CN116668264A - 一种告警聚类的根因分析方法、装置、设备及存储介质 - Google Patents

一种告警聚类的根因分析方法、装置、设备及存储介质 Download PDF

Info

Publication number
CN116668264A
CN116668264A CN202310673113.7A CN202310673113A CN116668264A CN 116668264 A CN116668264 A CN 116668264A CN 202310673113 A CN202310673113 A CN 202310673113A CN 116668264 A CN116668264 A CN 116668264A
Authority
CN
China
Prior art keywords
abnormal
nodes
root cause
candidate
anomaly
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310673113.7A
Other languages
English (en)
Inventor
杨颖�
刘畅
孟令帅
郭舒
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
National Computer Network and Information Security Management Center
Original Assignee
National Computer Network and Information Security Management Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by National Computer Network and Information Security Management Center filed Critical National Computer Network and Information Security Management Center
Priority to CN202310673113.7A priority Critical patent/CN116668264A/zh
Publication of CN116668264A publication Critical patent/CN116668264A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G06F18/232—Non-hierarchical techniques
    • G06F18/2321—Non-hierarchical techniques using statistics or function optimisation, e.g. modelling of probability density functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods

Abstract

本发明公开了一种告警聚类的根因分析方法、装置、设备及存储介质。该方法包括：根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。本发明实施例可以提高根因定位的准确性与稳定性。

