, un faux positif est une alerte qui se déclenche alors qu'aucun problème réel n'affecte le service. L'inverse — un incident réel qui ne déclenche aucune alerte — s'appelle un faux négatif.

Les deux sont des erreurs de calibrage, mais elles n'ont pas le même coût : un faux négatif se paie une fois, lors de l'incident manqué. Un faux positif se paie continuellement, en érodant la confiance dans l'ensemble du système d'alerte.

Causes les plus fréquentes

• Un seuil déclenché sur une valeur instantanée plutôt que sur une moyenne : un pic de processeur de deux secondes pendant une sauvegarde n'est pas un incident.
• Un seuil unique appliqué à des contextes différents : un volume de sauvegarde rempli à 90 % est normal, un disque système à 90 % ne l'est pas.
• L'absence d'hystérésis : une métrique qui oscille autour du seuil génère une succession d'alertes et de résolutions.
• Une cascade sur un incident unique : un serveur qui tombe déclenche une alerte par service, par métrique et par application hébergée.
• Un comptage brut d'événements normaux : certains événements de sécurité Windows se produisent des centaines de fois par heure sur une machine parfaitement saine.

Pourquoi c'est plus grave qu'il n'y paraît

Un faux positif isolé est anodin. Leur accumulation produit la fatigue d'alertes : au bout de quelques semaines, les notifications ne sont plus ouvertes, et l'alerte qui comptait vraiment arrive dans le même flot que les autres.

C'est la cause d'échec la plus courante d'un projet de supervision — plus fréquente que les défauts techniques de collecte.

Comment les réduire

Les leviers efficaces sont le calibrage sur données réelles plutôt que sur des valeurs par défaut, l'exigence d'une durée de dépassement, l'hystérésis entre seuil de déclenchement et seuil de résolution, et les dépendances entre déclencheurs.

À ne pas confondre avec

• Une alerte transitoire légitime : le problème a bien existé mais s'est résolu seul. Ce n'est pas un faux positif, même si l'effet perçu est proche.
• La fatigue d'alertes : elle peut survenir avec des alertes toutes légitimes mais mal priorisées.