CN107181604B - 一种告警关联规则的生成方法、告警压缩方法以及装置 - Google Patents

Abstract

本发明实施例提供一种告警关联规则的生成方法、告警压缩方法及装置，用以解决确定根源告警准确率较低的问题。该方法包括：基于告警所属的域以及节点将告警数据分为多个组，每个组下包括多个子组；从每一组内选择N种类型的闪断告警作为对应组的主告警，将每一子组内第一类型主告警划入至少一个时间跨度集内；确定每一子组的每一时间跨度集内每相邻两个主告警之间的发生时间差值得到发生时间差值集合；根据每一子组对应的发生时间差值集合以及对应的主告警的总数确定第一层级时间跨度；根据每一组内包括的所有第一层级时间跨度以及子组的总数确定第二层级时间跨度，用于对发生时间差小于第二层级时间跨度的多个第一类型主告警进行压缩过滤处理。

Description

一种告警关联规则的生成方法、告警压缩方法以及装置

技术领域

本发明实施例涉及网络监控技术领域，尤其涉及一种告警关联规则的生成方法、告警压缩方法及装置。

背景技术

在网络管理领域，告警是对构成网络的软硬系统的设备组件出现错误或异常状态时的事件记录。电信网络规模庞大，结构复杂，设备多样，构成的系统中各种软硬件模块每天都会产生大量的告警信息。由于这大量的告警信息中的一些告警之间是有关联的，所以现有技术中，常常使用告警关联规则对该大量的告警信息进行压缩过滤，以得到真正的根源告警，从而为后续的相关维修服务输出数据量比较小的故障单(Trouble Tick)。

在大量告警中有一类型告警称为闪断告警(Flapping Alarm)，闪断告警指的是重复上报与记录的告警，即某一时间段内的多条告警记录其实只是一次故障引起的，发生时间不同的多条告警可能会被重复上报，会导致故障管理系统当作是不同的告警记录。并且在实际应用中，闪断告警在告警记录中所占的比重较大。现有的告警关联方法一般对告警数据通过频繁项集挖掘算法以及设置置信度阈值对数据集进行处理生成关联规则，从而利用该关联规则来进行告警压缩以及过滤，但是现有技术中对告警数据通过频繁项集挖掘算法得到告警规则对告警数据压缩过滤时，并没有考虑到闪断告警，因此使得得到的告警规则并不能准确反映告警之间的实际关联关系，从而使得确定的根源告警的准确率偏低。

发明内容

本发明实施例提供一种告警关联规则的生成方法、告警压缩方法及装置，用以解决现有技术中存在的确定根源告警准确率较低的问题。

第一方面，本发明实施例提供了一种告警关联规则的生成方法，该方法包括：

将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；

将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

从每一组内选择N种类型的闪断告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数；

将每一子组内第一类型主告警划入至少一个时间跨度集内，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间；

确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合；

根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度；

根据每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度，所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

本发明实施例提供的技术方案可以应用于网关系统。在实际应用中，通常将上述方案中的N设置为对应组内闪断告警类型总数的整数，这样保证全部的闪断告警都参与其中。通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

在一种可能的设计中，从每一组内选择N种类型的闪断告警作为对应组的主告警，可以通过如下方式实现：

按照每一组内每一类型的闪断告警发生的次数，确定发生次数最多的N种类型的闪断告警为对应组的主告警。

上述设计中，能够优先过滤掉那些发生次数少的闪断告警，这些告警对确定根源告警可能没有帮助，提前过滤掉能够节省计算资源。

在一种可能的设计中，所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，具体包括：

根据每一子组对应的发生时间差值集合，计算每一子组对应的发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

上述设计中，采用平均算法得到第一层级时间跨度，实现简单节省计算资源。

在一种可能的设计中，所述平均算法可以为加权平均算法。在计算每一子组对应发生时间差值集合中所有元素的和值时，可以设置每一个元素的权重然后计算的得到第一层级时间跨度。

那么，所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，可以通过如下方式实现：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

在一种可能的设计中，所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值，从而保证压缩准确率更高。

第二方面，本发明实施例提供了一种告警关联规则的生成方法，该方法包括将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警，属于相同域的告警对应到一个组内；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警，属于相同节点的告警对应到一个组内；从每一组内选择N种类型的告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内告警类型总数的整数。然后分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间；

对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据；

根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集；

对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集；

根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；

根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

现有技术在生成告警关联规则时，通常采用滑动窗口与固定步长的方式对数据进行划分为多个时间窗口，为了最大程度上保证时间窗口中取得完整的告警序列数据，设置前一个时间窗口与后一个时间窗口在时间上互有重叠。因此相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

在一种可能的设计中，所述从每一组内选择N种类型的告警作为对应组的主告警，可以通过如下方式实现：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

上述设计中，能够优先过滤掉那些发生次数少的告警，这些告警对确定根源告警可能没有帮助，提前过滤掉能够节省计算资源。

在一种可能的设计中，所述第二预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值，从而保证压缩准确率更高。