Description

一种告警聚类的根因分析方法、装置、设备及存储介质
技术领域
本发明涉及故障分析技术领域，尤其涉及一种告警聚类的根因分析方法、装置、设备及存储介质。
背景技术
大型企业的业务流程十分复杂，其网络服务系统中具有大量的不同种类的业务活动，而不同的业务活动之间形成了多个业务流，每个业务流依赖于不同的服务、组件和基础设施。
当某一个业务发生故障，会影响到其他下游的业务，因此准确且高效地定位到业务中的异常，寻找到异常的根因至关重要。而业务流本身的复杂性和多样性也进一步提高了对于其告警的分析难度。
发明内容
本发明提供了一种告警聚类的根因分析方法、装置、设备及存储介质，以提高根因定位的准确性与稳定性。
根据本发明的一方面，提供了一种告警聚类的根因分析方法，包括：
根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；
对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；
对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。
根据本发明的另一方面，提供了一种告警聚类的根因分析装置，包括：
异常信息确定模块，用于根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；
异常信息筛选模块，用于对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；
异常根因确定模块，用于对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率
根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：
至少一个处理器；以及
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的告警聚类的根因分析方法。
根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的告警聚类的根因分析方法。
本发明实施例通过构建异常传播图，再利用告警聚类分析技术，对异常传播图中节点进行聚类和筛选，最终得到关键告警的可能根因和各可能根因的可能性高低，提高了根因定位的准确性与稳定性。
应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1A是根据本发明一实施例提供的一种告警聚类的根因分析方法的流程图；
图1B是根据本发明一实施例提供的一种异常传播图的示意图；
图2A是根据本发明又一实施例提供的一种告警聚类的根因分析方法的流程图；
图2B是根据本发明又一实施例提供的一种告警聚类的根因分析的流程图；
图3是根据本发明又一实施例提供的一种告警聚类的根因分析装置的结构示意图；
图4是实现本发明实施例的电子设备的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
图1A为本发明一实施例提供的一种告警聚类的根因分析方法的流程图，本实施例可适用于以业务流依赖图与关键告警有关的指标数据作为输入，通过业务流和系统关联关系构建告警关联图，再经过候选异常传播图构建、异常节点过滤、根因排序三个步骤，最终输出一组按照可能性排序的候选根因节点的情况，该方法可以由告警聚类的根因分析装置来执行，该装置可以采用硬件和/或软件的形式实现，该装置可配置于具备相应计算能力的电子设备中。如图1A所示，该方法包括：
S110、根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图。
其中，异常传播图中每个异常节点(元素)均包括<服务、实体对象、异常>三个字段的内容。异常传播图的构建由配置的关键告警触发(如接收到关键告警时开始异常传播图的构建)，除告警内容外，关键告警应当包含以下的字段：触发时间、业务服务、实体对象。如图1B所示的异常传播图的示意图。异常传播图中的每个节点为<异常位置，异常类型>的组合，若存在一条节点A指向节点B的有向边，则表明节点A的异常可能由节点B的异常所导致。如业务2的某服务X部署在容器4上，在异常传播图可能存在一条边为<业务2-服务X，指标A突然上升>-><容器4，内存不足>。
具体的，本发明通过多种方式接入告警信号和其他异常检测结果(包括指标监控、日志等)，接入的告警信号可能来自于第三方自动异常检测工具、运维人员发出的故障告警信号等。基于故障告警的各个字段进行初步筛选，选择关键告警(如关键业务故障的告警)作为触发条件，执行本发明的流程。触发后，根据业务服务依赖关系与部署关系数据确定关键告警对应的异常节点和异常边，得到临时告警关联图，再根据人工规则对临时告警关联图进行调整，得到最终的告警关联图。利用与关键告警相关的关联告警和其他异常事件，在告警关联图上补充异常，得到候选异常传播图。
S120、对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图。
其中，异常可分为两种类型：数值型和非数值型。异常偏离度为表征节点异常程度的数值，异常程度越高，该数值的绝对值越大，异常程度越低则偏离度越接近于0。
具体的，对于触发的某一具体的关键告警，候选异常传播图中节点的异常可能与最初触发的关键告警是无关的，因此需要对异常节点进一步处理。异常节点的处理包括先后三个步骤：异常程度计算、异常过滤、聚类筛选。步骤S120所涉及的前两个步骤的主要流程如下：对于异常传播图的每个节点<服务、实体对象、异常>，对其异常字段内的异常进行计算。对于非数值型异常，由于无法计算且实际情况中非数值型异常出现较少，因此在异常传播图中非数值型异常仅作为连通图的节点使用，不参与偏离度计算和最后的排序。对于数值型异常，可以计算其指标的异常偏离度，来表征具体异常程度。预先设定对异常偏离度的既定阈值。过滤删除候选异常传播图中所有异常偏离度不满足阈值要求的异常节点，并删除与这些节点对应的异常边，得到有效异常传播图。
S130、对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。
具体的，步骤S130所涉及的最后一个步骤的主要流程如下：根据涟漪效应，由相同根因引起的异常节点的偏离度会表现得很相似。使用聚类算法将有效异常传播图中由相同根因引起的异常节点聚成一类，得到多个聚类簇。根据最可能包括根因的聚类簇生成候选根因图，并将候选根因图中各异常节点作为候选根因节点，计算各候选根因节点的根因可能性概率，最终输出一组候选根因节点的根因可能性概率，以便运维人员在收到关键告警的各候选根因节点的根因可能性概率时，可以快速确定故障传播的根因。
