CN101662386A

CN101662386A - 告警风暴的处理方法和装置

Info

Publication number: CN101662386A
Application number: CN200910178825A
Authority: CN
Inventors: 徐春生; 詹荣国; 范畅
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-09-27
Filing date: 2009-09-27
Publication date: 2010-03-03
Anticipated expiration: 2029-09-27
Also published as: CN101662386B

Abstract

本发明公开了一种告警风暴的处理方法和装置，其中，该告警风暴的处理方法包括：如果当前周期内的告警消息数量超过预设的第一阈值，则在告警消息过滤集合中增加待过滤的告警消息类型；或者如果当前预设的多个周期内的告警消息数量均低于上述第一阈值，则在上述告警消息过滤集合中删除待过滤的告警消息类型；其中，在每个周期内，根据上述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。根据本发明，在发生告警风暴之后，通过告警抑制策略实现自适应动态调整，当网管系统在进行风暴抑制的情况下，确保网管系统在可用的条件下最大限度地保留有用的告警消息。

Description

告警风暴的处理方法和装置

技术领域

本发明涉及通信领域，具体而言，涉及一种告警风暴的处理方法和装置。

背景技术

电信网管系统主要包括性能管理、告警管理、配置管理、帐务管理和安全管理这五类功能模块，而告警管理作为其中一个重要组成部分，其稳定性直接影响到整个网管系统的稳定性。

在现场环境中，由于设备故障或者某种原因的异常情况下，可能导致一段时间内不正常数量的告警持续上报，大大超出了网管系统所能处理的告警极限，这就是告警风暴。告警风暴消耗了大量系统资源，最终导致整个网管系统不可用。因此，作为一个稳定可靠的网管，必须要解决告警风暴问题。

目前对于这种告警风暴情况的处理，通常是采用屏蔽告警的方法。但这种方法存在以下局限性：只能依靠经验对可能产生风暴的告警进行过滤，无法根据实际情况进行自适应动态调整。

针对相关技术中告警风暴的处理方法无法自适应调整的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中告警风暴的处理方法无法自适应调整的问题而提出本发明，为此，本发明的主要目的在于提供一种告警风暴的处理方法和装置，以解决上述问题。

为了实现上述目的，根据本发明的一个方面，提供了一种告警风暴的处理方法。

根据本发明的告警风暴的处理方法包括：如果当前周期内的告警消息数量超过预设的第一阈值，则在告警消息过滤集合中增加待过滤的告警消息类型；或者如果当前预设的多个周期内的告警消息数量均低于上述第一阈值，则在上述告警消息过滤集合中删除待过滤的告警消息类型；其中，在每个周期内，根据上述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

为了实现上述目的，根据本发明的另一方面，提供了一种告警风暴的处理装置。

根据本发明的告警风暴的处理装置包括：第一判断模块，用于判断当前周期内的告警消息数量是否超过预设的第一阈值；增加模块，用于在判断出当前周期内的告警消息数量超过预设的第一阈值的情况下在告警消息过滤集合中增加待过滤的告警消息类型；第二判断模块，用于在判断当前预设的多个周期内的告警消息数量是否均低于上述第一阈值；删除模块，用于判断出当前预设的多个周期内的告警消息数量均低于上述第一阈值的情况下在上述告警消息过滤集合中删除待过滤的告警消息类型；第一过滤模块，用于在每个周期内根据上述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

根据本发明，在发生告警风暴之后，通过告警抑制策略实现自适应动态调整，当网管系统在进行风暴抑制的情况下，确保网管系统在可用的条件下最大限度地保留有用的告警消息。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的告警风暴的处理方法的流程图；

图2是根据本发明实施例的告警风暴的处理方法的具体流程图；

图3是根据本发明实施例的告警风暴自适应处理的流程图；

图4是根据本发明实施例的告警风暴的处理装置的结构图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

功能概述

考虑到相关技术中告警风暴的处理方法无法自适应调整的问题，本发明提供了一种告警风暴的处理方法和装置。根据本发明的方案，在发生告警风暴之后，通过告警抑制策略实现自适应动态调整，当网管系统在进行风暴抑制的情况下，确保网管系统在可用的条件下最大限度地保留有用的告警消息。

根据本发明的实施例，提供了一种告警风暴的处理方法。

图1是根据本发明实施例的告警风暴的处理方法的流程图。如图1所示，该方法包括如下的步骤S102至步骤S104：

S102，如果当前周期内的告警消息数量超过预设的第一阈值，则在告警消息过滤集合中增加待过滤的告警消息类型；

S104，如果当前预设的多个周期内的告警消息数量均低于上述第一阈值，则在上述告警消息过滤集合中删除待过滤的告警消息类型。其中，在每个周期内，根据上述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

