CN103916260A - 一种告警关联的装置及方法 - Google Patents

Abstract

本发明提供一种告警关联的装置及方法，涉及网络通信领域。装置包括：采集模块，用于从监控系统中采集原始告警数据；第一过滤模块，用于对所述原始告警数据进行过滤，得到有效告警；分析模块，用于对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；写入模块，用于将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。本发明可以找出告警之间潜在的因果关联关系。

Description

一种告警关联的装置及方法

技术领域

本发明涉及网络通信领域，特别是指一种告警关联的装置及方法。

背景技术

数据库告警关联的目的是为了全局展现具有各类告警的内在联系，告警之间有多种关联关系，最常见的有泛式关联、因果关联等。根据关联关系的类型，告警关联有不同的用途：泛式关联主要用于实现同类告警合并，比如将计费监控的多个采集点的采集延时告警合并成一条；因果关联关系可以用于根源告警定位，及时处理能够避免故障发生，比如语音催缴进程僵死，导致催缴表数据积压告警，因此因果关联研究更有价值。

目前对因果关联的实际应用技术方案，只有基于规则的告警关联方式（Rule-based）这一种。这种方案基于规则知识库，库中的每一条规则都规定了哪一种告警是另一种告警的原因，当多条告警同时产生时，规则引擎回去搜索知识库，如果一条规则里的两种告警同时出现时，则产生一条关联告警告知两者的因果关系。

现有的基于规则的关联方法，其优点十分明显，这种方法符合人的思维，便于人们的理解，且其技术实现简单。但是这种方法缺点同样也十分明显：首先规则的来源是来自经验丰富的维护人员手工梳理，只能发现一条添加一条，这种梳理工作耗费时间和精力，而一旦系统或者网络结构发生变动，大量的关联规则将失效，所有工作将白费；其次现今各类业务支撑系统，其业务负责、网络庞大，能够梳理的也仅仅是十分简单的直接强因果关联关系，而对与大量的跨层级跨域的间接因果关系，手工梳理难以发现。正是因为以上的两个缺点，目前基于规则的告警关联方案不具备较大的实用价值，只能应用于系统结构简单且比较稳定的小系统，采用新的方法或技术进行自动化的告警关联分析显得非常迫切。

发明内容

本发明要解决的技术问题是提供一种关联警告的生成装置及方法，可以通过对历史告警数据进行发生情况的统计，计算告警之间因果关联关系，适用于各类大小系统，且具有高模块化等优点。

为解决上述技术问题，本发明的实施例提供一种关联告警的生成装置，包括：

采集模块，用于从监控系统中采集原始告警数据；

第一过滤模块，用于对所述原始告警数据进行过滤，得到有效告警；

分析模块，用于对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

写入模块，用于将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

其中，所述采集模块具体用于按照采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段。

其中，所述第一过滤模块具体用于按照时间维度过滤掉噪声告警，得到有效告警。

其中，所述第一过滤模块进一步用于将超出一时间范围内的告警过滤掉，得到有效告警。

其中，所述分析模块具体用于根据有效告警的并发情况，得到任意两条有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级。

其中，所述分析模块具体用于根据第一有效告警在一预设时间段内发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子，其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

其中，所述第一有效告警告发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

其中，所述计数器的值是指有效告警在所述预设时间段内发生的次数。

其中，上述装置还包括：第二过滤模块，用于在所述分析模块得到的结果中，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；

所述写入模块具体用于将所述第二过滤模块过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

本发明的实施例还提供一种关联告警的生成方法，包括如下步骤：

从监控系统中采集原始告警数据；

对所述原始告警数据进行过滤，得到有效告警；

对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

其中，从监控系统中采集原始告警数据的步骤包括：

按照采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段。

其中，对所述原始告警数据进行过滤，得到有效告警的步骤包括：

按照时间维度过滤掉噪声告警，得到有效告警。

其中，按照时间维度过滤掉噪声告警，得到有效告警的步骤包括：

将超出一时间范围内的告警过滤掉，得到有效告警。

其中，并根据所述关联因子分析出有效告警的关联等级的步骤包括：

根据有效告警的并发情况，得到任意两个有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级。

其中，根据有效告警的并发情况，得到任意两条有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级的步骤包括：

根据第一有效告警发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子；其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

其中，所述第一有效告警告发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

其中，所述计数器的值是指有效告警在所述预设时间段内发生的次数。

其中，根据所述关联因子分析出有效告警的关联等级的步骤后还包括：

将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；

将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件的步骤包括：

将所述过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

本发明的上述技术方案的有益效果如下：

通过对采集到的原始告警进行过滤，得到有效告警，之后得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级，从而找出告警之间潜在的因果关联关系。

附图说明

图1为本发明中关联告警的生成装置的结构示意图；

图2-图6为本发明中分析出有效告警的关联等级的方法示意图；

图7为本发明中关联告警的生成装置的另一实施例的结构示意图；

图8为本发明中关联告警的生成方法的示意图。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

如图1所示，一种关联告警的生成装置，包括：

采集模块，用于从监控系统中采集原始告警数据；

第一过滤模块，用于对所述原始告警数据进行过滤，得到有效告警；

分析模块，用于对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

写入模块，用于将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

上述装置通过对采集到的原始告警进行过滤，得到有效告警，之后得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级，从而找出告警之间潜在的因果关联关系。

