CN111431736B - 告警关联规则生成方法和装置 - Google Patents

Abstract

本申请提供了一种告警关联规则生成方法和分析装置，涉及通信技术领域，该方法根据告警记录得到各个告警的向量表示，并计算向量之间的相似度。由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以根据向量之间的相似度，确定近似的频繁项。这样，可以将告警之间的信息转化为向量之间的关系，根据向量之间的关系得到近似的频繁项，再根据近似的频繁项生成告警关联规则，可以避免获得频繁项时繁琐的统计过程，有助于提高计算效率，降低挖掘告警关联规则的耗时。

Description

告警关联规则生成方法和装置

技术领域

本申请涉及通信技术领域，并且更具体地涉及告警关联规则生成方法和装置。

背景技术

电信网络中，管理服务运维每天面对几百万的海量告警数据，传统的告警处理方式存在很多问题。例如，监控工作量大，人工负荷高；易出现告警刷屏的现象，导致无法及时发现重要告警，使得告警处理延误；对多条同根因告警同时处理导致资源浪费等。

电信网络主要有数通、微波、无线等几个域的设备组成，一个设备上的告警(如数通，微波)很可能会引发其他设备上的告警，也就是说，告警之间是有关联的。在短时间内，一个网络拓扑上发生的告警往往有很大的相关性。因此，结合网络拓扑，挖掘跨域跨网元的告警关联规则，基于这些关联规则实现跨域跨网元的告警压缩很有必要。

目前主要的告警关联规则的挖掘方法有频繁项挖掘方法、序列模式挖掘方法等。但是，由于这些方法计算复杂度都很高，在电信网络不断增大和告警数量急剧增加的情况下，告警关联规则的挖掘时间会很长。

因此，如何降低挖掘告警关联规则的耗时成为急需解决的问题。

发明内容

本申请提供了告警关联规则生成方法和分析装置，有利于降低挖掘告警关联规则的耗时。

第一方面，本申请提供了一种告警关联规则生成方法，该方法可以由分析装置执行，具体地，该方法包括：获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数；根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量；确定所述N个向量中每两个向量之间的相似度；根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件；根据所述至少一个第一候选项集，生成告警关联规则。

在上述技术方案中，根据告警记录得到各个告警的向量表示，并计算向量之间的相似度。由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以根据向量之间的相似度，确定近似的频繁项。这样，上述技术方案将告警之间的信息转化为向量之间的关系，根据向量之间的关系得到近似的频繁项，再根据近似的频繁项生成告警关联规则，可以避免获得频繁项时繁琐的统计过程，有助于提高计算效率，降低挖掘告警关联规则的耗时。

结合第一方面，在一种可能的实现方式下，所述根据所述至少一个第一候选项集，生成告警关联规则，包括：确定所述至少一个第一候选项集中每个第一候选项集的支持度；根据所述每一个第一候选项集的支持度，确定至少一个第二候选项集，所述第二候选项集为支持度大于预设阈值的第一候选项集；根据所述至少一个第二候选项集，生成所述告警关联规则。

在上述技术方案中，在根据向量之间的相似度得到至少一个第一候选项集之后，还可以根据至少一个第一候选项集的支持度，对至少一个第一候选项集进行进一步的筛选，得到至少一个第二候选项集，通过此方法，得到的近似的频繁项更加准确。

结合第一方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量，包括：按照告警的发生时间和网络拓扑，对所述M个告警记录进行分组，以确定至少一个第三候选项集，所述网络拓扑包括对应于所述M个告警记录的设备之间的连接关系，所述第三候选项集包括一个或者多个告警，当所述第三候选项集包括多个告警时，所述多个告警的发生在相同的时间段内和/或发生所述多个告警的设备之间相连接；根据所述至少一个第三候选项集和词嵌入word embedding算法，确定所述N个向量。

在上述技术方案中，通过对M个告警记录进行分组，并将得到的分组作为词嵌入算法的输入数据，从而得到N个告警的向量表示，从而提供了一种得到N个向量的方式。

结合第一方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述词嵌入算法包括word2vec算法、item2vec算法、lda2vec算法、illustration2vec算法。

结合第一方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述确定所述至少一个第一候选项集中每个第一候选项集的支持度，包括：确定所述N个不同的告警中每个告警的支持度；根据所述每个告警的支持度，分别对所述至少一个第三候选项集中每个第三候选项集中的告警进行排序；根据排序后的至少一个第三候选项集，确定第一信息，所述第一信息用于指示多个告警组合中每个告警组合的出现的次数，所述告警组合包括所述N个不同的告警中的两个不同的告警；根据所述第一信息，确定所述至少一个第一候选项集中每个第一候选项集的支持度。

通过上述技术方案，不需要多次扫描数据库，可以提高计算多项集支持度的效率。

第二方面，本申请提供了一种分析装置，该装置包括：获取模块，用于获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数；处理模块，用于根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量；所述处理模块，还用于确定所述N个向量中每两个向量之间的相似度；所述处理模块，还用于根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件；所述处理模块，还用于根据所述至少一个第一候选项集，生成告警关联规则。