如果当前周期内的告警消息数量超过预设的第一阈值，在上述当前周期内过滤在接收到的告警消息数量超过上述第一阈值之后接收的告警消息。

在告警消息过滤集合中增加待过滤的告警消息类型可以包括：在上述告警消息过滤集合中增加一个或多个告警消息类型，其中，上述一个或多个告警消息类型对应的告警消息的严重程度高于上述告警消息过滤集合中已有的所有告警消息类型对应的告警消息的严重程度。

优选的，在告警消息过滤集合中增加待过滤的告警消息类型还可以包括：在上述告警消息过滤集合中增加当前周期内上报次数超过第二阈值的一个或多个告警消息对应的告警消息类型。

在告警消息过滤集合中删除待过滤的告警消息类型可以包括：在上述告警消息过滤集合中删除保存的上报次数超过第二阈值的一个或多个告警消息对应的告警消息类型。

在上述告警消息过滤集合中删除待过滤的告警消息类型还可以包括：在上述告警消息过滤集合中删除一个或多个告警消息类型，其中，上述一个或多个告警消息类型对应的告警消息的严重程度高于上述告警消息过滤集合中除上述待删除的一个或多个告警消息类型以外的所有告警消息类型对应的告警消息的严重程度。

也就是说，通过告警风暴抑制策略进行告警消息处理的时候，如果从告警风暴模块发送到网管下一步处理的告警消息数量低于网管告警阈值，认为达到抑制要求；如果高于网管告警阈值，认为未达到抑制要求。

如果未达到抑制要求，就提高风暴抑制等级，系统将按照提高后的抑制等级对下个周期内的告警消息进行过滤处理；

如果达到抑制要求，并且连续n个周期均达到抑制要求(n可以配置)，认为抑制等级过高，就降低风暴抑制等级，确保更多有效告警消息进入网管系统，以便作下一步处理。系统将按照降低后的抑制等级对下个周期内的告警消息进行处理。

下面将结合实例对本发明实施例的实现过程进行详细描述。

图2是根据本发明实施例的告警风暴的处理方法的具体流程图。如图2所示，根据本发明实施例的告警消息的处理方法主要包括如下步骤：

S200、告警消息进入风暴处理流程；

S202、将进入风暴处理流程的告警消息进行计数统计，其可以包括总数统计和按告警码的统计；

S204、将告警消息的统计值与预设的阈值进行比较，这里，预设的阈值可以根据实际情况来设置，例如，预设的阈值可以为网管的最大处理能力。如果告警消息的统计值大于上述的阈值，则确定当前告警风暴发生，进入步骤S206；否则，告警风暴没有发生，进入步骤S210，告警退出风暴处理流程，进入网管下一步处理；

S206、在告警风暴发生的情况下，执行告警风暴自适应处理步骤，该步骤将在随后参照图3进行详细的描述。风暴抑制处理程序采用风暴抑制处理策略保证网管服务降级但仍可用，服务降级就是丢失一些告警，但是这些告警本身就是异常告警，避免让网管陷入瘫痪的境地。风暴抑制策略按照告警的重要程度以及抑制的有效性分成下面六个等级，告警风暴定时器任务会根据当前风暴抑制情况进行抑制等级的动态调整：

等级1：在告警消息过滤集合中增加告警级别为5的告警消息类型。系统按照告警消息过滤集合中的待过滤的告警消息类型只过滤告警级别为5的告警消息。一般的，告警级别为5的告警消息为通知消息(告警级别一般分为5级：1-严重告警，2-重要告警，3-普通告警，4-轻微告警，5-通知消息)；

等级2：在待过滤的告警消息类型为告警级别为5的告警消息类型的基础上，在告警消息过滤集合中增加当前周期内上报次数超过预设阈值的一个或多个告警消息对应的告警消息类型，这里，优选的，预设阈值可以为20至50次。例如，系统根据告警消息过滤集合增加对在当前周期内上报次数超过预设阈值的、且告警码相同的告警消息进行过滤；

