[发明专利]基于区间图的告警分析方法

权利要求书

1.一种基于区间图的告警分析方法，其特征在于，包括：

将同一个地点的所有告警事件按告警发生时间顺序转换为告警事件序列，将告警事件序列中的每个告警事件看成一个节点，根据所述告警事件序列中告警事件的告警区间的重叠程度及发生时间顺序建立告警事件区间图；具体包括：将每个类型告警的一次发生称为一个告警事件，在一个地点，一个告警事件由告警名称、发生时间和清除时间唯一确定，告警事件从发生到清除的持续时间间隔称为告警区间，将一个告警事件的发生时间记作T_s，清除时间记作T_e，告警事件在告警事件序列中的排序记作k，告警事件k的告警名称记作m_k，将每个告警事件用一个四元组(k,m_k,T_s,T_e)来表示，具有相同告警名称的告警事件为同类型告警，相同类型的告警事件具有相同的告警等级；将同一个地点的告警事件按告警发生时间的先后顺序转换为告警事件序列S，S＝{(1,m₁,T_s1,T_e1),(2,m₂,T_s2,T_e2),……(k,m_k,T_sk,T_ek)}，先发生的告警事件的序号比后发生的告警事件的序号低；采用km_k命名所述告警事件对应的节点，选取所述告警事件序列中的两个告警事件(a,m_a,T_sa,T_ea)、(b,m_b,T_sb,T_eb)，ab，如果T_ea-T_sa的时间段与T_eb-T_sb的时间段存在时间重叠，则判断告警事件(a,m_a,T_sa,T_ea)与告警事件(b,m_b,T_sb,T_eb)的告警区间发生重叠，建立节点am_a指向节点bm_b的有向连边(am_a，bm_b)；否则，不建立节点am_a指向节点bm_b的有向连边；遍历所述告警事件序列中的任意两个告警事件，当判断一对告警事件的告警区间发生重叠，则建立所述一对告警事件中的低序号节点指向高序号节点的有向连边，根据告警事件之间的告警区间重叠程度为告警事件之间的连边赋予边权值，完成告警事件区间图的建立；

对来自不同地点的各个告警事件区间图进行合并处理，合并同类型告警事件的所有节点为一个节点，对合并处理后的告警事件区间图中的节点之间的连边赋予边权值，得到告警区间图；

根据所述告警区间图中节点之间的连边的边权值，采用图特征分析方法得到各个告警事件之间关联性的差异性，包括：

根据所述告警区间图中的节点之间的连边的边权值的大小判断该连边连接的两个类型的告警之间的关联性的强弱，连边的边权值越大，则判断该连边连接的两个类型的告警之间的关联性越强；

根据告警事件之间关联性的差异，基于节点之间的连边的边权值确定告警事件的二元关联关系，将所述二元关联关系分为3种类型：因果型、并发型和独立型关系，将边权值低于设定的阈值的一对告警，以及没有连边的一对告警，确定为独立型关联关系的一对告警；

定义对称系数R为R＝min(P_AB,P_BA)/max(P_AB,P_BA)，其中P_AB和P_BA分别代表告警区间图中有向边(m_A,m_B)和(m_B,m_A)的权值，当R与1之间的差值小于设定的数值，则确定告警类型A与告警类型B之间为并发型关联关系，当R与0之间的差值小于设定的数值，则确定告警类型A与告警类型B之间为因果型关联关系；

基于社区特征发现告警事件之间的多元关联关系，通过社区发现方法得到告警区间图的社区结构，判断属于同一个社区的所有告警事件之间的关联性强，不属于同一个社区的所有告警事件之间的关联性弱。