在上述技术方案中，根据告警记录得到各个告警的向量表示，并计算向量之间的相似度。由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以根据向量之间的相似度，确定近似的频繁项。这样，上述技术方案将告警之间的信息转化为向量之间的关系，根据向量之间的关系得到近似的频繁项，再根据近似的频繁项生成告警关联规则，可以避免获得频繁项时繁琐的统计过程，有助于提高计算效率，降低挖掘告警关联规则的耗时。

结合第二方面，在一种可能的实现方式下，所述处理模块具体用于：确定所述至少一个第一候选项集中每个第一候选项集的支持度；根据所述每一个第一候选项集的支持度，确定至少一个第二候选项集，所述第二候选项集为支持度大于预设阈值的第一候选项集；根据所述至少一个第二候选项集，生成所述告警关联规则。

在上述技术方案中，在根据向量之间的相似度得到至少一个第一候选项集之后，还可以根据至少一个第一候选项集的支持度，对至少一个第一候选项集进行进一步的筛选，得到至少一个第二候选项集，通过此方法，得到的近似的频繁项更加准确。

结合第二方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述处理模块具体用于：按照告警的发生时间和网络拓扑，对所述M个告警记录进行分组，以确定至少一个第三候选项集，所述网络拓扑包括对应于所述M个告警记录的设备之间的连接关系，所述第三候选项集包括一个或者多个告警，当所述第三候选项集包括多个告警时，所述多个告警的发生在相同的时间段内和/或发生所述多个告警的设备之间相连接；根据所述至少一个第三候选项集和词嵌入word embedding算法，确定所述N个向量。

在上述技术方案中，通过对M个告警记录进行分组，并将得到的分组作为词嵌入算法的输入数据，从而得到N个告警的向量表示，从而提供了一种得到N个向量的方式。

结合第二方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述词嵌入算法为word2vec算法、item2vec算法、lda2vec算法或者illustration2vec算法。

结合第二方面或上述任一种可能的实现方式，在另一种可能的实现方式下，所述处理模块具体用于：确定所述N个不同的告警中每个告警的支持度；根据所述每个告警的支持度，分别对所述至少一个第三候选项集中每个第三候选项集中的告警进行排序；根据排序后的至少一个第三候选项集，确定第一信息，所述第一信息用于指示多个告警组合中每个告警组合的出现的次数，所述告警组合包括所述N个不同的告警中的两个不同的告警；根据所述第一信息，确定所述至少一个第一候选项集中每个第一候选项集的支持度。

通过上述技术方案，不需要多次扫描数据库，可以提高计算多项集支持度的效率。

第三方面，本申请提供了一种芯片，所述芯片与存储器相连，用于读取并执行所述存储器中存储的软件程序，以实现第一方面或第一方面任意一种实现方式所述的方法。

第四方面，本申请提供了一种计算设备，包括处理器和存储器，所述处理器执行所述存储器中的计算机程序指令执行上述第一方面或第一方面任一可能的实现方式提供的方法。所述存储器与所述处理器耦合，其保存生成告警关联规则的过程中必要的程序指令和数据。

可选地，所述计算设备可以包括通信接口，用于与其他设备进行通信，如接收告警记录等。

第五方面，本申请提供了一种计算机可读存储介质，包括指令，当所述指令在计算机上运行时，使得计算机执行第一方面或第一方面任意一种实现方式所述的方法。

第六方面，本申请提供了一种计算机程序产品，所述计算机程序产品包括计算机程序代码，在所述计算机程序代码被计算设备执行时，所述计算设备执行前述第一方面或第一方面的任意可能的实现方式中提供的方法。

可选地，所述计算机程序产品可以为一个软件安装包，在需要使用前述第一方面或第一方面的任意可能的实现方式中提供的方法的情况下，可以下载该计算机程序产品并在计算设备上执行该计算机程序产品中的计算机程序代码。

第七方面，本申请提供了一种计算设备系统，该计算设备系统包括至少一个计算设备。每个计算设备包括存储器和处理器。至少一个计算设备的处理器用于访问所述存储器中的代码，以使该计算设备系统执行第一方面或第一方面的任意一种可能的实现方式提供的方法。

附图说明

图1是是本申请提供的一种系统架构示意图。

图2是本申请实施例的告警压缩的整体流程示意图。

图3是本申请实施例的告警关联规则生成方法的示意性流程图。

图4是本申请实施例的告警分组的示意图。

图5是本申请实施例的确定项集支持度的方法的示意性流程图。

图6是本申请实施例的对项集中的告警进行排序的一个示例。

图7是本申请实施例的有向赋权图的示意图。

图8是本申请实施例的告警关联规则生成方法的一个具体示例。

图9是本申请实施例的分析装置的示意性结构图。

图10是本申请另一实施例提供的分析装置的示意性结构图。

图11是本申请实施例提供的计算设备。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

为了便于理解，下面给出与本申请相关的概念的说明。

1、告警

告警系统发生故障时，监控单元将视故障情况给出告警信号。通常，告警可以用告警发生时间、发生告警的设备的名称、告警类型或告警名称、告警消除时间中的一个或者多个来表示。

2、项集、单项集、k项集和频繁项集

项的集合称为项集。包含k个项的项集可以称为k项集。当k＝1时，项集也可以称为单项集。频繁项集是在数据库中大量频繁出现的项集。在本申请中，项集中的项为告警，因此项集也可以称为告警项集或者事件项集。

