[发明专利]一种告警预测方法、装置、电子设备及存储介质

说明书

本发明涉及计算机技术领域，公开了一种告警预测方法、装置、电子设备及存储介质，其中方法包括以下步骤：采用多示例学习进行特征聚合以弱化训练集中的噪声示例权重；基于聚合后的特征构建事件预测模型并给出预警信号；基于预警信号提供可解释分析的事件根因。本发明提出了一个有效的、轻量的通用事件预测方法，利用告警数据，在事件发生之前提前发出预警信号，提醒工程师主动采用措施来规避风险，从而保证服务质量和减少故障带来的经济损失。

技术领域

本发明涉及计算机技术领域，更具体地说，涉及一种告警预测方法、装置、电子设备及存储介质。

背景技术

在线服务系统，如网上购物、网银、搜索引擎已经成为我们生活不可或缺的一部分。尽管大量的工作已经专注于服务运维和服务质量保证上，但是由于服务的大规模和复杂性，事件（服务意外中断）总是不可避免的，会可能会导致系统不可用和巨大的经济损失。比如亚马逊在2018年Prime活动日一小时的宕机时间会影响100万美元的收入。

为了减少事件带来的影响，有两种常用的方式，一种是在事件发生之前提前预测，从而采取措施规避故障；另一种是事件发生之后及时采取止损和定位措施。在我们的工作中，主要聚焦在第一种，因为事件预测可以直接避免故障的发生。

学术界现有的事件/故障预测方法主要有以下几个限制：大多数方法专门为某一种故障设计（比如磁盘故障，节点故障，交换机故障），不具备泛化性；并且，这些方法大多是利用指标和日志数据来提取有预测作用的征兆特征，但是对于大规模的系统来说，每天会产生数十TB的日志和几千条的指标数据，因此基于指标和日志数据的预测模型承受着非常大的训练开销。目前有相关方法提出用轻量级的告警数据来做事件预测，但是表现不太理想，因为仅仅考虑了每类告警的数量作为特征。因此设计一个有效的、通用的、轻量的事件预测方法是非常有必要的。

工业界也有用告警数据做事件预测的实践，包括以下两种：

一种是基于专家知识和运维经验，总结事件预测的规则，如果线上告警满足了某一规则，就认为要发生对应的事件，如当前窗口内的告警至少出现“TCP无应答”关键字一次，且持续3分钟，涉及3个服务器，告警的严重性是二级，就认为可能会发生服务器宕机事件。但是基于规则的方法在实际中表现的并不好，经常会出现误报和漏报。因为维护和制定这些规则需要足够的运维经验，且耗费时间；不同工程师制定规则的偏好不一样，很难有统一的标准；且服务系统总是会经历不停的变更迭代，固定的规则不能适应动态的环境。

第二种是基于频繁项集挖掘（如FP-growth）的方法，对于历史上的事件I，我们把每次I发生之前一段时间内的告警数据取出来做频繁项集挖掘，如果告警A每次都出现在事件I之前，那么就可以用告警A来预测事件I。但是基于工程师的反馈，这类方法只能覆盖极小部分的事件，由于告警数据的复杂性和告警内容中混在的参数，大多数事件都没有对应的频繁项告警，因此这类方法在实际中的实用性不高。

综上，基于事件预测的重要性，而目前学术界的已有工作和工业界的实践在算法取得的效果和实用性上都存在局限。

发明内容

本发明为解决上述问题，提出了一种通用的告警预测方法，本方案包括：

采用多示例学习进行特征聚合以弱化训练集中的噪声示例权重；

基于聚合后的特征构建事件预测模型并给出预警信号；

基于预警信号提供可解释分析的事件根因。

优选的，在所述多示例学习之前包括对观测窗口内的历史告警数据进行训练形成训练集并提取告警特征。

优选的，所述告警特征包括以下两项：文本特征和统计特征；其中所述文本特征采用LDA主题模型获得；所述统计特征至少包括告警数量、告警发生的时间、告警间隔时间中的一项。