CN103001811A - 故障定位方法和装置 - Google Patents

Abstract

本发明提供了一种故障定位方法和装置。涉及计算机网络应用领域；解决了现有告警关联规则挖掘***时效性较差、效率较低的问题。该方法包括：构建网元拓扑约束模型；检测被管网络中各个网元设备的运行状态，以发现故障事件；采集故障事件；利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。本发明提供的技术方案适用于故障诊断，实现了高效准确的故障定位。

Description

故障定位方法和装置

技术领域

本发明涉及计算机网络应用领域，尤其涉及一种故障定位方法和装置。

背景技术

计算机网络的应用已经深入到人们生活，工作的每一个角落，计算机也成为了现代人们必不可少的一个应用工具。为了使网络能够有效、可靠、安全、经济地为人们提供服务，网络管理就要求网络管理节点能在网络发生故障时能够及时地进行相应的故障管理，使得网络能够快速的修复并继续为人们提供服务。故障管理一般包括故障检测、故障诊断和故障修复，故障记录四个步骤，其中故障诊断是其中最为关键的一环。网络故障诊断如果可以快速准确地定位出故障源，就可以快速的进行故障修复，从而减小因网络故障而造成的损失，保证网络的可靠性和可用性，还可以在一定程度上预防故障的发生。

网络是有各个设备和子***组成的，不同的设备和子***是互相关联，紧密耦合。一个设备产生故障会影响很多和它相连的设备或子***，甚至会导致网络的瘫痪，这种现象叫做故障传播。故障的传播性会造成大量故障事件同时触发，形成故障事件风暴，从而使故障诊断变得很困难。造成故障事件风暴的另一个原因是，对于日益复杂的网络情况，为了不断应对新的安全挑战，企业和组织先后部署了防病毒***、防火墙、入侵检测***、漏洞扫描***、UTM等等，当一个设备产生故障，就会触动一整套安全体系，从而形成大量的安全事件。因此，在复杂网络环境下，当一个设备故障发生时很容易引起故障事件风暴，网络管理者很难从一大堆故障现象中快速找出故障源。

数据挖掘是从大量的、不完全的、有噪声的、模糊的、随机的数据中，提取隐含在其中的、人们事先不知道的但有时潜在有用的信息和知识的过程。在复杂网络环境下，但一个设备故障发生一起故障事件风暴时，将数据挖掘技术引入到告警关联中，利用基于规则的相关性分析技术，可以将多个告警归结成较少的告警，过滤大量的冗余告警，从而辅助网络管理人员定位故障。

但是，传统的告警关联规则挖掘***大多直接对原始告警数据进行简单的预处理就用挖掘算法进行挖掘，从而得到告警之间的关联关系。这种方法尽管可以挖掘出有效的告警关联规则，但是对于海量的告警数据来说，这样的告警关联规则挖掘***的时效性和效率性都不高。另外，原始的告警数据如果仅从现有的安全体系中被动获取，其有效性和全面性很难得到保证。

发明内容

本发明提供了一种故障定位方法和装置，解决了现有告警关联规则挖掘***时效性较差、效率较低的问题。

一种故障定位方法，包括：

构建网元拓扑约束模型；

检测被管网络中各个网元设备的运行状态，以发现故障事件；

采集故障事件；

利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。

优选的，在非授权网络环境下，所述构建网元拓扑约束模型包括：

以被管网络的管理中心网元节点为探测原点，从所述探测原点向被管网络中的目标节点发送经过设计的探测数据包；

采集各个目标节点对所述探测数据包的回馈数据包，解析所述回馈数据包，获取各个目标节点的探测回馈数据信息，所述探测回馈数据信息包括探测目标地址和探测路径跃点信息构成的数组；

