CN109117350A - 自动监控计算机软硬件的告警方法、装置及服务器 - Google Patents

Abstract

本发明提供了一种自动监控计算机软硬件的告警方法、装置及服务器，属于信息安全技术领域。本发明实施例提供的自动监控计算机软硬件的告警方法、装置及服务器，通过采集网络环境中计算机的运行参数，然后将采集的运行参数存储到数据库中，并结合预先设定的监控分析指标，确定运行参数的报警临界点触发事件，最后利用决策树模型算法对报警临界点触发事件分析获得告警信息，可以在线、动态、主动的发现计算机中可能存在的告警软硬件设备，对软硬件的运行参数配置报警临界点触发事件，能够通过分析报警临界点触发事件进行自动判定网络中的软硬件设备的实时运行状态，提高网络终端设备的效率和稳定性，同时减轻管理员的工作量。

Description

自动监控计算机软硬件的告警方法、装置及服务器

技术领域

本发明涉及信息安全技术领域，具体而言，涉及一种自动监控计算机软硬件的告警方法、装置及服务器。

背景技术

计算机硬件监控、软件监控以及集群监控都属于对计算机稳定运行的一个监测方式，但现在常用的监测方式只能对硬件进行监控，以及对某一个特定软件的状态参数进行查看。但是，一台计算机中在某种网络环境中往往运行多个软件，这时管理员就必须在对这多种软件完全掌握的前提下才能判定这台计算机在什么情况下正常及哪种情况会发生告警，由此无法准确的判定发生告警是硬件的问题还是软件的问题，这些都会让管理员一头雾水，导致告警问题不能及时地解决，从而影响团队的正常运作。

发明内容

针对上述现有技术中存在的问题，本发明提供了一种自动监控计算机网络中软硬件的告警方法、装置及服务器，可以在线、动态、主动的发现计算机中可能存在的告警软硬件设备，对每种软硬件的运行参数配置报警临界点触发事件，能够通过分析报警临界点触发事件进行自动判定网络中的软硬件设备的实时运行状态，提高网络终端设备的效率和稳定性，同时减轻管理员的工作量。

第一方面，本发明实施例提供了一种自动监控计算机网络中软硬件的告警方法，其中，所述方法应用于服务器中，所述方法包括：

采集与所述服务器连接的计算机的运行参数；其中，所述运行参数包括硬件运行参数和软件运行参数中的至少一种；

根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件；

利用决策树模型算法对所述报警临界点触发事件分析获得告警信息。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，所述根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件之前，所述方法还包括：

判断所述运行参数是否为奇数对；

如果是，则将采集的所述运行参数存储到数据库中。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，所述根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件的步骤，包括：

设置所述运行参数的多个报警级别和各个报警级别的报警条件；

根据所述运行参数的多个报警级别和各个报警级别的报警条件，确定所述运行参数的报警临界点触发事件。

结合第一方面的第二种可能的实施方式，本发明实施例提供了第一方面的第三种可能的实施方式，其中，设置所述运行参数的多个报警级别和各个报警级别的报警条件的步骤，包括：

确定所述运行参数所属的具体事件；

对所述具体事件进行属性配置，提取所述属性配置的结果；

根据所述属性配置的结果，设置所述运行参数的多个报警级别和各个报警级别的报警条件。

结合第一方面，本发明实施例提供了第一方面的第四种可能的实施方式，其中，所述利用决策树模型算法对所述报警临界点触发事件分析获得告警信息之前，所述方法还包括：

根据报警临界点触发事件的属性配置的结果，获取事件工单。

结合第一方面，本发明实施例提供了第一方面的第五种可能的实施方式，其中，所述利用决策树模型算法对所述报警临界点触发事件分析获得告警信息的步骤，包括：

获取所述报警临界点触发事件中的运行参数的各个属性参数；

对所述运行参数的各个属性参数设定阈值，确定父节点；

对所述父节点进行节点分裂，获取分裂结果；

根据所述分裂结果获得告警信息。

结合第一方面的第五种可能的实施方式，本发明实施例提供了第一方面的第六种可能的实施方式，其中，对所述运行参数的各个属性参数设定阈值，确定父节点的步骤，包括：

根据所述运行参数的各个属性参数设定的阈值，提取所述阈值下的熵值最大的节点作为父节点。

第二方面，本发明实施例还提供了一种自动监控计算机软硬件的告警装置，其中，所述装置应用于服务器中，所述装置包括：

采集模块，用于采集网络环境中计算机的运行参数；

确定模块，用于根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件；

分析模块，用于利用决策树模型算法对所述报警临界点触发事件分析获得告警信息。

结合第二方面，本发明实施例提供了第二方面的第一种可能的实施方式，其中，所述装置还包括：

判断模块，用于判断所述运行参数是否为奇数对。

第三方面，本发明实施例还提供了服务器，其中，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现第一方面的任一项所述的方法。