第三方面，本发明实施例提供了一种告警压缩方法，该方法使用上述第二方面中的任意一种设计得到的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警，然后再采用第一方面的任意一种设计得到的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理的，得到至少一条根源告警。

现有的告警关联方法一般直接对告警数据通过频繁项集挖掘算法以及设置置信度阈值对数据集进行处理生成关联规则，从而利用该关联规则来进行告警压缩以及过滤，但是现有技术中通过频繁项集挖掘算法得到告警规则对告警数据压缩过滤时，并没有考虑到闪断告警，因此使得得到的告警规则并不能准确反映告警之间的实际关联关系，从而使得确定的根源告警的准确率偏低。通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。另外，现有技术在生成告警关联规则时，通常采用滑动窗口与固定步长的方式对数据进行划分为多个时间窗口，为了最大程度上保证时间窗口中取得完整的告警序列数据，设置前一个时间窗口与后一个时间窗口在时间上互有重叠。因此相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

第四方面，本发明实施例提供了一种告警关联规则的生成装置，包括：

告警划分模块，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

主告警获取模块，用于从所述告警划分模块处理得到的每一组内选择N种类型的闪断告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数；

时间跨度集获取模块，用于将所述主告警获取模块确定的每一子组内的第一类型主告警划入至少一个时间跨度集内，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间；

第一层级时间跨度获取模块，用于确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合；根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度；

第一告警关联规则获取模块，用于根据第一层级时间跨度获取模块处理得到的每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度，所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

在一种可能的设计中，所述主告警获取模块，具体用于：

按照每一组内每一类型的闪断告警发生的次数，确定发生次数最多的N种类型的闪断告警为对应组的主告警。

上述设计中，能够优先过滤掉那些发生次数少的闪断告警，这些告警对确定根源告警可能没有帮助，提前过滤掉能够节省计算资源。

在一种可能的设计中，所述第一层级时间跨度获取模块，具体用于：

根据每一子组对应的发生时间差值集合，计算每一子组对应的发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

在一种可能的设计中，所述平均算法为加权平均算法。所述第一层级时间跨度获取模块，具体用于：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

在一种可能的设计中，所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

第五方面，本发明实施例提供了一种告警关联规则的生成装置，包括：

告警划分模块，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

主告警获取模块，用于从所述告警划分模块处理得到的每一组内选择N种类型的告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内告警类型总数的整数；

数据分组处理模块，用于分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间；对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据；根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集；

频繁项集挖掘模块，用于对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集。

第二告警关联规则获取模块，用于根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

现有技术在生成告警关联规则时，通常采用滑动窗口与固定步长的方式对数据进行划分为多个时间窗口，为了最大程度上保证时间窗口中取得完整的告警序列数据，设置前一个时间窗口与后一个时间窗口在时间上互有重叠。因此相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

在一种可能的设计中，所述主告警获取模块具体用于：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

在一种可能的设计中，所述第二预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

第六方面，本发明实施例提供了一种告警压缩装置，包括：

第一告警压缩模块，用于采用第五方面所述的任意一种设计的所述关联规则的生成装置所生成的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警；

第二告警压缩模块，用于采用第四方面所述的任意一种设计的所述关联规则的生成装置所生成的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理，得到至少一条根源告警。

现有的告警关联方法一般直接对告警数据通过频繁项集挖掘算法以及设置置信度阈值对数据集进行处理生成关联规则，从而利用该关联规则来进行告警压缩以及过滤，但是现有技术中通过频繁项集挖掘算法得到告警规则对告警数据压缩过滤时，并没有考虑到闪断告警，因此使得得到的告警规则并不能准确反映告警之间的实际关联关系，从而使得确定的根源告警的准确率偏低。通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

另外，现有技术在生成告警关联规则时，通常采用滑动窗口与固定步长的方式对数据进行划分为多个时间窗口，为了最大程度上保证时间窗口中取得完整的告警序列数据，设置前一个时间窗口与后一个时间窗口在时间上互有重叠。因此相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

第七方面，本发明实施例提供了一种存储一个或多个程序的计算机可读存储介质，所述一个或多个程序包括指令，所述指令当被电子设备执行时使所述电子设备执行第一方面中的任意一种方法或者第二方面中的任意一种方法或者第三方面中的任意一种方法。

