CN105095048A - 一种基于业务规则的监控系统告警关联处理方法 - Google Patents

Abstract

本发明公开了一种基于业务规则的监控系统告警关联处理方法，包括如下步骤：a)对所有资产设备，按照业务规则进行统一编码；b)获取原始告警信息，每条原始告警信息包括资产编码，并通过该资产编码找到所在的业务系统ID，再通过业务系统ID找到该业务系统对应的所有相关资产设备；c)读取原始告警消息的发生时间，并计算得出相关告警时间范围；d)如果在相关告警时间范围内已经存在相关资产设备的原始告警信息，则将所有相关的原始告警信息进行关联匹配找出源告警消息和结果告警消息；否则进行预警处理。本发明能够以客户的业务需求为管理对象，根据业务规则精准定位故障根源，并能预处理客户非感知故障而避免感知故障发生。

Description

一种基于业务规则的监控系统告警关联处理方法

技术领域

本发明涉及一种监控系统故障告警处理方法，尤其涉及一种基于业务规则的监控系统告警关联处理方法。

背景技术

IT监控告警系统的建设，综合了多种信息设备、多层次业务的监控。随着业务的发展，进入监控系统的告警信息日趋庞大且复杂。当信息设备或通信网络发生故障时，如何准确快速地定位故障原因是排除故障的重中之重。

目前，大部分的监控系统仅对各节点上的信息设备、链路、应用软件等独立实时监控，这导致告警信息数量巨大且关系错综复杂。某个业务故障可能引发多个节点的故障告警，甚至尚未在本节点表现出来的故障先在其他多个节点上引发告警，这就需要非常熟悉业务的专家。人为地从掺杂了大量非真实且低效的告警中分析、定位故障根源进而排除故障，这对故障的及时排查增加了难度，致使问题处理效率低下和客户满意度下降。此外，当前的告警系统架构仅局限于事后故障处理，无法实现预处理故障而避免客户感知故障发生。

现有技术有以下缺点：

缺点一：传统监控系统通常以网元为管理对象，而客户更关心的通常是业务的可用性。网元正常运行并不能保证业务的正常运行，这种业务故障监控模式就缺乏面向客户的根本性。

缺点二：传统监控系统只单独监控各网元的告警信息，没有对同一故障引起的多条相关告警做关联分析。这种监控技术降低了多维告警的质量，弱化了故障定位能力，增加了故障分析难度。

缺点三：业界部分已采用告警关联处理的监控系统，其核心组件关联规则引擎紧密耦合于关联逻辑中，当出现新的告警信息或业务逻辑发生改变时，必须对整个告警数据库重新进行数据挖掘，以生成与新的告警信息相匹配的新关联规则。这种业务逻辑与关联规则引擎密切关联的架构，不仅极大地浪费了系统资源，忽略了历史告警数据的作用，而且不利于业务分析人员介入规则的制定和管理。

缺点四：现有的监控系统，无论是否已采用关联规则引擎，都缺少告警危害代价和响应代价计算模型，来计算结果告警的代价敏感权重值。

由上可见，以上设计缺陷使告警信息不能准确定位故障根源，不能灵活调整关联规则，不能及时响应关键故障，从而导致客户体验不佳。

发明内容

本发明所要解决的技术问题是提供一种基于业务规则的监控系统告警关联处理方法，能够以客户的业务需求为管理对象，根据业务规则精准定位故障根源，并能预处理客户非感知故障而避免感知故障发生。

