CN101894446A - 识别告警消息之间或其与操作干预间相关性的方法和装置 - Google Patents

Abstract

本发明识别告警消息之间或其与操作干预间相关性的方法和装置，涉及用于在使用数据处理装置的情况下来识别技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预之间的相关性的方法以及涉及适合执行该方法的装置，其中数据处理装置有权访问涉及告警消息和操作干预的已记录历史数据。在这种情况下，借助数据处理装置，在使用市场购物篮分析方法的情况下，将定义间隔中的历史数据作为市场购物篮来处理和分析，和/或借助数据处理装置从相应告警消息发生之前和之后的所述相应操作干预的关系、从告警消息与操作干预之间的相关性来形成质量指数，数据处理装置有权访问涉及告警消息和操作干预的已记录历史数据。

Description

识别告警消息之间或其与操作干预间相关性的方法和装置

技术领域

本发明涉及用于识别技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预(Bedieneingriffen)之间的相关性的方法和装置。

背景技术

告警系统是技术设施、如发电站或生产设施的监测系统或管理系统的主要装置，并且它们是操作人员的重要辅助工具，以便识别要求立即干预的设施或过程状态。用于确定和显示设施或过程状态的告警系统的操作方法通过告警消息、也就是说例如通过-鉴于告警配置-定义的过程变量极限值来确定。通过许多不同方式使这些告警消息为这些设施的操作者可用。

由于管理系统的各个组件和子系统设计成生成告警，也就是说可能发生大量告警，所以告警系统必须设置成使得它们有效地工作。它们应使操控人员知道危险状况，并且建议避免或消除危险状况的步骤。借助此类的步骤应使相应过程返回到正常操作。如果过多告警在严重状况期间生成，则可能使操控人员迷惑，并且实际重要的告警可能在大量告警(Alarmflut)中未被识别或者被忽略。早已知道这种状况，以及也进行许多工作来优化告警系统。

例如，商业告警分析包(Alarmanalyse-Pakete)已知用于通过分析所记录的历史数据来生成KPI(关键性能指标)，它们可帮助优化告警系统。例如，借助这类分析可从历史记录来确定极频繁的告警以及以极短时间间隔频繁发生的间歇告警(flatternde Alarme)，或者还有简单相关性，在这种情况下，对于在短间隔共同发生的两个告警的频度进行计数。

当设计或修改告警系统时，该配置在大多数情况下根据过程知识和简单统计手动执行。但是，在这种情况下，使用操控人员的经验或者来自所存储告警事件的知识的可能性受到极大限制。连续改进工作的主要目标之一是减少告警的数量，特别是在严重状况下也减少告警的数量，例如在EEMUA(工程设备和材料用户协会)所推荐的限制之下。然而，不言而喻，尽管如此不能抑制主要告警。

发明内容

由此，本发明的目的在于，说明一种方法以及适合执行该方法的装置，对此通过把来自先前告警事件和过程状态的经验更好地用于告警系统的配置，使得能够实现来自技术设施或技术过程中的测量值、过程变量和/或状态消息的告警数量的进一步减少。

根据本发明，这个目的通过具有权利要求1所述的特征、用于执行下列步骤的方法来实现：识别技术设施或技术过程的告警系统中的告警消息之间的关系、又称作相关性和/或这类告警消息与操作干预之间的关系。根据本发明的方法以及用于执行该方法的装置的有利设计方案和改进在其它权利要求以及在描述中说明。

本发明的第一方面在于一种在使用有权访问涉及告警消息和操作干预的已记录历史数据的数据处理装置的情况下用于识别技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预之间的相关性的方法，其中

-在使用市场购物篮分析方法的情况下，将定义间隔中的历史数据作为市场购物篮处理和分析，和/或

-通过有权访问涉及告警消息和操作干预的已记录历史数据的所述数据处理装置从相应告警消息发生之前和之后的所述相应操作干预的所述关系、从告警消息与操作干预之间的相关性来形成质量指数。

本发明的第二方面在于，按照本发明的第一方面，显示所述分析结果。

本发明的第三方面在于，按照本发明的第一方面或第二方面，这些间隔通过将所述已记录数据细分为确定时长的不重叠周期或者细分为相应地以已记录告警开始的确定时长的在时间上重叠的周期或者细分为相应地包含确定数量的告警消息的不同时长的间隔来形成。

本发明的第四方面在于，按照本发明的前三个方面中的任一方面，所述历史数据的分析在使用APRIORI算法或ECLAT算法的情况下执行。

本发明的第五方面在于，按照本发明的前四个方面中的任一方面，在根据所述分析结果定义告警抑制规则之后，以程序控制方式对所述定义规则的效果的检验通过所述数据处理装置执行，其中检验：在已记录数据的情况下所述规则会具有哪些效果，特别是会引起告警消息的数量的哪种减少。

