CN112735103A - 一种告警关联识别方法、装置及设备 - Google Patents

Abstract

本发明提供了一种告警关联识别方法、装置及设备。所述方法包括配置告警关联分析场景规划；接收告警消息，判断告警消息的告警标签是否与配置的告警标签匹配；根据配置的关联分析场景规划，创建告警标签对应的一个或多个告警分析场景实例；同时通过告警消息对其他存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置。以此方式，可以通过和与自己强关联的告警数据进行关联分析，从而在多条强关联的告警信息中只输出一条告警信息，使分析所涉及的数据量以及输出的告警信息量大大减少；并且将告警分类、告警关系识别、告警相关度分析等充分解耦，每个过程均可屏蔽不同项目、现场的差异，无需重复开发。

Description

一种告警关联识别方法、装置及设备

技术领域

本发明的实施例一般涉及网络管理领域，并且更具体地，涉及一种告警关联识别方法、装置及设备。

背景技术

在电信运营商的网管系统中，每天因设备运行异常而上报的告警记录堪称海量，但这海量告警中，只有小部分重要告警需要处理，其余都需要屏蔽掉。告警程序需要能够从海量告警中，识别出相互间强关联的告警，只保留最核心的一条告警，屏蔽其他告警。

目前主流的处理方案是预置若干告警主从、重复、频闪等关系的识别规则，并将每一套判断逻辑和后续处理逻辑独立进行封装，在告警采集流程中，每收到一条告警，都将之与一段时间之内的所有告警放在一起，循环调用所有独立封装好的处理逻辑进行判断。

但现有的处理方案中，针对每一条告警都要尝试与历时一段时间内的告警放在一起，进行多轮分析，计算量非常大，性能较差；而且每一条规则能覆盖的场景很有限，相互间的复用性非常差，导致会有大量重复开发的工作；现有的告警分析功能也并没有充分解耦。

发明内容

根据本发明的实施例，提供了一种告警关联识别方案。

在本发明的第一方面，提供了一种告警关联识别方法。该方法包括：

S101：配置告警关联分析场景规划；

S102：接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则执行S103；否则，不对所述告警消息进行关联识别，重新执行S102；

S103：根据配置的关联分析场景规划，创建所述告警标签对应的一个或多个告警分析场景实例；同时通过所述告警消息对其他存量的告警分析场景实例进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，返回S102。

进一步地，所述配置关联分析场景规划，包括：配置告警标签、配置告警相关度筛选范围、配置告警关联度分析逻辑、配置告警处置方式以及配置告警生命周期。

进一步地，所述告警标签用于标记出指定类别的告警；

所述告警相关度筛选范围，用于定义需要做关联度分析的告警标签范围；

所述告警关联度分析逻辑，用于分析通过告警相关度筛选出的告警标签的组合是否至少属于一种告警判断逻辑，如果是，则通过告警关联度分析；

所述配置告警处置方式，用于为通过关联度分析的告警标签组合进行处置操作；

所述配置告警生命周期，用于定义告警分析场景从创建到销毁持续的时间。

进一步地，所述根据配置的关联分析场景规划，创建所述告警标签对应的告警分析场景实例，包括：

调用所述告警消息的告警标签命中的关联分析场景规划，以所述告警信息为基础元素，将所述关联分析场景规划进行实例化，创建出对应的告警分析场景实例。

进一步地，所述通过所述告警消息对存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，包括：

用所述告警标签遍历当前未销毁的告警分析场景实例，调取各告警分析场景实例中配置的告警相关度筛选范围，筛选出符合告警相关度筛选范围的告警分析场景实例；

将所述告警标签对应的告警信息添加到识别出的告警分析场景实例中；

调用所述告警分析场景实例配置的告警关联度分析逻辑，对所述告警信息是否满足告警关联度分析逻辑进行识别；

当所述告警信息满足告警关联度分析逻辑时，调用所述告警分析场景实例配置的告警处置方式，对当前告警分析场景实例中包含的各个告警信息进行处置操作。

进一步地，所述告警关联度分析逻辑为多个告警信息之间存在的逻辑关系。

进一步地，还包括：

当到达预设时间间隔时，如果当前告警分析场景实例存续的时间达到配置的告警生命周期，则销毁当前告警分析场景实例；否则进入下一时间间隔周期。

在本发明的第二方面，提供了一种告警关联识别装置。该装置包括：

配置模块，用于配置告警关联分析场景规划；

匹配判断模块，用于接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则调用实例创建模块；否则，不对所述告警消息进行关联识别，重新调用匹配判断模块；