3、支持度和支持度上界

支持度指某个项集在整个数据集中的比例。支持度满足以下公式：

其中，Sup(X→Y)表示项集{X，Y}的支持度，#(X∪Y)表示项集{X，Y}出现的次数，#T为项集的总数。

例如，假设告警数据包括有10条记录，包含{X，Y}的有5条记录，那么{X，Y}的支持度就是5/10＝0.5。

支持度上界是指针对一个数据库，某个项集在这个数据库中出现的次数的上界的估计，即Sup(X→Y)≤C。

在一些情况下，可以根据项集的支持度或者支持度上界判断该项集是否为频繁项集。

4、置信度

置信度是针对某个关联规则定义的。在给定A发生的情况下，由关联规则“A->B”推出B出现的概率，即置信度满足以下公式：

其中，Confidence(A→B)表示A->B的置信度。

例如，项集A为{鸡蛋，面包}，项集B为{牛奶}，关联规则A->B的置信度则为{鸡蛋，面包，牛奶}的支持度/{鸡蛋，面包}的支持度。假设{鸡蛋，面包，牛奶}的支持度为0.45，{鸡蛋，面包}的支持度为0.5，则A->B即{鸡蛋，面包}->{牛奶}的置信度为0.45/0.5＝0.9。

5、告警关联规则

关联规则是在频繁项集的基础上得到的。关联规则指由项集A，可以在某置信度下推出项集B。通俗来说，就是如果项集A发生了，那么项集B也很有可能会发生。

例如，项集A为{鸡蛋，面包}，项集B为{牛奶}，关联规则A->B，若该关联规则的置信度是0.9，意味着在所有买了鸡蛋和面包的客户中，有90％的客户还买了牛奶。

而告警关联规则是由一种或者多种告警引起其他告警的模式所形成的关联规则。

6、网络拓扑

网络拓扑结构是指用传输介质互连各种设备的物理布局，是构成网络的设备间特定的物理的(即真实的)或者逻辑的(即虚拟的)排列方式。如果两个网络的连接结构相同我们就说它们的网络拓扑相同，尽管它们各自内部的物理接线、节点间距离可能会有不同。

在本申请中，网络拓扑可以是电信网络中设备与设备之间的连接图，这里的设备可以是同一个域中的设备，也可以是不同域中的设备，本申请实施例不作具体限定。

本申请的技术方案可以应用在不同的场景中，只要该场景中需要分析海量数据之间的关联关系即可。例如，本申请的技术方案可以应用在电信网络的告警关联分析中。又例如，本申请的技术方案可以应用在社交网络的用户关系分析中。再例如，本申请的技术方案可以应用在计算机的告警处理中。为了描述方便，本申请以电信网络的告警关联分析为例，对本申请的技术方案进行描述。

如背景技术所述，电信网络中，管理服务运维每天面对几百万的海量告警数据，传统的告警处理方式存在很多问题。例如，监控工作量大，人工负荷高；易出现告警刷屏的现象，导致无法及时发现重要告警，使得告警处理延误；对多条同根因告警同时处理导致资源浪费等。

电信网络主要有数通、微波、无线等几个域的设备组成，一个设备上的告警(如数通，微波)很可能会引发其他设备上的告警，也就是说，告警之间是有关联的。在短时间内，一个网络拓扑上发生的告警往往有很大的相关性。因此，结合网络拓扑，挖掘跨域跨网元的告警关联规则，基于这些关联规则实现跨域跨网元的告警压缩很有必要。

目前主要的告警关联规则的挖掘方法有频繁项挖掘方法、序列模式挖掘方法等。但是，由于这些方法计算复杂度都很高，在电信网络不断增大和告警数量急剧增加的情况下，告警关联规则的挖掘时间会很长。

因此，如何降低挖掘告警关联规则的耗时成为急需解决的问题。

本申请实施例提出了告警关联规则生成方法和分析装置，有助于降低挖掘告警关联规则的耗时。

在对本申请实施例提供的告警关联规则生成方法进行介绍之前，对本申请实施例所适用的系统架构进行介绍。

本申请实施例提供的告警关联规则生成方法可以由分析装置执行，分析装置既可以是一个硬件装置，例如：服务器、终端计算设备等，也可以是一个软件装置，具体为运行在硬件计算设备上的一套软件系统。本申请实施例中并不限定分析装置所部署的位置。示例性的，如图1所示，分析装置可以运行在云计算设备系统(包括至少一个云计算设备，例如：服务器等)，也可以运行在边缘计算设备系统(包括至少一个边缘计算设备，例如：服务器、台式电脑等)，也可以运行在各种终端计算设备上，例如：笔记本电脑、个人台式电脑等。

分析装置在逻辑上也可以是由多个部分构成的装置，如分析装置可以包括获取模块和处理模块，分析装置中的各个组成部分可以分别部署在不同的系统或服务器中。

下面结合附图对本申请实施例提供的告警关联规则生成方法进行说明。

图2是本申请实施例的告警压缩的整体流程示意图。分析装置获取电信网络中的历史告警数据，并根据电信网络的网络拓扑和告警发生时间对历史告警数据进行分组，得到分组后的历史告警数据，每一组历史告警数据为一个项集；分析装置根据分组后的历史告警数据和估计的支持度上界，生成告警关联规则；进而分析装置根据生成的告警关联规则对发生的告警进行压缩。