本发明的第六方面在于，按照本发明的前五个方面中的任一方面，质量指数根据来自操作干预与告警消息之间的所确定相关性的结果来确定，所述质量指数作为用于告警消息引发操作干预的程度的量度。

本发明的第七方面在于，按照本发明的第五方面，质量指数在下列步骤中形成：

a)执行所述历史数据的预先过滤，其中，将彼此相隔时间很短发生的告警消息作为一个告警消息计数，并且将彼此相隔时间很短跟随的操作干预作为一个操作干预计数，以及

b)计算质量指数，它取决于告警消息是否引发操作干预。

相应地，本发明建议，在应用有权访问涉及告警消息和操作干预的历史数据的数据处理装置的情况下，在使用市场购物篮分析方法的情况下将定义时间间隔中的历史数据作为市场购物篮来处理以及分析，和/或通过数据处理装置从发生相应告警消息之前和之后的相应操作干预之间的关系、从告警消息与操作干预之间的相关性来形成质量指数(Qualitaet skennzahlen)，其中数据处理装置有权访问涉及告警消息和操作干预的已记录历史数据。

一种用于执行根据本发明的方法的装置可见于权利要求8，通过该方法该目的得到进一步实现。

根据本发明的装置包括数据处理装置，为了执行用于确定技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预之间的相关性的分析和计算，数据处理装置包含硬件部件和软件部件，其中数据处理装置：

a)有权访问涉及告警消息和操作干预的已记录历史数据，

b)在使用市场购物篮分析方法的情况下，将定义间隔中的历史数据作为市场购物篮来处理和分析，和/或

c)根据操作干预与告警消息之间的所计算相关性的结果，确定作为用于告警消息引发操作干预的程度(inwieweit)的量度(Mass)的质量指数。

数据处理装置还用于通过显示设备来显示分析和计算的结果。

附图说明

下文中将参照附图中示出的实施例来进一步描述本发明及其优点以及其改型，附图包括：

图1示出示例分析结果，不仅用于APRIORI算法的使用，还用于ECLAT算法的使用，这些算法用于分析历史告警消息，

图2示出用于研究告警之间关系的特定可视化，以及

图3作为举例示出告警的接近性(Naehe)的可视化。

具体实施方式

本发明基于下列思路：如果从历史告警记录发现极频繁地共同出现的这类告警和告警序列，则可显著地减少所需告警、即待配置的告警。如果每个月发生成千上万的告警消息，则难以通过标准过程和搜索方法执行这类分析，原因在于研究空间(Untersuchungsraum)呈指数增长。例如成功发现告警1、告警2和告警3始终共同发生，可考虑不显示其中两个，这是因为它们对于操作人员没有附加价值。仅当告警1和告警2先前没有发生时才显示告警3，也可能是有利的。

作为举例，从数据挖掘的应用领域已知从数百万记录的购买情况中发现顾客在超市中频繁地共同购买的那些产品的任务和解决技巧。对于这个目的所使用的方法称作“关联挖掘”或“市场购物篮分析”(market basket analysis，Warenkorbanalyse)。

但是，市场购物篮分析要求在相应市场购物篮的产品量的情况下给出的封闭单元。因此，根据本发明，作为第一步骤建议，细分在长时期记录的、涉及事件和告警的数据流，以便提供特定时间段的数据量供分析。成功分析尝试采用通过各种方式形成的时间周期中的数据来执行：按照变体a，使用例如时长为5至20分钟的不重叠确定的间隔中的数据。变体b利用确定长度的重叠间隔进行工作，相应地随所记录的到达的告警而开始。变体c利用不同长度的间隔进行工作，其中间隔中包含至少一个确定量的告警。

在使用所谓的关联挖掘的算法、如APRIORI算法或ECLAT算法的情况下，将这些间隔的每个间隔中的告警作为一种类型的市场购物篮来处理。

图1示出作为表的分析结果的示例，不仅用于APRIORI算法的使用，还用于ECLAT算法的使用，这些算法用于分析历史告警消息，其中研究来自两个月时间的数千个告警。下列规则用于说明应当如何解释结果行：

A668＜-A667 A1453(1.3，95.4)

告警A668、A667和A1453共同出现在分析间隔的1.3％，而A668也在A667和A1453出现的间隔的95.4％发生。虽然A667和A668的同时出现可能是自然的，但是作为举例所说明的结果相当令人惊讶，并且可用于与告警A1453相关的进一步分析。