本发明实施例带来了以下有益效果：

本发明实施例提供的自动监控计算机软硬件的告警方法、装置及服务器，通过采集网络环境中计算机的运行参数，其中，运行参数包括硬件运行参数和软件运行参数中的一种或者两种，然后根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件，最后利用决策树模型算法对报警临界点触发事件分析获得告警信息，可以在线、动态、主动的发现计算机中可能存在的告警软硬件设备，对每种软硬件的运行参数配置报警临界点触发事件，能够通过分析报警临界点触发事件进行自动判定网络中的软硬件设备的实时运行状态，提高网络终端设备的效率和稳定性，同时减轻管理员的工作量。

本发明的其他特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例所提供的自动监控计算机软硬件方法的流程图；

图2～3为本发明一实施例所提供的决策树算法分裂的结构示意图；

图4～5为本发明另一实施例所提供的自动监控计算机软硬件装置的模块图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

针对现有的告警问题不能及时的解决的问题，本发明实施例提供了一种自动监控计算机软硬件的告警方法、装置及服务器，以下首先对本发明的自动监控计算机软硬件的告警方法进行详细介绍。

实施例一

本实施例提供了一种自动监控计算机软硬件的告警方法，图1 为自动监控计算机软硬件方法的流程图，该方法包括：

步骤S102，采集与服务器连接的计算机的运行参数，其中，运行参数包括硬件运行参数和软件运行参数中的至少一种。

计算机中的硬件包括：运算器，又称算术逻辑单元(Arithmetic Logic Unit简称ALU)，它是计算机对数据进行加工处理的部件；控制器，负责从存储器中取出指令，并对指令进行译码，根据指令的要求，按时间的先后顺序，负责向其它各部件发出控制信号，保证各部件协调一致地工作，一步一步地完成各种操作；中央处理器(Central ProcessingUnit，简称CPU)，它主要由控制器、运算器等组成，并采用大规模集成电路工艺制成的芯片，又称微处理器芯片；存储器，是计算机记忆或暂存数据的部件，计算机中的全部信息，包括原始的输入数据，经过初步加工的中间数据以及最后处理完成的有用信息都存放在存储器中。而且，指挥计算机运行的各种程序，即规定对输入数据如何进行加工处理的一系列指令也都存放在存储器中；输入设备，是给计算机输入信息的设备，它是重要的人机接口，负责将输入的信息(包括数据和指令)转换成计算机能识别的二进制代码，送入存储器保存；输出设备，是输出计算机处理结果的设备。

可以理解的是，对应计算机的上述硬件，硬件参数可以是CPU 使用率、内存使用率、文件占有率、文件空闲率及进程运行时长中的一种或者多种。当计算机中运行了一种或者多种软件时，不同的软件包括一个或者多个运行参数，比如线程、内存使用、正常运行时间、内存消耗等软件运行参数，一般情况下，利用不同的数据采集方法对硬件运行参数和软件运行参数进行采集。

步骤S104，根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件。

可以理解的是，根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件之前，该方法还包括：判断上述运行参数是否为奇数对，如果是，则将采集的运行参数存储到数据库中，其中，数据库可以为非关系型数据库(Elasticsearch，简称ES)。具体地，在某些情况下，网络通信会出现问题或者主节点因为负载过大停止响应等等，就会导致重新选举主节点，此时可能会出现集群中有多个主节点的现象，即节点对集群状态的认知不一致，称之为脑裂现象。为了避免脑裂现象的出现，需要将奇数对的运行参数存储到非关系型数据库中，候选主节点的个数＝(候选主节点数/2)+1，例如，当运行参数为 3时，该存储的运行参数＝(3/2)+1＝2，保证了存储了半数以上了运行参数，同时也避免了脑裂现象的出现。

进一步地，在采集计算机的运行参数后，需要对该运行参数进行分析，判断哪些为正常的运行参数，哪些为异常的运行参数，需要给运行参数建立报警临界点触发事件。

一般情况下，需要根据用户对监控做出的语义约定来设置报警临界点触发事件，比如，要对银行行业进行监控，先根据用户对银行行业做出的语义约定，然后设置报警临界点触发事件。

进一步地，根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件的步骤，包括：设置运行参数的多个报警级别和各个报警级别的报警条件，然后根据运行参数的多个报警级别和各个报警级别的报警条件，确定运行参数的报警临界点触发事件。具体地，设定的报警临界点触发事件包括：I、事件分类；II、事件名称；III、事件标识；Ⅳ、事件标识层级；Ⅴ、事件报警等级；Ⅵ、事件配置内容。例如，事件分类可以为故障类、安全类或者性能类，每一个事件分类包括对应的事件名称、事件标识、事件标识层次、事件报警等级和事件配备内容，其中，事件报警级别是根据每一个报警临界点触发事件的单独指标或者综合指标或者单独指标和综合指标共同达到报警零界点时设定的，报警级别根据不同的各个报警级别的报警条件设置为紧急告警、重要告警、次要告警、提示告警，一般告警等五级报警级别。

