AI 운영 self-healing 자동화, 어떻게 동작하나

AI 운영 self-healing은 장애를 사람 없이 '감지→진단→복구→검증'하는 닫힌 루프다. 관측(observability)이 알림을 보여주는 데서 멈춘다면, self-healing은 그 알림에 행동으로 응답해 루프를 닫는다. 이론 골격은 자율컴퓨팅의 MAPE-K(감시·분석·계획·실행+공유 지식)이고, 2026년엔 에이전트가 로그·메트릭·과거 이력을 함께 추론해 규칙이 아니라 분석에서 복구를 끌어낸다. 효과는 성숙도에 비례한다 — 한 측정(2026, 1,200개 배포)에서 고성숙(L4+)은 MTTR을 약 65% 줄였지만(4시간→약 1.4시간), 텔레메트리가 부실한 레거시는 30~45%에 그쳤다.

한 줄 요약: self-healing은 자율주행 + 자가정비다. 계기판(관측)이 '엔진 이상'을 띄우는 데서 끝내지 않고, 차가 스스로 원인을 찾아 부품을 바꾸고(복구) 다시 달리는지 확인한다(검증) — 단 위험한 조작 전엔 운전자에게 묻는다(가드레일).

한 번의 자가복구는 어떤 단계를 거치나?#

감지→진단→복구→검증→에스컬레이션이다. ① 감지: 정적 임계치가 아니라 행동 베이스라인으로 이상을 잡는다(월요일 9시 급증은 정상, 토요일 3시 급증은 사건). ② 진단: 상관분석으로 근본원인을 좁힌다. ③ 복구: 재시작·롤백·스케일·페일오버 같은 플레이북을 고른다. ④ 검증: 정말 회복됐는지 본다. ⑤ 안 되면 사람에게 에스컬레이션. 쿠버네티스의 파드 재시작은 1단계지만, 자동복구는 나쁜 배포 롤백·파이프라인 일시정지까지 더한 변경기반 복구다.

가장 어려운 건 감지가 아니라 '통제'인 이유는?#

자율이 위험 프로필을 바꾸기 때문이다. 에이전트에 쓰기 권한을 주는 순간 '환각 블래스트 반경'이 생긴다 — 잘못된 자동조치가 장애를 키운다. 한 사례에선 단일 알림만 보고 운영 DB 호스트를 격리해 절반의 서비스가 멈췄다(알림은 진짜였지만 대응이 과했다). RBAC는 '의도·맥락'에 눈멀어 있어 부족하다. 그래서 통제 패턴이 핵심이다: 정책코드 차단(요청을 정책에 통과시켜야 실행), 킬스위치+자동 롤백(2분 내 개선 없으면 되돌림), 자산 중요도·업무영향을 결정에 넣기. 역설적으로 블래스트 반경이 좁다는 증명이 있을 때 팀이 더 과감히 자동화한다.

단계적 자율에서 사람 승인은 어디까지 두나?#

안전·가역 행동은 자동, 위험 행동은 사람이다. 2026 합의는 첫날부터 완전자율이 아니라 성숙도 곡선이다(흔히 L0~L4). 무상태 서비스 자동 재시작·큐 깊이 기반 오토스케일처럼 저위험부터 시작해 신뢰를 쌓는다. 가장 가치 큰 도약은 L1→L2 — 사람 결정은 유지하되 '빈 페이지' 지연을 없애 MTTR을 크게 줄인다. 실제로 우리 발행 게이트도 미니 self-heal을 쓴다: 게이트 실패를 감지하면 probe로 죽은 링크(404)와 봇차단/타임아웃(403/429)을 진단해, 전자는 교체·후자는 재시도로 복구하고 dry-run으로 재검증한다.

안전하게 직접 시작하려면 어떻게 하나?#

작게, 가역부터.

• 무상태 재시작·오토스케일 같은 저위험 자동복구부터 켜고 신뢰를 쌓는다.
• 모든 자동조치에 킬스위치(미개선 시 자동 롤백)와 블래스트 반경 한정을 먼저 건다.
• 위험·비가역 조치는 사람 승인을, 그리고 행동 베이스라인으로 오탐을 줄여라(자동화 1/3은 롤아웃서 실패한다).

참고 링크

• MAPE-K 에이전트 자율운영(논문)
• Kubernetes(자가치유 기반)
• Kyverno(정책코드 가드레일)
• Prometheus(이상 감지·알림)
• OpenTelemetry(텔레메트리 표준)

참고: MTTR·성숙도 수치는 2026년 공개 보고(성숙도 L4+ 기준 등) 기준이며 환경·텔레메트리·구성에 따라 크게 달라진다(레거시는 30~45%). 자율은 블래스트 반경을 키우니 가드레일·승인·킬스위치가 필수다. 정확한 효과는 내 시스템에서 직접 측정하라. 분기별 갱신.