对所述探测回馈数据信息的路径进行遍历和去重处理，获得所述网元拓扑约束模型。

优选的，在授权网络环境下，所述构建网元拓扑约束模型包括：

从所述被管网络的IP地址段中取出一个IP地址，使用SNMP获取该IP地址的IPForwarding值；

在所述IPForwarding值为1时，判定该IP地址对应的网元为路由器；

使用SNMP查询所述路由器的IP地址表，获取该IP地址表中的所有IP地址和相应的子网掩码，确定该路由器所连接的所有子网地址；

从接口表获取变量ifType，确定子网的网络类型；

查询所述路由器的路由表，获得非直接连接路由器的下一跳IP地址，使用ICMP发现所述子网内所有活动IP节点。

优选的，所述检测被管网络中各个网元设备的运行状态，以发现故障事件包括：

利用ICMP协议的错误侦测与回报机制检测所述被管网络中各个网元的宕机故障；

利用SNMP和/或SSH协议检测所述被管网络中各个网元的性能类故障；

在发现故障后，以SYSLOG协议将故障事件报送。

优选的，所述采集故障事件包括：

采集以SYSLOG协议报送的故障事件；

采集所述被管网络的一般日志信息，网络安全设备、网络设备、主机服务器设备、操作***、数据库、中间件的状态、日志和网络数据包；

根据所述故障事件和一般日志信息，对采集到的故障事件进行归一化后形成统一的故障事件；

将归一化后形成的故障事件放入故障事件缓存中。

优选的，所述根据所述故障事件和一般日志信息，对采集到的故障事件进行归一化后形成统一的故障事件具体为：

根据所述一般日志信息，将采集到的故障事件归一化为以下类别：

服务器宕机故障，服务器性能故障，链路中断故障，服务中断故障，阈值告警故障，一般设备故障。

优选的，所述故障事件包括以下信息：

模块名、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、消息和具体动作。

优选的，所述利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置包括：

在时间关联层根据告警严重程度、告警的时间和事件类型对故障事件进行去重关联，去除非故障类信息，聚合同一时间并发的故障事件；

获取内存中最新的网元拓扑关联模型，将所述网元拓扑关联模型转化为关联规则脚本文件；

将关联规则脚本文件中的全部规则存储至规则缓存里；

从所述故障事件缓存中获取最新的故障事件，进行多事件关联，将所有满足规则的故障事件都存在缓存中；

在缓存中存储的故障事件能够与所述关联规则脚本文件中的规则匹配时，将匹配所述规则的全部故障事件移出缓存，生成对所述全部故障事件的告警。

优选的，所述利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置的步骤之后还包括：

通过树状结构的网络拓扑可视化展示故障告警信息。

本发明提供了一种故障定位装置，包括：

拓扑约束模型构建层，用于构建网元拓扑约束模型；

网络状态衡量层，用于检测被管网络中各个网元设备的运行状态，以发现故障事件；

故障事件采集层，用于采集故障事件；

事件关联分析层，用于利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。

优选的，上述故障定位装置还包括：

故障定位展示层，用于通过树状结构的网络拓扑可视化展示故障告警信息。

本发明提供了一种故障定位方法和装置，构建网元拓扑约束模型，检测被管网络中各个网元设备的运行状态，以发现故障事件，采集故障事件，利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置，通过网络拓扑模型对告警数据进行挖掘中的处理，将没有存在拓扑连接关系的关联规则过滤掉，从而提高挖掘的效率和正确性，解决了现有告警关联规则挖掘***时效性较差、效率较低的问题。

附图说明

图1是本发明的实施例一提供的一种故障定位方法的流程图；

图2是本发明的实施例二提供的一种故障定位装置的结构示意图；

图3是本发明的实施例三中基于拓扑约束的关联规则挖掘算法原理图。

具体实施方式

传统的告警关联规则挖掘***大多直接对原始告警数据进行简单的预处理就用挖掘算法进行挖掘，从而得到告警之间的关联关系。这种方法尽管可以挖掘出有效的告警关联规则，但是对于海量的告警数据来说，这样的告警关联规则挖掘***的时效性和效率性都不高。另外，原始的告警数据如果仅从现有的安全体系中被动获取，其有效性和全面性很难得到保证。