进一步地，设置运行参数的多个报警级别和各个报警级别的报警条件的步骤，包括：确定运行参数所属的具体事件，对具体事件进行属性配置，提取属性配置的结果，然后根据属性配置的结果，设置运行参数的多个报警级别和各个报警级别的报警条件。其中，对具体事件的属性配置包括：I、基本配置；II、权限配置；III、表单选择；Ⅳ、流程设计；Ⅴ、创建完成。

步骤S106，利用决策树模型算法对报警临界点触发事件分析获得告警信息。

需要注意的是，利用决策树模型算法对报警临界点触发事件分析获得告警信息之前，该方法还包括：根据报警临界点触发事件的属性配置的结果，获取事件工单。其中，事件工单包括：我的工单、代办工单、已办工单、工单监控。

进一步地，利用决策树模型算法对报警临界点触发事件分析获得告警信息的步骤，包括：获取报警临界点触发事件中的运行参数的各个属性参数，然后对运行参数的各个属性参数设定阈值，确定父节点，对父节点进行节点分裂，获取分裂结果，最后根据分裂结果获得告警信息。其中，对运行参数的各个属性参数设定阈值，确定父节点的步骤包括：根据运行参数的各个属性参数设定的阈值，提取阈值下的熵值最大的节点作为父节点。

决策树是一种树形结构的机器学习的方法，其中每个内部节点表示一个属性上的判断，每个分支代表一个判断结果的输出，最后每个叶节点代表一种分类结果。决策树是一种十分常用的分类方法，需要监管学习(有管理员)，监管学习就是给出一堆样本，每个样本都有一组属性和一个分类结果，也就是分类结果已知，那么通过学习这些样本得到一个决策树，这个决策树能够对新的数据给出正确的分类。

例如，给出如下的一组数据，一共有十个样本(资产数量)，每个样本有CPU使用率,内存使用率,文件空闲率,进程运行时长四个属性，最后判断这些资产是否是正常，最后一列给出了人工判断的结果。

图2～3为决策树算法分裂的结构示意图，其中，A,B,C,D,E为阈值。

具体地，决策树的生成主要分以下两步：

1.节点的分裂：一般当一个节点所代表的属性无法给出判断时，则选择将这一节点分成2个子节点(如不是二叉树的情况会分成 n个子节点)。

2.阈值的确定：选择适当的阈值使得分类错误率最小(Training Error)。需要注意的是，由增熵(Entropy increase)原理来决定哪个做父节点，哪个节点需要分裂，因此对于一组数据，熵越大说明分类结果越好。

根据上表中的4个属性：结合单独指标地通过以下语句分类：

1.CPU使用率小于90为【运行正常】：分错1个；

2.内存使用率小于80为【运行正常】：分错3个；

3.文件空闲率小于70为【运行正常】：分错2个；

4.运行时长大于3000为【运行正常】：分错2个。

其中，分错值是通过每类属性的熵值得到的，例如，X是一个取有限个值的离散性随机变量，其概率分布为P(X＝x_i)＝p_i，1，2，3，...，n，则熵定义为离散型随机变量的不确定性越大，熵越大，最后发现，CPU使用率大于90为【运行异常】这条分错最少，也就是熵最大，所以应该选择这条为父节点进行树的生成，当然 CPU使用率也可以选择小于85或者小于80等，内存使用率也可以选择小于70，65等，文件空闲率也可以选择70，75等，进程运行时长可以选择大于3000，3300等，根据选择的上述四个属性，最后选择分类错最少即熵最大的那个条件。而分裂父节点的道理也一样，分裂有很多选择，针对每一个选择，与分裂前的分错数比较，留下那个提高最大的选择，即熵增益最大。

由于每个类型的运行参数在决策树中的分错数决定报警，然后结合报警临界点触发事件、事件工单及决策树分裂结果等进行告警。

本发明实施例提供的自动监控计算机软硬件的告警方法，通过采集网络环境中计算机的运行参数，其中，运行参数包括硬件运行参数和软件运行参数中的一种或者两种，然后根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件，最后利用决策树模型算法对报警临界点触发事件分析获得告警信息，可以在线、动态、主动的发现计算机中可能存在的告警软硬件设备，对每种软硬件的运行参数配置报警临界点触发事件，能够通过分析报警临界点触发事件进行自动判定网络中的软硬件设备的实时运行状态，提高网络终端设备的效率和稳定性，同时减轻管理员的工作量。

