CN110399262A - 运维监测告警收敛方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本申请涉及软件监控领域，先对告警记录数据中的多个告警记录进行预处理以滤除干扰告警记录，然后基于关联规则挖掘算法对告警进行归纳与关联，得到体现告警元素之间关联关系的告警关联规则。具体公开了一种运维监测告警收敛方法、装置、计算机设备及存储介质，该方法包括：获取告警记录数据，告警记录数据包括多个告警记录，告警记录包括告警元素和告警时间；根据各告警记录的告警时间对告警记录数据进行预处理，以滤除告警记录数据中的干扰告警记录；基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各告警关联规则包括至少两个相关联的告警元素；将挖掘的告警关联规则保存至预设的存储器。

Description

运维监测告警收敛方法、装置、计算机设备及存储介质

技术领域

本申请涉及运维监测技术领域，尤其涉及一种运维监测告警收敛方法、装置、计算机设备及存储介质。

背景技术

监测系统是整个运维环节，乃至整个产品生命周期中最重要的一环，起着非常重要的作用。监测系统可以对服务器、操作系统、中间件、应用进行全面的监测及报警，可以在事前及时预警发现故障，事后提供翔实的数据用于追查定位问题。

但是，运维监测管理可能在某一时间产生大量告警，导致管理人员可能无法对告警进行及时有效分析处理。此外，对告警元素的直接分析处理，可能导致忽略告警间的关联性信息。因此需要通过收敛方式对告警进行归纳与关联。

发明内容

本申请实施例提供一种运维监测告警收敛方法、装置、计算机设备及存储介质，能够较佳地实现对运维监测告警数据进行归纳与关联，得到相关联的告警。

第一方面，本申请提供了一种运维监测告警收敛方法，所述方法包括：

获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间；

根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录；

基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素；

将挖掘的告警关联规则保存至预设的存储器。

第二方面，本申请提供了一种运维监测告警收敛装置，所述装置包括：

数据获取模块，用于获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间；

预处理模块，用于根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录；

规则挖掘模块，用于基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素；

规则保存模块，用于将挖掘的告警关联规则保存至预设的存储器。

第三方面，本申请提供了一种计算机设备，所述计算机设备包括存储器和处理器；所述存储器用于存储计算机程序；所述处理器，用于执行所述计算机程序并在执行所述计算机程序时实现上述的运维监测告警收敛方法。

第四方面，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，若所述计算机程序被处理器执行，实现上述的运维监测告警收敛方法。

本申请公开了一种运维监测告警收敛方法、装置、设备及存储介质，通过先对告警记录数据中的多个告警记录进行预处理以滤除干扰告警记录，提高收敛的准确性且可降低计算量；然后基于关联规则挖掘算法通过收敛方式对告警进行归纳与关联，挖掘若干告警关联规则，将可以体现告警元素之间关联关系的告警关联规则挖掘出来以供应用。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请一实施例的运维监测告警收敛方法的流程示意图；

图2为图1中对告警记录数据进行预处理的一实施方式的子流程示意图；

图3为图1中对告警记录数据进行预处理的另一实施方式的子流程示意图；

图4为图1中挖掘告警关联规则的子流程示意图；

图5为图4中生成非第一层级的频繁项目集的子流程示意图；

图6为本申请另一实施例的运维监测告警收敛方法的流程示意图；

图7为本申请再一实施例的运维监测告警收敛方法的流程示意图；

图8为本申请又一实施例的运维监测告警收敛方法的流程示意图；

图9为本申请又一实施例的运维监测告警收敛方法的流程示意图；

图10为本申请一实施例提供的运维监测告警收敛装置的结构示意图；

图11为本申请另一实施例提供的运维监测告警收敛装置的结构示意图；

图12为本申请一实施例提供的一种计算机设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

附图中所示的流程图仅是示例说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解、组合或部分合并，因此实际执行的顺序有可能根据实际情况改变。另外，虽然在装置示意图中进行了功能模块的划分，但是在某些情况下，可以以不同于装置示意图中的模块划分。

本申请的实施例提供了一种运维监测告警收敛方法、装置、设备及存储介质。其中，该运维监测告警收敛方法可以应用于终端或服务器中，以实现通过收敛方式对告警进行归纳与关联，得到相关联的告警。

例如，运维监测告警收敛方法用于服务器，当然可以用于终端，比如手机、笔记本、台式机等。但为了便于理解，以下实施例将以应用于服务器，如运维监测服务器的运维监测告警收敛方法进行详细介绍。