在第二步骤，图2所示的特定可视化用于研究告警之间的关系。在这种情况下，示出又作为图1的基础的两个月时间的部分。根据图2的可视化原本是可清楚识别的彩色图示。示出在所考虑的时间周期中告警A667、A668和A1453的发生，这些告警的共同出现从其中是显而易见的。如果没有使用根据本发明的过程，则几乎不可能从数千个告警中识别这类规律的关系。可视化仅示出在此感兴趣的三个告警，并且基于之前统计分析的结果。

图2中，对于涉及规则的各告警(这里为A667、668和1453)，它在时间段(此处为第61个观察日)中的发生通过给定时间点的竖线来显示，其中与时间轴平行的条带配属于各告警，以便通过这种方式示出时间上相互接近的发生。各竖线以半透明形式示出，使得当相同告警以极短时间间隔频繁发生时，颜色明显突出(hervortritt)。

作为可能的第三步骤，例如通过利用光标交互绘制矩形(durchinteraktives Ziehen eines Rechteckes mit einem Cursor)，可在根据图2的可视化中标记确定的时间区域。然后，在这个时间段执行图像放大、又称作Zoom，并且在同时显示的、包含所考虑的时间段中的所有告警的告警列表中，告警A667、A668和A1453粗，从而突出。

可根据这样得到的与告警消息之间关系或者告警消息与操作干预之间的关系有关的知识来形成告警抑制规则，告警抑制规则可鉴于修改告警配置来使用，以便减少未来告警消息的数量。例如，一个这样的规则可能是：在告警A和告警B之前不久已经发生时抑制告警C。

在应用这类规则之前，能够借助已记录历史告警消息并且通过所谓的“假定分析(what-if)”分析来检验其效果。借助此类的检验，能够清楚且无风险地识别这类规则在之前已经使用情况下的效果。例如，可计算按照EEMUA191已经提出的KPI，以便找出在历史告警消息的情况下所形成的规则已经引起哪些改进。

当告警在告警抑制规则中出现时，由此定义告警的某种接近性。这使得有可能还使用其它多元统计方法，因而能够研究多个告警的依赖性结构(Abhaengigkeitsstruktur)。这种情况下出发点是也用于生成关联规则的相同数据结构。

作为举例，图3示出告警的接近性的可视化。告警的此类表示是使用多维缩放(MDS)方法的结果。多维缩放指明比仅仅两个告警的关系更复杂的告警的相关性；还有告警与其它规则中出现的其它告警之间的关系如何也是如此。此类的布局可用于定义告警束(Buendel vonAlarmen)，它们可组合成组，或者例如至少修改告警优先级。

根据过程或设施，还可能有利的是，除了考虑不同告警之间的相关性之外，还考虑告警与操作干预之间的相关性。如果告警跟随操作干预，则这可指明设施操作人员的错误。但是，情况也可能是，告警经过错误配置，并且太迟才到达，使得必要的操作干预先前已经是显而易见的。如果操作干预跟随具有高概率的告警，则这指明这些是良好配置的告警。

这些相关性可通过上述市场购物篮分析来计算，其中各市场购物篮既包含告警，也包含操作干预。应当为操作人员和操控工程师显示操作干预和告警之间的相关性。相关性值(如同上述规则中那样)可看作是各个告警的质量指数。

根据一个有利设计方案，附加质量指数配属于各告警，例如告警之前和之后的特定间隔中的平均处理次数以及指明例如在一周或一个月内发生告警的频度(wie oft)的平均次数。

与后续操作干预有联系的告警的质量指数可设置如下：

-0意味着告警对于设施操作人员毫无价值，

-1意味着各告警对于操作人员是很有价值的，也就是说，操作干预始终跟随告警，

-0与1之间的值意味着操作干预有时跟随告警，但有时却没有。

理论上，每一个告警应当引发至少一个操作干预。借助进一步设计方案能够基于历史数据来确定，告警引发操作干预的程度。这出自于具有带时戳的告警的列表以及具有操作干预的相应列表。下列步骤适合于这个目的：

1.预先过滤：

在一个间隔中应当只对一个事件计数一次。如果告警在短时间内引发多次，则仅对第一告警计数。在操作干预的情况下，例如使标称值在相互迅速跟随的多个小操作步骤中设置。这类操作干预在每个间隔(通常为5或10分钟)也仅计数一次。

