CN115865616A - 一种告警关联方法、装置、设备及存储介质 - Google Patents

Abstract

本申请提供一种告警关联方法、装置、设备及存储介质。该方法包括：获取预设时间段内的告警信息集合；根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；按照预设时间粒度将预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；根据告警警报集合中，每两个告警警报在多个时间窗口中共同出现的次数，确定告警警报共现矩阵；基于告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；根据告警事件集合中，每两个告警事件在多个时间窗口中共同出现的次数，确定告警事件共现矩阵；基于告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

Description

一种告警关联方法、装置、设备及存储介质

技术领域

本申请提供一种告警关联方法、装置、设备及存储介质。

背景技术

告警消息是运维领域一种常见的信息来源，应用系统发生故障时，监控单元将视故障情况向监控中心发出告警信息，告警信息反映了应用系统实时运行状况，运维人员在发现告警时会立即确认，并进行分析判断和相应处理。通常情况下，在运维领域中，由于监控单元的监控对象包括应用系统中的不同设备节点及应用节点，因此，监控中心接收的告警消息数目庞大、信息混杂，需要运维人员人工筛选，这极大的浪费了运维人员的精力，延长了故障的定位与修复时间。现有技术中通常采用告警压缩技术来降低告警信息的数量，以便于运维人员及时定位故障并修复。其中，告警压缩技术是指将同一类别的告警消息进行合并得到一条告警警报。

发明内容

发明人发现，常规技术中的告警压缩技术，只能解决告警信息数量过大的问题，但是，由于压缩处理后的告警警报，忽略了告警消息间的内在逻辑，运维人员仍然要花费大量时间进行故障的定位，延长了故障修复的时间，降低了运维效率。鉴于上述问题，本发明实施例提供一种告警关联方法、装置、设备及存储介质，以解决或部分解决上述问题，本申请提出的技术方案如下：

第一方面，本申请提供一种告警关联方法，包括：

获取预设时间段内的告警信息集合；

根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

结合上述第一方面，在一种可能的实现方式中，所述根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报，包括：

将具有至少一个相同属性信息的告警消息进行聚合，得到多个告警警报，并将每个告警警报中的各告警信息添加警报标签，得到每一告警警报与各告警信息的对应关系。

结合上述第一方面，在一种可能的实现方式中，所述按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合，包括：

按照预设时间粒度将所述预设时间段划分为多个时间窗口，对每一时间窗口内的告警信息按照时间顺序进行排序，根据每一时间窗口内的告警警报与各告警信息的对应关系，对具有同一报警标签的告警信息进行去重，得到告警警报集合。

结合上述第一方面，在一种可能的实现方式中，所述根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵，包括：

将所述告警警报集合中每一时间窗口内的每两个告警警报进行组合，得到多组告警警报组合，统计每组告警警报组合在所述多个时间窗口中共同出现的次数，得到告警警报共现矩阵。

结合上述第一方面，在一种可能的实现方式中，所述基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合，包括：

将所述告警警报共现矩阵中每一行的首个告警警报作为基准警报，在每一行中分别查找与所述基准警报的共现次数大于第一次数阈值的告警警报，将得到的各告警警报分别与所述基准警报进行关联，得到告警事件集合。

结合上述第一方面，在一种可能的实现方式中，所述根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵，包括：

将所述告警事件集合中每一时间窗口内的每两个告警事件进行组合，得到多组告警事件组合，统计每组告警事件在所述多个时间窗口中共同出现的次数，得到告警事件共现矩阵。

结合上述第一方面，在一种可能的实现方式中，所述基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件，包括：

将所述告警事件共现矩阵中每一行的首个告警事件作为基准事件，在每一行中分别查找与所述基准事件的共现次数大于第二次数阈值的告警事件，将得到的各告警事件中的告警警报与所述基准事件中的告警警报进行去重，得到关联告警事件。

结合上述第一方面，在一种可能的实现方式中，在得到所述关联告警事件之后，所述方法还包括：

判断得到的关联告警事件的数量是否大于两个；

若是，统计每两个关联告警事件在所述多个时间窗口中共同出现的次数，确定关联告警事件共现矩阵；

基于所述关联告警事件共现矩阵，对每两个关联告警事件进行关联，得到新的关联告警事件；

重复上述步骤，直至不再产生新的关联告警事件。

结合上述第一方面，在一种可能的实现方式中，所述方法还包括：

对获取的所述预设时间段内的告警信息集合进行预处理，得到各报警信息的属性信息。

第二方面，本申请提供一种告警关联装置，包括：

获取模块，用于获取预设时间段内的告警信息集合；

警报确定模块，用于根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

警报集合确定模块，用于按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

警报共现矩阵确定模块，用于根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

事件集合确定模块，用于基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

事件共现矩阵确定模块，用于根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

关联告警事件确定模块，用于基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

第三方面，本申请提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令在终端上运行时，使得终端执行如第一方面中所描述的告警关联方法。