下面结合附图，对本申请的一些实施方式作详细说明。在不冲突的情况下，下述的实施例及实施例中的特征可以相互组合。

请参阅图1，图1是本申请的实施例提供的一种运维监测告警收敛方法的流程示意图。

如图1所示，运维监测告警收敛方法包括以下步骤S110-步骤S140。

步骤S110、获取告警记录数据。

具体的，告警是运维监测管理过程中产生的告警，告警记录数据包括多个告警记录。

监测系统是整个运维环节，乃至整个产品生命周期中最重要的一环，起着非常重要的作用。监测系统可以对服务器、操作系统、中间件、应用进行全面的监测及报警，可以在事前及时预警发现故障，事后提供翔实的数据用于追查定位问题。

示例性的，服务器可以在线获取运维监控工具接收到的告警记录，也可以离线获取运维监控工具在之前某一时段接收到的告警记录；运维监控工具例如可以为prometheus、Open-Falcon、Zabbix等。

具体的，所述告警记录包括告警元素和告警时间。

在一些实施例中，告警记录包括运维监控工具接收到告警时的告警时间。

在一些实施例中，告警记录包括例如“硬件设备A故障”这一告警元素。

在一些实施例中，各告警记录包括对应的标识ID，例如，将“硬件设备A故障”这一告警信息与某一标识ID关联存储；因此，根据“硬件设备A故障”这一告警信息可以得到相应的标识ID，可以将该标识ID作为告警元素生成告警记录，即告警记录中的告警元素为告警信息对应的标识ID。

示例性的，将告警信息与相应的统一资源定位符(Uniform Resource Locator，URL)关联存储，告警信息与作为标识ID的统一资源定位符一一对应；将统一资源定位符作为告警记录的告警元素，可以简化后续数据处理的过程，降低计算量。

步骤S120、根据各所述告警记录的告警时间对所述告警记录数据进行预处理。

具体的，通过对告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录。

在一些实施方式中，如图2所示，步骤S120根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录，包括步骤S1211-步骤S1212。

步骤S1211、根据所述告警时间统计在若干第一时间段内各告警元素对应的告警频率。

示例性的，步骤S110获取的告警记录数据中所有告警记录的告警时间分布于9时至21时，可以将这一时间范围划分为若干第一时间段；例如划分为9时-12时、12时至15时、15时至18时、18时至21时四个第一时间段。

示例性的，所述若干第一时间段的时长可以相等也可以不相等，不同的第一时间段之间也可以有重叠的时间。

示例性的，统计9时-12时这一第一时间段内对应于第一种告警元素，如sdsf68765的告警记录的出现频次、对应于第二种告警元素，如sdsr7765的告警记录的出现频次，以及对应于第三种告警元素，如srdf68778的告警记录的出现频次等；然后将这一第一时间段内对应于各告警元素的出现频次除以这一第一时间段内所有告警记录的总个数，以得到这一第一时间段内各告警元素对应的告警频率。

同样的，可以得到其他各第一时间段内各告警元素对应的告警频率。

步骤S1212、若有告警元素在任一所述第一时间段内对应的告警频率不小于预设频率阈值，滤除对应于所述告警元素且告警时间位于所述第一时间段内的告警记录。

示例性的，如果某告警元素在某一第一时间段内对应的告警频率等于或大于预设频率阈值，则判定该第一时间段内该告警元素具有高发性，为高发告警。

高发告警具有高发性，因此在后续的关联规则分析中，高发的告警记录有较高的概率与多个其他告警产生关联，成为干扰因素；因此可以在有告警元素在任一所述第一时间段内对应的告警频率不小于预设频率阈值时，滤除对应于所述告警元素且告警时间位于所述第一时间段内的告警记录，以滤除此类干扰告警记录。

示例性的，告警时间位于某一第一时间段内的告警记录有100条，其中有45条对应于同一种告警元素，如标识ID，则这一第一时间段内该告警元素对应的告警频率为0.45；该告警频率大于预设频率阈值，如0.4，则该告警元素对应的告警记录为高发告警记录；可以删除这45条对应于该种告警元素且告警时间位于这一第一时间段内的告警记录。

在另一些实施方式中，如图3所示，步骤S120根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录，包括步骤S1221-步骤S1222。

步骤S1221、根据所述告警时间统计若干第二时间段各自对应的告警记录的数量。

示例性的，统计告警时间位于9时-12时这一第二时间段内的所有告警记录的数量，以得到这一第二时间段对应的告警记录的数量；以及统计告警时间位于12时至15时、15时至18时、18时至21时各第二时间段内的所有告警记录的数量，以得到各第二时间段各自对应的告警记录的数量。

示例性的，所述若干第二时间段的时长可以相等也可以不相等，不同的第二时间段之间也可以有重叠的时间。

例如，告警时间位于12时至15时这一第二时间段内的所有告警记录的数量，即这一第二时间段对应的告警记录的数量为5条。

步骤S1222、若有任一所述第二时间段对应的告警记录的数量不大于预设低发阈值，滤除告警时间位于所述第二时间段内的告警记录。

如果在某一第二时间段内只发生了数量较少的告警记录，则这一第二时间段为告警低发时间段。示例性的，预设低发阈值为10。

示例性的，12时至15时这一第二时间段对应的告警记录的数量5不大于预设低发阈值10，则该第二时间段为告警低发时间段。

告警低发时间段内的告警具有偶然性，会对关联规则的精度产生干扰；通过滤除告警时间位于告警低发时间段内的告警记录，可以排除偶然性的告警对关联规则挖掘的干扰，使得得到的告警关联规则更准确。

