[发明专利]一种告警事件处理方法、系统、存储介质和终端

权利要求书

1.一种告警事件处理方法，其特征在于，包括：

基于告警事件日志，构建该告警事件日志所描述的告警有向图；

将所述告警有向图转换为向量化告警特征；

计算所述向量化告警特征与各告警日志簇的特征相似距离；

若存在特征相似距离小于预设阈值的目标告警日志簇，将所述告警事件日志添加至所述目标告警日志簇，以对所述告警有向图进行告警聚合。

2.根据权利要求1所述的告警事件处理方法，其特征在于，所述告警有向图具体为告警进程树；

相应地，所述将所述告警有向图转换为向量化告警特征包括：

利用特征向量化模型将所述告警有向图转换为向量化告警特征；

相应的，在将所述告警有向图转换为向量化告警特征之前，还包括：

获取告警日志数据集；

构建所述告警日志数据集中各告警日志对应的告警进程树；

遍历所述告警进程树的各个分支，得到告警特征；

将所述告警特征作为训练集，利用Graph2Vec算法进行模型训练，得到所述特征向量化模型。

3.根据权利要求2所述的告警事件处理方法，其特征在于，构建告警事件日志对应的告警进程树包括：

确定所述告警事件日志中的进程树字段信息；

以所述进程树字段信息作为节点，根据各所述节点之间的连接关系构建有向图形式的告警进程树。

4.根据权利要求2所述的告警事件处理方法，其特征在于，遍历所述告警进程树的各个分支，得到告警特征包括：

以所述告警进程树的根节点作为起点，以所述告警进程树的各末端作为终点确定若干分支；其中，所述告警进程树中的节点包含若干字符的字符串数据；

对于每个分支，设分支包含M个节点，拼接字符串的步进长度为1，确定拼接所述节点的拼接数量m，在每个所述分支中，第N个拼接字符串的拼接起始节点为N，字符串长度为m，得到N个拼接字符串；且N＝M-m+1；

对于每个拼接字符串，利用滑动窗口从所述拼接字符串的第一个字符开始进行滑动分割，得到所述拼接字符串包含的所有分割字符串，将所述分割字符串作为告警特征。

5.根据权利要求1所述的告警事件处理方法，其特征在于，所述将所述告警事件日志添加至所述目标告警日志簇，以对所述告警有向图进行告警聚合之后，还包括：

生成每个所述告警日志簇对应的告警事件；所述告警事件被处置时，所述告警日志簇内的所有告警事件日志被同步处置。

6.根据权利要求1所述的告警事件处理方法，其特征在于，若与各告警日志簇的特征相似距离均不小于预设阈值，还包括：

建立告警有向图对应的新告警日志簇。

7.根据权利要求1或6所述的告警事件处理方法，其特征在于，还包括：

对所述告警事件日志进行字段处理，并以字符串格式保存至告警事件数据库。

8.一种告警事件处理系统，其特征在于，包括：

日志获取模块，用于基于告警事件日志，构建该告警事件日志所描述的告警有向图；

向量化处理模块，用于将所述告警有向图转换为向量化告警特征；

距离计算模块，用于计算所述向量化告警特征与各告警日志簇的特征相似距离；

告警事件处理模块，用于若存在特征相似距离小于预设阈值的目标告警日志簇，将所述告警事件日志添加至所述目标告警日志簇，以对所述告警有向图进行告警聚合。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7任一项所述的告警事件处理方法的步骤。

10.一种终端，其特征在于，包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1-7任一项所述的告警事件处理方法的步骤。