CN113568991A - 一种基于动态风险的告警处理方法及系统 - Google Patents

Abstract

本发明涉及一种基于动态风险的告警处理方法及系统，包括S1：输入告警信息；S2:基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；S4：根据输入的告警信息匹配生成动态决策；S5：根据S2的判断结果及S4的动态决策，进行拓扑层合并；S6：根据动态决策和拓扑层的合并结果，对故障进行冗余合并，获得疑似故障；S7：输出疑似故障列表。本发明结合动态风险等级，对历史故障蓝图进行更新，然后基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；同时结合动态决策确定是否进行告警的合并，由此实现了告警的动态处理，能够随时实现蓝图的更新，提高告警判断的准确性。

Description

一种基于动态风险的告警处理方法及系统

技术领域

本发明涉及一种基于动态风险的告警处理方法及系统。

背景技术

在常规的数据中心中，告警数据的数据量较大，而且会有大量的冗余，很难基于原数据快速作出最终的故障判断。为了降低冗余，现有技术通常会在告警列表中进行合并，在合并过程中，常见的有两种方式：第一种方式为对于告警的集合条件充分判断，如图1所示，当子节点和父节点全部告警都存在时，才会在父节点层做同级合并，然而这种方式预判性差。第二种方式为通过设定风险激进，直接跳过父节点，在虚拟的父节点处做同级合并，这种方法容易产生误判，降低动态决策的准确性。

现有的方法，都是基于特定的规则，在实际场景中需要针对每个情况进行单独分析、讨论和设定规则，工作量较大，可操作性也差。

发明内容

本发明解决其技术问题所采用的技术方案是：

一种基于动态风险的告警处理方法，所述方法包括：

S1：输入告警信息；

S2: 基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；

所述历史故障蓝图为基于历史告警信息的关联关系绘制，所述关联关系包括与时序相关的并列关联关系或子父关联关系；基于时序信息，若首先出现所述子父关联关系中的父模块告警信息，然后出现子父关联关系的子模块告警信息，则点亮子模块的节点，并预判为故障，若在出现父模块告警信息前出现子模块告警信息，则合并计算包含子模块告警信息在内的并列关联关系；

S4：根据输入的告警信息匹配生成动态决策；

S5：根据S2的判断结果及S4的动态决策，进行拓扑层合并；

S6：根据动态决策和拓扑层的合并结果，对故障进行冗余合并，获得疑似故障；

S7：输出疑似故障列表。

优选的，所述方法还包括：

S3：动态风险控制模块输入初始风险等级，并基于S7反馈的疑似故障列表进行初始风险等级的更新，获得更新后的第一风险等级

对所述第一风险等级进行上升处理，获得第二风险等级，将第二风险等级输入历史故障蓝图判定模块。

优选的，根据第一风险等级对输入的告警信息进行识别得到第一判断结果；

根据第二风险等级对输入的告警信息进行识别得到第二判断结果；

将第一判断结果和第二判断结果进行比较，确定第一判断结果和第二判断结果的差异，若所述差异小于第一阈值，则以第二风险等级作为故障风险等级。

优选的，所述历史故障蓝图的关联关系的获得方法为：

根据历史故障发生时，告警信息的组合获得并列关联集合；根据历史故障发生时，带有先后时序关系的告警信息的组合获得子父关联关系集合。

优选的，所述S7输出疑似故障列表后，将所述疑似故障列表反馈给S5。

优选的，预先建立动态规则生成库，其中，所述动态规则生成库中包括告警信息与动态决策的对应关系;

所述动态规则生成库的建立方法为：设置动态规则基础库，所述动态规则基础库覆盖过往历史发生的被设置的所有合理的规则，激活判断动态规则基础或，获得动态规则生成库；所述激活判断为根据场景的特点，对所述动态规则基础库的子集合的规则进行激活，激活的规则可在该场景下进行应用。

一种基于动态风险的告警处理系统，所述系统包括存储器和处理器；

所述存储器存储有计算机程序；

所述处理器用于执行所述计算机程序，以实现上述任一项所述的方法。

一种计算机可读存储介质，存储有计算机程序；

当所述计算机程序被计算设备中的处理器执行时，使得计算设备执行上述任一项所述的方法。

本发明的有益效果是，本发明结合动态风险等级，对历史故障蓝图进行更新，然后基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；同时结合动态决策确定是否进行告警的合并，由此实现了告警的动态处理，能够随时实现蓝图的更新，提高告警判断的准确性。具体的，本发明通过切分关联为带时序的关联与不带时序的关联，提高了故障告警的准确性，节省后续的其他处理时间；采用风险等级的上升尝试的方式，跳出现有模型固有的故障关联关系的推理，进行范围内的自适应动态尝试，使得风险等级的确定准确性更高；采用动态规则基础库及激活判断获得动态规则生成库的确定方法，综合了各历史发生的规则的全面性和场景激活的针对性，兼顾了动态规则选择的丰富性与动态规则适用的准确性。