在其他一些实施方式中，步骤S120根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录，既可以包括上述步骤S1211-步骤S1212，和可以包括步骤S1221-步骤S1222；可以先执行步骤S1211-步骤S1212然后执行步骤S1221-步骤S1222，也可以先执行步骤S1221-步骤S1222然后执行步骤S1211-步骤S1212。

步骤S130、基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则。

具体的，各所述告警关联规则包括至少两个相关联的告警元素。

示例性的，某告警关联规则包括两个相关联的告警元素X和告警元素Y。

具体的，对于一条告警关联规则X—>Y，其中告警元素X称为前件，告警元素Y称为后件。

示例性的，若有告警关联规则X—>Y，说明在告警元素X对应的告警记录发生时，较短时间内发生告警元素Y对应的告警记录的几率较大，需要防范。

示例性的，基于Apriori算法从预处理后的告警记录数据中挖掘若干告警关联规则。

在一些实施方式中，如图4所示，步骤S130基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，包括步骤S131-步骤S137。

步骤S131、根据预处理后告警记录数据中各告警记录的告警时间将各所述告警记录的告警元素划分至至少一个事务。

具体的，同一事务中告警元素对应的告警时间位于同一第三时间段。

示例性的，某时10分至20分，发生了5个告警记录，则将告警时间位于该时10分至20分这一第三时间段内的告警记录的告警元素划分至同一个事务。

示例性的，第三时间段的时长不大于前述的第一时间段、第二时间段的时长；告警时间位于同一第三时间段内的若干个告警记录可以判定为同一次发生的。

具体的，在同一第三时间段内发生的告警记录中的告警元素的集合Ti称为一个事务。例如某一时刻或某一时间段内发生的告警记录中的告警元素的集合Ti为一个事务。示例性的，某事务Ti包括告警元素X和告警元素Y。

步骤S131得到的各事务的集合T＝{T1，T2，T3，T4，……}为事务集合。

示例性的，有事务集合T，其包括7个事务，分别为{1，2，3}、{1，2，4}、{1，3，4}、{1，2，3，5}、{1，3，5}、{2，4，5}、{1，2，3，4}。

各事务中包括对应的告警元素1、2、3、4、5。

步骤S132、根据所述至少一个事务的并集得到项目集合。

某告警记录数据中所有告警记录中告警元素的集合称作项目集合；具体可以求取各事务的并集得到，示例性的，项目集合I＝{1，2，3，4，5}。各事务Ti是项目集合I的真子集。

具体的，所述项目集合包括多个不同的告警元素，如告警元素1和告警元素5。

步骤S133、循环扫描各所述事务，以得到所述项目集合中各告警元素对应的支持度。

示例性的，循环扫描各所述事务，并统计项目集合中各告警元素在所有事务中出现的次数，该次数可以作为各告警元素对应的支持度(support)。

示例性的，循环扫描各所述事务，并统计包括所述告警元素的事务的个数，该个数与事务总数的比例可以作为该告警元素对应的支持度(support)。

示例性的，告警元素1在6个事务中出现，则告警元素1对应的支持度为6/7，同样的，告警元素2、3、4、5对应的支持度分别为5/7、5/7、4/7、3/7。

步骤S134、将支持度不小于支持度阈值的告警元素存储至第一层级的频繁项目集对应的存储区域。

示例性的，支持度阈值minsup＝3/7，则将告警元素1、2、3、4、5存储至第一层级的频繁项目集对应的存储区域，可得到第一层级的频繁项目集，即1-频繁项目集：{1}、{2}、{3}、{4}、{5}。

如果一个告警元素的支持度很小，则表明它在事务集合中覆盖范围也很小，有可能是偶然发生的。支持度不小于支持度阈值，则可判定告警元素不太可能是偶然发生的，有较大可能是与其他的告警元素相关联的。

步骤S135、基于频繁项目集生成规则，根据所述第一层级的频繁项目集生成至少一个非第一层级的频繁项目集。

示例性的，根据第一层级的频繁项目集，即1-频繁项目集生成第二层级的频繁项目集，即2-频繁项目集，然后根据第二层级的频繁项目集生成第三层级的频繁项目集，即3-频繁项目集，……，根据第k层级的频繁项目集，即k-频繁项目集生成第(k+1)层级的频繁项目集，即(k+1)-频繁项目集，依次类推，直至生成所有的非第一层级频繁项目集。具体的k为不小于2的自然数。