附图说明

图1为本发明实施例提供的一种告警关联规的生成方法流程图；

图2为本发明实施例提供的告警数据分组方法示意图；

图3为本发明实施例提供的告警数据分组示意图；

图4A为本发明实施例提供的一个子组包括的告警示意图；

图4B为本发明实施例提供的一个子组对应的时间跨度集示意图；

图4C为本发明实施例提供的一个子组中包括的主告警D示意图；

图5为本发明实施例提供的另一种关联规的生成方法流程图；

图6A为本发明实施例提供的时序数据片段示意图；

图6B为本发明实施例提供的分组数据示意图；

图7为本发明实施例提供的一种关联规的生成装置示意图；

图8为本发明实施例提供的另一种告警关联规的生成装置示意图；

图9为本发明实施例提供的一种告警压缩装置示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

告警规则是故障管理中对告警进行处理的最关键性依据，是用于处理时间段内的告警数据，使这些告警数据能够以一种提纲层级的方式进行呈现，关联需要呈现的告警量，并可直接消除与故障排除无关的告警，从而输出能够准确、有效的呈现出导致故障的根源告警，便于高效率的排除故障。告警关联是指对告警进行合并和转化，将多个告警合并成一条且有多信息量的告警记录，并由此确定能反应故障根本原因的告警，使真正根源告警得以准确显现出来。告警关联也可以称之为告警的压缩与过滤，其目的就是为了向后续的相关维修服务系统输出故障单(Trouble Tick)。

告警信息只是表明可能有故障发生，但并非所有的告警信息都能够表明故障发生原因，而众多模块引发的巨量告警会错综叠加，可能淹没了能够表明故障发生原因的真正根源告警，导致故障识别异常困难，非常不利于故障的排查，使得网络的故障管理(FM)一直以来都是电信网络管理中的一个难题。

在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。

为了提供识别效率以及准确率，本发明实施例提供一种告警关联规则的生成方法、告警压缩方法及装置，用以解决现有技术中存在的确定根源告警准确率较低的问题。其中，方法和装置是基于同一发明构思的，由于方法及装置解决问题的原理相似，因此装置与方法的实施可以相互参见，重复之处不再赘述。本发明实施例适用的应用场景包括但不仅限于同一网元产生的海量告警，同域中不同网元产生的海量告警，以及不同域内多个网元产生的海量告警等；其中，所谓的域包括无线域、分组交换(Packet Switch，PS)域或者电路交换(Circuit Switched，CS)域等等。本发明实施例具体可以应用于网络管理系统(以下简称“网管系统”)，也可以应用于能够实现告警压缩的设备，本发明实施例对此不作具体限定。

参见图1，为本发明实施例提供的一种告警关联规则的生成方法，该方法可以由网管系统实现。该方法包括：

S101，将一段时间内发生的多个告警构成的告警数据对应到至少一个组；将位于同一组内的至少一个告警对应到至少一个子组；

其中，属于不同域的告警对应不同的组，一个组包括至少一个告警；且一个组对应一个域，属于相同域的告警对应到一个组中。属于不同节点的告警对应不同的子组，一个子组包括至少一个告警，一个子组对应一个节点，属于相同节点的告警对应到一个子组中。

经过上述分组处理后得到分组后的告警数据。

如表1所示为一个样例告警的字段，告警的字段包括：网元名称(NEName)、网元类型(NEType)、告警名称(EventDetail，也常被记为AlarmName)以及告警发生时间(EventTime，也可以记为OcurrenceTime)。其中，网元名称(NEName)也可以称为节点名称(NodeName)，用于表示对应的节点。告警的字段还可以包括：告警定位信息(ObjectInstance)、告警网元流水号(NEseriaNo)、告警种类(FaultFlag)、告警网管类型(FaultFuncition)告警等级(Severity)等中的至少一项。

网元名称	NEName
		网元类型	NEType
告警名称	EventDetail
		告警发生时间	EventTime
告警定位信息	ObjectInstance
		告警网元流水号	NEseriaNo
告警种类	FaultFlag
		告警网管类型	FaultFuncition
告警等级	Severity

表1

为了确定每个网元类型所对应的域，可以预先配置每个网元类型所归属的域(DOMAIN)，例如表2所示的网元类型与域之间的对应关系。

NEType	DOMIAN
		BSC6900GSM	2G
BSC6900UMTS	3G
		BSC6910UMTS	3G
BTS3900LTE	4G
		CG	PS
SGPOMU	CS
		CHLR9820	HLR
HSS	HSS
		ICS	IMS
OSS	UNKNOWN

表2

其中，在对告警数据进行分组时，按照告警数据包括的各个告警所属的域(DOMAIN，简称D)以及所属的节点(Node，简称N)将所述告警数据进行分组处理，具体参见步骤S101。还可以按照告警数据包括的各个告警所属的域(DOMAIN，简称D)、所属的网元类型(NEType，简称T)以及所属的节点(Node，简称N)将所述告警数据进行分组处理，如图2所示，具体如下：

由上述表2中记录的NEType与DOMIAN的对应关系得到每个告警对应的DOMIAN，然后按照每个告警所属的DOMAIN进行第一层级分组处理，第一层级包括多个组。然后在第一层级的基础上，将每个组包括的告警按照告警所属的网元类型进行第二层级分组处理，即将每个组包括的告警按照告警所属的网元类型划分为多个副组。然后在第二层级的基础上，将每个副组包括的告警按照告警所属的节点划分为多个子组。经过分组后得到分组后的告警数据。告警数据被划分为至少一个组，一个组对应一个域，一个组包括至少一个告警；每个组中被划分为至少一个副组，一个副组对应一个网元类型，一个副组包括至少一个告警；每个副组被划分为至少一个子组，一个子组对应一个节点，一个副组包括至少一个告警。经过上述分组后，一个组中包括至少一个副组，一个副组中至少包括一个子组。