图3是本申请实施例的告警关联规则生成方法的示意性流程图。图3所示的方法可以由上述的分析装置执行。图3所示的方法包括以下内容中的至少部分内容。

在310中，获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数。

本申请实施例的M告警记录可以是告警日志、告警数据、告警事件等。在实际的应用中，M个告警记录可以是从分析装置的存储器中读取到的，也可以是从其他设备接收得到的，本申请实施例不作具体限定。

在一些可能的实现方式中，一个告警记录对应于一个告警。告警记录可以包括告警名称或告警类型、告警的发生时间、告警的消除时间、告警代号、发生告警的设备等告警信息。M个告警记录对应于N个不同的告警，即M个告警记录属于N类告警。在本申请实施例中，M个告警记录对应于N个不同的告警单项集。

例如，M＝10，10个告警记录中的告警名称分别为告警A、A、A、B、C、C、C、C、D、E，10个告警记录对应于A、B、C、D、E五个不同的告警。

在320中，根据所述M个告警记录，得到分别对应于所述N个不同的告警的N个向量。

其中，N个不同的告警与N个向量一一对应。

在本申请实施例中，当两个告警记录包括的一个或者多个告警信息中的至少一个不同时，两个告警记录对应的告警互不相同。例如，两个告警记录包括的告警名称不同时，两个告警记录对应的告警不同。又例如，两个告警记录包括的告警名称和发生告警的设备均不相同，两个告警记录对应的告警不同。

下面以两个告警记录包括的告警名称不同时，两个告警记录对应的告警不同为例，对本申请实施例的告警关联规则生成方法进行描述。这样，根据M个告警记录，得到分别对应于N个不同的告警的N个向量，即根据M个告警记录，得到分别对应于N个不同的告警名称的N个向量，也即根据M个告警记录，得到分别对应于所述N个不同的告警名称的向量表示。

根据M个告警记录，得到分别对应于N个不同的告警的N个向量的方法有很多，本申请实施例不作具体限定。

在一些实施例中，根据词嵌入(word embedding)算法和M个告警记录得到分别对应于N个不同的告警的N个向量，即得到N个不同的告警的向量表示。词嵌入(wordembedding)算法可以包括word2vec算法、item2vec算法、lda2vec算法、illustration2vec算法等。

作为一个示例，分析装置将获取到的M个告警记录按照时间和网络拓扑进行分组，得到至少一个第三候选项集，其中，每个第三候选项集中包括的告警的数量可能相同，也可能不同；将得到的至少一个第三候选项集作为词嵌入算法的输入，通过词嵌入算法处理后，得到对应于N个不同的告警的N个向量。

一种可能的实现方式中，分析装置可以先将M个告警记录按照告警发生时间分组；然后根据网络拓扑进行分组，对于每组(即每个项集)中的告警数据，其所在的拓扑构成一个弱连通分量，例如，如图4所示，D.1，D.2，D.3设备上面发生的告警为一组，D.5，D.6设备上面发生的告警为一组；然后根据告警名称去重，再将每组中的告警数据顺序随机打乱；最后将分组后的告警数据作为word2vec算法的输入，通过wordvec算法处理后，得到对应于N个告警的N个向量。

作为另一个示例，分析装置将获取到的M个告警记录按照时间或网络拓扑进行分组，得到至少一个第三候选项集，其中，每个第三候选项集中包括的告警的数量可能相同，也可能不同；将得到的至少一个第三候选项集作为词嵌入算法的输入，通过词嵌入算法处理后，得到对应于N个不同的告警的N个向量。

作为另一个示例，分析装置还可以直接将M个告警记录作为词嵌入算法的输入，从而得到对应于N个不同的告警的N个向量。

本申请实施例对N个向量所在空间和N个向量的维度不作具体限定，只要可以实现对N个告警进行向量表示即可。例如，N个向量可以是欧式空间的3维向量、欧式空间的4维向量等。

由于欧式空间具有很好的度量性，当将N个不同的告警映射到欧式空间时，告警之间的关系很容易刻化。

在330中，确定所述N个向量中每两个向量之间的相似度。

对于N个向量，确定N个向量中每两个向量之间的相似度，可以得到

个相似度的值。

分析装置确定两个向量之间的相似度的方式有很多，本申请实施例不作具体限定。例如，分析装置可以通过计算两个向量的欧氏距离、曼哈顿距离、切比雪夫距离、闵可夫斯基距离、标准化欧氏距离、马氏距离、夹角余弦、余弦相似度、汉明距离、信息熵等，确定两个向量之间的相似度。

以计算N个向量中任意两个向量的余弦相似度为例，余弦相似度满足以下公式：

其中，Sim_c(u,v)表示向量u和v的余弦相似度，||u||表示向量u的2范数，||v||表示向量v的2范数，u·v表示向量u和v的内积，向量u和v为上述N个向量中的任意两个向量。

在340中，根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件。

采用不同的相似度衡量方式，可以对应于不同的预设条件。例如，当采用余弦相似度时，预设条件可以是大于第一预设阈值。又例如，当采用向量夹角时，预设条件可以是小于第三预设阈值。

以采用余弦相似度为例，根据330中的得到的相似度，选取相似度大于第一预设阈值的向量组合，得到至少一组向量组合；由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以将选取得到的至少一组向量组合分别对应的告警组合作为频繁项集的候选项集。为了描述方便，下文称此处的候选项集为第一候选项集。