具体的，先根据1-频繁项目集生成所有的包含2个告警元素的项目集。任意取两个只有最后一个告警元素不同的1-频繁项目集，求其并集，由于每个1-频繁项目集中告警元素只有一个，所以生成的包含2个告警元素的项目集：{1，2}、{1，3}、{1，4}、{1，5}；{2，3}、{2，4}、{2，5}；{3，4}、{3，5}；{4，5}。

然后计算各包含2个告警元素的项目集的支持度，以及将支持度不小于支持度阈值的包含2个告警元素的项目集存储至第二层级的频繁项目集对应的存储区域。

示例性的，循环扫描各所述事务，并统计同时包含项目集中2个告警元素的事务的个数，该个数与事务总数的比例可以作为该告警元素对应的支持度。

例如，项目集{1，2}中的2个告警元素同时在4个事务中出现，则该项目集对应的支持度为4/7；项目集{1，5}中的2个告警元素同时在2个事务中出现，则该项目集对应的支持度为2/7。

通过与支持度阈值比较，项目集{1，2}、{1，3}、{1，4}、{2，3}、{2，4}、{2，5}的支持度不小于支持度阈值，因此求得2-频繁项目集：{1，2}、{1，3}、{1，4}、{2，3}、{2，4}。

示例性的，如图5所示，根据第k层级的频繁项目集，即k-频繁项目集生成第(k+1)层级的频繁项目集，即(k+1)-频繁项目集，包括以下步骤S1351-步骤S1353。

步骤S1351、任意取两个只有最后一个元素不同的k-频繁项目集，求所述两个k-频繁项目集的并集以得到各包含(k+1)个元素的项目集。

例如，对于2-频繁项目集：{1，2}、{1，3}、{1，4}、{2，3}、{2，4}，因为{1，2}、{1，3}、{1，4}除了最后一个元素以外都相同，所以求{1，2}、{1，3}的并集得到{1，2，3}；{1，2}和{1，4}的并集得到{1，2，4}，{1，3}和{1，4}的并集得到{1，3，4}，{2，3}，{2，4}求并集得到{2，3，4}。

步骤S1352、若存在包含(k+1)个元素的项目集对应的k非空子集不在k-频繁项目集中，则剔除所述包含(k+1)个元素的项目集。

上述步骤S1351得到的这些包含(k+1)个元素的项目集不一定都是频繁项目集，所以需要进行剪枝。剪枝的办法是看它的所有k非空子集是否在k-频繁项目集中，如果存在k非空子集不在k-频繁项目集中，则将该包含(k+1)个元素的项目集剔除。经过该步骤之后，剩下的包含(k+1)个元素的项目集则全是(k+1)-频繁项目集。

示例性的，由于{1，3，4}的子集{3，4}不在2-频繁项目集中，所以需要把{1，3，4}剔除掉。

步骤S1353、从未被剔除的包含(k+1)个元素的项目集中筛选出支持度不小于支持度阈值的(k+1)-频繁项目集。

示例性的，通过计算{1，2，3}和{1，2，4}的支持度，发现{1，2，3}的支持度不小于支持度阈值，{1，2，4}、{2，3，4}的支持度小于支持度阈值，所以需要把{1，2，4}、{2，3，4}剔除。剩下的{1，2，3}为3-频繁项目集。

生成频繁项目集的时候，频繁项目集中的元素个数最大值为事务集合的事务中含有的最大元素个数，即若事务集合中事务包含的最大元素个数为k+1，那么最多能生成(k+1)-频繁项目集。而且，在生成过程中，若某次迭代得到的频繁项目集，如j-频繁项目集的个数小于2，结束频繁项目集的生成过程。

步骤S136、生成各所述频繁项目集的前件-后件关联规则，并计算各所述前件-后件关联规则的置信度。

得到全部的频繁项目集之后，从各频繁项目集中找出符合条件的关联规则。

示例性的，可以通过遍历所有的频繁项目集，从每个频繁项目集中依次取1、2、…、k个元素作为后件，该频繁项目集中的其他元素作为前件，生成各所述频繁项目集的前件-后件关联规则。

关联规则的置信度(confidence)反应了可预测的程度，例如对于关联规则X—>Y，如果其置信度为3/4，表示在包括前件X的事务中有3/4的事务包括后件Y，即前件X发生的情况下多大可能性会发生后件Y。

示例性的，对于前件-后件关联规则X—>Y，其中X称为前件，Y称为后件；该前件-后件关联规则的置信度＝(X,Y).count/X.count；其中，(X,Y).count表示事务集合T中同时包含前件X和后件Y的事务的个数，X.count表示事务集合T中包含前件X的事务的个数。

步骤S137、若所述前件-后件关联规则的置信度不小于置信度阈值，存储所述前件-后件关联规则为告警关联规则。

一条关联规则的支持度表示这条规则的可能性大小，如果一个规则的支持度很小，则表明它在事务集合中覆盖范围很小，很有可能是偶然发生的。如果置信度很低，则表明很难根据前件推出后件。

