[发明专利]物联网环境下基于根因分析的告警多维关联方法及装置

说明书

本申请提供一种物联网环境下基于根因分析的告警多维关联方法及装置，该方法包括：依据源IP地址对物联网通信设备的告警系统产生的告警进行分组；其中，源IP地址相同的告警归属于同一分组；对于任一分组，依据该分组内各告警之间的时间关联对该分组内的告警进行聚类，得到至少一个告警聚类段；对同一分组内各告警聚类段进行因果关联分析，依据同一分组内各告警聚类段之间的因果关联，确定至少一个关联告警集；对所述关联告警集中的告警进行关键字段提取，并确定各关键字段的权重系数和频数；依据各关键字段的权重系数和频数，确定根因告警，并识别故障设备。该方法可以提高根因定位的效率和准确性。

技术领域

本申请涉及物联网信息安全领域，尤其涉及一种物联网环境下基于根因分析的告警多维关联方法及装置。

背景技术

近年来，物联网安全的研究越来越受学术界和工业界的重视，一方面随着物联网、5G技术以及工业智能化等应用的不断涌现，工业设备、传感器其等数量呈指数式的增长，另一方面工业生产的特殊性要求工业网络能通过智能化手段对环境信息进行感知、支持大量异构设备接入、支持海量多源、多模态数据高速率传输、具备更强的安全性，其中物联网传输层的安全更为关键。

传输层通常采用TCP（Transmission Control Protocol，传输控制协议）/IP（Internet Protocol，互联网协议）通信协议，其模型即为四层模型，包括应用层、传输层、网络层、物理层。

物联网传输层网元数量巨大、网络规模不断扩大、其网络架构异常复杂，运行时每天都会产生海量的告警，因此迫切需要对告警洪流进行分析，确定根因告警，以便根据根因告警定位故障。

目前，在进行告警根因分析时，较多采用时间序列滑动窗口结合频繁关联规则的方法：将任一时间窗划分为多个时间段，获取该时间窗的多个告警，根据每个告警的发生时间，确定每个告警对应的时间段。把每个时间段看作一个项集可得到多个项集。

该告警根因分析方案的关键在于关联规则数据挖掘算法的使用：根据每个项集中告警的数量、每个项集的支持度（support）以及置信度（confidence），对所有项集进行频繁项集挖掘，得到支持度大于支持度阈值且置信度大于置信度阈值的频繁项集。然后再对频繁项集进行根因分析，输出告警关联规则，该告警关联规则包括多个告警，其中一个告警是告警关联规则中该告警以外的其他告警的根因告警。因此通过告警关联规则，即可确定根因告警。

然而，上述告警根因分析方案得到的告警集关联度不够，处理巨大告警洪流的能力不足，且确定根因告警的依据和维度不能确保高可信度的根因分析，而物联网传输层环境复杂多变，对于告警分析的准确度、可信度的要求非常高。

发明内容

有鉴于此，本申请提供一种物联网环境下基于根因分析的告警多维关联方法及装置。

具体地，本申请是通过如下技术方案实现的：

根据本申请实施例的第一方面，提供一种物联网环境下基于根因分析的告警多维关联方法，包括：

依据源IP地址对物联网通信设备的告警系统产生的告警进行分组；其中，源IP地址相同的告警归属于同一分组；

对于任一分组，依据该分组内各告警之间的时间关联对该分组内的告警进行聚类，得到至少一个告警聚类段；

对同一分组内各告警聚类段进行因果关联分析，依据同一分组内各告警聚类段之间的因果关联，确定至少一个关联告警集；

对所述关联告警集中的告警进行关键字段提取，并确定各关键字段的权重系数和频数；

依据各关键字段的权重系数和频数，确定根因告警，并识别故障设备。

根据本申请实施例的第二方面，提供一种物联网环境下基于根因分析的告警多维关联装置，包括：