本发明实施例通过构建异常传播图，再利用告警聚类分析技术，对异常传播图中节点进行聚类和筛选，最终得到关键告警的可能根因和各可能根因的可能性高低，提高了根因定位的准确性与稳定性。
图2A为本发明又一实施例提供的一种告警聚类的根因分析方法的流程图，本实施例在上述实施例的基础上进行了优化改进。如图2A所示，该方法包括：
S210、根据关键告警的业务服务依赖关系、部署关系数据和人工规则，确定异常节点和各异常节点之间的异常边。
S220、根据所述异常节点和异常边生成告警关联图，并根据所述关键告警的相关故障和相关异常事件，添加补全所述告警关联图得到异常传播图。
具体的，接收到触发的关键告警时，开始构建异常传播图的构建流程。先对于输入的关键告警所对应的业务服务，检查其业务流的每个业务和对应的实体对象，作为初始的服务和实体对象集合。对集合中的每个<服务、实体对象>元素，使用CMDB、知识图谱或人工规则检测与上述告警中的业务、服务、实体对象相关联的所有服务、系统和其他形式的实体对象(例如部署单元、服务器、虚拟机等)，将关联到服务、系统、其他形式的实体对象和之前集合中的元素作为节点，具备关联关系的节点彼此构建关联边，得到临时告警关联图。基于制定的人工规则，对临时告警关联图做额外的增删与改动，生成最终的告警关联图。对于告警关联图上的每个节点<服务、实体对象>，查询该节点在触发关键告警时间段前后的关联告警和其他异常事件。查询的条件如下：i)时间在关键告警时间段前后(由配置指定时间范围)；ii)属于同一个实体对象。
继续参考图1B，将会查询以下实体对象的异常：业务1、业务2-服务X、业务3、容器4。最终查询到的异常将添加到告警关联图的节点上，作为候选异常传播图输出。异常传播图的节点形式为<服务、实体对象、异常>。
需要说明的是，一个节点可能有多个异常，在此情况下，将该节点拆分为多个节点，每个节点都继承原节点的边，同时拆分后的节点之间建立全连接边。
可选的，所述部署关系数据包括配置管理数据库数据和知识图谱；所述人工规则包括关联关系的删除规则和补充规则。
具体的，配置管理数据库CMDB数据或知识图谱包含以下信息：业务服务-指标、业务服务-部署单元/服务器/容器、部署单元-服务器、服务器-服务器、服务器-容器、等关系。人工规则是运维人员事先配置的专家规则，作为依赖关系的补充，当业务流、CMDB或知识图谱有数据缺失时，可通过人工规则确定业务流中服务和各实体对象之间的关联关系。人工规则的主要作用是对生成的告警关联图中的关联关系进行删除或补充：1)删除，在专家规则中可以指定需要删去的关联关系，避免不必要的额外检测(如测试环境节点、未被启用的机器节点等)；ii)补充，在专家规则中可以指定实体之间存在关联关系，在系统本身关系数据缺失的情况下建立准确的传播图。
S230、计算所述候选异常传播图中各异常节点的异常偏离度；过滤清除所述候选异常传播图中异常偏离度不满足异常偏离度要求的无效异常节点和相应的异常边，得到有效异常传播图。
其中，无效异常节点为根据异常偏离度可确定其异常程度较低，作为关键告警的根因的可能性较低，因而无需参与后续根因分析的节点。
具体的，通过历史数据对关联告警进行机器学习，通过动态阈值算法，计算各异常节点对应的偏离度阈值t。对于任意异常节点，若计算得到的异常偏离度d(e)，处于该节点的理论正常区间[-t,t]内，则确定该节点无需参与后续根因分析，删去候选异常传播图中该异常节点和对应的边。对所有异常节点重复上述流程，得到有效异常传播图。
可选的，所述计算所述候选异常传播图中各异常节点的异常偏离度包括：
获取所述候选异常传播图中当前异常节点的指标真实值和指标基准值，并根据所述指标真实值和指标基准值确定所述当前异常节点的异常偏离度。或，获取所述候选异常传播图中当前异常节点的指标真实值和指标预测值，并根据所述指标真实值和指标预测值确定所述当前异常节点的异常偏离度。
具体的，节点的异常程度可以由其指标的异常值和基准值的偏差确定。公式如下：
其中，d(e)表示该指标的异常偏离度，v(e)表示指标的真实值(包含于告警信息),b(e)表示指标的基准值。若b(e)＝0，则通过专家规则配置获取参考基准值代替上述公式中的分母。
若告警信息中不包含基准值，则可以使用以下公式计算其偏离度：
其中，d(e)表示该指标的异常偏离度，f(e)与v(e)分别表示指标的预测值与真实值(包含于告警信息)。本发明使用自回归移动平均模型(ARMA)，基于指标历史数据计算预测值f(e)。
S240、通过聚类算法对所述有效异常传播图中异常节点进行聚类，得到包括所述关键告警的聚类簇。
S250、根据所述聚类簇生成候选根因图，并将所述候选根因图中的异常节点确定为候选根因节点；通过排序算法确定各候选根因节点的根因可能性概率。
其中，排序算法可以使用已有的成熟算法，例如PageRank算法
具体的，固定参数聚类方法对参数高度敏感，若使用固定参数聚类方法，会影响后续根因定位的准确性与稳定性。本发明使用非参数化的聚类算法来进行聚类，例如核密度估计(KDE)、K最小近邻(KNN)和DBSCAN算法。基于异常偏离度，通过聚类算法将异常表现相似的异常节点聚成一类，得到多个聚类簇。多个聚类簇中包含关键告警的聚类簇则为异常节点过滤后的可能根因节点集合，即为根因分析的主要对象。根据该聚类簇中的各异常节点彼此之间的连接关系，确定候选根因图。候选根因图中的异常节点，即为关键告警可能的根因节点。对于候选根因图中的所有根因节点，通过排序算法得到每个根因节点的根因可能性概率，输出一组按照根因可能性概率高低排序的候选根因节点。
可选的，所述根据所述聚类簇生成候选根因图包括：
根据聚类簇中各异常节点之间的连接关系生成所述有效异常传播图的多个子图，所述连接关系包括两个异常节点之间是否存在异常边；将包括所述关键告警的最大子图确定为候选根因图。
具体的，对聚类簇中的所有节点，查询任意两节点在异常传播图中是否有连接彼此的异常边。若有，则记录该异常边。聚类簇进行遍历后，聚类簇中的所有节点和上述过程中记录的异常边构成了原异常传播图的子图G。
可选的，所述聚类算法包括KNN算法、DBSCAN算法和KDE算法。
KDE算法以所有异常节点的异常偏离度作为输入，使用高斯核，得到偏离度的分布密度函数。对于KDE的带宽参数bandwidth,可以根据数据自适应的计算，采用西尔弗曼法则，即
其中，n为异常节点个数，d为数据维度(在本发明中为1)，σ为偏离度序列的标准差。此时，计算不同异常节点的密度函数值，得到一些极大值与极小值，将不同的极大值作为聚类中心，附近的极小值作为聚类边界，即可得到多个聚类。