关联规则挖掘则是从事务集合中挖掘出满足支持度和置信度最低阈值要求的所有关联规则，这样的关联规则也称强关联规则。如果某前件-后件关联规则的置信度很低，则表明很难根据前件X推出前件Y；如果前件-后件关联规则的置信度不小于置信度阈值，如misconf＝5/7，则所述前件-后件关联规则为强关联规则，可以将其存储为告警关联规则。

示例性的，对于第三层级的频繁项目集，即3-频繁项目集{1，2，3}，先生成后件包括1个告警元素的前件-后件关联规则：(1，2)—>3、(1，3)—>2、(2，3)—>1；然后计算各前件-后件关联规则的置信度分别为：3/4、3/5、3/3。由于(1，3)—>2的置信度小于置信度阈值，所以剔除掉，因此得到1后件的集合{1，3}；然后再以{1，3}作为后件生成后件包括2个告警元素的前件-后件关联规则：2—>(1，3)，其置信度为3/5小于置信度阈值，所以对于第三层级的频繁项目集生成的强关联规则，即告警关联规则为：(1，2)—>3和(2，3)—>1。

步骤S140、将挖掘的告警关联规则保存至预设的存储器。

示例性的，将告警关联规则(1，2)—>3和告警关联规则(2，3)—>1保存至预设的存储器，如本地磁盘、SD卡，U盘、云存储空间等。

示例性的，根据告警元素，如标识ID与告警名称的对应关系，将告警关联规则中的至少两个相关联的告警元素转换为相应的告警名称后存储至预设的存储器，如本地磁盘、SD卡，U盘、云存储空间等。

例如，告警关联规则(1，2)—>3转换后为告警关联规则(硬件设备A故障，硬件设备B故障)—>交易拥堵故障，便于工作人员理解告警关联规则。

在一些实施例中，如图6所示，步骤S140将挖掘的告警关联规则保存至预设的存储器，包括：

步骤S141、若挖掘的告警关联规则数量不小于预设挖掘阈值，将挖掘的告警关联规则保存至预设的存储器。

示例性的，预设挖掘阈值的设置可以根据告警记录数据中告警记录的数目和/或业务因素确定，例如可以为经验值，如预设挖掘阈值的取值为100至300中的数值，如150。

如果步骤S130挖掘的告警关联规则数量不小于预设挖掘阈值，判定规则提取的数量满足要求，运维监测告警收敛的一种终止条件满足，可以终止收敛，并将挖掘的告警关联规则保存至预设的存储器。

在本实施例中，步骤S130基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则之后，还包括步骤S150。

步骤S150、若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值。

示例性的，若步骤S130挖掘的告警关联规则数量小于预设挖掘阈值，不满足规则数量的要求，则在当前支持度阈值的基础上根据学习率这一幅度对支持度阈值进行下调，示例性的，将支持度阈值乘以一小于1的系数以实现下调。

在步骤S150根据预设的学习率下调所述支持度阈值之后，返回步骤S130基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行；直至挖掘的告警关联规则数量不小于预设挖掘阈值时，执行步骤S140将挖掘的告警关联规则保存至预设的存储器。

支持度阈值下调后，各层级的频繁项目集增多，满足置信度阈值条件的告警关联规则也增多，可以得到足够数目的告警关联规则。

在本实施例中，若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值，而不需要下调置信度阈值；在其他实施例中，可以根据预设的学习率同时下调支持度阈值和置信度阈值。

在一些实施例中，如图7所示，在本实施例中，步骤S140将挖掘的告警关联规则保存至预设的存储器，包括：

步骤S142、若挖掘的告警关联规则数量不小于预设挖掘阈值，或所述支持度阈值下调的次数不小于预设次数阈值，将挖掘的告警关联规则保存至预设的存储器。

支持度阈值下调后，各层级的频繁项目集增多，满足置信度阈值条件的告警关联规则也增多，可以得到足够数目的告警关联规则。但是如果支持度阈值下调的次数过多，则根据下调后的支持度阈值挖掘出的告警关联规则准确度较低。因此如果所述支持度阈值下调的次数不小于预设次数阈值时，运维监测告警收敛的另一种终止条件满足，可以终止收敛，并将挖掘的告警关联规则保存至预设的存储器。

在本实施例中，步骤S150若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值，具体包括步骤S151。

步骤S151、若挖掘的告警关联规则数量小于预设挖掘阈值，且所述支持度阈值下调的次数小于预设次数阈值，根据预设的学习率下调所述支持度阈值。

在步骤S151根据预设的学习率下调所述支持度阈值之后，返回步骤S130基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行；直至挖掘的告警关联规则数量不小于预设挖掘阈值，或所述支持度阈值下调的次数不小于预设次数阈值时，执行步骤S142将挖掘的告警关联规则保存至预设的存储器。

