Detecção de anomalias em operações

1) Porquê

As anomalias são marcadores iniciais de incidentes e perdas financeiras. Em iGaming, é uma queda nas autorizações de sucesso, saltos de temporizações, aumento das filas, falhas na conversão KYC, quedas de taxas, erros dos provedores de jogos. O objetivo é detectar antes do usuário, localizar a causa e iniciar reações automáticas/operadoras.

2) Sinais e domínios de observação

Pagamentos/finanças: sucess-rate autorizações PSP/bancos/GEO, soft/hard, hora de clearing, indicadores iniciais chargeback.
Núcleo de jogo: p95/p99 apostas e setles, erro-rate, discrepância de balanços, outliers em coeficientes/linhas.
Infraestrutura: latency/5xx API, saturation (CPU/RAM/IO), replicação de lag BD, fila de consumo, cachê-hit/evento.
KYC/AML: filas de verificação, TAT (turnaround time), fatia de verificação manual.
Frente/RUM: TTFB/LCP, erros JS, degradação geo-específica.
Segurança/fraude: saltos de entradas/registros/conclusões, anomalias velocity, pattern atípicos.

3) Tipos de anomalias

Ponto (ponto): saliência/fracasso (por exemplo, queda de auth-sucess no EU de 20%).
Contextual: «anormal para esta hora/dia/evento» (pico noturno, ok, não diurno).
Coletivo: sequência de pequenos desvios, formando um incidente (p99 de crescimento rasteiro).
Mudar de modo (mudar-point): novo nível de série (após o lançamento/configuração/provedor).

4) Técnicas de detecção (simples a complexa)

1. Regras liminares: estáticas ou dinâmicas (Percentil na janela deslizante, mediana de £ k bloomberg MAD).
2. Descomposição sazonal (STL): tendência/sazonalidade → análise de resíduos (residual) e IQR/MAD.
3. Cartões de controle (CUSUM/EWMA): Sensível a pequenas alterações de média/dispersão.
4. Detecção de alterações: BOCPD, ruptures/PELT; registramos os momentos da mudança de modo.
5. Anormalidades multidimensionais: Mahalanobis, Isolation Forest/LOF sobre conjuntos de fichas (latency, error-rate, lag, hit-ratio).
6. Métodos de streaming (stream): ADWIN, SSD, estatísticas sketch; low-latency e com memória limitada.
7. Previsão + delta: ARIMA/ETS/Prophet/GBM → comparação entre o fato e o intervalo de confiança (especialmente para as filas de negócios).
8. Semi-controlados ML: treinamento em «normal» (One-Class SVM/Autoencoder), útil para marcação escassa.

Prática: Combinando 2-3 métodos e agregando voto ou prioridade (rule-of-thumb: STL + CUSUM + fita de previsão).

5) Anomalias Pipeline: de dados para ação

1. Coleta → normalização: filas unificadas (OTel/métricas), granularidade unificada (10-60 segundos).
2. Fici e contexto: GEO/PSP/banco/canal, "hora de trabalho? «, «jogo/torneio? ", lançamentos/fichicheflags, trabalhos de planeamento.
3. Sazonalidade e calendário: modelos aware sobre o fim de semana/horário nobre/jogos/festas.
4. Detector: métodos selecionados (limite/estatística/ML/stream) com parâmetros per-segmento.
5. Supressão de ruídos: histerese e confirmação de várias janelas (N-of-M), EP incidentes.
6. Classificação de importação (SLO, dinheiro/min, proporção de público), apropriação de P1-P4.
7. Reações automáticas (Fplover PSP, Degradação de Fic, autoescaling por lag), ocorrência e WAM, atualização do status da página.
8. Loging e auditoria: o que funcionou/porquê, liminares/versões de modelos, comunicação.

6) Calibrar liminares e qualidade

Precision/Recall/Fórmula para «anomalia ↔ incidente».
Time-to-Detect (TTD): O alvo é antes do MTTA usuários/safort.
Falso Alarm Rate: ≤ alvo de 5-10% para P1/P2.
Lead Time: a janela entre o projeto e a violação do SLO oferece uma chance de ação automática.
Monitoramento Draft: reaproveitamento/recalibragem no horário e na mudança de temporada/arquitetura.

7) Catálogo de anomalias (iGaming-Exemplos)

7. 1 Pagamentos

Fracasso auth-sucess do PSP-X em TR/EU: contexto - banco específico BIN, janela 5-10 min

Crescimento soft-decline com tráfego normal: possível problema 3DS/issuer.
Atrasos na compensação, risco de quebra de caixa.
Reações: routing para PSP alternativo (health x fee x conversion), retrai com jitter, inclusão de 3DS simplificado, conjunto de comm para parceiros.

7. 2 Apostas/jogos

Salto p99 setel de apostas: réplica/dinheiro/fila.
Descarte a expectativa da GGR da norma: anomalias contextuais em torneios/eventos esportivos.
Reações: cash-warmup, redistribuição de carga, retenção de parte do fic não-critical.

7. 3 Infra/dados

Replicação lag↑ e lock-wits: BD superaquecido.
O Consumer-Dag está a saltar, uma partida deficiente ou uma chave quente.
Reações: autoscaling, reinstalação, limites para produções 'ov.