等级3：在等级2的基础上，在告警消息过滤集合中增加告警级别为4的告警消息类型；

等级4：在等级3的基础上，在告警消息过滤集合中增加告警级别为3的告警消息类型；

等级5：在等级4的基础上，在告警消息过滤集合中增加告警级别为2的告警消息类型；

等级6：在等级5的基础上，在告警消息过滤集合中增加告警级别为1的告警消息类型。

根据上述对抑制等级的描述，如果在每个周期内，系统根据上述告警消息过滤集合对接收到的告警消息进行过滤之后，接收到的告警消息仍然超过预设的阈值，则提高抑制等级，并且在当前周期内过滤掉在接收到的告警消息数量超过上述预设的阈值之后接收的告警消息。例如，将抑制等级从等级1提高到等级2，即在告警消息过滤集合中增加在当前周期内上报次数超过预设阈值的一个或多个告警消息对应的告警消息类型。

相应的，如果在在预定个周期内，根据上述告警消息过滤集合对接收到的告警消息进行过滤之后，系统接收到的告警消息均低于预设的阈值，则降低抑制等级。例如，将抑制等级从等级2降低到等级1，即在告警消息过滤集合中删除保存的上报次数超过预设阈值的一个或多个告警消息对应的告警消息类型。

S208、判断告警风暴是否结束。在采用告警消息过滤集合对告警消息进行过滤之前，网管对接收到的告警消息进行定时统计。如果在预定个定时周期内，网管接收到的告警消息均不超过预定的阈值，则确定告警风暴结束，这里，预定个定时周期和预定的阈值可以根据实际情况进行设置，例如，预定个定时周期可以为5-10个周期，预定的阈值可以为200-500条。如果告警风暴结束，则转至步骤S210；否则，转至步骤S206，继续进行告警风暴自适应处理。

S210，退出告警风暴处理流程，进入网管下一步处理。

图3是根据本发明实施例的告警风暴自适应处理的流程图。如图3所示，根据本发明实施例的告警风暴自适应处理主要包括如下步骤：

S300、统计当前周期内的告警消息。系统定时对一个周期内采用告警消息过滤集合对告警消息进行过滤之后接收到的告警消息进行统计，其中，告警风暴的检测周期可以在系统中进行预先配置，一般在20s以上，远大于告警振荡周期，每间隔一个检测周期，告警风暴定期器任务运行一次。

S302、采用告警风暴抑制策略，根据告警消息过滤集合中的待过滤的告警消息类型对当前周期内的告警消息进行过滤。如果在当期周期内从告警风暴模块上报到网管下一步处理的告警数量低于网管的最大处理能力(其中，该网管的最大处理能力可以根据实际情况预先设置，例如，网管的最大处理能力为100-500条告警消息)，则认为达到抑制要求，转至步骤S306。如果高于网管的最大处理能力，认为未达到抑制要求，转至步骤S304。

S304、如果未达到抑制要求，则提高风暴抑制等级，例如从抑制等级2提高到抑制等级3。具体的，在告警消息过滤集合中增加待过滤的告警消息类型，下个周期内的告警将按新设置的抑制等级进行处理。

同时，在当前周期内过滤掉在告警消息数量超过网管所能处理的最大能力之后上报的告警消息。例如，网管所能处理的最大能力为200条，则在当前周期内，过滤掉第200条以后上报的告警消息，而不管告警消息的类型。

S306、在当前周期达到抑制要求的情况下，结合之前保存的前几个周期是否达到抑制要求的情况，对是否出现连续n个周期达到抑制要求进行判断，这里，n可以根据实际情况进行预先配置，例如，n的取值范围为5-10。在出现连续n个周期均达到抑制要求的情况下，则认为抑制等级过高，进入步骤S308，以便降低风暴的抑制等级；否则，转至步骤S310。

S308，降低风暴抑制等级，例如，从抑制等级3降低到抑制等级2。具体的，在所述告警消息过滤集合中删除待过滤的告警消息类型。在下个周期内的告警将按新设置的抑制等级进行处理，也就是，根据所述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。或者，可以在上述告警消息过滤集合中删除保存的上报次数超过一定阈值的一个或多个告警消息对应的告警消息类型，其中，该告警消息类型在之前提高风暴抑制等级时由于上报次数超过上述的一定阈值而被加入到告警消息过滤集合中。优选的，上述一定阈值可以为20至50次。

S310、本周期定时检测结束，等到下个风暴检测周期定时任务，重新进入步骤S300。也就是，在步骤S208中，判断告警风暴依然存在的情况下，转至步骤S206，即在下一个检测周期重新执行步骤S300。

根据本发明的方案，在发生告警风暴之后，通过告警抑制策略实现自适应动态调整，当网管系统在进行风暴抑制的情况下，确保网管系统在可用的条件下最大限度地保留有用的告警消息。