因此需要找到一种更高效率与精确的网络故障定位方法，满足复杂网络环境下进行故障定位的需求。

为了解决上述问题，本发明的实施例提供了一种故障定位方法。下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

首先结合附图，对本发明的实施例一进行说明。

本发明实施例提供了一种故障定位方法，目的是综合运用基于拓扑约束的关联规则挖掘算法、授权网络与非授权网络条件下拓扑自动发现技术、异构海量日志采集技术、基于树形拓扑的告警可视化技术、黑板模型的驱动流程、现代通讯等先进技术，解决在超大、超复杂规模网络环境下网络故障的快速诊断与定位的难题。本发明实施例提供的故障定位方法处理的网络中网元规模可以达到5000，网络中的网元类型可以包括网络安全设备、网络设备、主机服务器设备、操作***、数据库、中间件等。

使用本发明实施例提供的故障定位方法完成故障分析的流程如图1所示，包括：

步骤101、构建网元拓扑约束模型；

本发明实施例基于对网络故障传播特性的深入研究，综合采用多种网络协议的特点，以复杂网络环境下自动拓扑发现技术进行网元拓扑约束模型的构建，以异步探测技术进行大型网络的快速故障诊断并形成故障事件，以异构海量日志采集技术获取全网各个来源的故障事件，以基于拓扑约束关联规则算法对故障事件进行关联分析，并获得最终故障定位结论，并以树形网络拓扑结构提供可视化展示，而一系列流程和技术是以黑板模型框架作为驱动有机地形成为一个整体。

本发明实施例研究了网络故障的传播特性，故障在网络中的传播路径主要有两种：横向传播和纵向传播。横向传播是只故障沿着物理接连或者逻辑连接的设备之间水平传播。纵向传播是指故障在一个设备内部沿着协议栈从低层向高层传播。本发明实施例提供的故障定位方法可以依据故障传播路径把故障诊断分为两部分：横向诊断和纵向诊断。这样就可以提供故障诊断的效率和准确性。一系列故障发生的时间是这些故障如何传播的一个线索，当然和网络拓扑结合在一起就可以更全面的了解故障是如何传播的。

拓扑约束模型构建层对网络中网元拓扑关联模型进行构建，在各种网络环境下，综合采用SNMP、CDP、ICMP等协议和TRACEROUTE等方法，智能化地探索网络的拓扑连接关系。该拓扑关联关系模型是以管理中心为起点形成的一个树状的逻辑网络结构，拓扑模型构建引擎以独立线程进行，周期性对被管网络进行拓扑发现，并将该模型数据写入网元关联模型缓存。同时，拓扑约束模型构建层可以将已有的资产拓扑转化为网元关联模型。

本步骤中所构建的网元拓扑约束模型是以管理中心出发，将所有的子网看作一棵树型结构。该树状网络结构采用树子表表示树的数据结构，把整棵树表示成一个结点表，而结点表中的每个元素又包含一个表，它记录了这个结点的所有子结点的位置，称为子表。结点表的长度即树中结点的个数，一般用一维数组顺序存储；而子表的长度依赖于各结点的度数，所以各不相同，一般用单链表表示；子表中结点的链接顺序是按其在树中从左到右的次序进行的。这样在结点表中除了要保存元素本身的信息外，还要保存子表的表头指针。

为了适应复杂的网络环境，本步骤在非授权网络环境和授权网络环境采用不同的技术方案，其目标都是为了构建上述网元拓扑约束模型。分别列举说明如下：

一、在非授权网络环境下，采用改进的TRACEROUTE方法来构建网元拓扑约束模型。具体做法是：

1）以被管网络的管理中心网元节点为探测原点，从探测原点向被管网络中的目标节点发送不同IP生存时间（TTL)值的ICMP回应数据包作为探测数据包；

2）采集各个目标节点反馈的回馈数据包，解析该回馈数据后获取各个目标节点的探测回馈数据信息，在探测回馈数据信息中包括探测目标地址和探测路径跃点信息形成的数组结构；

3）对探测回馈数据信息的路径进行遍历和去重处理，从而获得网元拓扑约束模型。

二、在授权网络环境下，本步骤中综合采用SNMP协议与ICMP来构建网元拓扑约束模型。具体做法是：

1）从被管网络的IP地址段中取出一个IP地址（如，按照网段取出首个地址），使用SNMP获取其iPForwarding值，如果为1，则设备具有前向转发IP数据包的功能，为路由器。如果找到了一个路由器，转步骤2）；如果不存在路由器（即验证了IP地址段中的全部IP地址都非路由器之后判定被管网络地址段中可能不存在路由器），则算法结束。