附图说明

下面结合附图和实施例对本发明进一步说明。

图1是本发明现有技术中动态风险的告警处理的框图；

图2是本发明实施例一提供的基于动态风险的告警处理方法的流程图。

具体实施方式

现在结合附图对本发明作进一步详细的说明。这些附图均为简化的示意图，仅以示意方式说明本发明的基本结构，因此其仅显示与本发明有关的构成。

为解决现有技术中存在的问题，本发明提供了一种基于动态风险的告警处理方法，如图2所示，所述方法包括：

S1：输入告警信息A(t)，其中告警信息的输入可以是实时的，也可以是按照特定的时间间隔执行；

S2:基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；其中，所述判断结果包括：判断输入信息是否属于已有蓝图的一个节点，如果是，在当前蓝图中点亮对应的节点。其中，已有蓝图是从历史蓝图或是独立的蓝图中获取的；与当前蓝图指示的区域相比，可能相同，也可能部分相同，也可能不同。

其中，为了实现历史蓝图的获取，从输入的已有的设备集联信息、历史数据的调用关系等，提取出各个节点和边的关系，构建出拓扑图，从而形成历史蓝图，将历史蓝图作为基础，输入历史故障信息，从而形成历史故障蓝图。

所述历史故障蓝图包括基于历史告警信息的关联关系，所述关联关系包括与时序相关的并列关联集合关系或子父关联关系；基于时序信息，若首先出现所述子父关联关系中的父模块告警信息，然后出现子父关联关系的子模块告警信息，则输出判断结果为故障风险等级，若在出现父模块告警信息前出现子模块告警信息，则合并计算包含子模块告警信息在内的并列关联关系。

在实际的告警中，多个告警之间存在冗余性，也存在相对的关联性。上述关联性和分为与时序相关的关联性，即，存在先后的告警信息，或与时序无关的关联性。若存在与时序相关的关联性中，在后出现的（即子模块告警信息）出现，而应当在先（即父模块告警信息）出现的节点未出现时，则无需点亮该节点进行故障提醒。但可以预先将关联的告警信息进行合并，为后续其他情况下出现的故障处理争取时间。上述方法通过切分关联为带时序的关联与不带时序的关联，提高了故障告警的准确性，节省后续的其他处理时间。

子模块告警信息和父模块告警信息的关联关系通过时间线动态的过程中的信息训练获得。具体来说，根据历史故障发生时，告警信息的组合获得并列关联集合；根据历史故障发生时，带有先后时序关系的告警信息的组合获得子父关联关系集合。

S4：根据输入的告警信息匹配动态决策；

S5：根据所述判断结果，进行拓扑层合并，在实际的场景中，各个节点可能是处于相应的级联网络中，也可能是网络中的一个孤立的节点，为了便于整个网络的故障识别，可以将识别出的节点进行网络的拓扑层合并；优选的，所述合并还包括根据S2的历史故障蓝图，结合S4输入的动态决策，对异常的节点进行聚合；其中，所述动态决策还可以是具体的规则或是颗粒，其中，所述规则或颗粒包括对一个或多个节点的处理的一个或多个动态决策。

S6：根据动态决策和拓扑层的合并结果，对故障进行冗余合并，获得疑似故障；

S7：输出疑似故障列表，所述告警列表如表1所示。

表1

故障	告警列表
		A	a,c,…,k
B	d,f,…,m
		……	……

其中，所述方法还包括S3：动态风险控制模块输入初始风险等级，并基于S7反馈的疑似故障列表进行风险等级更新；

其中，所述风险等级作为S2的输入，用于告警信息的识别。

其中，所述S2还包括：根据风险等级对输入的告警信息进行识别得到第一判断结果；

对风险等级进行上升处理（如增加一级），使用上升后的风险等级对输入的告警信息进行识别，得到第二判断结果；

将第一判断结果和第二判断结果进行比较，确定第一判断结果和第二判断结果的差异，将所述差异作为S5的输入。

通过S5执行拓扑层合并的比较，在蓝图上可以展示出上述差异，由此可以识别出疑似的故障节点，并通过S7实现疑似故障列表的输出。

其中，所述方法还包括：S3：动态风险控制模块输入初始风险等级，并基于S7反馈的疑似故障列表进行初始风险等级的更新，获得更新后的第一风险等级。对所述第一风险等级进行上升处理，获得第二风险等级，将第二风险等级输入历史故障蓝图判定模块。

