CN106817237A - 一种重复告警抑制方法和装置 - Google Patents

Abstract

本申请提供了一种重复告警抑制方法和装置。在接收到告警时，获取该告警的关键字；当确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；当确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的时间；当该告警的活跃度值小于第一阈值时，删除记录的该告警。该方案能够有效抑制重复告警的上报，提高设备处理效率。

Description

一种重复告警抑制方法和装置

技术领域

本发明涉及网管技术领域，特别涉及一种重复告警抑制方法和装置。

背景技术

随着计算机技术和Internet的发展以及各行各业信息化的普及与应用，各行业都开始大规模的建立庞大网络来推动各自行业的发展。而庞大而复杂的网络系统，必须有一个可靠、有效、灵活且便利的管理系统即网络管理系统作为它正常运行的有力保障。

网管系统的用户可以通过告警处理系统上报的告警情况监视设备的故障及其运行状态、监控网络中各个传感器的异常数据并根据告警数据做出相应的联动处理，使系统维护人员能够及时得知故障来源和原因，以便及时采取有效措施并消除故障及其他隐患。

正常情况下，告警由特定的条件触发，例如，设备发生故障或传感器检测到特定数据时才会触发特定的告警。但是，当系统处于告警状态和正常状态的临界状态时，例如光纤闪连闪断、系统电压接近危险值、传感器感应值在临界值时，有可能会在短时间内上报大量重复告警给告警数据处理中心，造成系统间数据通信流量的峰值流量激增、系统内部的数据处理压力增大，以及网管终端上的运维人员在海量报警中筛选有效告警的人力处理成本。因此，如何抑制无效重复告警也是网管系统告警模块数据处理中心的一项重要技术。

目前大多数系统采用的重复告警抑制方法有基于时间间隔的重复告警过滤方法和基于时间段的重复告警抑制方法：

基于时间间隔的重复告警抑制方法，针对相邻两个相同对象相同类型的告警之间发生的时间间隔小于给定阈值时，对第二个告警不做处理，直接丢弃，以此类推；

基于时间段的重复告警抑制方法：设定时间段为阈值，当第一次告警发生后，给定阈值时间内发生的所有告警都将被丢弃，直到超过时间阈值后，重新计时；

由于阈值是固定的，因此告警抑制受阈值设定的合理性影响较大，阈值过小，告警抑制效果差；阈值过大，会丢弃有效合法告警。

发明内容

有鉴于此，本申请提供一种重复告警抑制方法和装置，以解决不能有效抑制重复告警上报的问题。

为解决上述技术问题，本申请的技术方案是这样实现的：

一种重复告警抑制方法，该方法包括：

接收到告警时，获取该告警的关键字；所述关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识；

根据获取的关键字确定本地是否记录对应的告警；

当确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；

当确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；

当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数；

一种重复告警抑制装置，该装置包括：接收单元、获取单元、确定单元和处理单元；

所述接收单元，用于接收告警；

所述获取单元，用于当所述接收单元接收到告警时，获取该告警的关键字；所述关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识；

所述确定单元，用于根据所述获取单元获取的关键字确定本地是否记录对应的告警；确定告警的活跃度值是否小于第一阈值；

所述处理单元，用于当所述确定单元确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；当所述确定单元确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数；当该告警的活跃度值小于第一阈值时，删除记录的该告警。

由上面的技术方案可知，本申请中通过动态调整一告警的活跃度值，并在活跃度值小于第一阈值时，删除告警，从而能够在接收到一条告警时，在其存在活跃度值时，丢弃对应告警，本地未记录对应告警时，即该告警无活跃度值时才上报该告警，从而能够有效抑制重复告警的上报，提高设备处理效率。

附图说明

图1为本申请实施例中重复告警抑制流程示意图；

图2为本申请实施例中重复告警抑制示意图；

图3为本申请实施例应用于上述技术的装置结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，下面结合附图并举实施例，对本发明的技术方案进行详细说明。

本申请实施例中提供一种重复告警抑制方法，通过统计的告警信息动态调整预设激活函数和预设活跃衰减函数确定增加和减少的告警的活跃度值；并设置删除告警的条件，从而在接收到一告警时，根据本地是否记录该告警来确定是否丢弃该告警。通过该技术方案能够根据告警的统计信息，动态确定是否上报处理该告警。

