CN111162945A

CN111162945A - 一种告警关联关系的确定方法、装置、设备及存储介质

Info

Publication number: CN111162945A
Application number: CN201911397771.8A
Authority: CN
Inventors: 蒋家驹; 李岩; 邢春晓; 刘桐羽; 李红玲; 尤龙; 万奇; 李大伟; 涂泾伦; 陆绍雯
Original assignee: China Mobile Communications Group Co Ltd; China Mobile Group Jiangsu Co Ltd
Current assignee: China Mobile Communications Group Co Ltd; China Mobile Group Jiangsu Co Ltd
Priority date: 2019-12-30
Filing date: 2019-12-30
Publication date: 2020-05-15
Anticipated expiration: 2039-12-30
Also published as: CN111162945B

Abstract

本发明公开了一种告警关联关系的确定方法、装置、设备及存储介质，具体包括：获取至少两个告警信息；分别对至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据，其中，每个所述告警数据包括N维特征向量，N维特征向量包括第一特征向量和第二特征向量，第一特征向量用于表示告警数据的专业信息，第二特征向量用于表示告警数据的时间信息；根据预先设定的告警专业类别与每个第一特征向量对应关系、以及每两个第二特征向量的关系，分别计算每两个告警数据之间的告警距离；根据每个告警距离和联盟博弈算法，确定告警信息之间的关联关系。根据本发明实施例，可以提高告警关联的正确率。

Description

一种告警关联关系的确定方法、装置、设备及存储介质

技术领域

本发明属于计算机技术领域，尤其涉及一种告警关联关系的确定方法、装置、设备及存储介质。

背景技术

伴随着网络技术的飞速发展，网络结构也越来越复杂，由于网络功能虚拟化NFV、电信云等技术的引入，使得原有设备自身的告警逐渐演化成了跨网络层级的告警，每天产生的告警数据也越来越多。

由于全量告警中包含了冗余信息，一个设备故障可能引起周边网元同时产生若干告警，形成一条告警链，即一起故障是由告警A引起，伴随着故障又产生了告警B/C/D。针对上述情况，可以将告警分为两类，第一类为故障的根源性告警，即故障根告警，另一类为故障根告警导致的伴随子告警。对于网络维护人员来说，只需要处理根源性告警，伴随子告警就会随着根告警一起消失。可以看出，处理故障的关键，就是找到故障根告警与伴随子告警之间的关系，一般称之为告警关联，找到这种关系的方法，一般称之为告警关联分析方法。

目前告警关联分析方法主要分为两种：人工经验法和数据挖掘法。但现有告警关联分析方法，在面向未来的网络监控需求中，存在一些问题：

人工经验法主要是单纯依靠专家经验进行告警关联分析，可能存在无法适应网络的快速变化、效果评估不易于量化以及跨专业关联能力较弱问题；而单纯依靠数据挖掘算法进行告警关联分析，由于缺乏专家经验、未考虑到告警之间的空间关系，较易出现关联错误的问题。上述现有技术存在的问题都会降低告警关联的准确率。若不能正确将告警进行关联，将会增加维护人员排除故障的工作量，因此，如何找到高效的找到告警之间的关联关系、提高告警关联的正确率是技术人员亟待解决的问题。

发明内容

本发明实施例提供一种告警关联分析的方法、装置、设备及计算机存储介质，能够解决现有技术的问题，可以高效找到告警之间的关联关系、提高告警关联的正确率。

一方面，本发明实施例提供一种告警关联关系的确定方法，该方法包括：

获取至少两个告警信息；

分别对所述至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据，其中，每个所述告警数据包括N维特征向量，N为大于1的自然数，所述N维特征向量包括第一特征向量和第二特征向量，所述第一特征向量用于表示所述告警数据的专业信息，所述第二特征向量用于表示所述告警数据的时间信息；

根据预先设定的告警专业类别与每个所述第一特征向量对应关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离；

根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系。

可选地，所述根据预先设定的告警专业类别与第一特征向量的关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离，包括：

根据预先设定的告警专业类别，提取每个所述告警数据的N维特征向量中的第一特征向量；

根据预先设定的告警专业类别和第一特征向量的对应关系，分别确定每个所述告警数据对应的距离参数；

根据每个所述距离参数，确定每两个所述告警数据之间的告警空间距离；

提取每个所述告警数据的N维特征向量中的第二特征向量，以确定每两个所述告警数据的第二特征向量的关系；

根据所述每两个所述告警数据的第二特征向量的关系，计算得到每两个所述告警数据之间的告警时间距离；

根据所述告警空间距离和告警时间距离，计算得到每两个所述告警数据之间的告警时空距离，将所述告警时空距离作为所述告警距离。

可选地，所述根据预先设定的告警专业类别和每个所述第一特征向量对应关系，分别确定每个所述告警数据对应的距离参数，包括：

根据预设的告警专业类别和每个所述第一特征向量对应关系，判断每两个所述告警数据的第一特征向量是否属于相同的告警专业；

如果是，则根据所述相同的告警专业，确定所述相同的告警专业的网络拓扑关系，其中，所述网络拓扑关系是根据专家经验预先设置的；

根据所述网络拓扑关系，确定每个所述告警数据对应的距离参数。

可选地，所述根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系，包括：

根据每两个告警数据之间预设的告警关联置信度和所述告警距离，迭代计算每两个所述告警数据对告警联盟关系的贡献值，其中，所述贡献值表示为告警组合的告警关联置信度和告警距离的比值，所述告警关联置信度为一定时间段内一个告警数据出现时另一个告警数据出现的概率；