本发明为解决上述技术问题而采用的技术方案是提供一种基于业务规则的监控系统告警关联处理方法，包括如下步骤：a)对所有资产设备，按照业务规则进行统一编码；b)获取原始告警信息，每条原始告警信息包括资产编码，并通过该资产编码找到所在的业务系统ID，再通过业务系统ID找到该业务系统对应的所有相关资产设备；c)读取原始告警消息的发生时间，并计算得出相关告警时间范围；d)如果在相关告警时间范围内已经存在相关资产设备的原始告警信息，则将所有相关的原始告警信息进行关联匹配找出源告警消息和结果告警消息；否则进行预警处理。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述步骤a)中所有的资产设备信息都存入业务模型定义的列表中，每条资产设备信息包括：资产ID，设备类型ID和父设备类型ID。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述步骤b)除了查找直接相关的业务系统下的所有资产设备，还查找有间接影响的父设备所在业务系统下的所有资产设备。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述步骤c)根据业务规则指定的不同告警类型的采集频率来确定相关告警可能发生的时间范围，计算过程如下：

最早时间：(T-源告警采集频率*重复次数)+结果告警采集频率*(重复次数-1)；

最迟时间：(T-源告警采集频率*(重复次数-1))+结果告警采集频率*重复次数；

T为源告警发生的时刻。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述步骤d)通过正则表达式从注入的一堆告警信息中，根据业务规则，利用关键字分别查找源告警和结果告警；对找源告警和结果告警匹配成功后，核对资料库中保留的关联关系，将新的关联关系永久保存到资料库。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述步骤d)中预警处理过程如下：通过业务规则指定的关键字，在资料库中查找所有可能的预警消息，并为每条结果告警计算代价敏感值。

上述的基于业务规则的监控系统告警关联处理方法，其中，所述代价敏感值S的计算如下：S＝M*m+N*n；其中，M为根据业务规则对不同告警类型设定的危害代价等级值，m为危害代价权重值；N为根据业务规则对不同告警类型设定的响应代价等级值，n为响应代价权重值，M，N的范围为1～10，m，n的范围为1～5。

本发明对比现有技术有如下的有益效果：本发明提供的基于业务规则的监控系统告警关联处理方法，将业务规则引擎从业务逻辑中解耦合出来，并将告警消息传递给业务关联分析引擎，启动对告警相关目的设备的监听，并根据目的设备是否有新的告警产生来判断进入预警模块或进入关联模块，使业务分析人员也能参与业务规则的修改和管理，实现动态修改业务规则，以快速响应需求变化，从而能够以客户的业务需求为管理对象，根据业务规则精准定位故障根源，并能预处理客户非感知故障而避免感知故障发生。此外，本发明进一步加入告警危害代价和响应代价计算模型，确定结果告警处理的优先级，以提高故障排除的效率和提升客户的满意度。

附图说明

图1为本发明基于业务规则的监控系统架构示意图；

图2为本发明基于业务规则的监控系统告警关联处理流程图。

具体实施方式

下面结合附图和实施例对本发明作进一步的描述。

图1为本发明基于业务规则的监控系统架构示意图；图2为本发明基于业务规则的监控系统告警关联处理流程图。

请参见图1和图2，本发明通过在传统IT监控系统中已有的原始监控引擎上新增业务关联分析引擎，将原有复杂繁多的原始告警信息，根据业务规则依次经过业务模型处理、时间模型处理、规则引擎处理和代价敏感计算处理，准确定位到可能相关的结果告(预)警优先处理列表。

本发明的核心内容为关联分析引擎中的业务规则引擎，它与业务逻辑松耦合，使业务分析人员也可参与规则的编辑和维护。业务规则引擎不仅能根据既定业务规则存放于资料库中的关联关系，准确高效地定位到可能相关的结果告(预)警优先处理列表，而且还能根据业务规则的动态修改，挖掘监控系统中新的关联关系并保存于资料库，以便今后使用。业务规则引擎有利于高效定位已出现(或可能出现)的业务故障的根本原因，帮助技术人员及时处理问题并将可能出现的问题扼杀于襁褓中，提高客户满意度。

1)逻辑架构设计

本发明的逻辑架构如图1所示，主要流程图如图2所示。

本发明旨在传统监控系统引擎结构的基础上添加业务关联分析引擎，实现原始告警消息与结果告警消息的智能关联。原始监控引擎中的输出消息，通过消息处理中间件发送至该消息相关的设备。业务关联分析引擎监听消息目的设备是否有新的告警消息产生，如无则进入预警模块，如有则进入关联模块。模块依次启动业务模型处理、时间模型处理、代价敏感计算模型处理后，由业务规则引擎生成告(预)警优先处理队列，并将新的结果告警关联关系存入资料库永久保存。