在350中，根据所述至少一个第一候选项集，生成告警关联规则。

在一些实施例中，分析装置可以直接根据340中得到的至少一个第一候选项集，生成告警关联规则。例如，在对频繁项集准确度要求不是很严格的场景下，可以至少一个第一候选项集，生成告警关联规则。

在另一些实施例中，分析装置可以进一步确定至少一个第一候选项集的支持度或者支持度上界，并选取支持度或支持度上界大于第二预设阈值的第一候选项集作为第二候选项集；分析装置根据选择得到的至少一个第二候选项集，生成告警关联规则。也就是说，用于生成告警关联规则的候选项集为相似度和支持度同时满足要求的候选项集。

其中，确定第一候选项集的支持度或支持度上界的方法有很多，本申请实施例不作具体限定。

作为一个示例，分析装置还可以通过构建哈希树(hash tree)的方式，统计得到每个第一候选项集的支持度或支持度上界。

作为另一个示例，分析装置还可以根据至少一个第三候选项集，确定第一信息，第一信息用于指示多个告警组合中每个告警组合的出现的次数，其中，告警组合包括述N个不同的告警中的两个不同的告警。

例如，分析装置可以构造有向赋权图，再根据有向赋权图，计算每个第一候选项集的支持度。其中，有向赋权图的节点为N个告警，每条边的权重为由该边连接的两个节点同时出现的次数。

当然，分析装置还可以通过其他现有技术中的支持度的统计方式，确定第一候选项集的支持度，本申请实施例不作具体限定。

以构造有向赋权图为例，具体地，如图5所示，在510中，根据M个告警数据，统计得到N个告警在M个告警数据中的支持度，即统计M个告警中每个单项集的支持度。

在520中，按照N个不同的告警的支持度，将上文所述的至少一个第三候选项集中的每个项集中的告警进行排序。本申请实施例对排序方式不作具体限定，例如，可以为降序排序、升序排序等。为了方便描述，以下以降序排序为例。

在530中，根据排序后的至少一个第三候选项集，构造至少一个有向赋权图。

在540中，根据530得到的至少一个有向赋权图，确定至少一个第一候选项集的支持度上界。

下面介绍510-540的一种可能的实现方式。

具体地，根据M个告警记录，统计得到N个告警在M个告警数据中的支持度，并用字典数据结构记录下来为头(head)；然后按照N个告警的支持度，将N个告警进行逆序排序，并用字典数据结构记录单项集所在位置为表(table)；按照N个告警的支持度，对上述至少一个第三候选项集中每个项集中的告警进行逆序排序，得到新的项集；N个告警，初始N个图，该N个图的初始节点分别为N个告警中的一个；对于上述新的项集(x_1，x_2，…，x_n)，在x_1对应的图中依次加入边(x_i，x_i+1)，i＝1，2，…，n-1，相应边的权重加1，其中，x_1，x_2，…，x_n为项集中的告警，由此得到至少一个有向赋权图；根据得到的至少一个有向赋权图，确定至少一个第一候选项集的支持度上界，由于第一候选项集为二项集(a，b)，第一候选项集的支持度上界满足：

当table[a]<table[b]，即告警a在排序中的位置小于告警b在排序中的位置时，sup(a,b)≤C；

当table[b]-table[a]＝1，即告警a在排序中的位置与告警b在排序中的位置相邻时，sup(a,b)＝C；

其中，支持度上界C满足以下公式：

其中，C表示支持度上界，g为至少一个有向赋权图中的第g个图，g小于或者等于table[a]，I为集合K与集合F的交集，集合K为第g个图中告警a与告警a的子节点的并集，集合F包括第g个图中告警b的全部父节点，u为集合I中的元素，w(u,b)表示边(u，b)的权重。

下面结合一个具体的例子，对上述实现方式进行详细描述。

假设24个告警记录对应于6个不同的告警1、2、3、4、5、6，对24个告警记录进行分组后，得到(1，2，5)、(1，4)、(1，3)、(1，4，2)、(1，3)、(2，3)、(1，2，5，3)、(1，2，4)和(2，3，6)共9个项集，即9个第三候选项集。

根据上述24个告警，统计告警1、2、3、4、5、6出现的次数，得到告警1、2、3、4、5、6的支持度分别为7、6、5、3、2、1，用字典数据结构记录下来为head，即head＝{1：7，2：6，3：5，4：3，5：2，6：1}，其中，1:7表示告警1的支持度为7，head中其他元素含义类似，不再赘述。按照支持度，将告警1、2、3、4、5、6进行逆序排序，并用字典数据结构记录告警1、2、3、4、5、6所在位置为table，即table＝{1：1，2：2，3：3，4：4，5：5，6：6}，其中，1:1表示告警1在排序中的位置为1，table中的其他元素含义类似，不再赘述。根据告警1、2、3、4、5、6的支持度，对上述分组得到的9个项集中的告警进行逆序排序。具体地，项集(1，4，2)变为(1，2，4)，项集(1，2，5，3)变为(1，2，3，5)，其他项集不发生变化。图6示出了对项集中的告警进行排序的一个示例。图6的左侧为排序前的项集，右侧为排序后的项集。

初始6个有向赋权图，6个图的起始节点依次为告警1，2，3，4，5，6。根据排序后的各项集，为6个图加边。具体地，如图7所示，对于以告警1为起始节点的图，根据项集(1，2，5)、(1，4)、(1，3)、(1，2，4)、(1，3)、(1，2，3，5)和(1，2，4)增加边(1，2)、(2，5)、(1，4)、(1，3)、(2，4)、(2，3)和(3，5)，相应边的权重分别为4、1、1、2、2、1、1；对于以告警2为起始节点的图，根据项集(2，3)和(2，3，6)，增加边(2，3)和(3，6)，相应边的权重为2和1；在排序后的9个项集中，没有以告警3、4、5、6为首的项集，因此在本示例中仅构造如图7所示的两个有向赋权图。应理解，有向赋权图各边的权重可以对应于上文的第一信息。

假设告警1和告警5对应的两个向量之间的相似度满足预设条件，根据图7所示的有向赋权图，计算二项集(1，5)的支持度上界。由于告警1在支持度排序中的位置为1，告警5在支持度排序中的位置为5，所以table[1]<table[5]，因此sup(1,5)≤C。对于图7中的第一个有向赋权图，集合K为{1，2，3，4，5}，集合F为{2，3}，集合K和集合F的交集为{2，3}，即集合I为{2，3}；图7中的第二个有向赋权图不包括告警1和5。因此，C＝边(2，5)的权重+边(3，5)的权重＝2，即sup(1,5)≤2。

在一些实施例中，在得到至少一个第一候选项集或者至少一个第二候选项集之后，分析装置还可以进一步根据至少一个第一候选项集或者至少一个第二候选项集，确定至少一个第四候选项集。其中，第四候选项集由至少一个第一候选项集包括的至少部分单项集构成，或者由至少一个第二候选项集包括的至少部分单项集构成。

例如，N＝5，N个告警分别为A，B，C，D，E，同时满足相似度和支持度要求的二项集(即至少一个第二候选项集)分别为(A，B)、(A，C)、(A，D)、(B，C)、(B，D)、(C，D)和(C，E)；若期望得到最大频繁项集，分析装置可以进一步根据这些二项集，确定3个第四候选项集(A，B，C，D)、(B，C，D)和(C，D，E)，作为近似频繁项集。

这样，本申请实施例可以将至少一个第一候选项集、至少一个第二候选项集或者至少一个第四候选项集作为近似频繁项集，进而根据近似频繁项集和专家经验，生成告警关联规则。分析装置根据近似频繁项集和专家经验生成告警关联规则的方法有很多，本申请实施例对不作具体限定。

图8是本申请实施例的告警关联规则生成方法的一个具体示例。

如图8所示，在810中，获取M个告警记录，其中，M为大于1的整数。

在820中，根据810中获取的M个告警记录，得到M个告警记录对应的N个不同的告警的向量表示，即将N个不同的告警映射成N个向量。具体的实现方式可参见上文的相关描述。

在830中，对于N个不同的告警中的告警A，分别计算告警A对应的向量与其他告警对应的向量之间的余弦相似度，选取余弦相似度大于第一预设阈值的告警与告警A构成二项集。

例如，N个不同的告警分别为A、B、C、D、E，对应的向量分别为a、b、c、d、e，分别计算向量a与向量b、向量a与向量c、向量a与向量d、向量a与向量e之间的余弦相似度，计算公式可参见上文。

在840中，确定830中得到的二项集的支持度，并选择支持度大于第二预设阈值的二项集，支持度的计算方式可参见上文。

循环执行830-840，直到完成N个告警中的每个告警的二项集确定过程。例如，在上述830和840之后，还可以针对告警B，分别计算向量b与向量c、向量b与向量d、向量b与向量e之间的余弦相似度，并判断得到的二项集的支持度。

在850中，根据840中得到的二项集，生成近似的频繁项集。

例如，针对告警A，同时满足相似度和支持度要求的二项集分别为(A，B)、(A，C)和(A，D)，分析装置可以生成近似的频繁项集(A，B，C，D)；针对告警B，同时满足相似度和支持度要求的二项集分别为(B，C)和(B，D)，分析装置可以生成近似的频繁项集(B，C，D)，以此类推。

在860中，根据850中生成的近似的频繁项集和专家经验，生成告警关联规则。

基于上文所述内容可知，本申请根据告警记录得到各个告警的向量表示，并计算向量之间的相似度。由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以根据向量之间的相似度，确定近似的频繁项。这样，可以将告警之间的信息转化为向量之间的关系，根据向量之间的关系得到近似的频繁项，再根据近似的频繁项生成告警关联规则，可以避免获得频繁项时繁琐的统计过程，有助于提高计算效率，降低挖掘告警关联规则的耗时。

下面结合图9至图11对本申请的装置实施例进行描述。可以理解的是，为了实现上述实施例中功能，分析装置包括了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本申请中所公开的实施例描述的各示例的单元及方法步骤，本申请能够以硬件或硬件和计算机软件相结合的形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用场景和设计约束条件。图9至图11中的分析装置或计算设备可以用于实现上述方法实施例中分析装置的功能，因此也能实现上述方法实施例所具备的有益效果。

图9是本申请实施例的分析装置的示意性结构图。图9所示的装置900可以对应于上文的分析装置，如图9所示，装置900包括获取模块910和处理模块920。

获取模块910，用于获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数。

处理模块920，用于根据所述M个告警记录，得到分别对应于所述N个不同的告警的N个向量。

所述处理模块920，还用于确定所述N个向量中每两个向量之间的相似度。

所述处理模块920，还用于根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件。

所述处理模块920，还用于根据所述至少一个第一候选项集，生成告警关联规则。

在上述技术方案中，根据告警记录得到各个告警的向量表示，并计算向量之间的相似度。由于两个向量的相似度包含一定频繁项的信息，相似度高的向量所对应的告警是频繁项的可能性就越大，因此可以根据向量之间的相似度，确定近似的频繁项。这样，上述技术方案将告警之间的信息转化为向量之间的关系，根据向量之间的关系得到近似的频繁项，再根据近似的频繁项生成告警关联规则，可以避免获得频繁项时繁琐的统计过程，有助于提高计算效率，降低挖掘告警关联规则的耗时。

可选地，所述处理模块920具体用于：确定所述至少一个第一候选项集中每个第一候选项集的支持度；根据所述每一个第一候选项集的支持度，确定至少一个第二候选项集，所述第二候选项集为支持度大于预设阈值的第一候选项集；根据所述至少一个第二候选项集，生成所述告警关联规则。

在上述技术方案中，在根据向量之间的相似度得到至少一个第一候选项集之后，还可以根据至少一个第一候选项集的支持度，对至少一个第一候选项集进行进一步的筛选，得到至少一个第二候选项集，通过此方法，得到的近似的频繁项更加准确。

可选地，所述处理模块920具体用于：按照告警的发生时间和网络拓扑，对所述M个告警记录进行分组，以确定至少一个第三候选项集，所述网络拓扑包括对应于所述M个告警记录的设备之间的连接关系，所述第三候选项集包括一个或者多个告警，当所述第三候选项集包括多个告警时，所述多个告警的发生在相同的时间段内和/或发生所述多个告警的设备之间相连接；根据所述至少一个第三候选项集和词嵌入word embedding算法，确定所述N个向量。

在上述技术方案中，通过对M个告警记录进行分组，并将得到的分组作为词嵌入算法的输入数据，从而得到N个告警的向量表示，从而提供了一种得到N个向量的方式。

可选地，所述词嵌入算法为word2vec算法、item2vec算法、lda2vec算法或者illustration2vec算法。

可选地，所述处理模块920具体用于：确定所述N个不同的告警中每个告警的支持度；根据所述每个告警的支持度，分别对所述至少一个第三候选项集中每个第三候选项集中的告警进行排序；根据排序后的至少一个第三候选项集，确定第一信息，所述第一信息用于指示多个告警组合中每个告警组合的出现的次数，所述告警组合包括所述N个不同的告警中的两个不同的告警；根据所述第一信息，确定所述至少一个第一候选项集中每个第一候选项集的支持度。

获取模块910可以由收发器或者处理器实现，处理模块920可以由处理器实现。获取模块910、处理模块920的具体功能和有益效果可以参见上述所述的方法实施例，在此就不再赘述。

图10是本申请另一实施例提供的分析装置的示意性结构图。图10所示的装置1000可以对应于上文的分析装置，图10示出了分析装置的硬件单元，如图10所示，装置1000可以包括收发器1010、处理器1020、存储器1030。

图10中仅示出了一个存储器和处理器。在实际的分析装置产品中，可以存在一个或多个处理器和一个或多个存储器。存储器也可以称为存储介质或者存储设备等。存储器可以是独立于处理器设置，也可以是与处理器集成在一起，本申请实施例对此不做限制。

收发器1010、处理器1020、存储器1030之间通过内部连接通路互相通信，传递控制和/或数据信号。

具体地，收发器1010或处理器1020，用于获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数。

处理器1020，还用于根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量；确定所述N个向量中每两个向量之间的相似度；根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件；根据所述至少一个第一候选项集，生成告警关联规则。

本申请各实施例该的收发器也可以称为收发单元、收发机、收发装置等。处理器也可以称为处理单元，处理单板，处理模块、处理装置等。可选的，可以将收发器中用于实现接收功能的器件视为接收单元，将收发器中用于实现发送功能的器件视为发送单元，即收发器包括接收单元和发送单元。接收单元有时也可以称为接收机、接收器、或接收电路等。发送单元有时也可以称为发射机、发射器或者发射电路等。

本申请各实施例所述的存储器用于存储处理器运行所需的计算机指令和参数。

本申请各实施例所述的处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。本申请各实施例所述的处理器可以是通用处理器、数字信号处理器(digitalsignal processor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现成可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存取存储器(random access memory，RAM)、闪存、只读存储器(read-only memory，ROM)、可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的指令，结合其硬件完成上述方法的步骤。

装置1000的具体工作过程和有益效果可以参见上文所述的方法实施例，在此不再赘述。

图11是本申请实施例提供的计算设备。如图11所示，所述计算设备1100包括总线1110、处理器1120、通信接口1130和存储器1140。处理器1120、存储器1140和通信接口1130之间通过总线1110通信。

其中，处理器1120可以为中央处理器(central processing unit，CPU)。存储器1140可以包括易失性存储器(volatile memory)，例如随机存取存储器(random accessmemory，RAM)。存储器1140还可以包括非易失性存储器(non-volatile memory)，例如只读存储器(read-only memory，ROM)，快闪存储器，HDD或SSD。存储器中存储有可执行代码，处理器1120执行该可执行代码以执行前述图2所描述的方法。存储器1140中还可以包括操作系统等其他运行进程所需的软件模块。操作系统可以为LINUX^TM，UNIX^TM，WINDOWS^TM等。

本申请还提供一种计算设备系统，所述计算设备系统包括至少一个如图10所示的计算设备1000。所述计算设备系统中的至少一个计算设备1000之间通过通信网络互相建立通信，每个计算设备上运行装置900中的任意一个或者任意多个模块。

在本申请的各种实施例中，各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其他任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如数字视频光盘(digital video disc，DVD))、或者半导体介质(例如固态硬盘(solid state disk，SSD))等。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (11)

1.一种告警关联规则生成方法，其特征在于，包括：

获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数；

根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量；

确定所述N个向量中每两个向量之间的相似度；

根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件；

根据所述至少一个第一候选项集，生成告警关联规则。

2.根据权利要求1所述的方法，其特征在于，所述根据所述至少一个第一候选项集，生成告警关联规则，包括：

确定所述至少一个第一候选项集中每个第一候选项集的支持度；

根据所述每一个第一候选项集的支持度，确定至少一个第二候选项集，所述第二候选项集为支持度大于预设阈值的第一候选项集；

根据所述至少一个第二候选项集，生成所述告警关联规则。

3.根据权利要求2所述的方法，其特征在于，所述根据所述M个告警记录，得到分别对应于所述N个不同的告警的N个向量，包括：

按照告警的发生时间和网络拓扑，对所述M个告警记录进行分组，以确定至少一个第三候选项集，所述网络拓扑包括对应于所述M个告警记录的设备之间的连接关系，所述第三候选项集包括一个或者多个告警，当所述第三候选项集包括多个告警时，所述多个告警的发生在相同的时间段内和/或发生所述多个告警的设备之间相连接；

根据所述至少一个第三候选项集和词嵌入算法，确定所述N个向量。

4.根据权利要求3所述的方法，其特征在于，所述词嵌入算法为word2vec算法、item2vec算法、lda2vec算法或者illustration2vec算法。

5.根据权利要求3或4所述的方法，其特征在于，所述确定所述至少一个第一候选项集中每个第一候选项集的支持度，包括：

确定所述N个不同的告警中每个告警的支持度；

根据所述每个告警的支持度，分别对所述至少一个第三候选项集中每个第三候选项集中的告警进行排序；

根据排序后的至少一个第三候选项集，确定第一信息，所述第一信息用于指示多个告警组合中每个告警组合的出现的次数，所述告警组合包括所述N个不同的告警中的两个不同的告警；

根据所述第一信息，确定所述至少一个第一候选项集中每个第一候选项集的支持度。

6.一种分析装置，其特征在于，包括：

获取模块，用于获取M个告警记录，所述M个告警记录对应于N个不同的告警，N为大于1且小于或者等于M的整数；

处理模块，用于根据所述M个告警记录，确定分别对应于所述N个不同的告警的N个向量；

所述处理模块，还用于确定所述N个向量中每两个向量之间的相似度；

所述处理模块，还用于根据所述每两个向量之间的相似度，确定至少一个第一候选项集，所述第一候选项集包括所述N个不同的告警中的两个告警，所述两个告警对应的两个向量之间的相似度满足预设条件；

所述处理模块，还用于根据所述至少一个第一候选项集，生成告警关联规则。

7.根据权利要求6所述的装置，其特征在于，所述处理模块具体用于：

确定所述至少一个第一候选项集中每个第一候选项集的支持度；

根据所述每一个第一候选项集的支持度，确定至少一个第二候选项集，所述第二候选项集为支持度大于预设阈值的第一候选项集；

根据所述至少一个第二候选项集，生成所述告警关联规则。

8.根据权利要求7所述的装置，其特征在于，所述处理模块具体用于：

按照告警的发生时间和网络拓扑，对所述M个告警记录进行分组，以确定至少一个第三候选项集，所述网络拓扑包括对应于所述M个告警记录的设备之间的连接关系，所述第三候选项集包括一个或者多个告警，当所述第三候选项集包括多个告警时，所述多个告警的发生在相同的时间段内和/或发生所述多个告警的设备之间相连接；

根据所述至少一个第三候选项集和词嵌入算法，确定所述N个向量。

9.根据权利要求8所述的装置，其特征在于，所述词嵌入算法为word2vec算法、item2vec算法、lda2vec算法或者illustration2vec算法。

10.根据权利要求8或9所述的装置，其特征在于，所述处理模块具体用于：

确定所述N个不同的告警中每个告警的支持度；

根据所述每个告警的支持度，分别对所述至少一个第三候选项集中每个第三候选项集中的告警进行排序；

根据排序后的至少一个第三候选项集，确定第一信息，所述第一信息用于指示多个告警组合中每个告警组合的出现的次数，所述告警组合包括所述N个不同的告警中的两个不同的告警；

根据所述第一信息，确定所述至少一个第一候选项集中每个第一候选项集的支持度。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括指令，当所述指令被计算设备执行时，用以实现上述权利要求1至5中任一项所述的方法。

Images