第四方面，本申请提供一种计算机设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口和存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现如第一方面中所描述的告警关联方法。

第五方面，本申请提供一种包含指令的计算机程序产品，当计算机程序产品在计算机设备上运行时，使得计算机设备执行如第一方面中所描述的告警关联方法。

第六方面，本申请提供一种芯片，芯片包括处理器和通信接口，通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如第一方面中所描述的告警关联方法。

具体的，本申请中提供的芯片还包括存储器，用于存储计算机程序或指令。

需要说明的是，上述计算机指令可以全部或者部分存储在计算机可读存储介质上。其中，计算机可读存储介质可以与装置的处理器封装在一起的，也可以与装置的处理器单独封装，本申请对此不作限定。

本申请中第二方面至第六方面的描述，可以参考第一方面的详细描述；并且，第二方面至第六方面的描述的有益效果，可以参考第一方面的有益效果分析，此处不再赘述。

基于上述技术方案，本申请较现有技术而言的有益效果为：

本申请实施例提供的告警关联方法，通过对获取的预设时间段的历史告警信息进行聚合，得到告警警报，按照时间粒度对告警警报进行划分和去重，得到告警警报集合，构建告警警报共现矩阵，从而得到告警事件集合，再基于告警事件集合，构建告警事件共现矩阵，得到关联告警事件。充分利用了历史告警消息中的时间戳信息，建立告警消息之间的时序关联，相比于常规技术中的告警压缩技术，减少了告警信息的文本和时间信息资源浪费，通过引入共现矩阵达到利用告警消息的时间信息的目的，充分利用不同告警警报在时间窗口的共现信息，能够充分挖掘历史告警消息的内在逻辑信息，较好反映告警信息间的关联关系，并且基于共现矩阵进行告警警报关联，得到的关联告警事件，可以更好的反映告警发生的原因，有利于运维的根因分析，减少了故障的定位和修复时间，为运维人员提供了更加高效的告警处理手段，提高了运维效率，有利于实现运维自动化和智能化。

附图说明

图1为本申请实施例提供的告警关联方法的流程图；

图2为本申请实施例提供的告警警报关联流程示意图；

图3为本申请实施例提供的告警事件关联流程示意图；

图4为本申请实施例提供的告警关联装置的结构示意图；

图5为本申请实施例提供的计算机设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

本申请的说明书以及附图中的术语“第一”和“第二”等是用于区别不同的对象，或者用于区别对同一对象的不同处理，而不是用于描述对象的特定顺序。

此外，本申请的描述中所提到的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括其他没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

在本申请的描述中，除非另有说明，“多个”的含义是指两个或两个以上。

下面将结合说明书附图，对本申请实施例的实施方式进行详细描述。

本申请提供了一种告警关联方法，参照图1所示，该方法包括：

S101：获取预设时间段内的告警信息集合；

S102：根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

S103：按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

S104：根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

S105：基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

S106：根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

S107：基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

本发明实施例中，上述步骤S101中预设时间段内的告警信息集合中，包括多个告警信息，其中，每个原始告警消息alert_message均包括多个属性信息，本发明实施例中，告警信息的属性是由相应的应用系统的服务特点决定，例如参照表1所示，原始告警信息至少包括下述6种告警信息属性：

告警消息属性	说明
		Alert_message_id	告警消息的ID
Alert_message_time	告警消息的发生时间
		Alert_message_description	告警消息的具体描述信息
Alert_message_host	告警消息的主机信息
		Alert_message_application	告警消息的应用来源
Alert_alarm_type	告警消息的告警类型

表1

本发明实施例中，该预设时间段，可以根据实际运维需求进行确定，例如可以是15天或者30天。

本发明实施例中，为了便于后续处理，在获取到预设时间段内的告警信息集合之后，可以先对告警信息集合中的各告警信息进行预处理，包括去除冗余字段、删除空消息，保留消息的时间戳、故障节点、故障对象、故障描述信息、故障类型等信息，得到各报警信息的属性信息。