2)基本模块分析

消息处理中间件模块：本模块主要将接收到的源告警消息发送至该消息相关的设备，并通知业务规则引擎启动对相关设备的消息回馈监控。

预警模块：本模块主要针对业务关联分析引擎监听消息目的设备，没有新的告警消息产生的情况下，通过业务模型和时间模型处理，由业务规则引擎产生可能发生的预警队列。最后经过代价敏感模型处理，生成预警信息优先处理队列。

关联模块：本模块主要针对业务关联分析引擎监听消息目的设备，有新的告警消息产生的情况下，通过业务模型处理、时间模型处理，由业务规则引擎产生可能相关的告警队列，并将新的告警关联关系存入资料库永久保存。最后经过代价敏感模型处理，生成告警信息优先处理队列。

业务模型：对所有资产设备，按照业务规则进行统一编码，具体编码方式可采用如下方式：首先针对告警信息中触发的资产设备根据其资产类别编码，再在此基础上根据告警信息涉及的业务系统添加业务编码。本模块主要为输入的告警消息建立相关的告警对象关系图，根据告警信息中包含的资产编码，定位所有相关的资产列表。

时间模型：本模块主要为输入的告警消息建立相关的告警可能发生的时间范围，根据不同告警类型的采集频率，计算最合理时间范围并据此定位所有相关的资产列表。

业务规则引擎：本模块主要实现业务规则的编译、业务规则的采集和业务规则的执行。业务规则引擎可独立地植入应用程序，实现与业务逻辑的完全解耦。该引擎用特定的语法编写业务规则，实现业务规则的输入、业务规则的解释和根据业务规则做出的相应决策。

代价敏感计算模型：本模块主要通过将输入的结果告警列表，通过特定代价权重算法为业务规则中定义的不同业务类型下不同告警类型计算不同的代价敏感值，并据此值顺序输出告(预)警优先处理队列。

3)技术实现流程与算法

在业务模型处理中，每条输入的告警信息根据相关资产和资产类型，都能定位到IT监控系统资产库中特定的资产编码，并通过资产编码找到该资产所在的业务系统ID，再通过业务系统ID找到该业务系统相关的所有相关资产。所有的资产信息都存入业务模型定义的列表中，资产信息包括：

资产ID

设备类型ID

父设备类型ID

完整查找相关资产，除了直接相关的业务系统下的所有资产，还应查找有间接影响的父设备所在业务系统下的所有资产。

在时间模型处理中，通过对注入告警消息发生时间的读取并计算，得出相关告警可能发生的时间范围。时间范围是用来确定与源告警一起发生的相关告警的。如网络异常时，“监听异常”、“心跳异常”和“页面无法访问”等告警会集中出现。计算方式根据业务规则指定的不同告警类型的采集频率来确定时间范围(时间T为源告警发生的时刻)：

最早时间：(T-源告警采集频率*重复次数)+结果告警采集频率*(重复次数-1)

最迟时间：(T-源告警采集频率*(重复次数-1))+结果告警采集频率*重复次数

将所有可能相关的资产类型，采集指标以及根据该指标计算出的告警可能出现的时间范围等信息存入时间模型定义的列表中。

在业务关联分析引擎中，需要实现的业务逻辑是从一堆注入的告警消息中找出源告警消息和结果告警消息，并将新的关联加入资料库。若当前为关联模式，规则引擎通过正则表达式从注入的一堆告警中，根据业务规则，查找包含指定关键字A的告警为源告警，如“监听异常”、“心跳异常”和“页面无法访问”；包含指定关键字B的告警为结果告警，如“网络异常”。匹配成功后，核对资料库中保留的关联关系，将新的关联关系永久保存到资料库。保存至资料库的信息包括：