本申请实施例中进行重复告警抑制的设备可以为数据中心系统中已存在的设备，增加本申请提供的重复告警抑制功能即可；也可以是新增一个具有抑制重复告警功能的设备；为了描述方便，这两种方式的实现设备称为告警抑制设备。

参见图1，图1为本申请实施例中重复告警抑制流程示意图。具体步骤为：

步骤101，告警抑制设备接收到告警时，获取该告警的关键字。

告警的关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识，这里的设备可以是具体的一台设备，也可以是一个系统，具体根据网络规划确定，对发送告警的各设备进行全局唯一标识。

关键字可以包括独立的对象标识和告警标识，如先匹配对象标识，再匹配告警标识，都匹配时，确定关键字匹配；

也可以包括对象标识和告警标识的组合，组合方式本申请实现时不做限制，如可以简单地组合在一起告警标识+对象标识，也可以针对告警标识和对象标识进行哈希，将哈希结果作为关键字。

本申请的关键字希望能够唯一标识一条告警，且便于告警的查找，以及是否为同一告警的判断，至于实现该关键字的方式本申请实施例不做限制。

告警抑制设备在接收到告警时，还会记录接收该告警的时间，更新预设时间内接收该告警的次数，用于动态调整预设激活函数的值和预设衰减函数的值。如果有需要，还可以更新预设时间内总的告警数。

步骤102，当确定未记录所述关键字对应的告警，该告警抑制设备以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理。

未记录关键字对应的告警，说明第一次接收该告警，或者该告警已被删除，则需要记录该告警，为了查找方便，本申请实施例中采用以关键字为索引的方式存储。

告警抑制设备根据接收到的告警获取该告警的告警标识，以及发送该告警的设备的标识作为对象标识，按照关键字的形成方式生成关键字。

在为该告警设置初始活跃度值时，可以预先配置一个固定值，即针对每个告警配置固定值作为初始活跃度值，也可以根据当时场景的状态变化，动态确定配置的初始活跃度值。

步骤103，当确定记录了所述关键字对应的告警时，该告警抑制设备通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数的值为告警次数或告警时间的函数。

本申请的预设激活函数，可以为预设时间内的告警次数的函数，也可以为告警时间的函数。

当该预设激活函数为告警次数的函数时，由当前该告警的数量确定该预设激活函数的值，并为该告警的活跃度值增加相应的值，如告警次数使用x表示，预设激活函数f(x)＝x/3，则当前该告警的总数为3时，预设激活函数对应的值为1，即告警活跃度值的增量值为1，当前该告警的总数为6时，该告警的激活函数的值为2，则告警活跃度值的增量值为2；当f(x)不为整数时，可以采用向上取整，向下取整等措施。具体实现时，可以根据需要进行预设激活函数的配置，本申请实施例中不作限制。

当预设激活函数为告警时间的函数，由接收该告警的时间，确定预设激活函数的值，并为该告警的活跃度值增加相应的值；如配置在每天的10点到12点，预设激活函数的值为3，其它时间点，预设激活函数的值为1。

这里的时间点配置，按照实际应用场景，及工作人员的工作情况进行配置，如每天的10点到12点有工作人员进行监管，可以将预设激活函数的值设置的大一些，其它的时间点预设激活函数设置的小一些。这只是一种应用场景的举例，具体实现时，实施者可以根据实际应用情况进行针对告警时间的预设激活函数进行配置，这里不作具体限制。

本步骤中在当确定记录了所述关键字对应的告警时，进一步先确定该告警的活跃度值是否大于第二阈值，如果是，不再增加该告警的活跃度值，并丢弃该告警；否则，执行通过预设激活函数增加该告警的活跃度值步骤。

步骤104，当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数。

本步骤中的衰减周期预设一个固定值，在后续可以根据场景动态进行调整，如根据该告警的次数动态调整；当告警次数达到某一阈值时，衰减周期增加一倍，即告警次数越大，越要增加衰减周期的时间，以防止该告警处于告警风暴时，反而被衰减到第一预设值，删除后而被重复上报。

