[发明专利]基于知识库的告警关联分析方法

说明书

技术领域

本发明涉及IT设备监控领域，尤其涉及一种基于知识库的告警关联分析方法。

背景技术

随着信息系统系统在各个行业中处于越来越重要的地位，对监控系统的要求也越来越高。目前，IT监控系统建设目标的主流技术定位是实现系统级监控。在这个阶段，IT监控系统不再注重“大而全”的单一商业化产品实现，而是各个机构结合自身的应用系统特点和管理要求，通过信息系统整合的方式，将多数据源的异构监控告警信息统一进行管理、关联分析，从而完成面向系统的监控。

目前IBM公司的NetCool产品、HP公司的Openview产品等均实现了通过统一的告警处理引擎对不同来源的底层监控平台获取的原始告警信息进行集中监控和管理。但是，这些产品在实时告警关联分析处理方面还比较薄弱甚至欠缺，同时由于缺乏统一的标准，告警关联分析在技术路线选择上和最终效果上都有一定的差别。从而导致告警信息泛滥，运维人员工作强度过大，运维效率偏低。

在实际的监控系统中，经统计发现告警在每天不是平均分布的，经常是在短时间内产生大量的报警。运维人员在处理告警时，有可能因为没有从大量告警中找到最主要告警信息而延误故障的处理时间。此外有些故障发生时，个别监控源的根源告警可能被阻塞，或者一些逻辑概念上的根源告警无法从监控系统直接获得，这些都会影响故障处理效率。因此针对以上的场景，需要一套算法来进行告警关联分析，减少无效报警，同时定位根源报警，即当多个关联告警同时发生时，可以根据多个告警有效分析出根源告警，将衍生告警吸收；或者可以根据多个既有告警推论得出一个新告警作为根源告警。

发明内容

有鉴于此，本发明提供了一种基于知识库的告警关联分析方法，能够依据知识库中存储的告警吸收和告警推论的关联规则，对告警总线中的多个告警进行实时规则匹配，依次建立吸收关系和推论关系，形成树形结构，从而实时分析出根源告警，将衍生告警吸收，或者根据既有告警推论得出一个新告警。并且能够在告警通知过程中，将告警直接通过展示层呈现，从而使运维人员能够快速并准确地定位故障。

本发明提供的基于知识库的告警关联分析方法，包括：

步骤1：获取告警总线中存在的告警信息；

步骤2：对所述告警信息进行告警吸收关联分析，得到根源告警；

步骤3：对所述告警信息进行告警推论关联分析，推论出新告警作为根源告警；

步骤4：把关联分析的结果，通过置位关联标识符的方式，在告警总线中进行标识；

步骤5：确定根源告警后，对子告警进行自动确认，并在关闭根源告警时同步关闭所有相关的子告警。

所述步骤2包括：

步骤2.1：基于特定吸收关联关系，对所述告警信息进行被吸收匹配；

步骤2.2：基于特定吸收关联关系，对所述告警信息进行吸收匹配；

步骤2.3：基于通用吸收关联关系，对所述告警信息进行被吸收匹配；

步骤2.4：基于通用吸收关联关系，对所述告警信息进行吸收匹配；

其中，所述通用吸收关联关系是指能够通过配置关联关系获得的具有明确因果关系的告警吸收关系；所述特定吸收关联关系是指目前无法通过配置关联关系获得明确因果关系的告警吸收关系，需要单独定义的告警吸收关系。

所述步骤2.1包括：

步骤2.1.1：从特定吸收关联关系中的首条规则开始；

步骤2.1.2：针对所述告警，判断其是否匹配特定吸收关联关系中当前规则的基本告警，即判断所述告警是否可被吸收，如果可被吸收，则进入步骤2.1.3；否则，进入步骤2.1.5；

步骤2.1.3：获取根源告警属性；

步骤2.1.4：判断告警内存库中是否存在匹配的根源告警，如果存在，则创建被吸收关系，然后进入步骤2.1.5；否则，直接进入步骤2.1.5

步骤2.1.5：逐条遍历所述特定吸收关联关系，如果遍历没有结束，则进入步骤2.1.2；否则进入步骤2.2。

所述步骤2.2包括：

步骤2.2.1：从特定吸收关联关系中的首条规则开始；

步骤2.2.2：针对所述告警，判断其是否匹配特定吸收关联关系中当前规则的根源告警，即判断所述告警是否可吸收其它告警，如果可以，则进入步骤2.2.3；否则，进入步骤2.2.5；

步骤2.2.3：获取基本告警属性；