关联ID

源告警关键字

源告警类型

结果告警关键字

结果告警类型

若当前为预警模式，规则引擎通过业务规则指定的关键字A，在资料库中查找所有可能的预警消息。上述操作完成后，该规则引擎将结果告警列表通过代价敏感计算模型。

在代价敏感计算模型中，为每条结果告警计算代价敏感值。根据业务规则对不同告警类型指定的危害代价等级值M和响应代价等级值N，以及对不同业务类型中两类代价的权重值分别为m和n，计算该告警代价敏感值的代价权重算法可简单定义为：

S＝M*m+N*n；

其中，代价越大等级值越大(根据业务规则划定等级级别，如M，N取值为1～10)，影响越大权重值越大(根据业务规则指定权重值，如m，n取值为1～5)。

现在技术方案中也有采用告警关联处理的组件，但其核心组件紧密耦合于关联规则中，不能动态修改规则。本发明的业务规则引擎解耦合于业务逻辑，使IT监控系统能完全适应用户的不同需求，灵活修改业务规则，并根据新的业务规则快速挖掘新的告警关联关系。不仅能根据业务规则精准定位故障根源，并能预处理客户非感知故障而避免感知故障发生。

同时，业务关联分析引擎对业务规则引擎输出的告警队列，按照不同业务类型下不同告警类型对应的危害代价等级值和响应代价等级值，以及其对应的权重值，进一步处理其处理优先权，提高了故障排除的效率和提升了客户的满意度。

虽然本发明已以较佳实施例揭示如上，然其并非用以限定本发明，任何本领域技术人员，在不脱离本发明的精神和范围内，当可作些许的修改和完善，因此本发明的保护范围当以权利要求书所界定的为准。

Claims (7)

1.一种基于业务规则的监控系统告警关联处理方法，其特征在于，包括如下步骤：

a)对所有资产设备，按照业务规则进行统一编码；

b)获取原始告警信息，每条原始告警信息包括资产编码，并通过该资产编码找到所在的业务系统ID，再通过业务系统ID找到该业务系统对应的所有相关资产设备；

c)读取原始告警消息的发生时间，并计算得出相关告警时间范围；

d)如果在相关告警时间范围内已经存在相关资产设备的原始告警信息，则将所有相关的原始告警信息进行关联匹配找出源告警消息和结果告警消息；否则进行预警处理。

2.如权利要求1所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述步骤a)中所有的资产设备信息都存入业务模型定义的列表中，每条资产设备信息包括：资产ID，设备类型ID和父设备类型ID。

3.如权利要求2所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述步骤b)除了查找直接相关的业务系统下的所有资产设备，还查找有间接影响的父设备所在业务系统下的所有资产设备。

4.如权利要求1所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述步骤c)根据业务规则指定的不同告警类型的采集频率来确定相关告警可能发生的时间范围，计算过程如下：

最早时间：(T-源告警采集频率*重复次数)+结果告警采集频率*(重复次数-1)；

最迟时间：(T-源告警采集频率*(重复次数-1))+结果告警采集频率*重复次数；

T为源告警发生的时刻。

5.如权利要求1所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述步骤d)通过正则表达式从注入的一堆告警信息中，根据业务规则，利用关键字分别查找源告警和结果告警；对找源告警和结果告警匹配成功后，核对资料库中保留的关联关系，将新的关联关系永久保存到资料库。

6.如权利要求1所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述步骤d)中预警处理过程如下：通过业务规则指定的关键字，在资料库中查找所有可能的预警消息，并为每条结果告警计算代价敏感值。

7.如权利要求6所述的基于业务规则的监控系统告警关联处理方法，其特征在于，所述代价敏感值S的计算如下：

S＝M*m+N*n；

其中，M为根据业务规则对不同告警类型设定的危害代价等级值，m为危害代价权重值；N为根据业务规则对不同告警类型设定的响应代价等级值，n为响应代价权重值，M，N的范围为1～10，m，n的范围为1～5。