2.质量指数的计算：

-如果告警毫无作用，则这表示在告警之前已经采取与告警之后相似数量的操作干预，

-如果告警引发操作干预，则可在告警之后发现比告警之前更多的干预。

在各告警之前和之后对于特定间隔(例如10分钟)对操作干预计数。一个选项是根据与告警的距离、例如使用exp(-a*t)、以适当选择的常数a对处理进行加权。适当的预先过滤(Vorfilterung)在这种情况下是重要的。如果操作干预之前没有告警消息，则该值设置为0.1。

如果d1和d2是操作干预之前和之后的加权告警数，则适当变换可用于形成质量值。一个示例是S形函数(Sigmo id-Funktion)。如果d＞＝1，则这是表达式1/(+exp(1-d))，否则这是表达式0.5×d，其中d＝d2/d1。如果对质量值预期更大或更小的影响，则其它表达式形式是可能的。

3.质量指数用于改进人机接口：

a.去除具有低质量指数的告警。这类告警应当由操控工程师来检验，并且应当在必要时去除。质量指数帮助操控工程师集中于薄弱处，因而与检验所有配置的告警相比，加速配置修改过程。

b.质量指数作为用于操作人员的信息的直接显示。

c.突出具有高质量指数的告警/信号。示例为：

i.示出仅包含具有高质量指数的告警的特定告警列表，

ii.当此类的告警发生时，给出特定声信号，以及

iii.突出指明最重要告警的趋势的特定显示或者批量数据显示中所涉及的信号。

用于执行该方法的数据处理装置具有用于执行以下操作的硬件部件和软件部件：用于执行所述分析和计算以及用于显示结果和用于执行对已经根据来自分析结果的知识形成的规则的效果的检验。

数据处理装置有权访问涉及告警消息和操作干预的已记录历史数据，数据处理装置此外还用于：在应用市场购物篮分析方法的情况下，将定义间隔中的历史数据作为市场购物篮来处理和分析，和/或根据来自操作干预与告警消息之间的所计算相关性的结果来确定作为用于告警消息引发操作干预的程度的量度的质量指数。

Claims (8)

1.一种用于识别技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预之间的相关性的方法，有权访问涉及告警消息和操作干预的已记录历史数据，在使用数据处理装置的情况下，其中

-在使用市场购物篮分析方法的情况下，将定义间隔中的历史数据作为市场购物篮处理和分析，和/或

-通过有权访问涉及告警消息和操作干预的已记录历史数据的所述数据处理装置从相应告警消息发生之前和之后的所述相应操作干预的所述关系、从告警消息与操作干预之间的相关性来形成质量指数。

2.如权利要求1所述的方法，其特征在于，显示所述分析结果。

3.如权利要求1或2所述的方法，其特征在于，这些间隔通过将所述已记录数据细分为确定时长的不重叠周期或者细分为相应地以已记录告警开始的确定时长的在时间上重叠的周期或者细分为相应地包含确定数量的告警消息的不同时长的间隔来形成。

4.如以上权利要求中的任一项所述的方法，其特征在于，所述历史数据的分析在使用APRIORI算法或ECLAT算法的情况下执行。

5.如以上权利要求中的任一项所述的方法，其特征在于，在根据所述分析结果定义告警抑制规则之后，以程序控制方式对所述定义规则的效果的检验通过所述数据处理装置执行，其中检验：在已记录数据的情况下所述规则会具有哪些效果，特别是会引起告警消息的数量的哪种减少。

6.如以上权利要求中的任一项所述的方法，其特征在于，质量指数根据来自操作干预与告警消息之间的所确定相关性的结果来确定，所述质量指数作为用于告警消息引发操作干预的程度的量度。

7.如权利要求5所述的方法，其特征在于，质量指数在下列步骤中形成：

a)执行所述历史数据的预先过滤，其中，将彼此相隔时间很短发生的告警消息作为一个告警消息计数，并且将彼此相隔时间很短跟随的操作干预作为一个操作干预计数，以及

b)计算质量指数，它取决于告警消息是否引发操作干预。

8.一种用于执行如以上权利要求中的任一项所述的方法的装置，其特征在于，提供数据处理装置，它包含硬件部件和软件部件，所述硬件部件和软件部件用于执行分析和计算，以便确定技术设施或技术过程的告警系统中的告警消息之间的相关性和/或这类告警消息与操作干预之间的相关性，其中所述数据处理装置：

a)有权访问涉及告警消息和操作干预的已记录历史数据，

b)在使用市场购物篮分析方法的情况下将定义间隔中的历史数据作为市场购物篮来处理和分析，和/或

c)根据来自操作干预与告警消息之间的所计算相关性的结果，确定作为用于告警消息引发操作干预的程度的量度的质量指数。

Images