在一个实施例中，上述步骤S102中，根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报，包括：

将具有至少一个相同属性信息的告警消息进行聚合，得到多个告警警报，并将每个告警警报中的各告警信息添加警报标签，得到每一告警警报与各告警信息的对应关系。

本发明实施例中，将具有至少一个相同属性信息的告警消息进行聚合，得到多个告警警报alert，聚合处理中将该预设时间段内的大量重复或者相似的告警消息组成告警信息，在实际进行聚合处理时，所选择的告警信息的属性信息可以是一个或者多个，例如可以是具有相同的所属节点alert_message_host、应用对象alert_message_application和描述的文本相似度(例如告警警报类型alert_alarm_type)的告警信息聚合为一个告警警报。从而，参照表2所示，每一告警警报具有但不限于以下属性：

/>

表2

本发明实施例中，通过将具有至少一个相同属性信息的告警消息进行聚合，实现告警消息的文本关联，得到多个告警警报，从而可以实现是将同一节点下的描述相同故障现象的告警消息聚合在一起，并且，实现将每条告警消息都将被赋予所属警报的警报标签。

在一个实施例中，上述步骤S103中，按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合，包括：

按照预设时间粒度将所述预设时间段划分为多个时间窗口，对每一时间窗口内的告警信息按照时间顺序进行排序，根据每一时间窗口内的告警警报与各告警信息的对应关系，对具有同一报警标签的告警信息进行去重，得到告警警报集合。

本发明实施例中，通过将预设时间段内的告警信息划分到多个时间窗口，在每个时间窗口内，将各告警信息按照时间先后进行排序，根据告警信息的报警标签进行警报去重，实现告警消息时间关联。

在一个实施例中，上述步骤S104中，根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵，包括：

将所述告警警报集合中每一时间窗口内的每两个告警警报进行组合，得到多组告警警报组合，统计每组告警警报组合在所述多个时间窗口中共同出现的次数，得到告警警报共现矩阵。

本发明实施例中，通过统计告警警报在同一个时间窗口是否共同出现(即共现)，以及在所有时间窗口中的共现次数为分析对象，形成告警警报共现矩阵。对于两个告警警报来说，在一个时间窗口内只有共现或者不共现两种情形，若两者在一个时间窗口共现，则在该时间窗口确定一次共现次数，若两者在一个时间窗口内不共现，则在该时间窗口确定0次共现次数，统计两者在所有时间窗口是否共现，则得到两者在多个时间窗口中共同出现的次数。按照告警警报的时间先后顺序构建共现矩阵，则共现矩阵中每一元素表示所在行的告警警报与所在列的告警警报的共现次数。

在一个实施例中，上述步骤S105中，基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合，包括：

将所述告警警报共现矩阵中每一行的首个告警警报作为基准警报，在每一行中分别查找与所述基准警报的共现次数大于第一次数阈值的告警警报，将得到的各告警警报分别与所述基准警报进行关联，得到告警事件集合。

本发明实施例中，告警事件incident，由具有相关性的警报组成，参照表3所示，告警事件具有但不限于以下属性：

事件属性	说明
		Incident_id	事件的ID
Incident_component	事件的警报组成

表3

本发明实施例中，在执行上述步骤时，以上述告警警报共现矩阵为基础，通过设置共现次数的第一次数阈值，进行告警警报关联。如果该告警警报共现矩阵中两个告警警报的共现次数高于第一次数阈值，则建立警报关联，形成一个由该两个告警警报组成的告警事件，针对告警警报共现矩阵中每两个告警警报分别获取共现次数并与该第一次数阈值进行比较，确定多组由两个告警警报组成的告警事件，得到告警事件集合。

在一个实施例中，上述步骤S106中，根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵，包括：

将所述告警事件集合中每一时间窗口内的每两个告警事件进行组合，得到多组告警事件组合，统计每组告警事件在所述多个时间窗口中共同出现的次数，得到告警事件共现矩阵。

本发明实施例中，通过统计告警事件在同一个时间窗口是否共现，以及在所有时间窗口中的共现次数为分析对象，形成告警事件共现矩阵。对于两个告警事件来说，在一个时间窗口内只有共现或者不共现两种情形，若两者在一个时间窗口共现，则在该时间窗口确定一次共现次数，若两者在一个时间窗口内不共现，则在该时间窗口确定0次共现次数，统计两者在所有时间窗口是否共现，则得到两者在多个时间窗口中共同出现的次数。按照告警事件的时间先后顺序构建共现矩阵，则共现矩阵中每一元素表示所在行的告警事件与所在列的告警事件的共现次数。

在一个实施例中，上述步骤S107中，基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件，包括：

将所述告警事件共现矩阵中每一行的首个告警事件作为基准事件，在每一行中分别查找与所述基准事件的共现次数大于第二次数阈值的告警事件，将得到的各告警事件中的告警警报与所述基准事件中的告警警报进行去重，得到关联告警事件。