实例创建模块，用于根据配置的关联分析场景规划，创建所述告警标签对应的一个或多个告警分析场景实例；

比对分析模块，用于通过所述告警消息对其他存量的告警分析场景实例进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，重新调用所述匹配判断模块。

在本发明的第三方面，提供了一种电子设备。该电子设备包括：存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。

在本发明的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如根据本发明的第一方面的方法。

应当理解，发明内容部分中所描述的内容并非旨在限定本发明的实施例的关键或重要特征，亦非用于限制本发明的范围。本发明的其它特征将通过以下的描述变得容易理解。

本发明能够通过和与自己强关联的告警数据进行关联分析，从而在多条强关联的告警信息中只输出一条告警信息，使分析所涉及的数据量以及输出的告警信息量大大减少；并且将告警分类、告警关系识别、告警相关度分析等充分解耦，每个过程均可屏蔽不同项目、现场的差异，无需重复开发。

附图说明

结合附图并参考以下详细说明，本发明各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了根据本发明的告警关联识别方法的流程图；

图2示出了根据本发明的通过告警消息对存量告警分析场景进行比对分析的流程图；

图3示出了根据本发明的告警关联识别装置的方框图；

图4示出了能够实施本发明的实施例的示例性电子设备的方框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的全部其他实施例，都属于本发明保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本发明中，能够通过和与自己强关联的告警数据进行关联分析，从而在多条强关联的告警信息中只输出一条告警信息，使分析所涉及的数据量以及输出的告警信息量大大减少；并且将告警分类、告警关系识别、告警相关度分析等充分解耦，每个过程均可屏蔽不同项目、现场的差异，无需重复开发。

图1示出了本发明实施例的告警关联识别方法的流程图。

该方法包括：

S101、配置告警关联分析场景规划。

所述关联分析场景规划是指从告警标签、告警相关度筛选范围、告警关联度分析逻辑和告警处置方式的维度对关联分析场景进行配置。即每个关联分析场景均需要预先配置告警标签、相关度筛选范围、关联度分析逻辑、告警处置方式和生命周期。

所述告警标签，用于配置所述关联分析场景下强关联的告警标签，即用于标记出某一指定类别的告警。所述指定类别包括网元分类、告警逻辑分类、网络层次分类和告警归属网元分类等。例如，为关联分析场景预先配置同一告警归属网元标签、同一告警网元分类标签等。

所述告警相关度筛选范围，用于给出筛选范围，根据相关度筛选出能够继续执行关联度分析的告警消息；即定义哪些标签下的告警需要做关联度分析。

所述告警关联度分析，用于对通过了相关度筛选的多条告警的组合，分析其是否满足多条告警信息之间存在的逻辑关系，所述逻辑关系，例如主从告警、频闪告警、重复告警等告警屏蔽场景。所述主从告警为一网元派发设备告警，上下流同时派发业务告警等；所述频闪告警为同一网元连续重复告警、恢复、再告警、再恢复；所述重复告警为同一网元连续派发相同告警。

所述告警处置方式，用于对通过告警关联度分析筛选出的告警消息进行处置方式的定义。例如对告警的主从关系进行指定，修改告警状态，调整告警级别等。

所述生命周期，用于定义一个告警分析场景实例从创建到销毁持续的时间；在到达生命周期时对当前告警分析实例进行销毁。

S102：接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则执行S103；否则，不对所述告警消息进行关联识别，重新执行S102。