在具体实现时，衰减周期可以通过定时器实现。

预设活跃度衰减函数是告警次数的函数，具体实现时，如果预设激活函数为告警次数的函数，可以同预设激活函数配置相同，也可以不同。

通过该函数，能够动态调整每次减少告警的活跃度值的值。

步骤105，当确定该告警的活跃度值小于第一阈值时，该告警抑制设备删除记录的该告警。

本实施例中步骤104和步骤105的执行，与步骤101到步骤103的执行不存在先后关系，即在满足触发条件时执行。

其中，第一阈值小于第二阈值。在具体实现时，可以根据实际应用，如处理告警的效率，处理人员的多少等动态设置第一阈值和第二阈值的大小，也可以针对第一阈值和第二阈值设置固定的值；在具体实现时，可以设置第一阈值为小于0的值，即不将活跃度值为0的告警删除，而是缓存该告警一段时间，在该告警的活跃度值达到第一阈值，即小于0时再删除该告警。

告警抑制设备在接收到一条告警，若确定本地未记录该告警，则将接收该告警的时间记录为该告警的开始时间；并记录接收该告警的次数为1；

若确定本地已记录该告警，则将接收该告警的时间记录为该告警的结束时间；并更新接收该告警的次数。

该告警抑制设备当删除一条告警时，备份该告警的历史信息，所述历史信息包括：告警关键字、接收该告警的开始时间和结束时间，以及接收该告警的次数。这样实现对告警的历史情况进行一份备份，工作人员可以根据该备份实现获知告警的情况，以便进行相关分析和处理。

在具体实现时，记录的是接收该告警的开始时间和结束时间，也可以是记录第一次接收该告警的时间，以及该告警的持续时间。

本申请实施例中具体实现时，可以将存在告警活跃度值的告警记录告警活跃字典中，每次新接收到一条告警，则在该告警字典中进行匹配，进行相关处理，当任一告警的告警活跃度值小于第一阈值时，则将该告警从告警活跃字典中删除。

本申请实施例中备份的以备工作人员查看的告警信息备份在本设备活跃告警字典之外的地方，或者可以备份在其它设备上。

本申请上述实施例的实现过程中为自动实现过程，在具体实现时，也可以人工删除某一告警，及该告警的相关信息。

参见图2，图2为本申请实施例中重复告警抑制示意图。图2中以第一阈值为一接近0且比0大的值的情况，如0.1，即告警的活跃度值为0时，删除对应的告警为例，显示本申请实施例中抑制重复告警的示意图。图1中依次接收到同一告警，告警1到告警5，这里的1到5不是告警标识，为了标识接收到同一告警的先后顺序。

在第一次接收到该告警(告警1)时，由于不存在该告警，默认该告警的活跃度值为0，则记录该告警，为该告警配置初始活跃度值，并上报该告警；

在第二次到第四次接收到该告警(告警2、告警3和告警4)时，由于记录了该告警，则丢弃该告警，并按照预设激活函数增加告警活跃度值。

在这期间，当衰减周期到时，通过预设活跃度衰减函数减少该告警的活跃度值，直到活跃度值低于第一阈值时，删除该告警；

当第五次接收到该告警(告警5)时，由于当前未记录该告警，即默认该告警的活跃度值为0，则再次记录该告警，为该告警配置初始活跃度值，并上报该告警。

基于同样的发明构思，本申请还提出一种重复告警抑制装置。参见图3，图3为本申请实施例应用于上述技术的装置结构示意图。该装置包括：接收单元301、获取单元302、确定单元303和处理单元304；

接收单元301，用于接收告警；

获取单元302，用于当接收单元301接收到告警时，获取该告警的关键字；所述关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识；

确定单元303，用于根据获取单元302获取的关键字确定本地是否记录对应的告警；确定告警的活跃度值是否小于第一阈值；

处理单元304，用于当确定单元303确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；当确定单元303确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数；当该告警的活跃度值小于第一阈值时，删除记录的该告警。

较佳地，

确定单元303，进一步用于当确定记录了对应的告警时，确定该告警的活跃度值是否大于第二阈值，如果是，触发处理单元304不再增加该告警的活跃度值，并丢弃该告警；否则，触发处理单元304通过预设激活函数增加该告警的活跃度值，其中，所述第一阈值小于所述第二阈值。

