CN111143167B - 用于多平台的告警归并方法及装置、设备、存储介质 - Google Patents

Abstract

本申请公开了一种用于多平台的告警归并方法及装置、设备、存储介质。该方法包括建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；对监听结果，检查是否符合告警事件控件格式；如果检测符合告警事件控件格式，则告警事件进入策略监听器；基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警。本申请解决了用于多平台的告警信息处理方式不佳的技术问题。通过本申请实时接收多个监控平台统一处理，合理归并后的告警信息。

Description

用于多平台的告警归并方法及装置、设备、存储介质

技术领域

本申请涉及告警信息处理领域，具体而言，涉及一种用于多平台的告警归并方法及装置、设备、存储介质。

背景技术

监控平台能够将告警信息自动化发送，使得运维人员第一时间发现异常，在突发状况出现时及时修复。

发明人发现，由于大量重复或无效的告警会使运维人员产生疲倦，而使真正有效的告警淹没在大量信息中，难以充分发挥监控系统的功能。进一步，多个不同平台上的告警信息也无法做到交叉比对、分析。

针对相关技术中用于多平台的告警信息处理方式不佳的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种用于多平台的告警归并方法及装置、设备、存储介质，以解决用于多平台的告警信息处理方式不佳的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种用于多平台的告警归并方法。

根据本申请的用于多平台的告警归并方法包括：建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；对监听结果，检查是否符合告警事件控件格式；如果检测符合告警事件控件格式，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警。

进一步地，对监听结果，检查是否符合控件格式包括：

如果检查不符合控件格式，则返回值为失败；

如果检查符合控件格式，则在数据库表同步更新并返回值为成功；

如果检查符合控件格式且为同一个告警信息，则在数据库表同步更新与事件相关的字段。

进一步地，如果检测符合告警事件控件格式，则告警事件进入策略监听器包括：

当所述策略监听器接收到符合条件的告警信息后，作出相应的事件处理反应。

进一步地，基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件包括：

采用独立进程定时读取数据库中的策略状态，记录建立时间；

若有更新时间大于当前所述建立时间，则新增所述策略监听器；

如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障。

进一步地，如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警时包括：

将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理。

进一步地，如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警时包括：

将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

为了实现上述目的，根据本申请的另一方面，提供了一种用于多平台的告警归并装置。

根据本申请的用于多平台的告警归并装置包括：预处理模块，用于建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；监听模块，用于在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；检查模块，用于对监听结果，检查是否符合告警事件控件格式；策略监听模块，用于在如果检测符合告警事件控件格式时，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；判断模块，用于基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；故障生成模块，用于如果满足策略应用条件时，则生成一个新的故障，基于生成所述新的故障后再发送告警。

进一步地，所述判断模块，用于

采用独立进程定时读取数据库中的策略状态，记录建立时间；

若有更新时间大于当前所述建立时间，则新增所述策略监听器；

如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障；

所述故障生成模块用于

将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理；

将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

为了实现上述目的，根据本申请的另一方面，提供了电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现所述的用于多平台的告警归并方法的步骤。

为了实现上述目的，根据本申请的另一方面，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现所述的用于多平台的告警归并方法的步骤。

在本申请实施例中用于多平台的告警归并方法及装置、设备、存储介质，采用建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎的方式，通过在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；对监听结果，检查是否符合告警事件控件格式；如果检测符合告警事件控件格式，则告警事件进入策略监听器，达到了基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警的目的，从而实现了实时接收多个监控平台统一处理并合理归并后的告警信息，过滤重复的冗余信息，摆脱告警风暴，提高有效告警信息的关注度，提升告警有效性，提升排除故障的效率，节约时间和人力成本的技术效果，进而解决了用于多平台的告警信息处理方式不佳的技术问题。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，使得本申请的其它特征、目的和优点变得更明显。本申请的示意性实施例附图及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的用于多平台的告警归并方法流程示意图；

图2是根据本申请实施例的用于多平台的告警归并装置结构示意图；

图3是根据本申请实施例的实现原理示意图；

图4是根据本申请实施例的设备结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在本申请中，术语“上”、“下”、“左”、“右”、“前”、“后”、“顶”、“底”、“内”、“外”、“中”、“竖直”、“水平”、“横向”、“纵向”等指示的方位或位置关系为基于附图所示的方位或位置关系。这些术语主要是为了更好地描述本申请及其实施例，并非用于限定所指示的装置、元件或组成部分必须具有特定方位，或以特定方位进行构造和操作。

并且，上述部分术语除了可以用于表示方位或位置关系以外，还可能用于表示其他含义，例如术语“上”在某些情况下也可能用于表示某种依附关系或连接关系。对于本领域普通技术人员而言，可以根据具体情况理解这些术语在本申请中的具体含义。

此外，术语“安装”、“设置”、“设有”、“连接”、“相连”、“套接”应做广义理解。例如，可以是固定连接，可拆卸连接，或整体式构造；可以是机械连接，或电连接；可以是直接相连，或者是通过中间媒介间接相连，又或者是两个装置、元件或组成部分之间内部的连通。对于本领域普通技术人员而言，可以根据具体情况理解上述术语在本申请中的具体含义。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

如图1所示，该方法包括如下的步骤S101至步骤S106：

步骤S101，建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；

通过一个合理的表结构AlertCEF告警事件控件用于记录告警信息，再建立复杂事件处理引擎Esper。

步骤S102，在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；

在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听，即对告警信息进行AlertCEF数据流的多台服务器的实时监听。

步骤S103，对监听结果，检查是否符合告警事件控件格式；

对于监听结果，检查是否符合AlertCEF格式。

步骤S104，如果检测符合告警事件控件格式，则告警事件进入策略监听器；

其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器。

如果检测符合告警事件控件格式，则告警事件进入策略监听器。符合格式的告警事件进入策略监听器。具体地，每个策略对应一个表达式，一个表达式注册一个监听器。当监听器接收到符合条件的告警后，会作出相应的处理反应。

步骤S105，基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；

具体地，策略监听器会进行定时更新，由独立进程定时读取数据库策略状态，记录建立时间发生时间。

步骤S106，如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警。

如果满足，生成一个新的故障，并将满足条件的所有AlertCEF批量关联到该故障上，将故障置为闭合。同时，状态置为“待处理”。

从以上的描述中，可以看出，本申请实现了如下技术效果：

在本申请实施例中，采用建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎的方式，通过在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；对监听结果，检查是否符合告警事件控件格式；如果检测符合告警事件控件格式，则告警事件进入策略监听器，达到了基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警的目的，从而实现了实时接收多个监控平台统一处理并合理归并后的告警信息，过滤重复的冗余信息，摆脱告警风暴，提高有效告警信息的关注度，提升告警有效性，提升排除故障的效率，节约时间和人力成本的技术效果，进而解决了用于多平台的告警信息处理方式不佳的技术问题。

根据本申请实施例，作为本实施例中的优选，对监听结果，检查是否符合控件格式包括：如果检查不符合控件格式，则返回值为失败；如果检查符合控件格式，则在数据库表同步更新并返回值为成功；如果检查符合控件格式且为同一个告警信息，则在数据库表同步更新与事件相关的字段。

具体地，若不符合格式，返回值为“failed”；若符合格式，存“AlertCEF”，即AlertCEF数据库表同步更新。采用返回值告诉发送方是否发送成功。成功为“succeed”。此外，如果重复收到同一个告警，记录重复告警相关信息，在AlertCEF的表中更新与事件相关的字段。

根据本申请实施例，作为本实施例中的优选，如果检测符合告警事件控件格式，则告警事件进入策略监听器包括：当所述策略监听器接收到符合条件的告警信息后，作出相应的事件处理反应。

根据本申请实施例，作为本实施例中的优选，基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件包括：采用独立进程定时读取数据库中的策略状态，记录建立时间；若有更新时间大于当前所述建立时间，则新增所述策略监听器；如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障。

具体地，若有更新时间大于这个的，则新增监听器；策略如果被修改，则删除之前的监听器，并关闭与之关联的故障。

根据本申请实施例，作为本实施例中的优选，如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警时包括：将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理。

具体地，若当前的策略应用条件被满足，则生成一个新的故障，并将满足条件的所有AlertCEF批量关联到该故障上，将故障置为闭合。并且状态置为“待处理”。

根据本申请实施例，作为本实施例中的优选，如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警时包括：将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

具体地，当生成新的故障后立即发送告警，例如：邮件告警形式。并将内存中的故障状态，AlertCEF和故障的关联状态等，批量写入数据库。

需要说明的是，Incident的生命周期可以包括：

休眠，表示各类功能不启用。

激活/待处理，表示Incident处于等待分配的状态。

处理中，已经被分配给用。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

根据本申请实施例，还提供了一种用于实施上述方法的用于多平台的告警归并装置，如图2所示，该装置包括：预处理模块10，用于建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；监听模块11，用于在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；检查模块12，用于对监听结果，检查是否符合告警事件控件格式；策略监听模块13，用于在如果检测符合告警事件控件格式时，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；判断模块14，用于基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；故障生成模块15，用于如果满足策略应用条件时，则生成一个新的故障，基于生成所述新的故障后再发送告警。

本申请实施例的预处理模块10中通过一个合理的表结构AlertCEF告警事件控件用于记录告警信息，再建立复杂事件处理引擎Esper。

本申请实施例的监听模块11中在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听，即对告警信息进行AlertCEF数据流的多台服务器的实时监听。

本申请实施例的检查模块12中对于监听结果，检查是否符合AlertCEF格式。

本申请实施例的策略监听模块13中如果检测符合告警事件控件格式，则告警事件进入策略监听器。符合格式的告警事件进入策略监听器。具体地，每个策略对应一个表达式，一个表达式注册一个监听器。当监听器接收到符合条件的告警后，会作出相应的处理反应。

本申请实施例的判断模块14中具体地，策略监听器会进行定时更新，由独立进程定时读取数据库策略状态，记录建立时间发生时间。

本申请实施例的故障生成模块15中如果满足，生成一个新的故障，并将满足条件的所有AlertCEF批量关联到该故障上，将故障置为闭合。同时，状态置为“待处理”。

根据本申请实施例，作为本实施例中的优选，所述判断模块14，用于采用独立进程定时读取数据库中的策略状态，记录建立时间；若有更新时间大于当前所述建立时间，则新增所述策略监听器；如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障；

所述判断模块14中具体地，若有更新时间大于这个的，则新增监听器；策略如果被修改，则删除之前的监听器，并关闭与之关联的故障。

所述故障生成模块15用于将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理；将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

所述故障生成模块15中具体地，当生成新的故障后立即发送告警，例如：邮件告警形式。并将内存中的故障状态，AlertCEF和故障的关联状态等，批量写入数据库。

如图3所示，是本申请的实现原理示意图，流程如下：

步骤1，实时接收告警信息，事件流处理；

步骤2，通过策略监听归并告警为关联故障，定时更新策略监听器；

符合格式的告警事件进入Policy listener策略监听器。

每个策略对应一个表达式，一个表达式注册一个监听器。当监听器接收到符合条件的告警后，立即作出相应的处理反应。

步骤3，通过复杂事件处理引擎判定故障闭合状态，实时更新故障状态；

Policy listener策略监听器定时更新，由独立进程定时读取数据库Policy状态，记录建立时间createTime，若有更新时间大于这个的，则新增监听器；Policy如果被修改，则删除之前的监听器，并关闭与之关联的Incident。

步骤4，运维人员可通过接收到的报警评论故障；

步骤5，AlertCEF与故障的关联表实时更新。

若当前的策略应用条件被满足，则生成一个新的Incident故障，并将满足条件的所有AlertCEF批量关联到该Incident上，将故障置为闭合，状态置为“待处理”。

当生成新的故障后立即发送告警，例如：邮件告警形式。并将内存中的故障状态，AlertCEF和故障的关联状态等，批量写入数据库。

本申请实施例还提供了一种计算机设备。如图4所示，计算机设备20可以包括：至少一个处理器201，例如CPU，至少一个网络接口204，用户接口203，存储器205，至少一个通信总线202，可选地，还可以包括显示屏206。其中，通信总线202用于实现这些组件之间的连接通信。其中，用户接口203可以包括触摸屏、键盘或鼠标等等。网络接口204可选的可以包括标准的有线接口、无线接口(如WI-FI接口)，通过网络接口204可以与服务器建立通信连接。存储器205可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatilememory)，例如至少一个磁盘存储器，存储器205包括本发明实施例中的flash。存储器205可选的还可以是至少一个位于远离前述处理器201的存储系统。如图4所示，作为一种计算机存储介质的存储器205中可以包括操作系统、网络通信模块、用户接口模块以及程序指令。

需要说明的是，网络接口204可以连接接收器、发射器或其他通信模块，其他通信模块可以包括但不限于WiFi模块、蓝牙模块等，可以理解，本发明实施例中计算机设备也可以包括接收器、发射器和其他通信模块等。

处理器201可以用于调用存储器205中存储的程序指令，并使计算机设备20执行以下操作：

建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；

在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；

对监听结果，检查是否符合告警事件控件格式；

如果检测符合告警事件控件格式，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；

基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；

如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警。

显然，本领域的技术人员应该明白，上述的本申请的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请不限制于任何特定的硬件和软件结合。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (8)

1.一种用于多平台的告警归并方法，其特征在于，包括：

建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；

在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；

对监听结果，检查是否符合告警事件控件格式；

如果检测符合告警事件控件格式，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；

基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；

如果满足，则生成一个新的故障，基于生成所述新的故障后再发送告警，包括：将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理，将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

2.根据权利要求1所述的用于多平台的告警归并方法，其特征在于，对监听结果，检查是否符合控件格式包括：

如果检查不符合控件格式，则返回值为失败；

如果检查符合控件格式，则在数据库表同步更新并返回值为成功；

如果检查符合控件格式且为同一个告警信息，则在数据库表同步更新与事件相关的字段。

3.根据权利要求1所述的用于多平台的告警归并方法，其特征在于，如果检测符合告警事件控件格式，则告警事件进入策略监听器包括：

当所述策略监听器接收到符合条件的告警信息后，作出相应的事件处理反应。

4.根据权利要求1所述的用于多平台的告警归并方法，其特征在于，基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件包括：

采用独立进程定时读取数据库中的策略状态，记录建立时间；

若有更新时间大于当前所述建立时间，则新增所述策略监听器；

如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障。

5.一种用于多平台的告警归并装置，其特征在于，包括：

预处理模块，用于建立用于记录告警信息的告警事件控件和用于处理复杂事件的处理引擎；

监听模块，用于在接收到所述告警信息时，根据所述告警事件控件进行数据流的实时监听；

检查模块，用于对监听结果，检查是否符合告警事件控件格式；

策略监听模块，用于在如果检测符合告警事件控件格式时，则告警事件进入策略监听器；其中所述策略监听器中的每个策略对应一个表达式，一个表达式注册一个监听器；

判断模块，用于基于所述策略监听器定时更新，判断当前策略是否满足策略应用条件；

故障生成模块，用于如果满足策略应用条件时，则生成一个新的故障，基于生成所述新的故障后再发送告警，包括：将满足条件的告警事件控件批量关联到所述新的故障上，将所述新的故障置为闭合且状态置为待处理，将内存中的故障状态、所述告警事件控件和所述故障的关联状态批量写入数据库。

6.根据权利要求5所述的用于多平台的告警归并装置，其特征在于，所述判断模块，用于

采用独立进程定时读取数据库中的策略状态，记录建立时间；

若有更新时间大于当前所述建立时间，则新增所述策略监听器；

如果策略被修改，则删除之前的所述策略监听器的同时关闭与之关联的故障。

7.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至4任一项所述的用于多平台的告警归并方法的步骤。

8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至4任一项所述的用于多平台的告警归并方法的步骤。

Images