根据第一风险等级对输入的告警信息进行识别得到第一判断结果；

根据第二风险等级对输入的告警信息进行识别得到第二判断结果；

将第一判断结果和第二判断结果进行比较，确定第一判断结果和第二判断结果的差异，若所述差异小于第一阈值，则以第二风险等级作为故障风险等级。

具体来看，所述S3更新的风险等级作为S2的输入，用于告警信息的识别。

基于S3中风险水平参数初始值L作为输入；

i.比对蓝图中适合当前风险等级的范围，决定是否合并；

ii. 场景1：所有关联边已连接，即满足风险等级接受值的要求，无需进行风险判断，无需做任何虚拟点的点亮和推理，直接合并风险等级；

iii. 场景2：符合当前风险要求的行为，向上一风险等级做风险合并；

iv. 场景3：符合当前风险要求的行为，做一定比例的等级上升尝试，同时判断某个时间窗口内故障列表的回退比例，如果小于某个阈值，则可以升级风险接受值。

S3的动态风险控制方法，使得选择一定比例的场景进行动态的风险升级尝试，并将上升后的风险等级重新进行现有故障合并-疑似故障合并并输出疑似故障列表。若该事件窗口下故障列表的回退比例小于阈值，则认为该风险等级的上升合理，以上升后的风险等级代替原风险等级。上述风险等级的上升尝试的方式，跳出现有模型固有的故障关联关系的推理，进行范围内的自适应动态调整，使得风险等级的确定准确性更高。此外，当连续出现或超过阈值的概率的场景下，上升后的风险等级均在时间窗口内故障列表的回退比例均小于某个阈值，即，上升后的风险等级相较于原风险等级更适于作为风险等级，则以上升后的风险等级及告警信息输入风险等级的确定模块，重新进行模型的训练，以获得准确率更高的故障等级判断模型。

初始风险等级：L，各个风险等级对应的行为如下表2：

表2

RiskLevel	风险行为	描述
			1	No jump，only peersearch	只在当前子节点层做合并
2	Up jump，up search	当子节点在蓝图中全部点亮，则预判点亮父节点
			3	Risk Up Jump，‘Uppeer’search	当子节点未全部点亮，但达到一定比例，则预判点亮父节点，同时做父节点同层点亮合并
4	Risk Up Jump，‘Uppeer’jump	当子节点未全部点亮，但达到一定比例，则预判点亮父节点，同时在已有子节点中搜索可以预判点亮的同级父节点，做父节点同层预判合并

其中，拓扑层合并，是将各个节点点亮（即对异常的节点以点亮的形式进行标注），然后进行合并到同一网络拓扑下，以便实现对整个网络的故障节点标注。拓扑合并以蓝图的形式进行展示，不仅便于可视化的管理，同时根据上述规则，对于父节点的预判也能够直观的认定，提高了合并的效率及可靠性；由此可以提高场景兼容性和告警判断准确率。

其中，所述风险等级指示子节点和父节点的异常合并方式，以及对父节点的预判处理方式。

其中，所述S7输出疑似故障列表后，将所述疑似故障列表反馈给S5。S5当执行完拓扑层合并后，即所有故障节点在蓝图中点亮后，通过疑似故障列表的节点信息对当前的点亮的节点进行验证，以提高故障识别的准确性；其中，所述疑似故障列表在整个过程中是不断地进行更新反馈的，由此保证列表的实时性，以及故障识别的准确性。

其中，所述方法还包括预先建立动态规则生成库，其中，所述动态规则生成库中包括告警信息与动态决策的对应关系。在识别的过程中，本发明根据历史数据生成动态决策，并建立告警信息与动态决策的对应关系，由此在接收到预警信息后，可以准备的识别出动态决策，以用于后续的合并处理，其中所述动态决策可以包括故障的识别方式、和或合并的方式等，且上述对应关系是根据故障合并结果的反馈进行不断更新调整的。通过规则生成库的建立，可以针对各类场景进行规则预制，提高场景兼容性；同时规则提前生成能够提高判断的实时性和预判速度。

其中，所述建立动态规则生成库，包括输入数据的特征维度，如输入数据的蓝图节点和节点到节点之间边的关系等，例如p1-p2 （r）（即，节点P1和节点P1和P2的边的关系）；根据历史蓝图中的节点可以生成一张图，在图中把出现频率高的决策规则r提取出来，同时映射相连接点的属性。由此实现告警信息与动态决策的对应关系的建立，以便基于上述动态规则生成库实现S4中动态决策的匹配；例如，当子节点点亮的数量大于80%，则点亮父节点。

上述动态规则生成库包括动态规则基础库及激活判断，所述动态规则基础库全面覆盖了过往历史发生的被设置的所有合理的规则，所述激活判断为根据场景的特点，对所述动态规则基础库的子集合的规则进行激活，激活的动态规则可在该场景下进行应用。所述场景特点在动态风险的告警处理前预先存储于动态规则基础库中，当每个场景出现时，进行动态规则库子集合的激活，获得动态规则生成库。上述动态规则生成库的确定方法，综合了各历史发生的规则的全面性和场景激活的针对性，兼顾了动态规则选择的丰富性与动态规则适用的准确性。