在对分组后的数据进行保存时，可以以文件存储形式输出分组结果，如图3所示，文件夹表示域名称(第一层级分组)，如图3所示的2G、3G、4G等等。每个文件夹中存储文件的文件名通过如下方式表示：文件名的前缀_后缀。文件名的前缀，即下划线的前部分表示NEType，例如：BSC6900UMTS。后缀，即下划线的后部分表示Node，例如：URNC01。文件中存储的为各个告警的告警信息。文件中的告警可以按照告警发生的先后顺序排列，形如<TimeStamp，AlarmName>的多行告警记录。

S102，从每一组内选择N种类型的闪断告警作为对应组的主告警。

其中，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数。

可选地，从每一组内选择N种类型的闪断告警作为对应组的主告警，可以通过如下方式实现：

统计所述每个组包括的每种告警类型的闪断告警发生的次数，并将发生次数最多的N种告警类型的闪断告警作为主告警。

在选择主告警时，还可以通过指定的方式，比如在只需要获取某个或者某几个闪断告警对应的告警关联规则的应用场景中，则可以指定需要获取的某个或者某几个闪断告警作为主告警。

其中，一个组包括的全部告警类型中有些告警类型的告警可能不是闪断告警，那么为了更准确，可以根据闪断告警的配置信息，从所有告警类型中先选择出所有的闪断告警，然后再从所有的闪断告警中选择出N种告警类型的闪断告警作为主告警。闪断告警的配置信息中包括闪断告警对应的告警标识，告警标识可以是告警名称，也可以是其他能够用于标识闪断告警的信息。

S103，将每一子组内第一类型主告警划入至少一个时间跨度集内。其中，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间。

所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

上述的主告警均为闪断告警。

S104，确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合。

其中，子组与发生时间差值集合是一对一的。

S105，根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

其中，子组和第一层级时间跨度是一对一的。

S106，根据每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度。

所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

其中，组和第二层级时间跨度是一对一的。

对于每一组内每一类型的主告警，均按照S103、S104、S105以及S106针对第一类型主告警的操作方法进行处理，从而对每一类型主告警进行压缩过滤处理。

可选地，将每一子组内第一类型主告警划入至少一个时间跨度集内，可以通过如下方式实现：

第一种实现方式：

B1，在所述第一类型主告警所在的第i个子组包括的告警中按照告警的发生时间先后顺序查找作为所述第一类型主告警的告警，当查找到所述第一类型主告警后，确定查找到的所述第一类型主告警的发生时间；其中，i＝1，2，3……N；

B2，当确定当前查找到所述第一类型主告警的发生时间与前一次查找到的所述第一类型主告警的发生时间的差值不大于第一预设时间时，将所述当前查找到的所述第一类型主告警的与所述前一次查找到的所述第一类型主告警的告警划分为同一个第一时间跨度集；或者，

当确定当前查找到所述第一类型主告警的发生时间与前一次查找到的所述第一类型主告警的发生时间的差值大于第一预设时间时，建立与所述前一次查找的所述第一类型主告警所划分的第一时间跨度集不同的第二时间跨度集；将所述当前查找到的所述第一类型主告警划入所述第二时间跨度集，直到查找到所述第i个子组中最后一个告警为止。

例如，如图4A所示的主告警D所在的一个子组包括的各个主告警按照发生时间先后的排序结果。在分组时，时间上，任意相邻两个作为主告警D的告警的发生时间差满足如下公式：

(D_{occurtime(j+1)}-D_occurtime(j))≤t₀。

其中，D_occurtime(j)表示在子组中作为主告警D的第j个告警的发生时间，t₀表示第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间。

以t₀＝9s为例，在如图4A所示的主告警D所在的一个子组查找作为所述每种主告警D，查找到在t＝29s处发生的告警D，建立时间跨度集1。将所述t＝29s处发生的告警D划分在时间跨度子集1中。然后继续查找，查找到t＝32s处发生的告警D，确定与t＝29s处发生的告警D的时间差为3s，且小于t0，t＝32s处发生的告警D被划分在时间跨度集1中，依次类推，查询到最后一个告警C为止。从而得到了如图4B所示的划分结果：3个时间跨度集分别为时间跨度集1、时间跨度集2以及时间跨度集3。

得到的发生时间差值集合为：时间跨度集1包括相邻两个主告警D之间的时间差分别为3s、1s以及2s，时间跨度集2包括的相邻两个主告警D之间的时间差分别为2s、1s、1s，时间跨度集3仅包括一各主告警D，因此时间差为0。