较佳地，

所述衰减周期根据告警次数更新。

较佳地，

处理单元304，进一步用于当接收单元301接收到告警时，若本地未记录该告警，则将接收该告警的时间记录为该告警的开始时间；并记录接收该告警的次数为1；若本地已记录该告警，则将接收该告警的时间记录为该告警的结束时间；并更新接收该告警的次数。

较佳地，

处理单元304，进一步用于当删除一条告警时，备份该告警的历史信息，所述历史信息包括：告警关键字、接收该告警的开始时间和结束时间，以及接收该告警的次数。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

综上所述，本申请通过动态调整一告警的活跃度值，并在活跃度值小于第一阈值时，删除告警，从而能够在接收到一条告警时，在其存在活跃度值时，丢弃对应告警，本地未记录对应告警时，即该告警无活跃度值时才上报该告警，从而能够有效抑制重复告警的上报，提高设备处理效率。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种重复告警抑制方法，其特征在于，该方法包括：

接收到告警时，获取该告警的关键字；所述关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识；

根据获取的关键字确定本地是否记录对应的告警；

当确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；

当确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；

当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数；

当该告警的活跃度值小于第一阈值时，删除记录的该告警。

2.根据权利要求1所述的方法，其特征在于，当确定记录了对应的告警时，所述通过预设激活函数增加该告警的活跃度值之前，所述方法进一步包括：

该告警的活跃度值是否大于第二阈值，如果是，不再增加该告警的活跃度值，并丢弃该告警；否则，执行通过预设激活函数增加该告警的活跃度值步骤，其中，所述第一阈值小于所述第二阈值。

3.根据权利要求1所述的方法，其特征在于，所述衰减周期根据告警次数更新。

4.根据权利要求1-3任意一项所述的方法，其特征在于，所述接收到告警时，所述方法进一步包括：

若本地未记录该告警，则将接收该告警的时间记录为该告警的开始时间；并记录接收该告警的次数为1；

若本地已记录该告警，则将接收该告警的时间记录为该告警的结束时间；并更新接收该告警的次数。

5.根据权利要求4所述的方法，其特征在于，所述方法进一步包括：当删除一条告警时，备份该告警的历史信息，所述历史信息包括：告警关键字、接收该告警的开始时间和结束时间，以及接收该告警的次数。

6.一种重复告警抑制装置，其特征在于，该装置包括：接收单元、获取单元、确定单元和处理单元；

所述接收单元，用于接收告警；

所述获取单元，用于当所述接收单元接收到告警时，获取该告警的关键字；所述关键字包括对象标识和告警标识；所述对象标识为发送该告警的设备的标识；

所述确定单元，用于根据所述获取单元获取的关键字确定本地是否记录对应的告警；确定告警的活跃度值是否小于第一阈值；

所述处理单元，用于当所述确定单元确定未记录对应的告警时，以获取的关键字为索引记录该告警，为该告警设置初始活跃度值，并将该告警上报处理；当所述确定单元确定记录了对应的告警时，通过预设激活函数增加该告警的活跃度值，并丢弃该告警；所述预设激活函数是告警次数或告警时间的函数；当衰减周期到时，根据预设活跃度衰减函数减少告警的活跃度值；所述预设活跃度衰减函数是告警次数的函数；当该告警的活跃度值小于第一阈值时，删除记录的该告警。

7.根据权利要求6所述的装置，其特征在于，

所述确定单元，进一步用于当确定记录了对应的告警时，确定该告警的活跃度值是否大于第二阈值，如果是，触发所述处理单元不再增加该告警的活跃度值，并丢弃该告警；否则，触发所述处理单元通过预设激活函数增加该告警的活跃度值，其中，所述第一阈值小于所述第二阈值。

8.根据权利要求6所述的装置，其特征在于，所述衰减周期根据告警次数更新。

9.根据权利要求6-8任意一项所述的装置，其特征在于，

所述处理单元，进一步用于当所述接收单元接收到告警时，若本地未记录该告警，则将接收该告警的时间记录为该告警的开始时间；并记录接收该告警的次数为1；若本地已记录该告警，则将接收该告警的时间记录为该告警的结束时间；并更新接收该告警的次数。

10.根据权利要求9所述的装置，其特征在于，

所述处理单元，进一步用于当删除一条告警时，备份该告警的历史信息，所述历史信息包括：告警关键字、接收该告警的开始时间和结束时间，以及接收该告警的次数。