在本发明的上述实施例中，所述采集模块具体用于按照一采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔，从而保证采集模块能采集到监控系统中最新记录的原始告警，；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段；

为避免对不相关的告警进行分析，在本发明的上述实施例中，第一过滤模块用于按照时间维度过滤掉噪声告警，得到有效告警；

具体地，第一过滤模块将超出一时间范围内的告警过滤掉，从而得到有效告警；比如将所述时间范围设置为10分钟，则第一过滤模块只对这一10分钟内所采集到的告警进行分析，对不属于此时间范围内的告警进行过滤处理，不再进行分析；

在本发明的上述实施例中，所述分析模块具体用于根据有效告警的并发情况，得到任意两条有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级。

具体为：根据第一有效告警在一预设时间段内发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子，其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

其中，所述第一有效告警告发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

其中，所述计数器的值是指有效告警在所述预设时间段内发生的次数，由于采样是不停地定时执行，因此整个分析计算过程不断学习演进的，采样次数越多，概率就越反映真实特性，关联关系就越真实；

其具体流程为：

读取采集模块更新后的数据表，根据关联告警链表字段，建立一个二维链表式数据结构。如图2所示，假设二维链表中有如下告警a、b、c、d、e；其中X代表计数器数值，y代表关联因子；将预设时间设置为1小时，在这一小时内多次对a、b、c、d、e告警进行统计，记录在每次进行统计时，各告警的发生情况，假设d告警在当前统计进行的时候没有发生，则d告警的链表不做任何操作（即Xd不变）；对发生的有效告警（即a、b、c、e），则在链表中的计数器数值加1（即Xa、Xb、Xc、Xe分别加1），链表计数器值按照图3所示进行更新；

假设a告警在1小时内发生了1000次，则记录下其他告警与a告警同时发生的次数；假设b告警在1小时内发生了890次，同样记录其他告警与b告警同时发生的次数；以此类推，直至记录完e告警发生的同时，其他告警发生的次数，并最终得到如图4所示的结果；

之后进行关联因子计算：这里引用概率统计方法，通过统计告警间并发情况，来计算两者之间的关联关系，如c告警发生的情况下d告警发生的概率为190/220，同理b告警发生的情况下c发生的概率为1/890，最后得到如图5所示的关联因子；

经计算可以出a告警与b告警的关联因子为0.87，b告警与a告警关联因子为0.99；a告警与c告警的关联因子为0.5，c告警与a告警的关联因子为0.14；b告警与c告警的关联因子为0，c告警与b告警的关联因子为0.95；

然后进行关联等级判定：由于各个告警之间普遍存在关联关系，但不同的关联关系有强弱之分，为此，如6图所示，需要制定一个标准区间对应不同关联等级。

结合图6可以看出，a告警和b告警之间为强关联，可认定互为因果；a告警与c告警为潜在关联，c告警与a告警为弱关联，c告警可能是a告警的因，但a告警是c告警的因可能性很小。

最后根据上述的结果，将得到的关联告警回写到监控系统的有效告警数据表中，从而产生一个有效的关联告警文件。

如图7所示，本发明的另一装置实施例中，在包括上述实施例中所有特征的基础上，还可以包括：

第二过滤模块，用于在所述分析模块得到的结果中，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；比如对属于CRM系统（客户关系管理系统）的告警进行相互关联、对属于开通系统之间的告警进行相互关联，而对于CRM系统和开通系统之间的告警则不进行相对关联；或者，只会对同一个业务的告警进行相互关联，如催缴业务相关的告警进行互相关联，停机业务相关的告警进行相互关联；还可以对同属一个配置项的告警进行相互关联。需要指出的是，过滤规则设置越多，关联的告警数量越少，则关联准确性越高，但是可能会将一些潜在的隐性关联过滤掉；

之后写入模块将所述第二过滤模块过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

本方案通过对采集到的原始告警进行过滤，得到有效告警，之后得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级，从而找出告警之间潜在的因果关联关系；进一步地，通过过滤模块可以对原始告警进行筛选，过滤掉噪声告警；进一步地，本方案还具备自动学习能力，能随着系统变化自动演进，具备了自适应性；进一步地，通过概率准确的反映出有效告警间的关联等级；此外，第二过滤模块在所述分析模块得到的结果中，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，进一步保证了分析关联关系的准确性。

本发明的实施例还提供一种关联告警的生成方法，如图8所述，包括如下步骤：

步骤10，从监控系统中采集原始告警数据；

步骤30，对所述原始告警数据进行过滤，得到有效告警；

步骤50，对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

步骤70，将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

在本发明的上述实施例中，步骤10还可以包括：

按照一采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段。

在本发明的上述实施例中，步骤30还可以包括：

按照时间维度过滤掉噪声告警，得到有效告警；其具体方法为：

将超出一时间范围内的告警过滤掉，得到有效告警。

在本发明的上述实施例中，步骤50还可以包括：

根据有效告警间的并发情况，得到任意两个有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级；其具体方法为：