7. 4 KYC/AML

Hora, o provedor está a degradar-se.
Reações: provedor/fila manual fallback, notificação Compliance.

7. 5 Frente/RUM

Erros LCP/JS em um navegador/versão específico: regressão do lançamento.
Reações: canarinhos rollback, função-flag off, mensagem na página status.

8) SLO-aware alerting

O sinal de anomalia torna-se um alerte se afetar o orçamento de erros ou se prever a sua queimadura (burn-rate).
Duas janelas: rápida (1h) e lenta (6-24 h); «pager imediato» apenas para P1 com alto impacto.
Qualquer alert está ligado ao runbook e ao papel do proprietário.

9) Arquitetura de solução

Injecto: OTEL/métricas → Kafka/estirpe → quadro de processamento (Flink/Spark/Kafka Streams).
Engenharia Fiche: unidades, indicadores sazonais, one-hot PSP/bancos/GEO.
Detectores: bibliotecas de estatísticas + modelos (on-line/mini-batch) com versionagem.
Armazenamento de resultados: «anoma» (events) com contexto, ligação com gerenciamento de incidente.
Serviço de decisão: priorização, reações automáticas, publicação para status-página/canais.
Observabilidade: gráficos de qualidade de modelos, ansiedade de draft, custo de injeção.

10) Custo e privacidade

Costa-aware: sempling filas de entrada, downsampling história, agregação; classes de QoS individuais.
PII: Não logar userId em métricas; para análise: toquenização/máscaras e acesso por SoD; exportar - através de workflow com TTL/criptografia.

11) Processos e papéis

Resolvível: SRE/Observabilidade/Payments Risk em seus domínios.
Accountable: Head of Ops/SRE.
Consulted: Data Science, Product, Compliance, Security.
Informed: Support, Partner Management, Finance.
Rituais: calibragem semanal de liminares/regras, retrô mensal em sinais falsos/omissos.

12) Dashboards

Exec: mapa de anomalias de domínios, tendências falsas/true alarms, TTD e lead time, influência sobre a receita/SLO.
Ops/SRE: fitas de pormenores com contexto (lançamentos/bandeiras/trabalho programado), distribuição de sobras STL, cartões de mudança-pontos.
Payments/Risk: barras de calor PSP x banco x GEO, vórtices de falhas, routing automático e efeitos de medidas.
Frente/RUM: navegador x versão x GEO, regressão de lançamentos, experiência VIP.

13) KPI/KRI funções

TTD (min) e Lead Time (min) antes da violação SLO.
Precision/Recall/Fórmula de referência a incidentes.
Falso Alarm Rate e cota de pagers (fadiga on-call).
Proporção de reações automáticas que encobriram o problema sem intervenção manual.
Redução do MTTR após a implementação.
Custo/valor: $/alert e poupança de perdas evitadas.

14) Mapa de trânsito de implementação (8-12 semanas)

Ned. 1-2: inventário SLI/KPI, escolha de linhas prioritárias (pagamentos/taxas/filas/banco de dados), liminares básicos e STL.
Ned. 3-4: processamento por streaming (Kafka + Flink/Streams), contexto (GEO/PSP/lançamentos), histerese e deadup.
Ned. 5-6: mudar-point + CUSUM, fitas de previsão para as filas de negócios, comunicação com a plataforma de incidente, runbooks.
Ned. 7-8: reações automáticas (PSP-feelover, degradação de fic, autoscaling por lag), dashboards e métricas de qualidade.
Ned. 9-10: modelos multivariantes (Isolation Forest/IForest/AE) em domínios pilotos, monitoramento draft.
Ned. 11-12: otimização do custo, calibração A/B de liminares, regulamento de review mensal e treinamento de equipes.

15) Modelos de artefatos

Anataly Spec: sinal, segmentação (GEO/PSP/banco), método, liminares, janelas, histerese, proprietário, runbook, reações automáticas.
Mudar-Point Report: tempo, componente, antes/depois dos níveis, correlações (lançamentos/fichflags/trabalho).
Quality Dashboard Definition: métricas de qualidade, limites de destino, período de revisão.
Auto-Action Policy: termos e limites de ação automática, critérios de retorno, auditoria.

16) Antipattern

Liminares estáticos universais sem sazonalidade ou segmentação.
Falta de histerese → flapping e «pager fatigue».
Alertas fora do contexto SLO/dinheiro → muito barulho, pouco benefício.
«Caixa preta» ML sem explicação ou registro.
Não há ligação com lançamentos/fichiflags/planejamento.
Ignorar o custo de injeção/armazenamento para as filas auxiliares.

Resultado

A detecção de anomalias é um processo e uma plataforma, não apenas um modelo: sinais e contextos corretos de métodos sustentáveis (STL/CUSUM/CPD/previsão) supressão de ruídos e priorização de SLO/receita reações automáticas e runbooks compreensíveis um ciclo fechado de qualidade e custo. Este circuito capta problemas antes dos usuários, reduz o MTTR e protege os fluxos de negócios da plataforma iGaming.