2）使用SNMP查询该路由器IP地址表（iPAddrTable），取得表中所有IP地址（ipAdEntAddr）和相应的子网掩码（iPAdEntNetMask）。将ipAdEntAddr和相应的iPAdEntNetMask进行与操作，确定该路由器所连接的所有子网地址，如果子网都不在管理范围的被管网络内，算法结束；否则，从接口表(（ifTable)）获得变量ifType，确定子网的网络类型。

获得子网信息后，查询该路由器路由表(（ipRouteTable)），获得非直接连接路由器的下一跳IP地址(（ipRoute-NextHop)），即路由类型(（ipRouteType)）的值为4(（indirect)）。如果无这样的路由器，算法结束；否则，转步骤(（2)）。循环查找出针对上述算法所确定的所有子网，使用ICMP发现网内（若网内包括多个子网，则遍历所有子网）的所有活动IP节点。

上述两种构建技术提供了复杂网络环境下有效、高效发现网元拓扑约束模型，为后续故障定位分析打下基础。

步骤102、检测被管网络中各个网元设备的运行状态，以发现故障事件；

本步骤中，网络状态衡量层采用异步网络探测诊断技术，利用ICMP协议的错误侦测与回报机制检测网路的连线状况。采用异步的ICMP报文发送与接收方式获得网络设备故障的诊断信息，采用与指定服务端口建立一个TCP协议连接来获得网络服务故障的诊断信息。诊断信息形成故障事件通过syslog协议传递至故障事件采集层。

探测结论都以故障事件的形式统一标示，事件格式如下：

mod=%s sa=%s sport=%d da=%s dport=%d proto=%d type="%s"count=%d msg="%s"act="%s"

故障事件中各参数的意义如表1所示。

表1

本步骤具体由网络状态衡量层完成，网络状态衡量层将故障事件向故障事件采集层上报。具体的，网络状态衡量层在***内部直接以java对象的形式将故障事件放入故障事件缓存中。

步骤103、采集故障事件；

本步骤中，故障事件采集层进行故障事件采集具体包含事件接收、事件归一化和事件缓存三个步骤。故障事件采集层除了接收网络状态衡量层上报的故障事件外，还可以接收各类网元设备以syslog协议主动上报的安全日志。

故障事件采集层除了接收网络状态衡量层上报的故障事件外，还可以接收各类网元设备以syslog协议主动上报的安全日志，安全日志形式举例如下：

devid=0 date="2011/07/12 16:28:10"dname="Guard 8000"logtype=6 pri=5mod=attack sa=189.16.100.9 sport=2582 da=189.16.100.180 dport=8888 proto=6type=

"synflood"count=1 msg="protect syn connect"act="drop"。

故障事件采集引擎（对应框架中的故障采集层，为故障采集层的具体实现）以独立线程接收网络状态衡量层和各类网元设备上报的安全日志，提取设备故障类事件将数据报文直接生成syslog数据类，将安全日志内容进行归一化，并生成格式统一的故障事件类，最后将这些故障事件放入故障事件缓存中。