根据第一有效告警发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子；其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

其中，

所述第一有效告警告发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

所述计数器的值是指有效告警在所述预设时间段内发生的次数。

为了进一步保证了分析的准确性，在本发明的另一方法实施例中，包括上述实施例中所有特征的基础上，在步骤50后还可以包括：

步骤60，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；之后，进行步骤70；

步骤70还包括：将所述过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

显然，上所述实施例为本发明中关联告警的生成装置对应的方法实施例，所述关联告警的生成装置达到的技术效果，在该方法中也同样能够达到。

本方法通过对采集到的原始告警进行过滤处理，得到有效告警，之后得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级，从而找出告警之间潜在的因果关联关系；进一步地，可以对原始告警进行筛选，过滤掉噪声告警；进一步地，本方案还具备自动学习能力，能随着系统变化自动演进，具备了自适应性；进一步地，通过概率准确的反映出有效告警间的关联等级；此外，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，进一步保证了分析的准确性。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种关联告警的生成装置，其特征在于，包括：

采集模块，用于从监控系统中采集原始告警数据；

第一过滤模块，用于对所述原始告警数据进行过滤，得到有效告警；

分析模块，用于对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

写入模块，用于将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

2.根据权利要求1所述的关联告警的生成装置，其特征在于，所述采集模块具体用于按照采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段。

3.根据权利要求1所述的关联告警的生成装置，其特征在于，所述第一过滤模块具体用于按照时间维度过滤掉噪声告警，得到有效告警。

4.根据权利要求3所述的关联告警的生成装置，其特征在于，所述第一过滤模块进一步用于将超出一时间范围内的告警过滤掉，得到有效告警。

5.根据权利要求2所述的关联告警的生成装置，其特征在于，所述分析模块具体用于根据有效告警的并发情况，得到任意两条有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级。

6.根据权利要求5所述的关联告警的生成装置，其特征在于，所述分析模块具体用于根据第一有效告警在一预设时间段内发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子，其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

7.根据权利要求6所述的关联告警的生成装置，其特征在于，

所述第一有效告警发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

其中，所述计数器的值是指有效告警在所述预设时间段内发生的次数。

8.根据权利要求1－7任一项所述的关联告警的生成装置，其特征在于，还包括：

第二过滤模块，用于在所述分析模块得到的结果中，将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；

所述写入模块具体用于将所述第二过滤模块过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

9.一种关联告警的生成方法，其特征在于，

从监控系统中采集原始告警数据；

对所述原始告警数据进行过滤，得到有效告警；

对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级；

将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。

10.根据权利要求9所述的关联告警的生成方法，其特征在于，从监控系统中采集原始告警数据的步骤包括：

按照采样时间间隔从所述监控系统中采集原始告警数据，并将所述原始告警数据写入一数据表中，其中，所述采样时间间隔大于所述监控系统的采集时间间隔；所述数据表包括：告警的关键字信息字段、告警ID、告警最早发生时间、告警最近发生时间、告警类型、配置项以及告警链表字段。

11.根据权利要求9所述的关联告警的生成方法，其特征在于，对所述原始告警数据进行过滤，得到有效告警的步骤包括：

按照时间维度过滤掉噪声告警，得到有效告警。

12.根据权利要求11所述的关联告警的生成方法，其特征在于，按照时间维度过滤掉噪声告警，得到有效告警的步骤包括：

将超出一时间范围内的告警过滤掉，得到有效告警。

13.根据权利要求10所述的关联告警的生成方法，其特征在于，对所述有效告警进行分析，得到有效告警之间的关联因子，并根据所述关联因子分析出有效告警的关联等级的步骤包括：

根据有效告警的并发情况，得到任意两个有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级。

14.根据权利要求13所述的关联告警的生成方法，其特征在于，根据有效告警的并发情况，得到任意两条有效告警间的关联因子，并根据所述关联因子的值，确定有效告警的关联等级的步骤包括：

根据第一有效告警发生的情况下，第二有效告警发生的概率，得到所述第一有效告警与所述第二有效告警间的关联因子；其中，所述第一有效告警和所述第二有效告警是多条有效告警中的任意两条有效告警。

15.根据权利要求14所述的关联告警的生成方法，其特征在于，

所述第一有效告警告发生的情况，是根据所述第一有效告警的告警链表字段中的计数器的值确定的；

所述第二有效告警发生的概率是根据所述第二有效告警的告警链表字段中的计数器的值确定的；

其中，所述计数器的值是指有效告警在所述预设时间段内发生的次数。

16.根据权利要求9－15任一项所述的关联告警的生成方法，其特征在于，根据所述关联因子分析出有效告警的关联等级的步骤后还包括：

将属于不同系统、不同业务和/或不同配置项的有效告警过滤掉，得到过滤后的有效告警；

将所述有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件的步骤包括：

将所述过滤后的有效告警以及关联等级写入所述监控系统中的有效告警数据表中，从而得到关联告警文件。