从而得到的主告警D的第一层级时间跨度为(3s+1s+2s+2s+1s+1s+0)/9＝10/9。

第二种实现方式：

C1，在所述第一类型主告警所在的第i个子组包括的告警中确定所述第一类型主告警。

其中，i＝1，2，3……N。

C2，按照确定的所述第一类型主告警的发生时间先后顺序划分为至少一个时间跨度集；

位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间。

以t₀＝9s为例，在如图4A所示的主告警D所在的一个子组确定所述主告警D得到如图4C所示的确定结果。从而将所述确定结果中包括的各个主告警D按照时间先后顺序划分为至少一个时间跨度集。具体的，判断任意两个相邻主告警D的发生时间差是否不大于第一预设时间，若是，则划分到同一时间跨度集，若否则划分为不同时间跨度集。从而得到如图4B所示的划分结果。

可选地，在上述步骤S105中，所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，可以通过如下方式实现：

根据每一子组对应的发生时间差值集合，计算每一子组对应发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

可选地，平均算法可以为加权平均算法。

那么所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，可以通过如下方式实现：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

通过上述实施例提供的方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

参见图5，为本发明实施例提供的一种告警关联规则的生成方法，该方法可以由网管系统实现。该方法包括：

S501，将一段时间内发生的多个告警对应到至少一个组；将位于同一组内的至少一个告警对应到至少一个子组；其中，属于不同域的告警对应不同的组，一个域对应一个组，属于相同域的告警对应到一个组；一个组包括至少一个告警；属于不同节点的告警被划分到不同的子组内，属于相同节点的告警对应到一个子组，一个子组包括至少一个告警。

具体可以参见图1对应的实施例所述的对告警数据进行分组处理方式，此处不再赘述。

S502，从每一组内选择N种类型的告警作为对应组的主告警；N为大于或者等于1且小于或等于对应组内告警类型总数的整数。

可选地，所述从每一组内选择N种类型的告警作为对应组的主告警，可以通过如下方式实现：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

在选择N种主告警时，还可以通过指定的方式，比如在只需要获取某个或者某几个告警对应的告警关联规则的应用场景中，则可以指定需要获取的某个或者某几个告警作为主告警。

S503，分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中。

其中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间。

上述分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，可以通过如下方式实现：

针对选定告警所在的子组分别执行如下：

A1，将第一次搜索到的选定告警，以及与所述第一次搜索到的选定告警的发生时间差的绝对值不大于第二预设时间的告警划入第一时序数据片断；若所述第一时序数据片断包括所述子组包括的最后一个告警，则划分结束，否则，从所述第一时序数据片断外的第一个告警继续搜索所述选定告警。

A2，将第二次搜索到的选定告警，以及与所述第二次搜索到的选定告警的发生时间差的绝对值不大于第二预设时间的告警划入第二时序数据片断；若所述第二时序数据片断包括所述子组包括的最后一个告警，则划分结束，否则，从所述第二时序数据片断外的第一个告警继续搜索所述选定告警；直到所述子组中包括的发生时间最晚的告警被划分完成，从而得到所述选定告警对应的至少一个时序数据片断。

例如，如图6A所示的主告警A所在的一个子组，该子组中包括的告警按照时间先后顺序排列。假设第二预设时间为4s，从图6A所示的子组中搜索主告警A，在35s出搜索到主告警A，则在35s前4s和35s后4s的间隔中包括的所有告警作为一个时序数据片断，也就是在31s到39s中包括的告警EDFABCE构成一个时序数据片断S1。然后从39s后不包括39s开始继续搜索主告警A，在47s处搜索到主告警A，从而43s到51s包括的所有告警DBADAC构成一个时序数据片断S2。然后继续搜索，则生成了如图6A所示的时序片断序列S1、S2、S3和S4。

S504，对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据。

以图6A为例，对每一个时序数据片断包括的告警分别进行去重处理得到所述第一类型主告警对应的分组数据集，如图6B所示。

在进行去重处理时，告警序列片断重复出现的告警仅保留在时序数据片断中首个出现的告警，后续出现的相同告警则删除。

S505，根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集。

S506，对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集。

本发明实施例中使用的频繁项集挖掘算法可以是现有技术中的方式，在此不作具体限定。

S507，根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；

S508，根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

可选地，根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则时，可以通过黑白名单数据来对比消减不合格的关联关系项等等方式过滤频繁项集。

例如：黑白名单数据中包括了黑名单数据，以及白名单数据；其中黑名单数据中包括任意两项或者多项告警不能同时存在的告警标识。例如告警A与告警B不能同时存在，则黑名单数据中，将告警A与告警B关联记录告警标识。其中白名单数据中包括了任一两项或者多项告警必须同时存在的告警标识。例如告警C和告警D必须同时存在，则白名单数据中，将告警C和告警D关联记录告警标识。从而根据黑白名单数据可以确定频繁项集中哪几个告警之间是不合格的关联关系项，则可以将不合格的关联关系项从该频繁项集中删除。