（此处是提取网络状态衡量层上报的故障类事件么？即是把网络状态衡量层上报的事件和各类网元设备上报的安全日志分开处理？为什么要生成syslog数据类？回答：（1）此处提取的不是网络衡量层上报的故障类事件。实际上最终故障事件缓存中故障事件有两种来源，一是网络状态衡量层直接内部上报的故障事件对象，是***主动进行状态衡量获取的，另一个是***被动接受网络中的各类网元设备自己上报的syslog，然后通过归一化转华为故障事件对象。（2）网络状态衡量层上报的事件和各类网元设备上报的安全日志是分开处理的，但是最终都放入故障事件缓存中。（3）网元设备上报的安全日志，数据流大致是这样子的，首先是syslog协议报文，通过报文采集转化为syslog数据类，但不同设备的syslog数据格式是不一致的，再通过归一化处理，转化为最终格式统一的故障事件类），根据日志归一化配置文件的字段描述信息（字段描述信息的内容是？回答：下文有日志的归一化说明，此处可否做简化处理？不指明“根据日志归一化配置文件的字段描述信息”，而是直接写将安全日志内容进行归一化）

步骤104、利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置；

事件关联分析层基于网络故障的传播特性，采用基于拓扑约束的关联规则挖掘算法，根据建立的拓扑关联模型而得到网元之间的层次关系，将发生的各个告警事件的各个设备进行层次编码（层次编码实际上是路由转发的层次，以故障定位***为中心，达到某地址需要多层路由进行传递到达，以离***中心的转发层级进行编码。）。由拓扑结构体现出的网元之间的连接关系，确定故障的传播路径，得到关联规则挖掘过程的约束条件（约束条件指故障传播路径上网元设备存在物理连接关系，如果上级设备出现故障，会导致下级的网络也出现故障。）。在挖掘关联规则过程中，两个或多个故障事件是否可能连接为一个集合要由这种条件加以限制。采用基于拓扑约束的关联规则挖掘算法，实现了再连接前更大程度的减少待检测的组合个数，提高故障定位的时效性和结果的准确性。

本步骤中，采用时间层关联与基于拓扑约束的空间层关联的双层事件关联策略。

在时间层关联的部分，针对故障事件中如下信息进行去重关联：

1、告警严重程度；

2、告警的时间；

3、事件类型。

通过时间层关联可以去除非故障类信息，同时聚合同一时间并发的事件，具体指将同一设备短时间大量发送的事件进行聚合。后续的空间层关联则是把，一定时间区间内不同设备发送的事件进行关联处理。

基于拓扑约束的空间层关联，具体做法如下：

1、获取内存中最新的网元拓扑关联模型数据，并将此模型转化为关联规则脚本文件，关联规则脚本文件中包括多个关联规则，如基于空间的关联规则，一般每个网段的都有一套自己的符合故障传播路径的关联规则，关联规则脚本文件包含多个网段的关联规则。分类举例：同一网段主机设备故障规则，同一网段安全设备故障股则等，严重等级的网络设备告警。同时，基于时间的关联规则，如同一设备在一定时间周期重复告警。

2、将关联规则脚本文件映射到内存中。所有的规则都存在规则缓存里，当规则增、删、改时，同时更新规则缓存。在更新规则缓存的同时，更新关联分析线程池（指故障关联分析引擎，为了提高效率，采用线程池。当关联规则脚本发生变化时，关联分析线程池使用的规则缓存也会立刻更新）中对该规则的处理。

3、从故障事件缓存中获取最新的故障事件，进行多事件关联，具体关联分析引擎会以1分钟为周期定时从故障事件缓存中获取事件进行分析。所有的满足规则（举例说明，在基于时间关联中，规则“同一设备一定时间周期内重复主机告警”，满足主机事件这个条件，就称之为满足规则，这些事件进行缓存，而达到一定时间周期，如2分钟，就可以称之为规则匹配。有些规则如“严重等级的主机故障告警”规则，因为不存在时间周期约束和事件数量约束，只要满足规则和规则匹配是一致的。）的事件都存在缓存中，一旦满足规则匹配（每种规则对应一种类型的故障，该规则可以由多个约束要求组成。如“同一设备一定时间周期内重复主机告警”，约束条件包括同一设备、一定时间周期、主机类型事件。），则将匹配的规则移出规则缓存，并将缓存的满足规则事件归并为告警。为了保证性能，设计最大同时并发告警动作（告警动作指的是对关联分析出来的故障告警的处理动作，如发邮件、短信等）30个，未执行但允许排在队列中的告警处理动作最大5000个，超过这个限制的将被丢弃。