KNN算法计算样本在特征空间中的k个最相邻的样本，通过其近邻样本的聚类结果计算该样本自身的聚类。
DBSCAN算法通过邻域半径∈和邻域密度阈值M，以及一个参数k启发式地来计算。数据点x的第k邻近点与它的距离称为distk，当画出所有点排序后的distk图之后，可以将distk突然变化的地方作为阈值。在阈值之下的所有点就是核心点，阈值就是所需的∈，k+1就是M。
三种算法在不同类型的数据中效果不一，可以根据实际使用场景选择其一作为聚类方法，或根据人工配置的参数，由三种算法的计算结果通过加权投票方法共同确定最终分类结果。
示例性的，图1B是根据本发明实施例提供的一种告警聚类的根因分析的流程图。其中，对于每一次由关键故障发生而触发的关键告警，本发明根据业务服务依赖关系、部署关系数据和制定的人工规则生成候选异常传播图。通过基于涟漪效应的偏离度算法计算异常传播图中每个异常节点的偏离度，并基于偏离度使用既定阈值过滤掉不可能的异常节点，通过聚类算法进行聚类，对相关联告警和异常事件进行分类，筛选出可能的异常节点。对于上一步筛选出的异常节点，生成对应的候选根因图，并通过排序算法得到异常节点的可能性，最后输出一组按照可能性排序的候选根因节点。
本发明实施例通过基于系统服务间的调用关系和业务流程关系，对一定时间段内的告警进行汇总、聚合、过滤、分类，并对所有疑似根因告警进行排序，实现对告警根因的深度挖掘和精准定位。
图3为本发明又一实施例提供的一种告警聚类的根因分析装置的结构示意图。如图3所示，该装置包括：
异常信息确定模块310，用于根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；
异常信息筛选模块320，用于对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；
异常根因确定模块330，用于对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。
本发明实施例所提供的告警聚类的根因分析装置可执行本发明任意实施例所提供的告警聚类的根因分析方法，具备执行方法相应的功能模块和
有益效果
可选的，异常信息筛选模块320包括：
偏离度计算单元，用于计算所述候选异常传播图中各异常节点的异常偏离度；
异常信息筛选单元，用于过滤清除所述候选异常传播图中异常偏离度不满足异常偏离度要求的无效异常节点和相应的异常边，得到有效异常传播图。
可选的，所述偏离度计算单元用于获取所述候选异常传播图中当前异常节点的指标真实值和指标基准值，并根据所述指标真实值和指标基准值确定所述当前异常节点的异常偏离度；或，获取所述候选异常传播图中当前异常节点的指标真实值和指标预测值，并根据所述指标真实值和指标预测值确定所述当前异常节点的异常偏离度。
可选的，异常根因确定模块330包括:
异常节点聚类单元，用于通过聚类算法对所述有效异常传播图中异常节点进行聚类，得到包括所述关键告警的聚类簇；
异常根因确定单元，同于根据所述聚类簇生成候选根因图，并将所述候选根因图中的异常节点确定为候选根因节点；
异常根因排序单元，同于通过排序算法确定各候选根因节点的根因可能性概率。
可选的，异常根因确定单元具体用于根据聚类簇中各异常节点之间的连接关系生成所述有效异常传播图的多个子图，所述连接关系包括两个异常节点之间是否存在异常边；将包括所述关键告警的最大子图确定为候选根因图。
可选的，聚类算法包括KNN算法、DBSCAN算法和KDE算法。
可选的，所述异常信息确定模块310包括：
关联信息确定单元，用于根据关键告警的业务服务依赖关系、部署关系数据和人工规则，确定异常节点和各异常节点之间的异常边；
异常信息确定单元，用于根据所述异常节点和异常边生成告警关联图，并根据所述关键告警的相关故障和相关异常事件，添加补全所述告警关联图得到异常传播图。
进一步说明的告警聚类的根因分析装置也可执行本发明任意实施例所提供的告警聚类的根因分析方法，具备执行方法相应的功能模块和有益效果。
图4示出了可以用来实施本发明的实施例的电子设备40的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。
如图4所示，电子设备40包括至少一个处理器41，以及与至少一个处理器41通信连接的存储器，如只读存储器(ROM)42、随机访问存储器(RAM)43等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器41可以根据存储在只读存储器(ROM)42中的计算机程序或者从存储单元48加载到随机访问存储器(RAM)43中的计算机程序，来执行各种适当的动作和处理。在RAM43中，还可存储电子设备40操作所需的各种程序和数据。处理器41、ROM42以及RAM43通过总线44彼此相连。输入/输出(I/O)接口45也连接至总线44。
电子设备40中的多个部件连接至I/O接口45，包括：输入单元46，例如键盘、鼠标等；输出单元47，例如各种类型的显示器、扬声器等；存储单元48，例如磁盘、光盘等；以及通信单元49，例如网卡、调制解调器、无线通信收发机等。通信单元49允许电子设备40通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
处理器41可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器41的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器41执行上文所描述的各个方法和处理，例如告警聚类的根因分析方法。
在一些实施例中，告警聚类的根因分析方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元48。在一些实施例中，计算机程序的部分或者全部可以经由ROM42和/或通信单元49而被载入和/或安装到电子设备40上。当计算机程序加载到RAM43并由处理器41执行时，可以执行上文描述的告警聚类的根因分析方法的一个或多个步骤。备选地，在其他实施例中，处理器41可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行告警聚类的根因分析方法。
本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。
计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (11)