在一些实施例中，如图8所示，步骤S150若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值之后，还包括步骤S161。

步骤S161、若下调后的支持度阈值小于预设支持度下限，将挖掘的告警关联规则保存至预设的存储器。

支持度阈值下调后，各层级的频繁项目集增多，满足置信度阈值条件的告警关联规则也增多，可以得到足够数目的告警关联规则。但是如果支持度阈值下调后小于预设支持度下限，则根据该支持度阈值挖掘出的告警关联规则准确度较低。因此如果下调后的支持度阈值小于预设支持度下限，运维监测告警收敛的另一种终止条件满足，可以终止收敛，并将挖掘的告警关联规则保存至预设的存储器

在一些实施例中，如图8所示，步骤S150若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值之后，还包括步骤S162。

步骤S162、若下调后的支持度阈值不小于预设支持度下限，返回所示基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行。

在S150下调支持度阈值之后，如果下调后的支持度阈值不小于预设支持度下限，则该支持度阈值仍可以在一定程度上保证挖掘出的告警关联规则的准确性；因此可以根据下调后的支持度阈值从预处理后的告警记录数据中挖掘若干的步骤继续执行；直至挖掘的告警关联规则数量不小于预设挖掘阈值，或下调后的支持度阈值小于预设支持度下限时，将挖掘的告警关联规则保存至预设的存储器。

在其他一些实施例中，如图9所示，步骤S140将挖掘的告警关联规则保存至预设的存储器，之后，还包括步骤S170-步骤S180。

步骤S170、若获取到对应所述告警元素的告警记录，从所述存储器获取与所述告警元素对应的告警关联规则。

示例性的，若某时刻运维监控工具接收到某告警，该告警包括相应的告警元素。例如，运维监控工具接收到“硬件设备A故障”的告警元素和“硬件设备B故障”的告警元素；则在存储器中查询这两个告警元素对应的告警关联规则，例如查询前件包括这两个告警元素的告警关联规则；示例性的，从所述存储器获取与所述告警元素对应的告警关联规则为(1，2)—>3或(硬件设备A故障，硬件设备B故障)—>交易拥堵故障。

步骤S180、输出所述告警关联规则中与所述告警元素相关联的告警元素。

示例性的，告警关联规则中与“硬件设备A故障”和“硬件设备B故障”这两个告警元素相关联的告警元素为3或者交易拥堵故障，则步骤S180输出表示交易拥堵故障的相关信息，以提示工作人员及时预判该交易拥堵故障，以作出解决方案。

前述实施例提供的运维监测告警收敛方法，通过先对告警记录数据中的多个告警记录进行预处理以滤除干扰告警记录，提高收敛的准确性且可降低计算量；然后基于关联规则挖掘算法通过收敛方式对告警进行归纳与关联，挖掘若干告警关联规则，将可以体现告警元素之间关联关系的告警关联规则挖掘出来以供应用。

请参阅图10，图10是本申请一实施例提供的一种运维监测告警收敛装置的结构示意图，该运维监测告警收敛装置可以配置于服务器或终端中，用于执行前述的运维监测告警收敛方法。

如图10所示，该运维监测告警收敛装置，包括：数据获取模块110、预处理模块120、规则挖掘模块130、规则保存模块140。

数据获取模块110，用于获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间。

预处理模块120，用于根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录。

在一些实施方式中，如图11所示，预处理模块120包括：

频率统计子模块1211，用于根据所述告警时间统计在若干第一时间段内各告警元素对应的告警频率；

第一滤除子模块1212，用于若有告警元素在任一所述第一时间段内对应的告警频率不小于预设频率阈值，滤除对应于所述告警元素且告警时间位于所述第一时间段内的告警记录。

在一些实施方式中，如图11所示，预处理模块120包括：

数量统计子模块1221，用于根据所述告警时间统计若干第二时间段各自对应的告警记录的数量；

第二滤除子模块1222，用于若有任一所述第二时间段对应的告警记录的数量不大于预设低发阈值，滤除告警时间位于所述第二时间段内的告警记录。

规则挖掘模块130，用于基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素。

在一些实施方式中，如图11所示，规则挖掘模块130包括：

事务划分子模块131，用于根据预处理后告警记录数据中各告警记录的告警时间将各所述告警记录的告警元素划分至至少一个事务，同一事务中告警元素对应的告警时间位于同一第三时间段；