现有技术中通常采用滑动窗口与固定步长的方式将数据划分为多个时间窗口，该种划分方式使得相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

本发明实施例还提供了一种告警压缩方法，该方法包括：

采用图5所示的实施例提供的任意一种告警关联规则的生成方法所生成所述的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警；

采用图1所示的实施例提供的任意一种告警关联规则的生成方法所生成的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理，得到至少一条根源告警。

基于与图1对应的实施例提供的方法同样的发明构思，本发明实施例提供了一种告警关联规则的生成装置，该告警关联规则的生成装置可以设置于网管系统中，如图7所示，该告警关联规则的生成装置可以包括：

告警划分模块701，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警。

为了描述方便，可以将上述分组后的数据称为告警数据集。

主告警获取模块702，用于从所述告警划分模块处理得到的每一组内选择N种类型的闪断告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数。

具体的，告警划分模块701得到的告警数据集输入主告警获取模块702，输出确定的每个组中包括的主告警。

时间跨度集获取模块703，用于将所述主告警获取模块702确定的每一子组内的第一类型主告警划入至少一个时间跨度集内，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间。

具体的，告警划分模块701得到的告警数据集以及主告警获取模块702输出的确定的每个组中包括的主告警均输入时间跨度集获取模块703得到每一类型主告警都分别对应至少一个时间跨度集。时间跨度集获取模块703对每一类型主告警执行的操作分别执行上述操作，从而得到每一类型主告警分别对应的至少一个时间跨度集。时间跨度集获取模块703得到至少一个时间跨度集输入到第一层级时间跨度获取模块704。

第一层级时间跨度获取模块704，用于确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合，子组与发生时间差值集合是一对一的；根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，子组和第一层级时间跨度是一对一的。时间跨度集获取模块703得到至少一个时间跨度集输入到第一层级时间跨度获取模块704，然后第一层级时间跨度获取模块704输出每一个子组对应的第一层级时间跨度。

第一告警关联规则获取模块705，用于根据第一层级时间跨度获取模块704处理得到的每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度。

所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

其中，组和第二层级时间跨度是一对一的。将第一层级时间跨度获取模块704输出每一个子组对应的第一层级时间跨度以及待压缩的告警数据输入第一告警关联规则获取模块705得到压缩后的告警数据。

在一种可能的设计中，所述主告警获取模块702，在从每一组内选择N种类型的闪断告警作为对应组的主告警时，具体用于：

按照每一组内每一类型的闪断告警发生的次数，确定发生次数最多的N种类型的闪断告警为对应组的主告警。

在一种可能的设计中，所述第一层级时间跨度获取模块704，在根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度时，具体用于：

根据每一子组对应的发生时间差值集合，计算每一子组对应的发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

在一种可能的设计中，所述平均算法为加权平均算法。那么所述第一层级时间跨度获取模块704，在根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度时，具体用于：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

在一种可能的设计中，所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

本发明实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，另外，在本申请各个实施例中的各功能模块可以集成在一个处理器中，也可以是单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

其中，集成的模块既可以采用硬件的形式实现时，告警划分模块701，主告警获取模块702、时间跨度集获取模块703、第一层级时间跨度获取模块704以及第一告警关联规则获取模块705对应的实体硬件可以为处理器。处理器，可以是一个中央处理单元(英文：central processing unit，简称CPU)，或者为数字处理单元等等。其中，告警压缩装置中还包括存储器，用于存储处理器执行的程序，处理器用于执行存储器存储的程序。存储器还用存储配置的参数信息，比如第一预设时间以及网元类型与域之间的对应关系等等信息。

存储器可以是易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器也可以是非易失性存储器(英文：non-volatile memory)，例如只读存储器(英文：read-only memory，缩写：ROM)，快闪存储器(英文：flash memory)，硬盘(英文：hard disk drive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)、或者存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是上述存储器的组合。

通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

基于与图5所示的实施例提供方法同样的发明构思，本发明实施例提供了一种告警关联规则的生成装置，如图8所示，该装置包括：

告警划分模块801，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警。

主告警获取模块802，用于从所述告警划分模块801处理得到的每一组内选择N种类型的告警作为对应组的主告警，

其中，N为大于或者等于1且小于或等于对应组内告警类型总数的整数。

数据分组处理模块803，用于分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间；对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据；根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集。

频繁项集挖掘模块804，用于对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集。

第二告警关联规则获取模块805，用于根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

可选地，所述主告警获取模块802，在从每一组内选择N种类型的告警作为对应组的主告警时，具体用于：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

在一种可能的设计中，所述第二预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

本发明实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，另外，在本申请各个实施例中的各功能模块可以集成在一个处理器中，也可以是单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