实施例二

与上述方法实施例相对应地，本实施例提供了一种自动监控计算机软硬件的告警装置，如图4所示，该装置包括：

采集模块21，用于采集网络环境中计算机的运行参数。

确定模块22，用于根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件。

分析模块23，用于利用决策树模型算法对报警临界点触发事件分析获得告警信息。

其中，分析模块23还可以用于根据运行参数的各个属性参数设定的阈值，提取阈值下的熵值最大的节点作为父节点。

如图5所示，自动监控计算机软硬件的告警装置还包括判断模块 32，用于判断运行参数是否为奇数对。

本发明实施例提供的自动监控计算机软硬件的告警装置，通过采集网络环境中计算机的运行参数，其中，运行参数包括硬件运行参数和软件运行参数中的一种或者两种，然后根据预先设定的监控分析指标，确定运行参数的报警临界点触发事件，最后利用决策树模型算法对报警临界点触发事件分析获得告警信息，可以在线、动态、主动的发现计算机中可能存在的告警软硬件设备，对每种软硬件的运行参数配置报警临界点触发事件，能够通过分析报警临界点触发事件进行自动判定网络中的软硬件设备的实时运行状态，提高网络终端设备的效率和稳定性，同时减轻管理员的工作量。

实施例三

对应于上述发明实施例，本发明实施例还提供了一种服务器，其中，包括处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现上述自动监控计算机软硬件的告警方法。

具体的，处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(CentralProcessingUnit，简称CPU)、网络处理器 (NetworkProcessor，简称NP)等、还可以是数字信号处理器(Digital SignalProcessing，简称DSP)、专用集成电路(Application Specific Integrated Circuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成前述实施例的方法的步骤。

具体的，机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，机器可执行指令促使处理器实现上述自动监控计算机软硬件的告警方法，具体实现可参见方法实施例，在此不再赘述。

本发明实施例提供的自动监控计算机软硬件的告警方法、装置及服务器具有相同的技术特征，所以也能解决相同的技术问题，达到相同的技术效果。

需要说明的是，在本发明所提供的实施例中，应该理解到，所揭露系统和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明提供的实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备 (可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器 (RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种自动监控计算机软硬件的告警方法，其特征在于，所述方法应用于服务器中，所述方法包括：

采集与所述服务器连接的计算机的运行参数；其中，所述运行参数包括硬件运行参数和软件运行参数中的至少一种；

根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件；

利用决策树模型算法对所述报警临界点触发事件分析获得告警信息。

2.根据权利要求1所述的方法，其特征在于，所述根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件之前，所述方法还包括：

判断所述运行参数是否为奇数对；

如果是，则将采集的所述运行参数存储到数据库中。

3.根据权利要求1所述的方法，其特征在于，所述根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件的步骤，包括：

设置所述运行参数的多个报警级别和各个报警级别的报警条件；

根据所述运行参数的多个报警级别和各个报警级别的报警条件，确定所述运行参数的报警临界点触发事件。

4.根据权利要求3所述的方法，其特征在于，设置所述运行参数的多个报警级别和各个报警级别的报警条件的步骤，包括：

确定所述运行参数所属的具体事件；

对所述具体事件进行属性配置，提取所述属性配置的结果；

根据所述属性配置的结果，设置所述运行参数的多个报警级别和各个报警级别的报警条件。

5.根据权利要求1所述的方法，其特征在于，所述利用决策树模型算法对所述报警临界点触发事件分析获得告警信息之前，所述方法还包括：

根据报警临界点触发事件的属性配置的结果，获取事件工单。

6.根据权利要求1所述的方法，其特征在于，所述利用决策树模型算法对所述报警临界点触发事件分析获得告警信息的步骤，包括：

获取所述报警临界点触发事件中的运行参数的各个属性参数；

对所述运行参数的各个属性参数设定阈值，确定父节点；

对所述父节点进行节点分裂，获取分裂结果；

根据所述分裂结果获得告警信息。

7.根据权利要求6所述的方法，其特征在于，对所述运行参数的各个属性参数设定阈值，确定父节点的步骤，包括：

根据所述运行参数的各个属性参数设定的阈值，提取所述阈值下的熵值最大的节点作为父节点。

8.一种自动监控计算机软硬件的告警装置，其特征在于，所述装置应用于服务器中，所述装置包括：

采集模块，用于采集网络环境中计算机的运行参数；

确定模块，用于根据预先设定的监控分析指标，确定所述运行参数的报警临界点触发事件；

分析模块，用于利用决策树模型算法对所述报警临界点触发事件分析获得告警信息。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

判断模块，用于判断所述运行参数是否为奇数对。

10.一种服务器，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现权利要求1至7任一项所述的方法。