步骤105、通过树状结构的网络拓扑可视化展示故障告警信息；

本发明实施例中，在触发一个故障告警后，用户看到的是故障告警，其实需要有一个故障追溯。具体的以故障树展示故障告警，将相关的事件和告警生成一个告警树，用户可以很清楚的看到一个故障是由哪些告警产生的，也反映了告警的推理过程。在界面展示的时候，每个由故障定位模块生成的告警都可以追溯为一个故障树。

下面结合附图，对本发明的实施例二进行说明。

本发明实施例提供了一种故障定位装置，其结构如图2所示，包括：

拓扑约束模型构建层201，用于构建网元拓扑约束模型；

网络状态衡量层202，用于检测被管网络中各个网元设备的运行状态，以发现故障事件；

故障事件采集层203，用于采集故障事件；

事件关联分析层204，用于利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。

优选的，该装置还包括：

故障定位展示层205，用于通过树状结构的网络拓扑可视化展示故障告警信息。

***流程运动的驱动引擎是黑板模型框架，采用复合架构的内存数据库作为“黑板”，根据业务逻辑建立多组引擎去更新和分析缓存数据。因为存在多组引擎和多块数据缓存区域，该方法不采用实时性较高“发布-订阅推送模式”，而采用“拉模式”，各个引擎根据各自业务情况，固定周期访问黑板区域，黑板区域的内存数据包括：

1、网元关联模型缓存（缓存网络中网元的关联关系数据）；

2、事件引擎缓存池（缓存***被动从网元设备获取的原始的syslog数据）；

3、故障事件缓存（经过归一化的设备故障相关的安全事件对象）；

4、资产拓扑缓存（网管***发现或配置的网元拓扑数据）；

5、故障告警缓存（经过关联分析得出的准确的设备故障告警信息）。

其中，事件引擎缓存池具体指故障事件采集引擎采集到的网元设备发送的syslog数据，这些数据经过过滤选取后才会进入故障事件缓存中。故障事件缓存中数据的另一个来源是网络衡量层直接上报的故障事件。）

拓扑约束模型构建层对网络中各个网元拓扑关联模型进行构建，在各种网络环境下，综合采用SNMP、CDP、ICMP等协议和TRACEROUTE等方法，智能化地探索网络的拓扑连接关系。该拓扑关联关系模型是以管理中心为起点形成的一个树状的逻辑网络结构，拓扑模型构建引擎以独立线程进行，周期性对被管网络进行拓扑发现，并将该模型数据写入网元关联模型缓存。同时，拓扑约束模型构建层可以将已有的资产拓扑转化为网元关联模型。

网络状态衡量层采用异步网络探测诊断技术，利用ICMP协议的错误侦测与回报机制检测网路的连线状况。采用异步的ICMP报文发送与接收方式获得网络设备故障的诊断信息，采用与指定服务端口建立一个TCP协议连接来获得网络服务故障的诊断信息。诊断信息形成故障事件通过syslog协议传递至故障事件采集层。

故障事件采集层包含事件接收、事件归一化和事件缓存三个步骤。故障事件采集层除了接收网络状态衡量层上报的故障事件外，还可以接收各类网元设备以syslog协议主动上报的安全日志。故障事件采集引擎以独立线程接收网络状态衡量层和各类网元设备上报的安全日志，提取设备故障类事件将数据报文直接生成syslog数据类，根据日志归一化配置文件的字段描述信息将日志内容进行归一化，并生成格式统一的故障事件类，最后将这些故障事件放入缓存池中。