根据本发明的实施例，提供了一种告警风暴的处理装置。

图4是根据本发明实施例的告警风暴的处理装置的结构图。如图4所示，该装置包括：第一判断模块402，用于判断当前周期内的告警消息数量是否超过预设的第一阈值；增加模块404，用于在判断出当前周期内的告警消息数量超过预设的第一阈值的情况下在告警消息过滤集合中增加待过滤的告警消息类型；第二判断模块406，用于判断当前预设的多个周期内的告警消息数量是否均低于上述第一阈值；删除模块408，用于判断出当前预设的多个周期内的告警消息数量均低于上述第一阈值的情况下在上述告警消息过滤集合中删除待过滤的告警消息类型；第一过滤模块410，用于在每个周期内根据上述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

上述装置还包括：第二过滤模块412，用于在上述当前周期内过滤掉在接收到的告警消息数量超过上述第一阈值之后接收的告警消息。

上述增加模块404还包括：统计子模块，用于统计当前周期内各告警消息的上报次数；增加子模块，用于在上述告警消息过滤集合中增加当前周期内上报次数超过第二阈值的一个或多个告警消息对应的告警消息类型。

上述删除模块408还用于在上述告警消息过滤集合中删除保存的上报次数超过上述第二阈值的一个或多个告警消息对应的告警消息类型。

根据本发明实施例的告警风暴的处理装置可以参照上述告警风暴的处理方法来实现对告警风暴的处理，在此不再赘述。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种告警风暴的处理方法，其特征在于，包括：

如果当前周期内的告警消息数量超过预设的第一阈值，则在告警消息过滤集合中增加待过滤的告警消息类型；或者

如果当前预设的多个周期内的告警消息数量均低于所述第一阈值，则在所述告警消息过滤集合中删除待过滤的告警消息类型；

其中，在每个周期内，根据所述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

2.根据权利要求1所述的方法，其特征在于，如果当前周期内的告警消息数量超过预设的第一阈值，则所述方法还包括：

在所述当前周期内过滤掉在接收到的告警消息数量超过所述第一阈值之后接收的告警消息。

3.根据权利要求1所述的方法，其特征在于，在告警消息过滤集合中增加待过滤的告警消息类型包括：

在所述告警消息过滤集合中增加一个或多个告警消息类型，其中，所述一个或多个告警消息类型对应的告警消息的严重程度高于所述告警消息过滤集合中已有的所有告警消息类型对应的告警消息的严重程度。

4.根据权利要求1所述的方法，其特征在于，在所述告警消息过滤集合中删除待过滤的告警消息类型包括：

在所述告警消息过滤集合中删除一个或多个告警消息类型，其中，所述一个或多个告警消息类型对应的告警消息的严重程度高于所述告警消息过滤集合中除所述待删除的一个或多个告警消息类型以外的所有告警消息类型对应的告警消息的严重程度。

5.根据权利要求1所述的方法，其特征在于，在告警消息过滤集合中增加待过滤的告警消息类型包括：

在所述告警消息过滤集合中增加当前周期内上报次数超过第二阈值的一个或多个告警消息对应的告警消息类型。

6.根据权利要求5所述的方法，其特征在于，在告警消息过滤集合中删除待过滤的告警消息类型包括：

在所述告警消息过滤集合中删除保存的上报次数超过所述第二阈值的一个或多个告警消息对应的告警消息类型。

7.一种告警风暴的处理装置，其特征在于，包括：

第一判断模块，用于判断当前周期内的告警消息数量是否超过预设的第一阈值；

增加模块，用于在判断出当前周期内的告警消息数量超过预设的第一阈值的情况下在告警消息过滤集合中增加待过滤的告警消息类型；

第二判断模块，用于判断当前预设的多个周期内的告警消息数量是否均低于所述第一阈值；

删除模块，用于在判断出当前预设的多个周期内的告警消息数量均低于所述第一阈值的情况下在所述告警消息过滤集合中删除待过滤的告警消息类型；

第一过滤模块，用于在每个周期内根据所述告警消息过滤集合中的待过滤的告警消息类型来过滤对应的告警消息。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第二过滤模块，用于在所述当前周期内过滤掉在接收到的告警消息数量超过所述第一阈值之后接收的告警消息。

9.根据权利要求7所述的装置，其特征在于，所述增加模块还包括：

统计子模块，用于统计当前周期内各告警消息的上报次数；

增加子模块，用于在所述告警消息过滤集合中增加当前周期内上报次数超过第二阈值的一个或多个告警消息对应的告警消息类型。

10.根据权利要求9所述的装置，其特征在于，所述删除模块还用于在所述告警消息过滤集合中删除保存的上报次数超过所述第二阈值的一个或多个告警消息对应的告警消息类型。