1.一种告警聚类的根因分析方法，其特征在于，所述方法包括：
根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；
对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；
对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。
2.根据权利要求1所述的方法，其特征在于，所述对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图包括：
计算所述候选异常传播图中各异常节点的异常偏离度；
过滤清除所述候选异常传播图中异常偏离度不满足异常偏离度要求的无效异常节点和相应的异常边，得到有效异常传播图。
3.根据权利要求2所述的方法，其特征在于，所述计算所述候选异常传播图中各异常节点的异常偏离度包括：
获取所述候选异常传播图中当前异常节点的指标真实值和指标基准值，并根据所述指标真实值和指标基准值确定所述当前异常节点的异常偏离度；
或，获取所述候选异常传播图中当前异常节点的指标真实值和指标预测值，并根据所述指标真实值和指标预测值确定所述当前异常节点的异常偏离度。
4.根据权利要求1所述的方法，其特征在于，所述对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率包括：
通过聚类算法对所述有效异常传播图中异常节点进行聚类，得到包括所述关键告警的聚类簇；
根据所述聚类簇生成候选根因图，并将所述候选根因图中的异常节点确定为候选根因节点；
通过排序算法确定各候选根因节点的根因可能性概率。
5.根据权利要求4所述的方法，其特征在于，所述根据所述聚类簇生成候选根因图包括：
根据聚类簇中各异常节点之间的连接关系生成所述有效异常传播图的多个子图，所述连接关系包括两个异常节点之间是否存在异常边；
将包括所述关键告警的最大子图确定为候选根因图。
6.根据权利要求4所述的方法，其特征在于，所述聚类算法包括KNN算法、DBSCAN算法和KDE算法。
7.根据权利要求1所述的方法，其特征在于，所述根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图包括：
根据关键告警的业务服务依赖关系、部署关系数据和人工规则，确定异常节点和各异常节点之间的异常边；
根据所述异常节点和异常边生成告警关联图，并根据所述关键告警的相关故障和相关异常事件，添加补全所述告警关联图得到异常传播图。
8.根据权利要求7所述的方法，其特征在于，所述部署关系数据包括配置管理数据库数据和知识图谱；所述人工规则包括关联关系的删除规则和补充规则。
9.一种告警聚类的根因分析装置，其特征在于，所述装置包括：
异常信息确定模块，用于根据关键告警确定异常节点和异常边，并根据所述异常节点和异常边生成候选异常传播图；
异常信息筛选模块，用于对所述候选异常传播图中异常节点进行异常偏离度过滤，得到有效异常传播图；
异常根因确定模块，用于对所述有效异常传播图中异常节点进行聚类和根因分析，得到候选根因节点和各候选根因节点的根因可能性概率。
10.一种电子设备，其特征在于，所述电子设备包括：
至少一个处理器；以及
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-8中任一项所述的告警聚类的根因分析方法。
11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-8中任一项所述的告警聚类的根因分析方法。
CN202310673113.7A 2023-06-07 2023-06-07 一种告警聚类的根因分析方法、装置、设备及存储介质 Pending CN116668264A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310673113.7A CN116668264A (zh) 2023-06-07 2023-06-07 一种告警聚类的根因分析方法、装置、设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310673113.7A CN116668264A (zh) 2023-06-07 2023-06-07 一种告警聚类的根因分析方法、装置、设备及存储介质