预先配置告警标签，所述告警标签用于标记出某一指定类别的告警。所述指定类别包括网元分类、告警逻辑分类、网络层次分类和告警归属网元分类。

作为本发明的一种实施例，所述网元分类，例如板卡类告警、端口类告警等；所述告警逻辑分类，例如协议类告警、硬件类告警等；所述网络层次分类，例如接入网告警、城域网告警等；所述告警归属网元分类，例如发生在某某端口上的告警、发生在某台设备上的告警等。

具体的，S102可以包括：

当接收到告警消息后，提取所述告警消息中的告警标签，与预先配置的告警标签进行标签匹配，如果所述告警消息中的告警标签与预先配置的任意一个告警标签匹配，则说明当前告警消息存在与之强关联的告警数据，能够进行告警关联识别；如果告警消息中的告警标签与预先配置的告警标签不匹配，则说明预先配置的告警标签中没有与所述告警消息强关联的告警标签，不对所述告警消息进行识别。

S103包括同时并行处理的两个过程，其中第一过程，包括：根据配置的关联分析场景规划，创建所述告警标签对应的一个或多个告警分析场景实例。

具体的，在所述第一过程中，调取所述告警消息匹配的告警标签对应的关联分析场景规划，创建出所述告警标签对应的一个或多个告警分析场景实例。创建出的实例并不进行运行处置，此时实例中仅有所述告警消息一条，需要继续等待其他符合其关联分析场景规划的告警消息进入该实例。

所述告警标签对应创建的告警分析场景实例可以为一个或多个，即每条告警标签可以对应一个或多个告警分析场景实例。

作为本发明的一种实施例，所述告警关联分析场景实例中的告警标签设置为“设备端口”(告警归属网元)、“端口DOWN告警”或“协议DOWN告警”(告警类型)；告警相关度筛选规则配置为“检测告警类型为端口告警”和“检测告警网元为同一条电路的AB两端端口”；告警关联度分析配置为“检测告警发生在不同端口之上”；告警关联处理方式配置为“将最早发生的告警标注为主告警，其他告警标注为从告警”，告警生成周期配置为“5分钟”。

S103的第二过程，包括：通过所述告警消息对其他存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，返回S102。

具体的，所述第二过程，如图2所示，具体包括：

S201、用所述告警标签遍历当前未销毁的告警分析场景实例，调取各告警分析场景实例中配置的告警相关度筛选范围，调用对应的筛选程序或接口，筛选出符合告警相关度筛选范围的告警分析场景实例；所述当前未销毁的告警分析场景实例，即其他存量的告警分析场景实例中不包括所述第一过程中创建的告警分析场景实例。

S202、将所述告警标签对应的告警信息添加到识别出的告警分析场景实例中；

S203、调用所述告警分析场景实例配置的告警关联度分析的程序或接口，对所述告警信息是否满足告警关联度分析逻辑进行识别；例如识别出主从关系，符合告警频闪判断等。

S204、当所述告警信息满足告警关联度分析逻辑时，调用所述告警分析场景实例配置的告警处置程序或接口，对当前告警分析场景实例中包含的各个告警信息进行处置操作。

通过所述S103的第二过程能够通过和与自己强关联的告警数据进行关联分析，从而在多条强关联的告警信息中只输出一条告警信息，使分析所涉及的数据量以及输出的告警信息量大大减少；并且将告警分类、告警关系识别、告警相关度分析等充分解耦，每个过程均可屏蔽不同项目、现场的差异，无需重复开发。

作为本发明的一种实施例，预设一时间间隔，即判断周期，当到达预设时间间隔时，如果当前告警分析场景实例存续的时间达到配置的告警生命周期，则销毁当前告警分析场景实例；否则进入下一时间间隔周期。

创建出的告警分析场景实例不是一直存在的，其会在达到预设的生命周期时进行销毁。且每个告警场景的销毁时间可以自由定制。

上述S103中第二过程的各个流程之间充分解耦。并且对告警消息间的关联度分析拆分为两层筛选，第一层过滤出与该告警可能有关联度的其他告警，第二层分析是否符合关联条件。将筛选逻辑清晰的区分开，充分解耦。