事件关联分析层基于网络故障的传播特性，采用基于拓扑约束的关联规则挖掘算法，根据建立的拓扑关联模型而得到网元之间的层次关系，将发生的各个告警事件的各个设备进行层次编码。由拓扑结构体现出的网元之间的连接关系，结果故障的传播路径，得到关联规则挖掘过程的约束条件。在挖掘关联规则过程中，两个或多个项目是否可能连接为一个集合要由这种条件加以限制。采用基于拓扑约束的关联规则挖掘算法，实现了再连接前更大程度的减少待检测的组合个数，提高故障定位的时效性和结果的准确性。

下面结合附图，对本发明的实施例三进行说明。

本发明实施例提供了一种故障定位方法，其中，基于拓扑约束的关联规则挖掘算法原理如图3所示。

基于拓扑约束模型构建层形成的网元拓扑约束模，网元拓扑匹配算法对输入的任意一个网元序列，可以从网络拓扑数据库中查询输入的网元序列是否被一个网元簇包含。如果是则返回true，表明这个网元序列中的网元存在拓扑关系，即它们之间存在的告警传播路径；如果不是则返回false，即输入的网元序列不被任何一个网元簇包含，这表明这个网元序列中的网元之间不存在拓扑关系，即它们之间不存在告警传播路径。

关联规则挖掘算法根据返回结果对频繁模式进行筛选，从而过滤掉不存在的告警传播条件的错误频繁模式。由于FP-Growth算法采用树结构进行挖掘，在完成树的生成后就可以进一步生成频繁模式，所以FP-Growth算法在挖掘出频繁模式后将它们一次进行判定是否符合网络拓扑约束，然后将不符合的模式从最终的频繁模式集中删除。

本发明的实施例提供了一种故障定位方法和装置，构建网元拓扑约束模型，检测被管网络中各个网元设备的运行状态，以发现故障事件，采集故障事件，利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置，通过网络拓扑模型对告警数据进行挖掘中的处理，将没有存在拓扑连接关系的关联规则过滤掉，从而提高挖掘的效率和正

根据网络故障的传播特性，大多数网络安全故障的发生不是由单一的网络安全事件决定，而是由多个网络安全告警以不同时间、不同发生源相互作用来决定的，因此仅对单一网络安全告警的记录和简单分析已无法满足网络安全的需要。本发明的实施例提供的技术方案根据网络故障的传播特性，在传统的网络告警关联挖掘在基础上，采用基于拓扑约束关联规则挖掘算法使告警关联与特定的网络拓扑结构想结合，极大的提高了故障定位的效率和对复杂网络的适应性。

本发明的实施例还构建了网络约束拓扑模型，通过网络约束拓扑模型对告警数据进行挖掘中的处理，将没有存在拓扑连接关系的关联规则过滤掉，从而提高挖掘的效率和正确性。

本发明的实施例提供的故障定位方法和装置，针对复杂网络环境下故障定位过程中经常出现的实时性、稳定性、扩展性等主要问题，采用技术手段进行了良好的解决，对计算机网络中复杂的IT资源各类故障问题进行详细的分类和精确定位，能真实、准确地反映计算机网络的安全情况，为计算机网

采用开放式的故障诊断策略，利用事件采集层部署的日志字串匹配快速动态解析机制，能迅速分析各类安全设备的故障事件，同时能非侵入式的主动探测设备故障，对网络安全设备、网络设备、主机服务器设备、操作***、数据库、中间件运行过程中出现的各类故障进行分析、诊断与定位。

此外，还采用实时图形化的故障定位分析结果展示方案，通过树状结构的网络拓扑可视化展示故障告警信息，以直观可视化的方式展示网络故障的空间信息和时序信息，通过分页表格的形式展示故障相关的事件信息。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上（如***、设备、装置、器件等）执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (11)

1.一种故障定位方法，其特征在于，包括：

构建网元拓扑约束模型；

检测被管网络中各个网元设备的运行状态，以发现故障事件；

采集故障事件；

利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。

2.根据权利要求1所述的故障定位方法，其特征在于，在非授权网络环境下，所述构建网元拓扑约束模型包括：

以被管网络的管理中心网元节点为探测原点，从所述探测原点向被管网络中的目标节点发送经过设计的探测数据包；

采集各个目标节点对所述探测数据包的回馈数据包，解析所述回馈数据包，获取各个目标节点的探测回馈数据信息，所述探测回馈数据信息包括探测目标地址和探测路径跃点信息构成的数组；