其中，集成的模块既可以采用硬件的形式实现时，告警划分模块801，主告警获取模块802、数据分组处理模块803、频繁项集挖掘模块804以及第二告警关联规则获取模块805对应的实体硬件可以为处理器。处理器，可以是一个中央处理单元(英文：centralprocessing unit，简称CPU)，或者为数字处理单元等等。其中，告警压缩装置中还包括存储器，用于存储处理器执行的程序，处理器用于执行存储器存储的程序。存储器还用存储配置的参数信息，比如第二预设时间以及网元类型与域之间的对应关系等等信息。

存储器可以是易失性存储器，例如随机存取存储器；存储器也可以是非易失性存储器，例如ROM，快闪存储器，HDD或SSD、或者存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是上述存储器的组合。

现有技术中通常采用滑动窗口与固定步长的方式将数据划分为多个时间窗口，该种划分方式使得相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间间隔，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

本发明实施例还提供了一种告警压缩装置，如图9所示，该装置包括：

第一告警压缩模块901，用于采用图8所示的实施例对应的告警关联规则的生成装置所生成的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警；

第二告警压缩模块902，用于采用采用图7所示的实施例对应的告警关联规则的生成装置所生成的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理，得到至少一条根源告警。

现有的告警关联方法一般直接对告警数据通过频繁项集挖掘算法以及设置置信度阈值对数据集进行处理生成关联规则，从而利用该关联规则来进行告警压缩以及过滤，但是现有技术中通过频繁项集挖掘算法得到告警规则对告警数据压缩过滤时，并没有考虑到闪断告警，因此使得得到的告警规则并不能准确反映告警之间的实际关联关系，从而使得确定的根源告警的准确率偏低。通过上述方案，针对每种作为闪断告警的主告警，确定第二层级时间跨度，即确定其合适的发生时间段，从而能够对每种闪断告警进行压缩过滤处理，相比现有技术而言更能真实准确反映告警之间的实际的关联关系，从而提高了确定的根源告警的准确率。

另外，现有技术在生成告警关联规则时，通常采用滑动窗口与固定步长的方式对数据进行划分为多个时间窗口，为了最大程度上保证时间窗口中取得完整的告警序列数据，设置前一个时间窗口与后一个时间窗口在时间上互有重叠。因此相邻的两个时间窗口重叠导致切分得到的事务数据将会膨胀超过原始数据，带来过多的存储开销，浪费的资源，并会得到不相关的事务数据。在数据量较大的场景中，不相关的数据会对识别存在真正关联关系的告警产生干扰，识别效率和准确率均会降低。而通过本发明实施例提供的方案，在划分时间窗口(本发明实施例中的时序数据片断)时，查找每种告警，并基于查找的告警前后第二预设时间，仅有少数的两个时序数据片断中存在重叠，从而降低了存储开销，节省了资源，并且能够将与该种告警存在关联关系的告警会被划分到一个时序数据片断中，降低了得到不相关的事务数据的可能，从而提供了识别效率以及准确率。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (18)

1.一种告警关联规则的生成方法，其特征在于，包括：

将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；

将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

从每一组内选择N种类型的闪断告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数；

将每一子组内第一类型主告警划入至少一个时间跨度集内，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间；

确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合；

根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度；

根据每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度，所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

2.根据权利要求1所述的生成方法，其特征在于，所述从每一组内选择N种类型的闪断告警作为对应组的主告警，具体包括：

按照每一组内每一类型的闪断告警发生的次数，确定发生次数最多的N种类型的闪断告警为对应组的主告警。

3.根据权利要求1所述的生成方法，其特征在于，所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，具体包括：

根据每一子组对应的发生时间差值集合，计算每一子组对应的发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

4.根据权利要求1至3任一项所述的生成方法，其特征在于，所述平均算法为加权平均算法；

所述根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度，具体包括：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

5.根据权利要求1至3任一项所述的生成方法，其特征在于，所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

6.一种告警关联规则的生成方法，其特征在于，包括：

将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；

将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

从每一组内选择N种类型的告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内告警类型总数的整数；

分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间；

对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据；

根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集；

对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集；

根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；

根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

7.根据权利要求6所述的生成方法，其特征在于，所述从每一组内选择N种类型的告警作为对应组的主告警，具体包括：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

8.根据权利要求6或7所述的生成方法，其特征在于，所述第二预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

9.一种告警压缩方法，其特征在于，包括：采用权利要求6至8任一项方法所生成的所述的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警；

采用权利要求1至5任一项方法所生成的所述的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理，得到至少一条根源告警。

10.一种告警关联规则的生成装置，其特征在于，包括：

告警划分模块，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

主告警获取模块，用于从所述告警划分模块处理得到的每一组内选择N种类型的闪断告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内闪断告警类型总数的整数；

时间跨度集获取模块，用于将所述主告警获取模块确定的每一子组内的第一类型主告警划入至少一个时间跨度集内，位于同一时间跨度集内的每两个相邻的第一类型主告警之间的发生时间差值小于第一预设时间，位于不同时间跨度集内的发生时间最近的两个第一类型主告警之间的发生时间差值大于或等于第一预设时间；

第一层级时间跨度获取模块，用于确定每一子组的每一时间跨度集内每相邻两个第一类型主告警之间的发生时间差值，得到每一子组的发生时间差值集合；根据每一子组对应的发生时间差值集合以及对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度；

第一告警关联规则获取模块，用于根据第一层级时间跨度获取模块处理得到的每一组内包括的所有所述第一层级时间跨度以及包括的子组的总数，按照平均算法，计算得到每一组内所述第一类型主告警的第二层级时间跨度，所述第二层级时间跨度即为用于对发生时间差小于所述第二层级时间跨度的多个所述第一类型主告警进行压缩过滤处理的第一告警关联规则。

11.根据权利要求10所述的生成装置，其特征在于，所述主告警获取模块，在从每一组内选择N种类型的闪断告警作为对应组的主告警时，具体用于：

按照每一组内每一类型的闪断告警发生的次数，确定发生次数最多的N种类型的闪断告警为对应组的主告警。

12.根据权利要求10所述的生成装置，其特征在于，所述第一层级时间跨度获取模块，具体用于：

根据每一子组对应的发生时间差值集合，计算每一子组对应的发生时间差值集合中所有发生时间差值的和值；

根据每一子组对应的发生时间差值的和值与对应的第一类型主告警的总数，按照平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

13.根据权利要求10至12任一项所述的生成装置，其特征在于，所述平均算法为加权平均算法；

所述第一层级时间跨度获取模块，具体用于：

根据每一子组内每一时间跨度集对应的全部发生时间差值，计算每一子组内每一时间跨度集对应的发生时间差值的和值；

根据每一子组内每一时间跨度集包含的所述第一类型主告警的总数，赋予每一子组内每一时间跨度集相应的权重，其中，同一子组内，包含所述第一类型主告警的数量多的时间跨度集被赋予的权重要大于包含所述第一类型主告警的数量少的时间跨度集被赋予的权重；

根据每一子组内每一时间跨度集对应的发生时间差值的和值以及被赋予的权重，并根据对应子组包含的所述第一类型主告警的总数，按照加权平均算法，计算得到每一子组内所述第一类型主告警的第一层级时间跨度。

14.根据权利要求10至12任一项所述的生成装置，其特征在于，所述第一预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

15.一种告警关联规则的生成装置，其特征在于，包括：

告警划分模块，用于将一段时间内发生的多个告警对应到至少一个组，属于不同域的告警对应不同的组，一个组包括至少一个告警；将位于同一组内的至少一个告警对应到至少一个子组，属于不同节点的告警对应不同的子组，一个子组包括至少一个告警；

主告警获取模块，用于从所述告警划分模块处理得到的每一组内选择N种类型的告警作为对应组的主告警，N为大于或者等于1且小于或等于对应组内告警类型总数的整数；

数据分组处理模块，用于分别以所述N种主告警中的每一种主告警为选定告警，将每一子组包括的所有告警对应到至少一个时序数据片断中，每一时序数据片段中包括的在其它时序数据片断之外的且发生时间最早的选定告警为对应时序数据片段的参考告警，每一时序数据片段中包括的所有其他告警的发生时间与所述参考告警的发生时间之间的间隔小于或等于第二预设时间；对每一种选定告警对应的每一时序数据片断包括的全部告警分别进行去重处理后，得到与每一种选定告警对应的每一时序数据片段对应的分组数据；根据每一组内，每一种选定告警对应的全部时序数据片段对应的全部分组数据，得到每一种选定告警在每一组的分组数据集；

频繁项集挖掘模块，用于对每一种选定告警在所有组的分组数据集，使用频繁项集挖掘算法进行频繁项集挖掘处理，从而得到每一种选定告警的频繁项集；

第二告警关联规则获取模块，用于根据所述N种主告警中每一种主告警对应的频繁项集，得到最终频繁项集，所述最终频繁项集中包括的每一频繁项均包含在所述N种主告警中每一种选定告警对应的频繁项集中；根据所述最终频繁项集，按照消减处理的方法，生成第二告警关联规则。

16.根据权利要求15所述的生成装置，其特征在于，所述主告警获取模块，具体用于：

按照每一组内每一类型的告警发生的次数，确定发生次数最多的N种类型的告警为对应组的主告警。

17.根据权利要求15或16所述的生成装置，其特征在于，所述第二预设时间为根据告警压缩准确率和告警压缩粒度设定的经验值。

18.一种告警压缩装置，其特征在于，包括：

第一告警压缩模块，用于采用权利要求15至17任一项所述关联规则的生成装置所生成的第二告警关联规则对多条告警进行压缩过滤处理，得到至少一条中间告警；

第二告警压缩模块，用于采用权利要求10至14任一项所述关联规则的生成装置所生成的第一告警关联规则对所述至少一条中间告警进行压缩过滤处理，得到至少一条根源告警。

Images