根据本发明的实施例，能够通过和与自己强关联的告警数据进行关联分析，从而在多条强关联的告警信息中只输出一条告警信息，使分析所涉及的数据量以及输出的告警信息量大大减少；并且将告警分类、告警关系识别、告警相关度分析等充分解耦，每个过程均可屏蔽不同项目、现场的差异，无需重复开发。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本发明所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本发明所述方案进行进一步说明。

如图3所示，装置300包括：

配置模块310，用于配置关联分析场景规划。

所述配置模块310，还包括：

告警标签配置模块311，用于配置告警标签，所述告警标签用于标记出指定类别的告警，所述指定类别包括网元分类、告警逻辑分类、网络层次分类和告警归属网元分类。

所述配置模块310，还包括：

告警相关度筛选范围配置模块312，用于定义需要做关联度分析的告警标签范围。

所述配置模块310，还包括：

告警关联度分析逻辑配置模块313，用于分析通过告警相关度筛选出的告警标签的组合是否至少属于一种告警判断逻辑，如果是，则通过告警关联度分析。

所述配置模块310，还包括：

告警处置方式配置模块314，用于为通过关联度分析的告警标签组合进行处置操作。

所述配置模块310，还包括：

告警生命周期配置模块315，用于定义告警分析场景从创建到销毁持续的时间。

匹配判断模块320，用于接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则调用实例创建模块330；否则，不对所述告警消息进行关联识别，重新调用匹配判断模块320。

实例创建模块330，用于根据配置的关联分析场景规划，创建所述告警标签对应的告警分析场景实例。

所述实例创建模块330，进一步用于调用所述告警消息的告警标签命中的关联分析场景规划，以所述告警信息为基础元素，将所述关联分析场景规划进行实例化，创建出对应的告警分析场景实例。

在调用所述实例创建模块330时，同时还调用比对分析模块340。

比对分析模块340，用于通过所述告警消息对存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，重新调用所述匹配判断模块320。

所述比对分析模块340，还包括：

告警相关度筛选模块341，用所述告警标签遍历当前未销毁的告警分析场景实例，调取各告警分析场景实例中配置的告警相关度筛选范围，筛选出符合告警相关度筛选范围的告警分析场景实例。

告警信息添加模块342，用于将所述告警标签对应的告警信息添加到识别出的告警分析场景实例中。

告警关联度分析模块343，用于调用所述告警分析场景实例配置的告警关联度分析逻辑，对所述告警信息是否满足告警关联度分析逻辑进行识别；所述告警关联度分析逻辑为多个告警信息之间存在的逻辑关系。

告警处置模块344，用于当所述告警信息满足告警关联度分析逻辑时，调用所述告警分析场景实例配置的告警处置方式，对当前告警分析场景实例中包含的各个告警信息进行处置操作。

所述装置300，还包括：

销毁模块350，用于当到达预设时间间隔时，如果当前告警分析场景实例存续的时间达到配置的告警生命周期，则销毁当前告警分析场景实例；否则进入下一时间间隔周期。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

如图4所示，设备包括中央处理单元(CPU)，其可以根据存储在只读存储器(ROM)中的计算机程序指令或者从存储单元加载到随机访问存储器(RAM)中的计算机程序指令，来执行各种适当的动作和处理。在RAM中，还可以存储设备操作所需的各种程序和数据。CPU、ROM以及RAM通过总线彼此相连。输入/输出(I/O)接口也连接至总线。