本发明实施例中，在执行上述步骤时，以上述告警事件共现矩阵为基础，通过设置共现次数的第一次数阈值，进行告警事件关联。如果该告警事件共现矩阵中两个告警事件的共现次数高于第二次数阈值，则建立事件关联，形成一个由该两个告警事件组成的告警事件组合，针对告警事件共现矩阵中每组告警事件组合分别获取共现次数并与该第二次数阈值进行比较，对于确定的共现次数大于该第二预设次数阈值的每组告警事件组合，对该组告警事件组合中的告警警报进行去重，得到关联告警事件。

本发明实施例中，为了进一步提高告警警报间的时间关联，在得到所述关联告警事件之后，还可以包括：

判断得到的关联告警事件的数量是否大于两个，若是，统计每两个关联告警事件在所述多个时间窗口中共同出现的次数，确定关联告警事件共现矩阵；

基于所述关联告警事件共现矩阵，对每两个关联告警事件进行关联，得到新的关联告警事件；

重复上述步骤，直至不再产生新的关联告警事件。

本发明实施例中，发明人在实践中发现，如果两个告警警报存在序列关系、因果关系、相同根因(导致警报发生的原因)等相关关系，警报的发生在时间上较大可能会出现时间戳比较靠近的现象。基于此，发明人提出利用时间窗口的共现信息，对于告警信息在基于文本相似性关联的基础上，引入共现矩阵，用于获取不同告警警报在特定时间窗口的共现次数，完成告警警报间的时间关联。通过告警警报关联将具有内在相关性的告警警报关联起来成为一个事件，建立了告警警报之间的内在关联关系，有利于从繁复的告警警报中挖掘有价值的信息。基于时间相关性的告警关联充分利用了时间戳的窗口信息，分析告警消息在发生频率、时间节点等的相关关系，从时间角度挖掘告警消息间的关联关系。

本发明提出了一种新的告警关联方法，以文本相关为基础，将原始告警消息压缩成具有代表性的告警警报。将告警消息按照文本相似度进行压缩形成告警警报后，以特定的时间窗口为时间粒度，基于获取的预设时间段的告警信息集合，计算告警警报在时间窗口内的共现频率，发掘告警警报之间的时间关联关系。充分利用文本信息和时间戳两种信息，实现告警消息间的关联关系挖掘。

为了更清楚的对本发明实施例的具体实现过程进行说明，提供以下实施例对本发明的具体实现过程进行详细描述如下：

首先，获取到预设时间段内的告警信息集合之后，可以先对告警信息集合中的各原始告警信息进行预处理，假设该告警消息集合N的告警消息数量为n条，则对每一告警信息进行预处理，包括去除冗余字段、删除空消息，保留消息的时间戳、故障节点、故障对象、故障描述信息、故障类型等信息，得到各报警信息的属性信息，参照

表4所示，为处理后的告警信息集合中n条告警信息及其属性信息。

表4

接着，对告警信息进行合并，得到多个告警警报。具体的执行过程可以是：

根据表2或者表4中的告警警报的属性信息，将具有至少一个相同属性信息的告警消息进行聚合，得到多个告警警报。例如可以是具有相同的所属节点alert_message_host、应用对象alert_message_application和描述的文本相似度(例如告警警报类型Alert_alarm_type)的告警信息聚合为一个告警警报，得到多个告警警报，假设多个告警警报的数量为m，则m<n,通过告警信息聚合，建立了告警消息和告警警报的多对一的对应关系，并对每一告警警报对应的每条告警消息添加一个警报标签alert_id。参照表5所示，得到的新的告警消息具有但不限于以下属性：

告警消息属性	说明
		Alert_message_id	告警消息的ID
Alert_message_time	告警消息的发生时间
		Alert_message_description	告警消息的具体描述信息
Alert_message_host	告警消息的主机信息
		Alert_message_application	告警消息的应用来源
Alert_alarm_type	告警消息的告警类型
		Alert_id	告警消息所属的警报ID

表5

参照表6所示，得到的告警警报集合中m个告警警报及其属性信息：

警报编号	Alert_id	Alert_description	Alert_alarm_type	Alert_host	Alert_application
						1	ID_1	Des_1	Type_1	Host_1	Application_1
2	ID_2	Des_2	Type_2	Host_2	Application_2
						…	…	…	…	…	…
m	ID_m	Des_m	Type_m	Host_m	Application_m

表6

按照预设时间粒度将所述预设时间段划分为多个时间窗口，对每一时间窗口内的告警信息按照时间顺序进行排序，根据每一时间窗口内的告警警报与各告警信息的对应关系，对具有同一报警标签的告警信息进行去重，得到告警警报集合：

{timestamp i：......，N_i-2，N_i-1，N_i，N_i+1，N_i+2，......}；其中，timestamp i表示第i个时间窗口，Ni表示告警信息。

接着，针对每一时间窗口内的不同警报进行共现次数统计aⁱk_j(1≤k，j≤m)，形成时间窗口的共现矩阵，其中a_kk＝0。

其中m表示告警警报的数量，k表示第k个告警警报，j表示第j个告警警报，若两者在一个时间窗口共现，则a_kj＝1，否则，a_kk＝0。

参照表7所示，根据告警时间和告警标签属性对告警警报进行共现次数统计。其中，任一时间窗口内，两个告警警告的共现次数为1或者0。比如，假设时间粒度为5分钟，告警信息alert 1和告警消息Alert 2在某个5分钟的时间窗口内一共出现了4次，但是对应的两个告警警告的共现次数只计入1次。

	A1	A2	…	Am
					A1	0	A12	…	A1m
A2	A21	0	…	A2m
					…	…	…	…	…
Am	Am1	Am2	…	0

表7

将集合N中的每一个时间窗口的告警警告进行处理，并在整个预设时间段上进行共现次数的累加，经过计算得到最终的共现矩阵A，计算方法如下：

其中，p为时间窗口的数量。

接着，基于共现矩阵A，进行告警关联。整体过程如下：按行搜索共现矩阵A，由于共现矩阵A是对称矩阵，搜索矩阵斜对角线右上部分即可，找到共现次数高于设定阈值对应的警报ID集合，将警报ID集合里的警报与基准警报一一建立关联形成事件；搜索下一行中共现次数高于设定阈值的警报。重复这个过程，直到最后一行。

参照图2所示的告警警报关联流程示意图，具体的实现告警关联的步骤，包括：

对于选取的第1行中的基准警报a，从共现矩阵A的第一行开始搜索，比较基准警报a在第一行的共现矩阵元素，选取超过共现次数阈值t的警报aq，得到与基准警报a的共现次数超过第一预设次数阈值的警报集合aQ，aQ即为可与基准警报a建立关联的告警集合；若集合aQ的集合非空，则将集合aQ中的每个警报aq与基准警报a组成告警事件[a,aq],得到对应于共现矩阵A的第1行的告警事件集合SaQ，SaQ即为基于基准警报a的告警事件集合；

若aQ的集合为空，则对共现矩阵A的第2行开始搜索，对于选取的第2行中的基准警报a，执行上述获取集合aQ的过程，最终得到告警事件集合SQ＝SQ+SaQ，其中初始时SQ＝0。

本发明实施例中，按行(1，2，…,m)从上到下，按列(1，2，…,m)从左到右进行搜索，考虑到共现矩阵是对称矩阵，假设在第i行，那么搜索列为(i+1，i+2，i+3，…，m)，若找到符合条件的元素下标为(i，j1)、(i，j2)、(i，j3)，则基于警报i建立3个新的事件，分别为[i，j1]、[i，j2]和[i，j3]。

完成所有行的搜索，即得到多个两两关联的警报组成的事件，得到告警事件集合。其中，每一告警事件的属性包括表8所示的属性信息。

告警事件属性	说明
		Incident_id	事件ID
Alert_ids	事件包含的警报ID

表8

接着，将告警事件集合中每一时间窗口内的每两个告警事件进行组合，得到多组告警事件组合，统计每组告警事件在所述多个时间窗口中共同出现的次数，得到告警事件共现矩阵。在实现时，根据告警消息的ID属性及上述表7中的告警事件Incident_id和事件所包含的各警报ID Alert_ids，对告警事件进行共现次数统计。某任一时间窗口内，两个告警事件的共现次数为1或者0。比如，假设时间粒度为5分钟，Incident 1和Incident 2在某个5分钟内一共出现了4次，但是共对应的两个告警事件的共现次数只计入1次。

将告警事件集合中的每一个时间窗口的告警事件进行处理，并在整个预设时间段上进行共现次数的累加，经过计算得到最终的共现矩阵B。

接着，基于共现矩阵B，进行告警事件关联。整体过程如下：按行搜索共现矩阵B，由于共现矩阵B是对称矩阵，搜索矩阵斜对角线右上部分即可，找到共现次数高于设定阈值对应的时间ID集合，将事件ID集合里的告警事件与基准事件一一建立关联；搜索下一行中共现次数高于设定阈值的警报。重复这个过程，直到最后一行。并对合并得到的事件进行警报去重，得到新的事件。

参照图3所示的告警事件关联流程示意图，具体的实现事件关联的步骤，包括：

对于选取的第1行中的基准事件A，从共现矩阵B的第一行开始搜索，比较基准事件A在第一行的共现矩阵元素，选取超过共现次数阈值t的警报Aq，得到与基准事件A的共现次数超过第二预设次数阈值的警报集合AQ，AQ即为可与基准事件A建立关联的事件集合；若集合AQ的集合非空，则将集合AQ中的每个告警事件Aq与基准事件A组成告警事件sq[A,Aq],对告警事件sq[A,Aq]中的告警警报进行去重，得到对应于共现矩阵B的第1行的基于事件[A,Aq]的警报集合SAQ，即关联告警事件；

若AQ的集合为空，则对共现矩阵B的第2行开始搜索，对于选取的第2行中的基准事件A，执行上述获取集合aQ的过程，最终得到关联告警事件集合SQ＝SQ+SAQ，其中初始时SQ＝0。

完成所有行的搜索，即得到多个两两关联的警报组成的事件，得到告警事件集合。

在得到所述关联告警事件之后，还可以包括：

判断得到的关联告警事件的数量是否大于两个，若是，

统计每两个关联告警事件在所述多个时间窗口中共同出现的次数，确定关联告警事件共现矩阵；

基于所述关联告警事件共现矩阵，对每两个关联告警事件进行关联，得到新的关联告警事件，重复上述步骤，直至不再产生新的关联告警事件，得到最终的关联告警事件。

示例性的，通过上述步骤对表9所示的在预设时间段0-19分钟内的告警信息集合中包含的20条告警信息进行聚合，得到表10所示的告警信息的警报标签：

表9

Time(min)	Alert_id	Time(min)	Alert_id
				0	A	10	A
1	B	11	B
				2	C	12	C
3	A	13	D
				4	A	14	E
5	A	15	A
				6	A	16	G
7	B	17	H
				8	C	18	I
9	A	19	F

表10

接着，以5分钟为时间粒度，将0-19分钟划分为4个时间窗口，对每个时间窗口内的告警警报进行去重，得到的告警警报集合中每个时间窗口的告警警报参照表10所示。本发明的发明人考虑到，如果不对告警警报进行去重，那么在一个时间窗口里会出现重复的警报标签，基于此，对标9所示的告警警报，以5分钟为一个时间粒度，在每一个时间窗口进行警报去重。比如：对于第一个时间窗口，5个告警消息分别对应的警报标签为A,B,C,A,A，则去重之后，参照表11所示，得到的该时间窗口的警报标签就是ABC。

Time(min)	Alert_id
		0～4	A,B,C
5～9	A,B,C
		10～14	A,B,C,D,E
15～19	A,G,H,I,F

表11

接着，基于以上序列，以5分钟为时间窗口，进行共现矩阵计算，比如警报A和警报B，在0～4、5～9、10～14三个时间窗口分别共现了一次，那么总共有共现3次。以此类推，得到共现矩阵A，参照表12所示：

共现次数	A	B	C	D	E	F	G	H	I
										A	0	3	3	1	1	1	1	1	1
B	3	0	3	1	1	0	0	0	0
										C	3	3	0	1	1	0	0	0	0
D	1	1	1	0	1	0	0	0	0
										E	1	1	1	1	0	0	0	0	0
F	1	0	0	0	0	0	1	1	1
										G	1	0	0	0	0	1	0	1	1
H	1	0	0	0	0	1	1	0	1
										I	1	0	0	0	0	1	1	1	0

表12

接着，设定共现次数阈值为2，则基于共现矩阵A建立警报关联的过程如下：

(1)从矩阵第一行开始，基于警报A，警报B和警报C与警报A建立关联事件[A,B]和[A,C]；

(2)从警报B所在行搜索，警报C与警报B建立关联事件[B,C]；

(3)从警报C所在行搜索，没有相应的高于阈值的其他数据项，则没有找到新的警报关联；

(4)搜索其他行，没有新的超过阈值的警报组合，因而建立的关联事件为[A，B]，[A，C]和[B，C]。

最终得到的告警事件集合参照表13所示：

告警事件Incident_id	事件包含的警报ID
		AB	A，B
AC	A，C
		BC	B，C

表13

接着，针对实施例表10，对实施例表12中的事件进行共现次数统计：以5分钟为时间窗口，进行共现矩阵计算，比如事件AB事件AC，在0～4、5～9、10～14三个时间窗口分别共现了一次，那么总共共现3次。以此类推，得到共现矩阵，参照表14所示：

共现次数	AB	AC	BC
				AB	0	3	3
AC	3	0	3
				BC	3	3	0

表14

设定共现次数阈值为2，同上可得，事件AB与事件AC建立关联事件[AB，AC]，则[A,B,A,C]存在关联，警报去重后可得到新的关联事件为[A，B，C]。由于事件AB与事件BC、事件AC与事件BC建立关联警报去重后得到的事件也为[A，B，C],则最终关联事件为[A，B，C]。

本申请实施例提供的告警关联方法，通过对获取的预设时间段的历史告警信息进行聚合，得到告警警报，按照时间粒度对告警警报进行划分和去重，得到告警警报集合，构建告警警报共现矩阵，从而得到告警事件集合，再基于告警事件集合，构建告警事件共现矩阵，得到关联告警事件。充分利用了历史告警消息中的时间戳信息，建立告警消息之间的时序关联，相比于常规技术中的告警压缩技术，减少了告警信息的文本和时间信息资源浪费，通过引入共现矩阵达到利用告警消息的时间信息的目的，充分利用不同告警警报在时间窗口的共现信息，能够充分挖掘历史告警消息的内在逻辑信息，较好反映告警信息间的关联关系，并且基于共现矩阵进行告警警报关联，得到的关联告警事件，可以更好的反映告警发生的原因，有利于运维的根因分析，减少了故障的定位和修复时间，为运维人员提供了更加高效的告警处理手段，提高了运维效率，有利于实现运维自动化和智能化。

实施例二

基于同一发明构思，本申请实施例还提供一种告警关联装置，参照图4所示，该装置包括：

获取模块101，用于获取预设时间段内的告警信息集合；

警报确定模块102，用于根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

警报集合确定模块103，用于按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

警报共现矩阵确定模块104，用于根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

事件集合确定模块105，用于基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

事件共现矩阵确定模块106，用于根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

关联告警事件确定模块107，用于基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

本申请实施例提供的告警关联装置，通过对获取的预设时间段的历史告警信息进行聚合，得到告警警报，按照时间粒度对告警警报进行划分和去重，得到告警警报集合，构建告警警报共现矩阵，从而得到告警事件集合，再基于告警事件集合，构建告警事件共现矩阵，得到关联告警事件。充分利用了历史告警消息中的时间戳信息，建立告警消息之间的时序关联，相比于常规技术中的告警压缩技术，减少了告警信息的文本和时间信息资源浪费，通过引入共现矩阵达到利用告警消息的时间信息的目的，充分利用不同告警警报在时间窗口的共现信息，能够充分挖掘历史告警消息的内在逻辑信息，较好反映告警信息间的关联关系，并且基于共现矩阵进行告警警报关联，得到的关联告警事件，可以更好的反映告警发生的原因，有利于运维的根因分析，减少了故障的定位和修复时间，为运维人员提供了更加高效的告警处理手段，提高了运维效率，有利于实现运维自动化和智能化。

实施例三

基于同一发明构思，本申请实施例还提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令在终端上运行时，使得终端执行如上述的告警关联方法。

其中，计算机可读存储介质，例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)、可擦式可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)、寄存器、硬盘、光纤、便携式紧凑磁盘只读存储器(Compact Disc Read-Only Memory，CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合、或者本领域熟知的任何其它形式的计算机可读存储介质。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于特定用途集成电路(Application Specific Integrated Circuit，ASIC)中。在本申请实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

实施例四

基于同一发明构思，本申请实施例还提供一种包含指令的计算机程序产品，当计算机程序产品在计算机上运行时，使得计算机执行如上述的告警关联方法。

实施例五

基于同一发明构思，本申请实施例还提供一种计算机设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口和存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现上述的告警关联方法。

图5示出了上述实施例中所涉及的计算机设备的一种可能的结构示意图。该计算机设备包括：处理器1002和通信接口1003。处理器1002用于对计算机设备的动作进行控制管理，例如，执行上述告警关联方法，和/或用于执行本文所描述的技术的其它过程。通信接口1003用于支持计算机设备与其他网络实体的通信，例如，执行上述通信单元902执行的步骤。计算机设备还可以包括存储器1001和总线1004，存储器1001用于存储计算机设备的程序代码和数据。

其中，存储器1001可以是计算机设备中的存储器等，该存储器可以包括易失性存储器，例如随机存取存储器；该存储器也可以包括非易失性存储器，例如只读存储器，快闪存储器，硬盘或固态硬盘；该存储器还可以包括上述种类的存储器的组合。

上述处理器1002可以是实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。该处理器可以是中央处理器，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。该处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

总线1004可以是扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。总线1004可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

实施例六

基于同一发明构思，本申请实施例还提供一种芯片，芯片包括处理器和通信接口，通信接口和处理器耦合，处理器用于运行计算机程序或指令，以实现如第一方面中所描述的告警关联方法。

具体的，本申请中提供的芯片还包括存储器，用于存储计算机程序或指令。

图5中的计算机设备还可以为芯片。该芯片包括一个或两个以上(包括两个)处理器1002和通信接口1003。

在一些实施例中，该芯片还包括存储器1001，存储器1001可以包括只读存储器和随机存取存储器，并向处理器1002提供操作指令和数据。存储器1001的一部分还可以包括非易失性随机存取存储器(non-volatile random access memory，NVRAM)。

在一些实施方式中，存储器1001存储了如下的元素，执行模块或者数据结构，或者他们的子集，或者他们的扩展集。

在本申请实施例中，通过调用存储器1001存储的操作指令(该操作指令可存储在操作系统中)，执行相应的操作。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

由于本申请的实施例中的计算机可读存储介质、计算机程序产品、计算机设备可以应用于上述方法，因此，其所能获得的技术效果也可参考上述方法实施例，本申请实施例在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种告警关联方法，其特征在于，包括：

获取预设时间段内的告警信息集合；

根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

2.如权利要求1所述的方法，其特征在于，所述根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报，包括：

将具有至少一个相同属性信息的告警消息进行聚合，得到多个告警警报，并将每个告警警报中的各告警信息添加警报标签，得到每一告警警报与各告警信息的对应关系。

3.如权利要求2所述的方法，其特征在于，按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合，包括：

按照预设时间粒度将所述预设时间段划分为多个时间窗口，对每一时间窗口内的告警信息按照时间顺序进行排序，根据每一时间窗口内的告警警报与各告警信息的对应关系，对具有同一报警标签的告警信息进行去重，得到告警警报集合。

4.如权利要求3所述的方法，其特征在于，所述根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵，包括：

将所述告警警报集合中每一时间窗口内的每两个告警警报进行组合，得到多组告警警报组合，统计每组告警警报组合在所述多个时间窗口中共同出现的次数，得到告警警报共现矩阵。

5.如权利要求1所述的方法，其特征在于，所述基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合，包括：

将所述告警警报共现矩阵中每一行的首个告警警报作为基准警报，在每一行中分别查找与所述基准警报的共现次数大于第一次数阈值的告警警报，将得到的各告警警报分别与所述基准警报进行关联，得到告警事件集合。

6.如权利要求1所述的方法，其特征在于，所述根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵，包括：

将所述告警事件集合中每一时间窗口内的每两个告警事件进行组合，得到多组告警事件组合，统计每组告警事件在所述多个时间窗口中共同出现的次数，得到告警事件共现矩阵。

7.如权利要求6所述的方法，其特征在于，所述基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件，包括：

将所述告警事件共现矩阵中每一行的首个告警事件作为基准事件，在每一行中分别查找与所述基准事件的共现次数大于第二次数阈值的告警事件，将得到的各告警事件中的告警警报与所述基准事件中的告警警报进行去重，得到关联告警事件。

8.一种告警关联装置，其特征在于，包括：

获取模块，用于获取预设时间段内的告警信息集合；

警报确定模块，用于根据告警信息集合中各告警信息的属性信息进行处理，确定各个告警信息所属的告警警报；

警报集合确定模块，用于按照预设时间粒度将所述预设时间段划分为多个时间窗口，针对每一时间窗口内的告警警报进行去重，得到告警警报集合；

警报共现矩阵确定模块，用于根据所述告警警报集合中，每两个告警警报在所述多个时间窗口中共同出现的次数，确定告警警报共现矩阵；

事件集合确定模块，用于基于所述告警警报共现矩阵，对每两个告警警报进行关联，得到告警事件集合；

事件共现矩阵确定模块，用于根据所述告警事件集合中，每两个告警事件在所述多个时间窗口中共同出现的次数，确定告警事件共现矩阵；

关联告警事件确定模块，用于基于所述告警事件共现矩阵，对每两个告警事件进行关联，得到关联告警事件。

9.一种计算机可读存储介质，计算机可读存储介质中存储有指令，当指令在终端上运行时，使得终端执行如权利要求1-7任一项所述的告警关联方法。

10.一种计算机设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口和存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现如权利要求1-7任一项所述的告警关联方法。

Images