并集计算子模块132，用于根据所述至少一个事务的并集得到项目集合；

事务扫描子模块133，用于循环扫描各所述事务，以得到所述项目集合中各告警元素对应的支持度；

项目集存储子模块134，用于将支持度不小于支持度阈值的告警元素存储至第一层级的频繁项目集对应的存储区域；

项目集生成子模块135，用于基于频繁项目集生成规则，根据所述第一层级的频繁项目集生成至少一个非第一层级的频繁项目集；

规则生成子模块136，用于生成各所述频繁项目集的前件-后件关联规则，并计算各所述前件-后件关联规则的置信度；

阈值判断子模块137，用于若所述前件-后件关联规则的置信度不小于置信度阈值，存储所述前件-后件关联规则为告警关联规则。

规则保存模块140，用于将挖掘的告警关联规则保存至预设的存储器。

在一些实施例中，如图11所示，运维监测告警收敛装置还包括：阈值下调模块150、返回模块1501。

阈值下调模块150，用于若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值。

示例性的，阈值下调模块150包括阈值下调子模块151。

阈值下调子模块151，用于若挖掘的告警关联规则数量小于预设挖掘阈值，且所述支持度阈值下调的次数小于预设次数阈值，根据预设的学习率下调所述支持度阈值。

示例性的，运维监测告警收敛装置还包括规则保存子模块161。

规则保存子模块161，用于若下调后的支持度阈值小于预设支持度下限，将挖掘的告警关联规则保存至预设的存储器。

返回模块1501，用于返回所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行，直至挖掘的告警关联规则数量不小于预设挖掘阈值时，将挖掘的告警关联规则保存至预设的存储器。

在一些实施方式中，运维监测告警收敛装置还包括：规则获取模块170、告警输出模块180。

规则获取模块170，用于若获取到对应所述告警元素的告警记录，从所述存储器获取与所述告警元素对应的告警关联规则。

告警输出模块180，用于输出所述告警关联规则中与所述告警元素相关联的告警元素。

需要说明的是，所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的装置和各模块、单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本申请的方法、装置可用于众多通用或专用的计算系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、机顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

示例性的，上述的方法、装置可以实现为一种计算机程序的形式，该计算机程序可以在如图12所示的计算机设备上运行。

请参阅图12，图12是本申请实施例提供的一种计算机设备的结构示意图。该计算机设备可以是服务器或终端。

参阅图12，该计算机设备包括通过系统总线连接的处理器、存储器和网络接口，其中，存储器可以包括非易失性存储介质和内存储器。

非易失性存储介质可存储操作系统和计算机程序。该计算机程序包括程序指令，该程序指令被执行时，可使得处理器执行任意一种运维监测告警收敛方法。

处理器用于提供计算和控制能力，支撑整个计算机设备的运行。

内存储器为非易失性存储介质中的计算机程序的运行提供环境，该计算机程序被处理器执行时，可使得处理器执行任意一种运维监测告警收敛方法。

该网络接口用于进行网络通信，如发送分配的任务等。本领域技术人员可以理解，该计算机设备的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

应当理解的是，处理器可以是中央处理单元(Central Processing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。其中，通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

其中，在一个实施例中，所述处理器用于运行存储在存储器中的计算机程序，以实现如下步骤：获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间；根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录；基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素；将挖掘的告警关联规则保存至预设的存储器。

示例性的，处理器在实现基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则之后，还用于实现：若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值；返回所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行，直至挖掘的告警关联规则数量不小于预设挖掘阈值时，将挖掘的告警关联规则保存至预设的存储器。

示例性的，处理器在实现所述根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录时，具体用于实现：根据所述告警时间统计在若干第一时间段内各告警元素对应的告警频率；若有告警元素在任一所述第一时间段内对应的告警频率不小于预设频率阈值，滤除对应于所述告警元素且告警时间位于所述第一时间段内的告警记录。

示例性的，处理器在实现所述根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录时，具体用于实现：根据所述告警时间统计若干第二时间段各自对应的告警记录的数量；若有任一所述第二时间段对应的告警记录的数量不大于预设低发阈值，滤除告警时间位于所述第二时间段内的告警记录。

示例性的，处理器在实现所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则时，具体用于实现：根据预处理后告警记录数据中各告警记录的告警时间将各所述告警记录的告警元素划分至至少一个事务，同一事务中告警元素对应的告警时间位于同一第三时间段；根据所述至少一个事务的并集得到项目集合；循环扫描各所述事务，以得到所述项目集合中各告警元素对应的支持度；将支持度不小于支持度阈值的告警元素存储至第一层级的频繁项目集对应的存储区域；基于频繁项目集生成规则，根据所述第一层级的频繁项目集生成至少一个非第一层级的频繁项目集；生成各所述频繁项目集的前件-后件关联规则，并计算各所述前件-后件关联规则的置信度；若所述前件-后件关联规则的置信度不小于置信度阈值，存储所述前件-后件关联规则为告警关联规则。

示例性的，处理器在实现所述若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值时，具体用于实现：若挖掘的告警关联规则数量小于预设挖掘阈值，且所述支持度阈值下调的次数小于预设次数阈值，根据预设的学习率下调所述支持度阈值。