本发明还提供了一种基于动态风险的告警处理系统，所述系统包括存储器和处理器；

所述存储器存储有计算机程序；

所述处理器用于执行所述计算机程序，以实现如上所述的方法。

本发明还提供了一种计算机可读存储介质，其存储有计算机程序；

当所述计算机程序被计算设备中的处理器执行时，使得计算设备执行如上所述的方法。

本发明结合动态风险等级，对历史故障蓝图进行更新，然后基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；同时结合动态决策确定是否进行告警的合并，由此实现了告警的动态处理，能够随时实现蓝图的更新，提高告警判断的准确性。具体的，本发明通过切分关联为带时序的关联与不带时序的关联，提高了故障告警的准确性，节省后续的其他处理时间；采用风险等级的上升尝试的方式，跳出现有模型固有的故障关联关系的推理，进行范围内的自适应动态尝试，使得风险等级的确定准确性更高；采用动态规则基础库及激活判断获得动态规则生成库的确定方法，综合了各历史发生的规则的全面性和场景激活的针对性，兼顾了动态规则选择的丰富性与动态规则适用的准确性。

以上述依据本发明的理想实施例为启示，通过上述的说明内容，相关工作人员完全可以在不偏离本项发明技术思想的范围内，进行多样的变更以及修改。本项发明的技术性范围并不局限于说明书上的内容，必须要根据权利要求范围来确定其技术性范围。

Claims (8)

1.一种基于动态风险的告警处理方法，其特征在于，所述方法包括：

S1：输入告警信息；

S2: 基于历史故障蓝图对输入的告警信息进行判断，输出判断结果；

所述历史故障蓝图为基于历史告警信息的关联关系绘制，所述关联关系包括与时序相关的并列关联关系或子父关联关系；基于时序信息，若首先出现所述子父关联关系中的父模块告警信息，然后出现子父关联关系的子模块告警信息，则点亮子模块的节点，并预判为故障，若在出现父模块告警信息前出现子模块告警信息，则合并计算包含子模块告警信息在内的并列关联关系；

S4：根据输入的告警信息匹配生成动态决策；

S5：根据S2的判断结果及S4的动态决策，进行拓扑层合并；

S6：根据动态决策和拓扑层的合并结果，对故障进行冗余合并，获得疑似故障；

S7：输出疑似故障列表。

2.如权利要求1所述的基于动态风险的告警处理方法，其特征在于，所述方法还包括：

S3：动态风险控制模块输入初始风险等级，并基于S7反馈的疑似故障列表进行初始风险等级的更新，获得更新后的第一风险等级；

对所述第一风险等级进行上升处理，获得第二风险等级，将第二风险等级输入历史故障蓝图判定模块。

3.如权利要求2所述的基于动态风险的告警处理方法，其特征在于，

根据第一风险等级对输入的告警信息进行识别得到第一判断结果；

根据第二风险等级对输入的告警信息进行识别得到第二判断结果；

将第一判断结果和第二判断结果进行比较，确定第一判断结果和第二判断结果的差异，若所述差异小于第一阈值，则以第二风险等级作为故障风险等级。

4.如权利要求2所述的基于动态风险的告警处理方法，其特征在于，所述历史故障蓝图的关联关系的获得方法为：

根据历史故障发生时，告警信息的组合获得并列关联集合；根据历史故障发生时，带有先后时序关系的告警信息的组合获得子父关联关系集合。

5.如权利要求1所述的基于动态风险的告警处理方法，其特征在于，所述S7输出疑似故障列表后，将所述疑似故障列表反馈给S5。

6.如权利要求1所述的基于动态风险的告警处理方法，其特征在于，预先建立动态规则生成库，其中，所述动态规则生成库中包括告警信息与动态决策的对应关系;

所述动态规则生成库的建立方法为：设置动态规则基础库，所述动态规则基础库覆盖过往历史发生的被设置的所有合理的规则，激活判断动态规则基础或，获得动态规则生成库；所述激活判断为根据场景的特点，对所述动态规则基础库的子集合的规则进行激活，激活的规则可在该场景下进行应用。

7.一种基于动态风险的告警处理系统，其特征在于，所述系统包括存储器和处理器；

所述存储器存储有计算机程序；

所述处理器用于执行所述计算机程序，以实现如权利要求1-6任一项所述的方法。

8.一种计算机可读存储介质，其特征在于，其存储有计算机程序；

当所述计算机程序被计算设备中的处理器执行时，使得计算设备执行如权利要求1-6任一项所述的方法。

Images