对所述探测回馈数据信息的路径进行遍历和去重处理，获得所述网元拓扑约束模型。

3.根据权利要求1所述的故障定位方法，其特征在于，在授权网络环境下，所述构建网元拓扑约束模型包括：

从所述被管网络的IP地址段中取出一个IP地址，使用SNMP获取该IP地址的IPForwarding值；

在所述IPForwarding值为1时，判定该IP地址对应的网元为路由器；

使用SNMP查询所述路由器的IP地址表，获取该IP地址表中的所有IP地址和相应的子网掩码，确定该路由器所连接的所有子网地址；

从接口表获取变量ifType，确定子网的网络类型；

查询所述路由器的路由表，获得非直接连接路由器的下一跳IP地址，使用ICMP发现所述子网内所有活动IP节点。

4.根据权利要求1所述的故障定位方法，其特征在于，所述检测被管网络中各个网元设备的运行状态，以发现故障事件包括：

利用ICMP协议的错误侦测与回报机制检测所述被管网络中各个网元的宕机故障；

利用SNMP和/或SSH协议检测所述被管网络中各个网元的性能类故障；

在发现故障后，以SYSLOG协议将故障事件报送。

5.根据权利要求1所述的故障定位方法，其特征在于，所述采集故障事件包括：

采集以SYSLOG协议报送的故障事件；

采集所述被管网络的一般日志信息，网络安全设备、网络设备、主机服务器设备、操作***、数据库、中间件的状态、日志和网络数据包；

根据所述故障事件和一般日志信息，对采集到的故障事件进行归一化后形成统一的故障事件；

将归一化后形成的故障事件放入故障事件缓存中。

6.根据权利要求5所述的故障定位方法，其特征在于，所述根据所述故障事件和一般日志信息，对采集到的故障事件进行归一化后形成统一的故障事件具体为：

根据所述一般日志信息，将采集到的故障事件归一化为以下类别：

服务器宕机故障，服务器性能故障，链路中断故障，服务中断故障，阈值告警故障，一般设备故障。

7.根据权利要求5所述的故障定位方法，其特征在于，所述故障事件包括以下信息：

模块名、源IP地址、源端口、目的IP地址、目的端口、协议类型、攻击类型、消息和具体动作。

8.根据权利要求1所述的故障定位方法，其特征在于，所述利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置包括：

在时间关联层根据告警严重程度、告警的时间和事件类型对故障事件进行去重关联，去除非故障类信息，聚合同一时间并发的故障事件；

获取内存中最新的网元拓扑关联模型，将所述网元拓扑关联模型转化为关联规则脚本文件；

将关联规则脚本文件中的全部规则存储至规则缓存里；

从所述故障事件缓存中获取最新的故障事件，进行多事件关联，将所有满足规则的故障事件都存在缓存中；

在缓存中存储的故障事件能够与所述关联规则脚本文件中的规则匹配时，将匹配所述规则的全部故障事件移出缓存，生成对所述全部故障事件的告警。

9.根据权利要求8所述的故障定位方法，其特征在于，所述利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置的步骤之后还包括：

通过树状结构的网络拓扑可视化展示故障告警信息。

10.一种故障定位装置，其特征在于，包括：

拓扑约束模型构建层，用于构建网元拓扑约束模型；

网络状态衡量层，用于检测被管网络中各个网元设备的运行状态，以发现故障事件；

故障事件采集层，用于采集故障事件；

事件关联分析层，用于利用所述网元拓扑约束模型，对采集到的故障事件进行时间层关联和空间层关联，确定故障位置。

11.根据权利要求10所述的故障定位装置，其特征在于，该装置还包括：

故障定位展示层，用于通过树状结构的网络拓扑可视化展示故障告警信息。

Images