Publications (1)

Publication Number Publication Date
CN116668264A true CN116668264A (zh) 2023-08-29

Family

ID=87727638

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310673113.7A Pending CN116668264A (zh) 2023-06-07 2023-06-07 一种告警聚类的根因分析方法、装置、设备及存储介质

Country Status (1)

Country Link
CN (1) CN116668264A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117632666A (zh) * 2024-01-25 2024-03-01 杭州阿里云飞天信息技术有限公司 一种告警方法、设备及存储介质

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117632666A (zh) * 2024-01-25 2024-03-01 杭州阿里云飞天信息技术有限公司 一种告警方法、设备及存储介质

Similar Documents

Publication Publication Date Title
CN116049146B (zh) 一种数据库故障处理方法、装置、设备及存储介质
CN116225769B (zh) 一种系统故障根因的确定方法、装置、设备及介质
CN115033463B (zh) 一种系统异常类型确定方法、装置、设备和存储介质
CN115396289B (zh) 一种故障告警确定方法、装置、电子设备及存储介质
CN112769605B (zh) 一种异构多云的运维管理方法及混合云平台
CN116010220A (zh) 一种告警诊断方法、装置、设备及存储介质
CN116668264A (zh) 一种告警聚类的根因分析方法、装置、设备及存储介质
CN113326173B (zh) 一种告警消息的处理方法、装置及设备
CN116471174B (zh) 一种日志数据监测系统、方法、装置和存储介质
CN115514627A (zh) 一种故障根因定位方法、装置、电子设备及可读存储介质
CN115509797A (zh) 一种故障类别的确定方法、装置、设备及介质
CN114661562A (zh) 一种数据告警方法、装置、设备及介质
CN114881112A (zh) 一种系统异常检测方法、装置、设备及介质
CN114461792A (zh) 告警事件关联方法、装置、电子设备、介质及程序产品
CN116820826B (zh) 一种基于调用链的根因定位方法、装置、设备及存储介质
CN104852810A (zh) 一种业务平台异常的确定方法和设备
CN115329748B (zh) 一种日志解析方法、装置、设备及存储介质
CN117493060A (zh) 数据库组件异常检测方法、装置、设备及介质
CN117608896A (zh) 交易数据处理方法、装置、电子设备及存储介质
CN117061334A (zh) 一种链路告警处理方法、装置、设备及存储介质
CN116980195A (zh) 面向工业生产互联网安全的数据监控方法及装置
CN117454174A (zh) 异常检测模型训练、数据检测方法、装置、设备及介质
CN117688499A (zh) 一种多指标异常检测方法、装置、电子设备和存储介质
CN117749614A (zh) 一种协议规则确定方法、装置、电子设备及存储介质
CN117041005A (zh) 告警方法、装置、电子设备和存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination