CN113268399A

CN113268399A - 一种告警处理方法、装置和电子设备

Info

Publication number: CN113268399A
Application number: CN202110660246.1A
Authority: CN
Inventors: 刘凯; 蔡春根
Original assignee: Shanghai Tianzheng Information Technology Co ltd
Current assignee: Shanghai Tianzheng Information Technology Co ltd
Priority date: 2021-06-15
Filing date: 2021-06-15
Publication date: 2021-08-17
Anticipated expiration: 2041-06-15
Also published as: CN113268399B

Abstract

本说明书实施例提供一种告警处理方法，通过构建多种收敛规则，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，按照收敛后的告警信息进行告警处理。通过自动匹配的方式，使原始告警信息各自匹配到其适配的收敛规则，多种收敛规则表现了多种收敛方向，兼顾了不同原始告警信息不同的关联特征，提升了收敛效果，因而能提高告警定位的精准度。

Description

一种告警处理方法、装置和电子设备

技术领域

本申请涉及计算机领域，尤其涉及一种告警处理方法、装置和电子设备。

背景技术

随着大数据，云计算等I T环境的发展，企业的I T及其应用环境越来越庞大，越来越复杂，由此不断产生的告警信息数量非常巨大，而且来源多样，从而可能时常性引发“告警风暴”。所谓告警风暴是指在短时间内***产生大量告警消息，导致运维人员疲于应付，需要耗费大量时间进行排查和处理问题，大大降低了运维效率。

然而这些告警信息有些由某些相同因素引发的，互相之间存在一定关联性，因此目前一些应用通过将告警信息进行收敛，排除无关、重复、不严重的告警干扰。然而这些应用***往往采用简单的单一的方式进行告警收敛，告警的定位精准度较低。

有必要提供一种新的告警处理方法，以提高告警的定位精准度。

发明内容

本说明书实施例提供一种告警处理方法、装置和电子设备，用以提高告警的定位精准度。

本说明书实施例提供一种告警处理方法，包括：

构建多种收敛规则；

获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理；

按照收敛后的告警信息进行告警处理。

可选地，所述对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，包括：

判断所述多件原始告警信息是否为多设备多端口告警事件，若是则利用基于物理拓扑的收敛规则对所述多件原始告警信息进行收敛。

可选地，所述按照匹配到的收敛规则进行告警信息的收敛处理，还包括：

对所述多条告警信息进行延迟，按照合并规则结合延迟周期内接收到的告警信息进行合并，得到收敛后的告警信息。

按照预设的周期衰减规则对告警信息进行衰减转换，利用转换后的告警信息进行告警处理，或，利用转换后的告警信息进行告警处理进行合并，得到收敛后的告警信息。

可选地，所述周期衰减规则具有多个周期，各周期等级逐级递减。

可选地，还包括:

根据所述原始告警信息进行衍生，结合衍生出的告警信息进行告警处理。

可选地，所述根据所述原始告警信息进行衍生，包括：

按照告警的关联规则，结合原始告警信息生成缺失的告警信息。

可选地，还包括：

对告警对象进行多属性探测，得到多属性信息，判断所述多属性信息是否满足组合阈值规则，若满足则生成原始告警信息。

可选地，所述组合阈值规则具有多种属性的阈值，以及将所述多种属性的阈值进行逻辑组合的运算标识符。

可选地，所述对告警对象进行多属性探测，包括：

对物理链路的状态属性信息进行探测，和/或,对调用链路的状态属性信息进行探测。

本说明书实施例还提供一种告警处理装置，包括：

规则模块，构建多种收敛规则；

收敛模块，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理；

告警模块，按照收敛后的告警信息进行告警处理。

可选地，还包括:

可选地，所述根据所述原始告警信息进行衍生，包括：

可选地，还包括：

可选地，所述对告警对象进行多属性探测，包括：

本说明书实施例还提供一种电子设备，其中，该电子设备包括：

处理器；以及，

存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行上述任一项方法。

本说明书实施例还提供一种计算机可读存储介质，其中，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被处理器执行时，实现上述任一项方法。

本说明书实施例提供的各种技术方案通过构建多种收敛规则，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，按照收敛后的告警信息进行告警处理。通过自动匹配的方式，使原始告警信息各自匹配到其适配的收敛规则，多种收敛规则表现了多种收敛方向，兼顾了不同原始告警信息不同的关联特征，提升了收敛效果，因而能提高告警定位的精准度。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本说明书实施例提供的一种告警处理方法的原理示意图；

图2为本说明书实施例提供的一种告警处理装置的结构示意图；

图3为本说明书实施例提供的一种电子设备的结构示意图；

图4为本说明书实施例提供的一种计算机可读介质的原理示意图。

具体实施方式

现在将参考附图更全面地描述本发明的示例性实施例。然而，示例性实施例能够以多种形式实施，且不应被理解为本发明仅限于在此阐述的实施例。相反，提供这些示例性实施例能够使得本发明更加全面和完整，更加便于将发明构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的元件、组件或部分，因而将省略对它们的重复描述。

在符合本发明的技术构思的前提下，在某个特定的实施例中描述的特征、结构、特性或其他细节不排除可以以合适的方式结合在一个或更多其他的实施例中。

在对于具体实施例的描述中，本发明描述的特征、结构、特性或其他细节是为了使本领域的技术人员对实施例进行充分理解。但是，并不排除本领域技术人员可以实践本发明的技术方案而没有特定特征、结构、特性或其他细节的一个或更多。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

术语“和/或”或者“及/或”包括相关联的列出项目中的任一个或多者的所有组合。

图1为本说明书实施例提供的一种告警处理方法的原理示意图，该方法可以包括：

S101：构建多种收敛规则。

如果不能进行及时准确的告警收敛，无法排除无关、重复、不严重的告警干扰，那么运维人员将面临各类各样数量巨大的告警消息，难以第一时间发现根源问题，导致延误故障处理时间，进而给业务运营带来潜在风险和损失。

其中，构建多种收敛规则，可以包括：

构建告警抑制规则、告警关联规则、告警合并规则。

告警抑制规则是指，对告警信息进行延迟、删除、降级处理。

告警关联规则可以自动识别相关联的告警信息。

告警合并规则可以将相似的告警信息合并成一条告警信息，比如接入交换机的故障告警，转化成或衍生出该端口直连的服务器及其应用的告警信息。

此外，还可以构建衍生规则，包括频繁模式增长规则、因果规则、抖动和突变异常检测规则，用于对告警信息进行处理。

S102：获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理。

告警信息往往是穿透多个路径或节点后而被捕获或探测到的，因此根源定位往往需要分段进行，而如果我们能根据信息链路、通信链路来分段和分路径探测和分析，就可能准确给出链路中真正出现故障的那个故障点，从而实现精准告警。

因此，我们可以基于物理拓扑，逐跳逐端探测各资源各节点的状态，也可以基于调用(逻辑)链路，进行链路跟踪逐跳逐端探测服务的可用性和延时。

考虑到有多种情况会导致告警抖动的发生，在本说明书实施例中，该方法还可以包括：进行抖动监测。

具体的，可以监测连通性，延时，吞吐量，利用率等指标值。

这样，对于专线时通时断、专线流量的抖动、网络端口异常、连通性检查出现交替通断、资源利用率在阀值上下频繁变化，都能够识别出来。

考虑到物理相连的接入网络设备发生故障会引起其他上联设备的告警，导致监控***会收到多个相关性的告警信息，但其实这多件告警都根源自一个设备故障，是相关的原始告警信息，因此可以将这多个原始告警信息合并成一个根源告警信息。

因此，在本说明书实施例中，所述对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，包括：

其中，可以根据多件原始告警信息的链路从属关系从中识别出根源告警信息。

但是，对于单设备多端口的相关事件合并不依赖物理拓扑结构。

考虑到有些故障发生时，会先后抛出多个告警信息，由于网络延时，监控***性能等原因会导致这些告警信息有一定的时间差接收到，这就要求监控***针对此类告警进行延时接收，以完整接收到所有这些相关的告警信息，之后进行统一压缩收敛，将它们收敛成一个告警信息。

因此，在本说明书实施例中，所述按照匹配到的收敛规则进行告警信息的收敛处理，该方法还可以包括：

在本说明书实施例中，所述按照匹配到的收敛规则进行告警信息的收敛处理，该方法还可以包括：

按照预设的周期衰减规则对告警信息进行衰减转换；

利用转换后的告警信息进行告警处理，或，利用转换后的告警信息进行告警处理进行合并，得到收敛后的告警信息。

在本说明书实施例中，所述周期衰减规则具有多个周期，各周期等级逐级递减。

具体实施时，可以设置多个告警级别，比如：严重，主要事件，次要事件，警告事件，未知事件和正常事件，自动对告警信息进行降级。

在实际场景中，该方法能够在指定的时间内(一般定义为10分钟)，将中或低级别的告警自动降一级，直至移出告警列表。

性能管理是监控管理一个重要组成部分，而其中的阀值管理是主动告警处理的一个重要手段。与绝大多数的其他***不同，我们支持组合阀值的管理，并请支持无限制的组合阀值机制，即针对一批性能指标值，计算多个逻辑关系组成的阀值指标值，然后给出阀值告警信息，而不是基于单一的阀值突破告警；例如：仅当CPU利用率大于60％，并且内存利用率大于70％才给出严重的告警信息。

可以利用运算标识符来构建组合阈值规则，比如：且，或，大于，小于，等于，不等于。

因此，在本说明书实施例中，该方法还可以包括：

在本说明书实施例中，所述组合阈值规则具有多种属性的阈值，以及将所述多种属性的阈值进行逻辑组合的运算标识符。

在本说明书实施例中，所述对告警对象进行多属性探测，包括：

S103：按照收敛后的告警信息进行告警处理。

通过构建多种收敛规则，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，按照收敛后的告警信息进行告警处理。通过自动匹配的方式，使原始告警信息各自匹配到其适配的收敛规则，多种收敛规则表现了多种收敛方向，兼顾了不同原始告警信息不同的关联特征，提升了收敛效果，因而能提高告警定位的精准度。

考虑到实际应用中可能会出现因故障导致告警不准确或者告警缺失的情况，收敛后会导致告警进展状态处于未知或不确定的状态，如上述提到的等待(延时)合并处理，如果始终没有收到后续的告警信息，则不能忽略而仅处理收到的告警信息，此时针对这种告警缺失情况，应该衍生(派生)出一条新告警，告知告警缺失情况的发生。

在本说明书实施例中，该方法还可以包括:

具体的，告警衍生方式可以包括：抖动衍生、缺失衍生、拓扑合并衍生、标签合并衍生。

在本说明书实施例中，所述根据所述原始告警信息进行衍生，包括：

其中，按照收敛后的告警信息进行告警处理，包括：

按照收敛后的告警信息进行异常定位，并处理异常。

这样，能够对海量的告警信息进行有效收敛和根源定位，以帮助监控运维人员能快速响应和处置所发生的故障事件，从而保障业务和***的稳定运行，避免或减少对业务运营所可能造成的风险和损失。

在具体实施时，先接收原始告警信息，获取拓扑数据，判断告警节点是否存在物理拓扑，若存在则收集指定时间内采集的上联、下联节点的指定类型的告警信息，以中间节点为根源节点进行合并处理，最后进行告警通知和归档。

如果匹配到告警收敛规则为延迟规则，则在指定时间内收集后续的告警信息，以初始时间节点为根源节点进行告警合并，最后进行告警通知和归档。

如果匹配到降级收敛规则，则主动启用主动降级和降级时间周期，对超过周期的告警信息进行逐级降级，如果已降级到正常时间，则放入历史告警信息。

对关键的某网络设备、服务器或应用按照周期对网络节点进行探测检查，如果满足组合阈值规则就发送至告警中心，如果告警中心连续多次收到告警信息，则衍生告警信息：对网络节点的探测未通过。

按照预设的时间间隔连续对节点检测传输线路的延迟时间，与历史时段检测的延迟时间比较，如果连续多次超过阈值，则生成告警信息：该节点发生延迟抖动。

根据预设的性能数据属性参数，按照预设的时间间隔连续对节点检测多种资源利用率，如果满足组合阈值规则，则生成多属性告警信息，不满足则继续检测，如果满足单阈值规则，则生成单属性告警信息。

在本说明书实施例中，网络拓扑可以具有接入层、汇聚层和核心层。接入层具有接入层交换机，汇聚层具有汇聚交换机，核心层具有核心交换机，汇聚交换机作为中介与接入层交换机、核心交换机通信。

因此我们可以直接探测汇聚交换机的性能，这样，在接入层交换机故障时，依然能够进行探测。

上述各种实施例通过构建多种收敛规则，并相关性分析，将告警信息和构建的收敛规则进行自动匹配，兼顾了不同的收敛维度，在对告警信息的进行收敛的方式上，能够自动适配不同告警信息各自的收敛特征。在进行具体分析处理时，通过进行自动化的相关性合并、告警自动降级、相关性告警衍生、告警抖动检测、链路跟踪，能最大程度的对海量告警信息进行高度收敛，并进行根源定位。从而能够对海量告警信息进行集中、快速和有效收敛及精确告警。

图2为本说明书实施例提供的一种告警处理装置的结构示意图，该装置可以包括：

规则模块201，构建多种收敛规则；

收敛模块202，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理；

告警模块203，按照收敛后的告警信息进行告警处理。

在本说明书实施例中，所述对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，包括：

在本说明书实施例中，还包括:

在本说明书实施例中，还包括：

该装置通过构建多种收敛规则，获取多件原始告警信息，对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，按照收敛后的告警信息进行告警处理。通过自动匹配的方式，使原始告警信息各自匹配到其适配的收敛规则，多种收敛规则表现了多种收敛方向，兼顾了不同原始告警信息不同的关联特征，提升了收敛效果，因而能提高告警定位的精准度。

基于同一发明构思，本说明书实施例还提供一种电子设备。

下面描述本发明的电子设备实施例，该电子设备可以视为对于上述本发明的方法和装置实施例的具体实体实施方式。对于本发明电子设备实施例中描述的细节，应视为对于上述方法或装置实施例的补充；对于在本发明电子设备实施例中未披露的细节，可以参照上述方法或装置实施例来实现。

图3为本说明书实施例提供的一种电子设备的结构示意图。下面参照图3来描述根据本发明该实施例的电子设备300。图3显示的电子设备300仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图3所示，电子设备300以通用计算设备的形式表现。电子设备300的组件可以包括但不限于：至少一个处理单元310、至少一个存储单元320、连接不同***组件(包括存储单元320和处理单元310)的总线330、显示单元340等。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元310执行，使得所述处理单元310执行本说明书上述处理方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，所述处理单元310可以执行如图1所示的步骤。

所述存储单元320可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)3201和/或高速缓存存储单元3202，还可以进一步包括只读存储单元(ROM)3203。

所述存储单元320还可以包括具有一组(至少一个)程序模块3205的程序/实用工具3204，这样的程序模块3205包括但不限于：操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线330可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、***总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备300也可以与一个或多个外部设备400(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备300交互的设备通信，和/或与使得该电子设备300能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口350进行。并且，电子设备300还可以通过网络适配器360与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器360可以通过总线330与电子设备300的其它模块通信。应当明白，尽管图3中未示出，可以结合电子设备300使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RA I D***、磁带驱动器以及数据备份存储***等。

通过以上的实施方式的描述，本领域的技术人员易于理解，本发明描述的示例性实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本发明实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个计算机可读的存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本发明的上述方法。当所述计算机程序被一个数据处理设备执行时，使得该计算机可读介质能够实现本发明的上述方法，即：如图1所示的方法。

实现图1所示方法的计算机程序可以存储于一个或多个计算机可读介质上。计算机可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

综上所述，本发明可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)等通用数据处理设备来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，本发明不与任何特定计算机、虚拟装置或者电子设备固有相关，各种通用装置也可以实现本发明。以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种告警处理方法，其特征在于，包括：

构建多种收敛规则；

按照收敛后的告警信息进行告警处理。

2.根据权利要求1所述的方法，其特征在于，所述对原始告警信息进行收敛规则的匹配，并按照匹配到的收敛规则进行告警信息的收敛处理，包括：

3.根据权利要求1所述的方法，其特征在于，所述按照匹配到的收敛规则进行告警信息的收敛处理，还包括：

4.根据权利要求1所述的方法，其特征在于，所述按照匹配到的收敛规则进行告警信息的收敛处理，还包括：

5.根据权利要求1所述的方法，其特征在于，所述周期衰减规则具有多个周期，各周期等级逐级递减。

6.根据权利要求1所述的方法，其特征在于，还包括:

7.根据权利要求6所述的方法，其特征在于，所述根据所述原始告警信息进行衍生，包括：

8.根据权利要求1所述的方法，其特征在于，还包括：

9.根据权利要求8所述的方法，其特征在于，所述组合阈值规则具有多种属性的阈值，以及将所述多种属性的阈值进行逻辑组合的运算标识符。

10.根据权利要求8所述的方法，其特征在于，所述对告警对象进行多属性探测，包括：

11.一种告警处理装置，其特征在于，包括：

规则模块，构建多种收敛规则；

告警模块，按照收敛后的告警信息进行告警处理。

12.一种电子设备，其中，该电子设备包括：

处理器；以及，

存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行根据权利要求1-10中任一项所述的方法。

13.一种计算机可读存储介质，其中，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被处理器执行时，实现权利要求1-10中任一项所述的方法。