根据至少一个所述贡献值，确定至少一个告警联盟关系的联盟效用函数；

根据每个所述告警距离和每个所述联盟效用函数，将满足预设博弈条件的联盟效用函数对应的告警数据进行关联组合，形成至少一个关联告警簇，其中，所述关联告警簇表示由具有满足预设关联条件的告警数据组成的集合；

根据所述至少一个关联告警簇，形成告警联盟结构；

根据所述告警联盟结构，确定所述告警信息之间的关联关系。

可选地，所述根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系，还包括:

提取所述告警距离达到预定阈值的多个告警数据；

将提取的每个所述告警数据作为一个关联告警簇，形成初始联盟结构，其中，所述初始联盟结构中包括多个关联告警簇，所述关联告警簇的数量和所述告警数据的数量一致，未加入初始联盟结构的告警数据为第一告警数据，初始联盟结构中的每个所述关联告警簇中的告警数据为第二告警数据；

基于所述初始联盟结构，分别提取至少一个所述第一告警数据和每个第二告警数据的之间的告警距离；

根据提取的多个所述告警距离，确定多个所述告警距离对应的多个联盟效用函数；

将所述多个联盟效用函数进行两两比较，得到每两个所述联盟效用函数之间的大小关系；

根据预设博弈条件和每个所述大小关系，确定满足预设博弈条件的大小关系；

根据所述满足预设博弈条件的大小关系，确定至少一个所述第一告警数据和第二告警数据的关联关系；

根据确定的所述关联关系，形成至少一个新的关联告警簇；

根据所述至少一个新的关联告警簇，形成告警联盟结构；

可选地，根据提取的所述多个告警距离，确定所述多个告警距离对应的多个联盟效用函数，包括：

根据所述多个告警距离和预设告警关联置信度，迭代计算每两个所述第一告警数据和第二告警数据对告警联盟关系的贡献值；

根据多个所述贡献值，确定多个联盟效用函数。

可选地，在所述分别计算每两个所述告警数据之间的告警距离之前，还包括：

基于每个所述告警数据的N维特征向量，对每个所述告警数据进行预分组，得到多个分组，其中，所述每个告警数据的分组内的告警数据具有相同的属性标签；

根据预设选取条件，分别从每个所述分组中选取一个告警数据，以组成告警数据集合；

所述分别计算每两个所述告警数据之间的告警距离，具体包括：

基于所述告警数据集合，计算每两个告警数据之间的告警距离。

可选地，所述基于所述告警集合，计算每两个所述告警数据之间的告警距离，包括：

将告警数据集合内的告警数据进行两两组合，得到多个组合；

分别计算每个组合中的两个告警数据之间的告警距离。

可选地，所述将告警数据集合内的告警数据进行两两组合的方式具体包括：对所述告警数据集合进行笛卡尔积计算。

可选地，在所述获取至少两个告警信息和分别对所述至少两个告警信息中的每个告警信息进行特征提取之间，还包括：分别对所述至少两个告警信息中的每个告警信息进行预处理；

所述分别对至少两个告警信息中的每个告警信息进行特征提取，具体包括：

分别对至少两个告警信息中的每个预处理后的告警信息进行特征提取。

另一方面，本发明实施例提供了一种告警关联关系的确定的装置，该装置包括：

获取模块，用于获取至少两个告警信息；

提取模块，用于分别对所述至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据，其中，每个所述告警数据包括N维特征向量，N为大于1的自然数，所述N维特征向量包括第一特征向量和第二特征向量，所述第一特征向量用于表示所述告警数据的专业信息，所述第二特征向量用于表示所述告警数据的时间信息；

计算模块，用于根据预先设定的告警专业类别与每个所述第一特征向量对应关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离；

确定模块，用于根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系。

再一方面，本发明实施例提供了一种告警关联关系的确定的设备，设备包括：处理器以及存储有计算机程序指令的存储器；

所述处理器执行所述计算机程序指令时实现如上所述的告警关联关系的确定方法。

再一方面，本发明实施例提供了一种计算机存储介质，所述计算机存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如上所述的告警关联关系的确定方法。

本发明实施例的告警关联关系的确定方法、装置、设备及计算机存储介质，能够通过对告警信息进行特征提取，获得矢量化的告警数据，便于计算告警数据之间的告警距离。告警距离可以根据预先设定的告警专业类别与每个第一特征向量对应关系、以及每两个第二特征向量的关系计算获得，基于告警距离和联盟博弈算法，挖掘出告警之间的关联规则，即可以得到告警之间的关联关系。由此，通过本发明的方法，可以考虑到影响告警关联的准确率的多方面因素，如告警距离，告警专业以及告警关系量化评估等，进而可以高效找到告警之间的关联关系、提高告警关联的正确率。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单的介绍，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一个实施例提供的告警关联关系的确定方法的流程示意图；

图2是本发明另一个实施例提供的告警关联关系的确定方法的流程示意图；

图3是本发明一个实施例提供的告警信息预处理的过程示意图；

图4是本发明一个实施例提供的告警数据预分组的过程示意图

图5是本发明一实施例中确定告警数据空间距离的流程示意图；

图6是本发明实施例中传输专业告警空间距离确定的过程示意图；

图7是本发明一实施例中告警关联关系的确定方法步骤104或者步骤210的流程示意图；

图8是本发明另一实施例中告警关联关系的确定方法步骤104或者步骤210的流程示意图；

图9是本发明一实施例中基于告警联盟博弈告警关联分析过程的示意图；

图10是本发明一实施例中告警联盟博弈与建立示意图；

图11是本发明一个实施例提供的告警关联关系的确定的装置的结构示意图；

图12是本发明一个实施例提供的告警关联关系的确定硬件结构示意图。

具体实施方式

下面将详细描述本发明的各个方面的特征和示例性实施例，为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及具体实施例，对本发明进行进一步详细描述。应理解，此处所描述的具体实施例仅被配置为解释本发明，并不被配置为限定本发明。对于本领域技术人员来说，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明更好的理解。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了解决现有技术问题，本发明实施例提供了一种告警关联关系的确定方法、装置、设备及计算机存储介质。下面首先对本发明实施例所提供的告警关联关系的确定方法进行介绍。

图1示出了本发明一个实施例提供的告警关联关系的确定方法的流程示意图。如图1所示，在本发明实施例中，该告警关联关系的确定方法具体包括：

步骤101：获取至少两个告警信息。

具体地，该告警信息可以从对接故障管理系统的kafka获取，告警信息可以是kafka的实时告警流，该告警信息为连续的文本，可以包括全专业告警以及全量告警字段。

步骤102：分别对所述至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据。

这里，每个告警数据包括N维特征向量，N为大于1的自然数，该N维特征向量包括第一特征向量和第二特征向量，该第一特征向量用于表示告警数据的专业信息，该第二特征向量用于表示所述告警数据的时间信息。

具体地，因为获取到的告警信息为连续的文本，为了方便系统进行运算，需要将告警信息重构为可以计算的矢量模型。同时，因为告警信息包含众多字段，其中部分字段，如厂家告警ID、工单号，并无数据分析计算的价值，所以需要从所有字段中选取出可以代表告警信息特性的特征字段，并将代表告警信息特性的特征字段构建成一个N维矢量，即N维特征向量，得到告警数据从而实现快速高效地计算。

进一步地，具体可以提取告警信息以下特征向量：告警发生时间、一级专业、二级专业、设备类型、省份、地市、厂家、告警标题、网元名称、告警定位对象名称、电路名称、告警唯一标识、告警清除状态、网元别名、告警消除时间、SDN、告警等级、对端网元以及业务系统。

以上19个特征字段，即为19个特征向量，每个特征向量代表了告警信息的一个属性。将所有特征向量构建成一个19维矢量，便形成了一个绝对唯一的告警，以便进行后续计算。

步骤103：根据预先设定的告警专业类别与每个所述第一特征向量对应关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离。

这里，预先设定的告警专业类别可以是根据人工专家经验进行预先设定的。为了方便计算，两个告警数据之间可以设置一个定量的参数，称为告警距离，通过计算该告警距离可以得到两个告警数据之间的关联行。告警距离越近，代表两个告警数据的关系越紧密，关联性越强。

其中，每两个告警数据可以为随机组合的两个告警数据。

步骤104：根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系。

具体地，该告警距离表示每两个告警数据之间的距离。根据计算得到的每个告警距离结合联盟博弈算法，挖掘每个告警数据之间的关联规则，即可确定最终的告警信息关联关系。

综上，本发明实施例中的告警关联关系的确定方法，通过对告警信息进行特征提取，获得矢量化的告警数据，便于计算告警数据之间的告警距离。告警距离可以根据预先设定的告警专业类别与每个第一特征向量对应关系、以及每两个第二特征向量的关系计算获得，基于告警距离和联盟博弈算法，挖掘出告警之间的关联规则，即可以得到告警之间的关联关系。由此，通过本发明的方法，可以考虑到影响告警关联的准确率的多方面因素，如告警距离，告警专业以及告警关系量化评估等，进而可以解决现有技术中存在的技术问题，可以高效找到告警之间的关联关系、提高告警关联的正确率。

在本发明一实施例中，如图2所示，图2示出了本发明一个实施例提供的告警关联关系的确定方法的流程示意图。本实施例中的告警关联关系的确定方法可以作为上述实施例的展开实施方法。

步骤201：获取至少两个告警信息。

这里，可以理解的是，该告警信息的来源可以与步骤101相同，在此不再赘述。

此外，进一步地，在获取到至少两个告警信息后，分别对所述至少两个告警信息中的每个告警信息进行预处理。如图3所示，如图3示出了本发明一个实施例提供的告警信息预处理的过程示意图。

首先，去除超短告警信息，因为超短告警往往在长时间内仅发生一次，且瞬间恢复，无太高的参考价值。其次，去除告警信息字段值为空或字段值异常的噪声告警，由此，可以减少待计算的告警信息的数据，减轻运算压力。进一步地，对告警信息进行预处理还包括将将告警信息标准化处理，告警信息标准化具体是指将告警信息中同一字段可能存在的不同表达形式进行统一标准化，如告警信息的机房信息包含机房编码和机房中文名称两种表达形式，则统一修改为中文名称形式。

步骤202：分别对所述至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据。

其中，每个所述告警数据包括N维特征向量，N为大于1的自然数，所述N维特征向量包括第一特征向量和第二特征向量，所述第一特征向量用于表示所述告警数据的专业信息，所述第二特征向量用于表示所述告警数据的时间信息。

此外，进一步地，对于已经进行预处理的至少两个告警信息，提取特征向量时，分别对每个预处理后的告警信息进行特征提取。

步骤203：基于每个所述告警数据的N维特征向量，对每个所述告警数据进行预分组，得到多个分组。

这里，每个告警数据的分组内的告警数据具有相同的属性标签。

具体地，在矢量化告警集合进行距离计算前，优先对每个告警数据进行预分组。告警数据的每个特征向量代表了告警数据的一个属性，根据告警信息的属性，对同一属性告警数据聚合，形成矢量告警子集合，选择告警子集合的主告警参与后续告警距离计算，减少告警集合两两距离计算资源消耗，提升告警挖掘效率。

以告警数据属性：厂家、设备类型、告警标题为例，根据专家经验分析，同一告警数据属性可以唯一标识一种类型的告警，而同一时间同一网元同一告警属性的告警必然存在告警关联关系，因此无需对此类告警进行两两距离计算。对于同一时间同一网元不同告警属性的告警仍需进行告警距离计算。如图4所示，如图4示出了本发明一个实施例提供的告警数据预分组的过程示意图。具体预分组过程：

基于初始告警数据集合，初始告警数据集合表示对告警信息进行特征提取得到告警数据组成的集合，执行步骤41：根据告警数据属性对初始告警数据集合内告警进行打标，同一告警属性，告警标签一致。

步骤42：判断告警数据是否为同一时间、同一网元、同一告警数据属性标签，如果是，执行步骤43，如果否，执行步骤44。

步骤43：得到告警数据子集合。

具体地，告警数据子集合的数量可以为多个，每个告警数据子集合表示每个分组。

步骤44：不进行告警预分组。

步骤45：对步骤43得到的多个告警数据子集合进行处理，选取告警数据子集合主告警数据。

根据预设选取条件，分别从每个分组，即告警数据子集合中选取一个告警数据，以组成告警数据集合。具体地，预设选取条件可以根据告警数据的告警时间先后，选取主告警数据，例如提取告警时间最早的告警数据为主告警数据。

步骤46：根据子集合主告警数据、未进行预分组告警数据生成新的告警数据集合，进行后续距离计算。

具体地，基于生成的该告警数据集合，可以执行后续的计算每两个告警数据之间的告警距离操作。

进一步地，可以将告警数据集合内的告警数据进行两两组合，得到多个组合。执行后续的计算每两个告警数据之间的告警距离操作时，可以分别计算每个组合中的两个告警数据之间的告警距离。

进一步地，将告警数据集合内的告警数据进行两两组合的具体方式包括：对所述告警数据集合进行笛卡尔积计算。

步骤204：根据预先设定的告警专业类别，提取每个所述告警数据的N维特征向量中的第一特征向量。

这里，该第一特征向量可以用于表示所述告警数据的专业信息。

步骤205：根据预先设定的告警专业类别和第一特征向量的对应关系，分别确定每个所述告警数据对应的距离参数。

步骤206：根据每个所述距离参数，确定每两个所述告警数据之间的告警空间距离。

具体地，在步骤205和步骤206中，根据预设的告警专业类别和每个所述第一特征向量对应关系，判断每两个所述告警数据的第一特征向量是否属于相同的告警专业。如果是，则根据所述相同的告警专业，确定所述相同的告警专业的网络拓扑关系，其中，所述网络拓扑关系是根据专家经验预先设置的；根据所述网络拓扑关系，确定每个所述告警数据对应的距离参数。

具体地，为了方便进行定量计算，本发明实施例中，为每两个告警数据之间设置了定量的距离参数，称为告警空间距离。告警距离的距离越近，代表两个告警数据间的关系越紧密，关联性越强。如果从网络拓扑的角度去观察两个告警数据，则可以得到两个告警数据间的空间距离，可以认为两个告警数据在网络空间中的距离大小。距离越小，代表两个告警数据在空间分布上越近，越有可能是由同一个故障点引起的。

对预分组后告警数据集合，形成两两告警分组，根据告警特征字段、网络拓扑计算两个告警数据的空间距离，如图5所示，图5示出了本发明一实施例中确定告警数据空间距离的流程示意图。

具体地，基于上述步骤203执行操作，得到的预分组后的告警数据集合以及对告警数据集合进行笛卡儿积计算，形成两两组合的告警数据。可以执行步骤51。

步骤51：判断是否为同专业。即判断两两组合的告警数据是否为同专业。如果是，执行步骤52，如果否，则执行步骤53。

步骤52：根据专业进入对应距离计算模块。

步骤53：判断两专业是否具有关联；如果是，则执行步骤54，如果否，则直接执行步骤55。

步骤54：根据专业进入对应距离计算模块。

步骤55：输出告警数据集合告警空间距离。

步骤52或者步骤54执行完成后继续执行步骤55。

具体地，根据告警数据的第一特征向量，即告警数据的专业信息分别进入不同的计算模块，得到距离参数，输出不同的告警数据告警空间距离dist_s，可以理解的是，距离参数可以为根据专家经验分析设置的告警空间距离dist_s，即距离参数表示告警空间距离dist_s。

以传输专业为例，根据专家经验分析，传输专业告警关联关系主要依赖于传输网元的机房、对端、环网、管道等网络拓扑关系，根据网络拓扑优先级，设置距离参数，即告警空间距离dist_s如下：

ala<sub>i</sub>,ala<sub>j</sub>	同机房	同对端	同环网	同管道	无条件
						dist<sub>s</sub>	0.1	0.2	0.3	0.4	1

其中，ala_i,ala_j分别表示一个告警数据。根据已设置的距离参数，即告警空间距离dist_s，配合网络拓扑关系对传输专业两两告警数据分组进行计算，提取告警(ala_i,ala_j)的网元名称(ne_i,ne_j)，根据网络拓扑提取对应网元的机房信息(bl_i,bl_j)，判断bl_i是否等于bl_j，如果相等则输出两两告警空间距离dist_s(ala_i,ala_j)＝0.1，若bl_i不等于bl_j，则继续提取后续网络拓扑信息，根据网络拓扑优先级依次进行计算，输出两两告警空间距离dist_s(ala_i,ala_j)。如图6所示，图6示出了本发明实施例中传输专业告警空间距离确定的过程。

不同告警专业类别，均可根据专家经验及拓扑关系设置告警空间距离，目前本系统根据日常维护需要配置如下告警空间距离，可以理解的是，后续实际应用时，每一类专业及专业之间均可设置告警空间距离及计算模块，同时计算模块均可独立设置及改变：

核心专业：

ala<sub>i</sub>,ala<sub>j</sub>	同MSC POOL	同HSS	无条件
				dist<sub>s</sub>	0.1	0.2	1

数据专业：

ala<sub>i</sub>,ala<sub>j</sub>	一跳路由	两跳路由	三跳路由	无条件
					dist<sub>s</sub>	0.1	0.2	0.25	1

动环专业：

ala<sub>i</sub>,ala<sub>j</sub>	同机房	无条件
			dist<sub>s</sub>	0.1	1

无线专业：

ala<sub>i</sub>,ala<sub>j</sub>	同机房	同MME	无条件
				dist<sub>s</sub>	0.1	0.2	1

家宽与数据专业：

ala<sub>i</sub>,ala<sub>j</sub>	同对端	无条件
			dist<sub>s</sub>	0.1	1

步骤207：提取每个所述告警数据的N维特征向量中的第二特征向量，以确定每两个所述告警数据的第二特征向量的关系。

步骤208：根据所述每两个所述告警数据的第二特征向量的关系，计算得到每两个所述告警数据之间的告警时间距离。

具体地，在步骤206和步骤207中，第二特征向量用于表示告警数据的时间信息，由此可以确定每两个告警数据告警时间距离。

具体地，除了告警空间距离外，告警时间距离也是告警数据之间是否具有关联性重要的考量部分，若两个告警数据在时域上发生的时间间隔越小，则可以认为两者间的关联性越强。由此，为两个告警数据之间设置了一个定量的参数，即时间告警距离，代表告警数据在时间维度下的距离：

dist_t＝1-ln(Δt) (1)

其中，dist_t为两个告警数据的告警时间距离，Δt表示两个告警数据发生时间的差值，单位为分钟。

步骤209：根据所述告警空间距离和告警时间距离，计算得到每两个所述告警数据之间的告警时空距离，将所述告警时空距离作为所述告警距离。

这里，根据上述步骤计算出的每两个告警数据的告警空间距离和告警时间距离，可以确定预先定义的另一个定量参数，即告警时空距离。告警时空距离代表告警数据在时间和空间两个维度下的距离。

Dist(ala_i,ala_j)＝dist_t．dist_s (2)

其中Dist(ala_i,ala_j)为两个告警数据ala_i和ala_j之间的告警时空距离。其中，Dist(ala_i,ala_j)越小，代表两个告警数据之间的时空距离越小，两个告警数据的相关性就越高，越可能存在关联关系。

步骤210：根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系。

此外，本发明实施例中的方法，针对网络告警的特定形式，将告警矢量化的方法，将告警信息从文本文件转化为一个可以应用于数学计算的矢量模型，得到可以用于计算的多个告警数据。由于告警空间距离的计算复杂度较高，本发明实施例的方法通过对告警信息的预处理和对告警数据的预分组，去处理一下不用计入计算的告警数据，在进行空间距离计算前，减少告警数据两两距离计算资源消耗，提升告警数据挖掘效率。通过告警空间距离、告警时间距离以及告警时空距离，将告警数据之间的关联关系通过数学表达式的形式呈现，将复杂网络关系数学模型化，方便后续进行数学形式的计算，也可以更加优化告警数据挖掘效率。

请参见图7，如图7示出了本发明一实施例中告警关联关系的确定方法步骤104或者步骤210的具体实施流程示意图。在本发明一实施例中，如上述实施例中所述的步骤104或者步骤210可以具体实施为：

步骤701：根据每两个告警数据之间预设的告警关联置信度和所述告警距离，迭代计算每两个所述告警数据对告警联盟关系的贡献值。

这里，该告警关联置信度为一定时间段内一个告警数据出现时另一个告警数据出现的概率。

具体地，将历史时间段ω内告警数据B出现时告警数据A出现的概率定义为告警关联置信度：

告警关联置信度可以表征告警数据A、B之间关联性的大小，有助于从直观上理解和评估两个告警数据的关联性。

具体地，该贡献值表示为告警组合的告警关联置信度和告警距离的比值。这里，用集合Ala＝{ala₁，ala₂，……，ala_n}代表告警数据，其中ala_i和ala_j表示第i和第j条告警数据，通过公式2可计算出两者之间的告警时空距离Dist(ala_i,ala_j)。可以从一条告警数据的N维特征向量中提取到若干特征向量，例如，告警发生时间、故障类型等，这些特征向量对告警产生和预判有着重要作用。而从告警系统中获取的告警信息之间可能会存在着关联关系，可以用告警时空距离Dist(ala_i,ala_j)来衡量第i条和第j条告警数据之间的关联性强弱，Dist(ala_i,ala_j)＝1表示两个告警数据之间没有关联，U(ala_i,ala_j)表示从第i条和第j条告警采集到的信息对系统的贡献值，当两个告警数据的时空距离值越小时，关联性越强，对整个告警联盟结构的贡献值越大，所以告警的贡献值U(ala_i,ala_j)与告警时空距离Dist(ala_i,ala_j)成反比，将其关系表示为：

其中，P(ala_i|ala_j)表示在历史ω为30分钟时间段内，告警ala_j出现时告警ala_i同时出现的概率。根据公式(3)，ω为30分钟时，可以计算出P(ala_i|ala_j)值，具体为：

从大数据的角度上来看，若两个告警数据同时出现的概率越高，说明这两个告警数据的关联性越大，因此我们假设P(ala_i|ala_j)与告警贡献值U(ala_i,ala_j)成正比。当Dist(ala_i,ala_j)＝1，两个告警数据之间没有关联时，U(ala_i,ala_j)＝0。此外，可以理解的是，ω的具体数值可以根据实际需求进行设置。

步骤702：根据至少一个所述贡献值，确定至少一个告警联盟关系的联盟效用函数。

这里，该贡献值可以映射为联盟效用函数，根据至少一个贡献值，可以确定至少一个告警联盟关系的联盟效用函数。

具体地，关于联盟效用的定义。可以理解的是，例如，假设告警数据形成的联盟结构用集合S＝{S₁，S₂，……S_m}表示,每个关联告警簇、即联盟S_a由k(k为常数且k≥1)个告警数据组成。若集合Ala＝{ala₁，ala₂，……，ala_n}中的第i条和第j条告警数据之间Dist(ala_i,ala_j)＝1，也就是代表告警数据ala_i和ala_j互不相关，各自单独形成一个关联告警簇，即S_a＝{ala_i}和S_b＝{ala_j}，k＝1，表示关联告警簇内只有一个告警数据存在，此时告警的贡献值U(ala_i,ala_j)为0，因此联盟效用函数

也为0。关联告警簇S_a的效用

可表示为：

其中，其中k为关联告警簇S_a中所有告警数据的个数,ala_i和ala_j为关联告警簇S_a中的告警数据，且i≠j。

步骤703：根据每个所述告警距离和每个所述联盟效用函数，将满足预设博弈条件的联盟效用函数对应的告警数据进行关联组合，形成至少一个关联告警簇。

这里，所述关联告警簇表示由具有满足预设关联条件的告警数据组成的集合。该预设关联条件可以为告警数据之间为强关联的关系。

步骤704：根据所述至少一个关联告警簇，形成告警联盟结构。

这里，通过联盟博弈算法，可以形成至少一个或者多个关联告警簇，基于这些关联告警簇，可以形成告警联盟结构。可以理解的是，随着告警数据的增加，关联告警簇是动态变化的，每个告警数据可以作为联盟博弈的决策者，对于每个告警数据来说，通过上述联盟博弈算法进行比较选择加入某个关联告警簇，可以使告警联盟结构朝着最优的方向发展，最终得到联盟效用最大的稳定告警联盟结构。

步骤705：根据所述告警联盟结构，确定所述告警信息之间的关联关系。

综上，本发明实施例中的方法700，可以基于联盟博弈算法，构建告警的联盟博弈场景，并通过对最优告警数据贡献值的迭代计算，输出最优告警联盟结构，实现告警信息之间的关联关系的量化，由此，可以高效找到告警之间的关联关系、提高告警关联的正确率。

在本发明另一实施例中，请参见图8，图8示出了本发明另一实施例中告警关联关系的确定方法步骤104或者步骤210的具体实施流程示意图，在本实施例中，如前述实施例中所述的步骤104或者步骤210也可以具体实施为方法，具体包括如下步骤：

步骤801：提取所述告警距离达到预定阈值的多个告警数据。

这里，预定阈值可以是告警距离为1。可以理解的是预定阈值的设置可以根据联盟博弈的需要进行设置，在此再赘述。

步骤802：将提取的每个所述告警数据作为一个关联告警簇，形成初始联盟结构。

这里，该初始联盟结构中包括多个关联告警簇，所述关联告警簇的数量和所述告警数据的数量一致，未加入初始联盟结构的告警数据为第一告警数据，初始联盟结构中的每个所述关联告警簇中的告警数据为第二告警数据。

具体地，满足Dist(ala_i,ala_j)＝1的m条告警单独形成m个关联告警簇即联盟，初始联盟结构为S＝{S₁，S₂，……S_m},其中S_a＝{ala_i}，S_b＝{ala_j}，ala_i、ala_j分别表示第二告警数据，未加入初始联盟结构的告警数据为第一告警数据。

步骤803：基于所述初始联盟结构，分别提取至少一个所述第一告警数据和每个第二告警数据的之间的告警距离。

这里，以一个告警数据为例，一个第一告警数据可以表示为ala_h，关联告警簇S_a的第二告警数据可以为ala_i，两者之间的告警距离可以表示为Dist(ala_i,ala_h)；同理，关联告警簇S_b的第二告警数据可以为ala_j，其与第一告警数据ala_h之间的告警距离可以表示为Dist(ala_j,ala_h)。

步骤804：根据提取的多个所述告警距离，确定多个所述告警距离对应的多个联盟效用函数。

具体地，根据所述多个告警距离和预设告警关联置信度，迭代计算每两个所述第一告警数据和第二告警数据对告警联盟关系的贡献值；

根据多个所述贡献值，确定多个联盟效用函数。

这里，可以理解的是，可以通过上述步骤701至步骤702的方法计算每两个第一告警数据和第二告警数据对告警联盟关系的贡献值，以及根据多个贡献值，确定多个联盟效用函数。在此不再重复表述。

步骤805：将所述多个联盟效用函数进行两两比较，得到每两个所述联盟效用函数之间的大小关系；

步骤806：根据预设博弈条件和每个所述大小关系，确定满足预设博弈条件的大小关系。

步骤807：根据所述满足预设博弈条件的大小关系，确定至少一个所述第一告警数据和第二告警数据的关联关系。

步骤808：根据确定的所述关联关系，形成至少一个新的关联告警簇；

步骤809：根据所述至少一个新的关联告警簇，形成告警联盟结构。

具体地，先结合实例，具体说明步骤805至步骤809，当第一告警数据ala_h与关联告警簇S_a的第二告警数据ala_i告警距离Dist(ala_i,ala_h)<1,且ala_h与关联告警簇S_b的第二告警数据ala_j的告警距离Dist(ala_j,ala_h)＝1时,ala_h选择进入关联告警簇S_a,形成新的关联告警簇S_a°＝{ala_i,ala_h},若ala_h与ala_j的告警距离Dist(ala_j,ala_h)<1时，第一告警数据ala_h需要在两个关联告警簇S_a和S_b之间进行博弈选择进入的联盟即关联告警簇。假设告警ala_h进入联盟S_a形成的新联盟为S_a°＝{ala_i,ala_h}，而进入联盟S_b形成的新联盟为S_b°＝{ala_j,ala_h}，当同时满足以下条件时，

第一告警数据ala_h选择进入关联告警簇S_a形成的新关联告警簇为S_a°,而同时满足以下条件时：

第一告警数据ala_h选择进入关联告警簇S_b形成的新关联告警簇为S_b°。

进一步地，可以理解的是，获取的每个第一告警数据都作为博弈的决策者，对于每个第一告警数据，通过上述方法进行比较选择加入关联告警簇，可以使整个告警联盟结构朝着最优的方向发展，最终得到联盟效用最大的稳定联盟结构S°＝{S_1°，S_2°，……S_m°}。其中每个关联告警簇S_m°即为一个强关联性告警数据组合成的集合，也称联盟。

可以理解的是，随着告警数据的增加，关联告警簇是动态变化的，告警联盟结构也是动态变化的。每个告警数据可以作为联盟博弈的决策者，对于每个告警数据来说，通过上述联盟博弈算法进行比较选择加入某个关联告警簇，可以使告警联盟结构朝着最优的方向发展，最终得到联盟效用最大的稳定告警联盟结构。

步骤810：根据所述告警联盟结构，确定所述告警信息之间的关联关系。

综上，本发明实施例中的方法800，可以基于联盟博弈算法，构建告警的联盟博弈场景，并通过对最优告警数据贡献值的迭代计算，输出最优告警联盟结构，实现告警信息之间的关联关系的量化，由此，可以高效找到告警之间的关联关系、提高告警关联的正确率。

进一步地，本发明实施例中的，图9示出了本发明另一实施例中基于告警联盟博弈告警关联分析过程的示意图。上述实施例中，告警关联关系的确定的方法可以是基于该告警关联关系分析得到的。具体分析步骤包括：

步骤91：实时告警流接入、告警标准化。

步骤92：告警矢量化。

步骤92：告警预分组。

步骤94：告警空间距离计算。

步骤95：告警时间距离计算。

步骤96：告警时空距离计算。

步骤97：构建联盟博弈场景。

步骤98：输出最优联盟结构。

步骤99：结果展示。

进一步地，告警联盟结构的建立可以请参见图10，图10示出了本发明另一实施例中告警联盟博弈与建立示意图。多个告警数据经过联盟博弈算法，可以建立如图10所示的告警联盟结构，其中，ala₁至ala₅均为告警数据，U(ala₁,ala₂)、U(ala₁,ala₃)、U(ala₁,ala₃)、U(ala₁,ala₄)、U(ala₁,ala₅)、U(ala₂,ala₃)、U(ala₃,ala₄)、U(ala₂,ala₄)、U(ala₂,ala₅)、以及U(ala₃,ala₅)可以表示对应的两个告警数据的贡献值。小圆圈和大圆圈均可以表示关联告警簇，即联盟；实线的条数可以表示贡献值的大小，即联盟中告警关联的强度。虚线可以表示进行博弈。

在本发明另一实施例中，如图11所示，图11是本发明另一个实施例提供的告警关联关系的确定的装置的结构示意图，一种告警关联关系的确定的装置，该装置包括：

获取模块1101，用于获取至少两个告警信息；

提取模块1102，用于分别对所述至少两个告警信息中的每个告警信息进行特征提取，得到每个所述告警信息对应的告警数据，其中，每个所述告警数据包括N维特征向量，N为大于1的自然数，所述N维特征向量包括第一特征向量和第二特征向量，所述第一特征向量用于表示所述告警数据的专业信息，所述第二特征向量用于表示所述告警数据的时间信息；

计算模块1102，用于根据预先设定的告警专业类别与每个所述第一特征向量对应关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离；

确定模块1104，用于根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系。

综上，本发明实施例中的告警关联关系的确定装置可以是实施图1所示实施例中的方法，通过对告警信息进行特征提取，获得矢量化的告警数据，便于计算告警数据之间的告警距离。告警距离可以根据预先设定的告警专业类别与每个第一特征向量对应关系、以及每两个第二特征向量的关系计算获得，基于告警距离和联盟博弈算法，挖掘出告警之间的关联规则，即可以得到告警之间的关联关系。由此，通过本发明的方法，可以考虑到影响告警关联的准确率的多方面因素，如告警距离，告警专业以及告警关系量化评估等，进而可以解决现有技术中存在的技术问题，可以高效找到告警之间的关联关系、提高告警关联的正确率。

图12示出了本发明实施例提供的告警关联关系的确定硬件结构示意图。

在告警关联关系的确定设备可以包括处理器1201以及存储有计算机程序指令的存储器1202。

具体地，上述处理器1201可以包括中央处理器(CPU)，或者特定集成电路(Application Specific Integrated Circuit，ASIC)，或者可以被配置成实施本发明实施例的一个或多个集成电路。

存储器1202可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器1202可包括硬盘驱动器(Hard Disk Drive，HDD)、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线(Universal Serial Bus，USB)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器1202可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器1202可在综合网关容灾设备的内部或外部。在特定实施例中，存储器1202是非易失性固态存储器。在特定实施例中，存储器1202包括只读存储器(ROM)。在合适的情况下，该ROM可以是掩模编程的ROM、可编程ROM(PROM)、可擦除PROM(EPROM)、电可擦除PROM(EEPROM)、电可改写ROM(EAROM)或闪存或者两个或更多个以上这些的组合。

处理器1201通过读取并执行存储器1202中存储的计算机程序指令，以实现上述实施例中的任意一种告警关联关系的确定方法。

在一个示例中，告警关联关系的确定设备还可包括通信接口1203和总线1210。其中，如图12所示，处理器1201、存储器1202、通信接口1203通过总线1210连接并完成相互间的通信。

通信接口1203，主要用于实现本发明实施例中各模块、装置、单元和/或设备之间的通信。

总线1210包括硬件、软件或两者，将告警关联关系的确定设备的部件彼此耦接在一起。举例来说而非限制，总线可包括加速图形端口(AGP)或其他图形总线、增强工业标准架构(EISA)总线、前端总线(FSB)、超传输(HT)互连、工业标准架构(ISA)总线、无限带宽互连、低引脚数(LPC)总线、存储器总线、微信道架构(MCA)总线、外围组件互连(PCI)总线、PCI-Express(PCI-X)总线、串行高级技术附件(SATA)总线、视频电子标准协会局部(VLB)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线1210可包括一个或多个总线。尽管本发明实施例描述和示出了特定的总线，但本发明考虑任何合适的总线或互连。

该告警关联关系的确定设备可以执行本发明实施例中的告警关联关系的确定方法，从而实现结合图1和图2描述的告警关联关系的确定方法。

另外，结合上述实施例中的告警关联关系的确定方法，本发明实施例可提供一种计算机存储介质来实现。该计算机存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现上述实施例中的任意一种告警关联关系的确定方法。

需要明确的是，本发明并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后，作出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述的结构框图中所示的功能块可以实现为硬件、软件、固件或者它们的组合。当以硬件方式实现时，其可以例如是电子电路、专用集成电路(ASIC)、适当的固件、插件、功能卡等等。当以软件方式实现时，本发明的元素是被用于执行所需任务的程序或者代码段。程序或者代码段可以存储在机器可读介质中，或者通过载波中携带的数据信号在传输介质或者通信链路上传送。“机器可读介质”可以包括能够存储或传输信息的任何介质。机器可读介质的例子包括电子电路、半导体存储器设备、ROM、闪存、可擦除ROM(EROM)、软盘、CD-ROM、光盘、硬盘、光纤介质、射频(RF)链路，等等。代码段可以经由诸如因特网、内联网等的计算机网络被下载。

还需要说明的是，本发明中提及的示例性实施例，基于一系列的步骤或者装置描述一些方法或系统。但是，本发明不局限于上述步骤的顺序，也就是说，可以按照实施例中提及的顺序执行步骤，也可以不同于实施例中的顺序，或者若干步骤同时执行。

以上所述，仅为本发明的具体实施方式，所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、模块和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。应理解，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。

Claims

1.一种告警关联关系的确定方法，其特征在于，

获取至少两个告警信息；

2.根据权利要求1所述的方法，其特征在于，所述根据预先设定的告警专业类别与第一特征向量的关系、以及每两个所述第二特征向量的关系，分别计算每两个所述告警数据之间的告警距离，包括：

3.根据权利要求2所述的方法，其特征在于，所述根据预先设定的告警专业类别和每个所述第一特征向量对应关系，分别确定每个所述告警数据对应的距离参数，包括：

4.根据权利要求1-3任意一项所述的方法，其特征在于，所述根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系，包括：

根据所述至少一个关联告警簇，形成告警联盟结构；

5.根据权利要求3所述的方法，其特征在于，所述根据每个所述告警距离和联盟博弈算法，确定所述告警信息之间的关联关系，还包括:

提取所述告警距离达到预定阈值的多个告警数据；

根据确定的所述关联关系，形成至少一个新的关联告警簇；

根据所述至少一个新的关联告警簇，形成告警联盟结构；

6.根据权利要求5所述的方法，其特征在于，根据提取的所述多个告警距离，确定所述多个告警距离对应的多个联盟效用函数，包括：

根据多个所述贡献值，确定多个联盟效用函数。

7.根据权利要求1所述的方法，其特征在于，在所述分别计算每两个所述告警数据之间的告警距离之前，还包括：

8.根据权利要求7所述的方法，其特征在于，所述基于所述告警集合，计算每两个所述告警数据之间的告警距离，包括：

分别计算每个组合中的两个告警数据之间的告警距离。

9.根据权利要求7所述的方法，其特征在于，所述将告警数据集合内的告警数据进行两两组合的方式具体包括：对所述告警数据集合进行笛卡尔积计算。

10.根据权利要求1所述的方法，其特征在于，在所述获取至少两个告警信息和分别对所述至少两个告警信息中的每个告警信息进行特征提取之间，还包括：分别对所述至少两个告警信息中的每个告警信息进行预处理；

11.一种告警关联关系的确定的装置，其特征在于，所述装置包括：

获取模块，用于获取至少两个告警信息；

12.一种告警关联关系的确定的设备，其特征在于，所述设备包括：处理器以及存储有计算机程序指令的存储器；

所述处理器执行所述计算机程序指令时实现如权利要求1-10任意一项所述的告警关联关系的确定方法。

13.一种计算机存储介质，其特征在于，所述计算机存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如权利要求1-10任意一项所述的告警关联关系的确定方法。