设备中的多个部件连接至I/O接口，包括：输入单元，例如键盘、鼠标等；输出单元，例如各种类型的显示器、扬声器等；存储单元，例如磁盘、光盘等；以及通信单元，例如网卡、调制解调器、无线通信收发机等。通信单元允许设备通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理单元执行上文所描述的各个方法和处理，例如方法S101～S103。例如，在一些实施例中，方法S101～S103可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元。在一些实施例中，计算机程序的部分或者全部可以经由ROM和/或通信单元而被载入和/或安装到设备上。当计算机程序加载到RAM并由CPU执行时，可以执行上文描述的方法S101～S103的一个或多个步骤。备选地，在其他实施例中，CPU可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行方法S101～S103。

本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)等等。

用于实施本发明的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

此外，虽然采用特定次序描绘了各操作，但是这应当理解为要求这样操作以所示出的特定次序或以顺序次序执行，或者要求所有图示的操作应被执行以取得期望的结果。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本发明的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实现中。相反地，在单个实现的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实现中。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims (10)

1.一种告警关联识别方法，其特征在于，包括：

S101：配置告警关联分析场景规划；

S102：接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则执行S103；否则，不对所述告警消息进行关联识别，重新执行S102；

S103：根据配置的关联分析场景规划，创建所述告警标签对应的一个或多个告警分析场景实例；同时通过所述告警消息对其他存量的告警分析场景实例进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，返回S102。

2.根据权利要求1所述的方法，其特征在于，所述配置关联分析场景规划，包括：配置告警标签、配置告警相关度筛选范围、配置告警关联度分析逻辑、配置告警处置方式以及配置告警生命周期。

3.根据权利要求2所述的方法，其特征在于，所述告警标签用于标记出指定类别的告警；

所述告警相关度筛选范围，用于定义需要做关联度分析的告警标签范围；

所述告警关联度分析逻辑，用于分析通过告警相关度筛选出的告警标签的组合是否至少属于一种告警判断逻辑，如果是，则通过告警关联度分析；

所述配置告警处置方式，用于为通过关联度分析的告警标签组合进行处置操作；

所述配置告警生命周期，用于定义告警分析场景从创建到销毁持续的时间。

4.根据权利要求1所述的方法，其特征在于，所述根据配置的关联分析场景规划，创建所述告警标签对应的告警分析场景实例，包括：

调用所述告警消息的告警标签命中的关联分析场景规划，以所述告警信息为基础元素，将所述关联分析场景规划进行实例化，创建出对应的告警分析场景实例。

5.根据权利要求2所述的方法，其特征在于，所述通过所述告警消息对存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，包括：

用所述告警标签遍历当前未销毁的告警分析场景实例，调取各告警分析场景实例中配置的告警相关度筛选范围，筛选出符合告警相关度筛选范围的告警分析场景实例；

将所述告警标签对应的告警信息添加到识别出的告警分析场景实例中；

调用所述告警分析场景实例配置的告警关联度分析逻辑，对所述告警信息是否满足告警关联度分析逻辑进行识别；

当所述告警信息满足告警关联度分析逻辑时，调用所述告警分析场景实例配置的告警处置方式，对当前告警分析场景实例中包含的各个告警信息进行处置操作。

6.根据权利要求5所述的方法，其特征在于，所述告警关联度分析逻辑为多个告警信息之间存在的逻辑关系。

7.根据权利要求1所述的方法，其特征在于，还包括：

当到达预设时间间隔时，如果当前告警分析场景实例存续的时间达到配置的告警生命周期，则销毁当前告警分析场景实例；否则进入下一时间间隔周期。

8.一种告警关联识别装置，其特征在于，包括：

配置模块，用于配置告警关联分析场景规划；

匹配判断模块，用于接收告警消息，判断所述告警消息的告警标签是否与配置的告警标签匹配，如果匹配，则调用实例创建模块；否则，不对所述告警消息进行关联识别，重新调用匹配判断模块；

实例创建模块，用于根据配置的关联分析场景规划，创建所述告警标签对应的告警分析场景实例；

比对分析模块，用于通过所述告警消息对存量的告警分析场景进行比对分析，将通过比对后的告警分析场景实例中的告警消息进行关联处置，重新调用所述匹配判断模块。

9.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1～7中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1～7中任一项所述的方法。

Images