示例性的，处理器在实现所述若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值之后，还用于实现：若下调后的支持度阈值小于预设支持度下限，将挖掘的告警关联规则保存至预设的存储器。

示例性的，处理器在实现所述将挖掘的告警关联规则保存至预设的存储器之后，还用于实现：若获取到对应所述告警元素的告警记录，从所述存储器获取与所述告警元素对应的告警关联规则；输出所述告警关联规则中与所述告警元素相关联的告警元素。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法，如：

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序中包括程序指令，所述处理器执行所述程序指令，实现本申请实施例提供的任一项运维监测告警收敛方法。

其中，所述计算机可读存储介质可以是前述实施例所述的计算机设备的内部存储单元，例如所述计算机设备的硬盘或内存。所述计算机可读存储介质也可以是所述计算机设备的外部存储设备，例如所述计算机设备上配备的插接式硬盘，智能存储卡(SmartMedia Card，SMC)，安全数字(Secure Digital，SD)卡，闪存卡(Flash Card)等。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种运维监测告警收敛方法，其特征在于，包括：

获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间；

根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录；

基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素；

将挖掘的告警关联规则保存至预设的存储器。

2.如权利要求1所述的运维监测告警收敛方法，其特征在于，所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则之后，还包括：

若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值；

返回所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则的步骤继续执行，直至挖掘的告警关联规则数量不小于预设挖掘阈值时，将挖掘的告警关联规则保存至预设的存储器。

3.如权利要求1所述的运维监测告警收敛方法，其特征在于，所述根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录，包括：

根据所述告警时间统计在若干第一时间段内各告警元素对应的告警频率；

若有告警元素在任一所述第一时间段内对应的告警频率不小于预设频率阈值，滤除对应于所述告警元素且告警时间位于所述第一时间段内的告警记录。

4.如权利要求1所述的运维监测告警收敛方法，其特征在于，所述根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警元素，包括：

根据所述告警时间统计若干第二时间段各自对应的告警记录的数量；

若有任一所述第二时间段对应的告警记录的数量不大于预设低发阈值，滤除告警时间位于所述第二时间段内的告警记录。

5.如权利要求1-4中任一项所述的运维监测告警收敛方法，其特征在于，所述基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，包括：

根据预处理后告警记录数据中各告警记录的告警时间将各所述告警记录的告警元素划分至至少一个事务，同一事务中告警元素对应的告警时间位于同一第三时间段；

根据所述至少一个事务的并集得到项目集合；

循环扫描各所述事务，以得到所述项目集合中各告警元素对应的支持度；

将支持度不小于支持度阈值的告警元素存储至第一层级的频繁项目集对应的存储区域；

基于频繁项目集生成规则，根据所述第一层级的频繁项目集生成至少一个非第一层级的频繁项目集；

生成各所述频繁项目集的前件-后件关联规则，并计算各所述前件-后件关联规则的置信度；

若所述前件-后件关联规则的置信度不小于置信度阈值，存储所述前件-后件关联规则为告警关联规则。

6.如权利要求2所述的运维监测告警收敛方法，其特征在于，所述若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值，包括：

若挖掘的告警关联规则数量小于预设挖掘阈值，且所述支持度阈值下调的次数小于预设次数阈值，根据预设的学习率下调所述支持度阈值；

所述若挖掘的告警关联规则数量小于预设挖掘阈值，根据预设的学习率下调所述支持度阈值之后，还包括：

若下调后的支持度阈值小于预设支持度下限，将挖掘的告警关联规则保存至预设的存储器。

7.如权利要求1-4中任一项所述的运维监测告警收敛方法，其特征在于，在所述将挖掘的告警关联规则保存至预设的存储器之后，还包括：

若获取到对应所述告警元素的告警记录，从所述存储器获取与所述告警元素对应的告警关联规则；

输出所述告警关联规则中与所述告警元素相关联的告警元素。

8.一种运维监测告警收敛装置，其特征在于，包括：

数据获取模块，用于获取告警记录数据，所述告警记录数据包括多个告警记录，所述告警记录包括告警元素和告警时间；

预处理模块，用于根据各所述告警记录的告警时间对所述告警记录数据进行预处理，以滤除所述告警记录数据中的干扰告警记录；

规则挖掘模块，用于基于关联规则挖掘算法，根据支持度阈值从预处理后的告警记录数据中挖掘若干告警关联规则，各所述告警关联规则包括至少两个相关联的告警元素；

规则保存模块，用于将挖掘的告警关联规则保存至预设的存储器。

9.一种计算机设备，其特征在于，所述计算机设备包括存储器和处理器；

所述存储器用于存储计算机程序；

所述处理器，用于执行所述计算机程序并在执行所述计算机程序时实现如权利要求1-7中任一项所述的运维监测告警收敛方法。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于：若所述计算机程序被处理器执行，实现如权利要求1-7中任一项所述的运维监测告警收敛方法。