CN1055596C

CN1055596C - 对长途通信网中警报信号自动处理的网络管理系统及方法

Info

Publication number: CN1055596C
Application number: CN94191824A
Authority: CN
Inventors: 安德鲁·格雷斯
Original assignee: British Telecommunications PLC
Current assignee: British Telecommunications PLC
Priority date: 1993-02-23
Filing date: 1994-02-22
Publication date: 2000-08-16
Anticipated expiration: 2014-02-22
Also published as: CN1121384A; HK1011162A1; DE69410447T2; SG47696A1; EP0686336B1; CA2154585C; EP0686336A1; US5748098A; AU6111794A; AU671194B2; JP2823698B2; KR960701563A; ES2117255T3; WO1994019912A1; DK0686336T3; JPH08506947A; DE69410447D1; CA2154585A1

Abstract

将报告到设备管理系统的同时事件与历史数据相比较，以便确定这些事件之间是否有关。历史数据用于确定单独同时地发生的事件的统计概率。如果该概率低于一预定阈值将揭示事件不是独立的，而是有关的。该相关性对操作者提出警报，例如突出显示或分组地显示在显示屏上，辅助操作者识别相关事件，而无需对系统中相关性的在先了解。这些事件可以是由网络中故障产生的警报。对网络中不同点上相关故障的识别有助于识别它们共同的原因。历史数据库可随着再发生事件被报告到设备管理系统而被更新，由此扩大数据库，以使结果更具统计精确性。事件可自动地报告给系统或由人工报告给系统。为了允许事件报告中的系统延时，来自一个源的警报可能与来自另一源的发生在固定的较迟或较早的时间上的警报进行比较。

Description

对长途通信网中警报信号自动处理的网络管理系统及方法

本发明涉及设备管理系统的操作。

这类系统用于对相互作用的设备、如存在于通信网络或大型工业成套设备中的设备的操作状态进行监视及在某些情况下亦进行控制。本发明原是考虑用于长途通信网络，但它也可用于具有大量相互作用设备的其他系统。在一个设备管理系统中，监测装置响应其各相应设备操作中的重大事件检测各个设备的操作状态，并将信号传送到设备管理者。信号也可由人工发出以报告设备中的状态。该词“事件”用于该说明书中是指引起该待传送信号的任何状态，或状态的改变。通常，这些事件是指故障，而监测装置将是故障检测器，用于在检测到故障的情况下将警报信号发送到设备管理系统。

例如，在长途通信网络中，由一个交换中心的故障引起的警报信号将提醒系统管理者，他将对要做的替换程序作出安排，并也对故障交换中心需作的任何修理工作做出安排。在某些系统中这些响应是自动作出的，但是更普遍的是这些故障仍需人的干预，而系统仅提供给系统管理者需引起注意的任何故障的细节。这使得管理者能有效地组织可得到的资源，对各种因素如安全临界、优先级、及现场职员的位置作出考虑。

这也使得已知原因的非重要警报、如由已断接的进行例行维修的设备引起的警报，将不被系统管理者予以理采。系统故障的效应将会通过从属资源体系传播下去，并引起许多近乎同时的警报信息。如果没有识别出潜在原因，则时间及其它资源将会浪费在对所有警报源的考察上。

一个故障将影响：直接连接于故障源的所有设备，或在一个地理位置上的所有设备(虽然它们在拓朴布局上彼此远离)或特定类型的所有设备。例如，外部无线电干扰能影响到网络中干扰源发射范围内的、在特定频率上工作的所有无线电线路，虽然，从网络的连接性的观点来看它们显得彼此远离。基于这个认识，将认为在极接近的时间上发生的警报信息趋于关联或相关。

其中警报信息考虑为相关的任何时窗大小必须被优化，如果它被设得过大，在该时窗中到达由未连接资源来的警报信息机会增大；如果它被设得过小，在该时窗中可能只有相关警报信息的部分集合到达。

在某些情况下，相关的故障仅能由系统在较迟的时间被测到。例如，如果一个设备在故障起始时刻未处于工作中而较后试图与故障设备建立联系就是这种情况。

系统的操作者将能够根据网络的特性确定一个合适的时窗大小。这将取决于网络性能及在其中监测到的故障。在由人工而非自动地将故障报告给系统的情况或其中精确定时难以测量的情况下，该时窗可能是小时、或甚至是天的数量级，而对于持续及自动监测的系统，适合的时窗可用秒来度量。

当然，两个事件在一时刻一起发生的纯事实不一定指示出它们之间存在因果关系。不管选择了什么样的优化时窗，总是存有一定的可能性在同一时窗中通报了两个或多个独立的警报分级。

为了便于以下的讨论，在同一时窗中发生的事件被认为是同时发生的。

虽然在单个时窗中的时间相关性是易于实行的技术，但它对于在警报信息之间存在真正的相关性未提供很大的把握。同时性不证明是相关性，因此不能识别警报信息之间的因果关系。

设备管理系统已被公知，在其中利用建立网络的计算机模型，或依赖于操作者的知识来寻求这些问题的解决。在一篇题为“长途通信网的知识及数据工程”，由Kerschberg等人著的文章(组织相关性探讨第9届国际会议的会议论文集，1990年10月于Lausanul，第225-269页)中讨论了该问题。利用网络布局的知识来识别多个警报中哪些是彼此相关的。另一篇论文，即Wolfson等人写的“利用监视数据库管理通信网络”(IEEE，软件工程会刊，第17卷第9期，1991年9月，第944-953页)文章中描述了用于这种以知识为基础的系统中的合适方案。但是，这方案需要详细的及最新的网络知识，并且它的精确性取决于对可能涉及到的所有因素的了解。此外任何这种模型只专门适于单独的设备，不具有普遍实用性。本发明通过利用一种以经验为根据的方法识别相关事件来克服这些缺点。

根据本发明的第一方面，提供了一种用以对用于长途通信网络的网络管理系统中的警报信号作用自动处理的方法，所述警报信号是在长途通信网络中作为发生在长途通信网络的多个部件中的警报状态的结果产生的，所述方法包括将警报信号从长途通信网络传送给网络管理系统的步骤，其特征在于，还包括以下步骤：在网络管理系统的存储形成部分中对与在参考时间周期中在长途通信网络中的警报状态发生时间有关的历史数据进行存储的步骤；对在预定时窗中在长途通信网络中发生的警报状态进行识别的步骤；利用对历史数据分析来确定偶然在同一时窗中发生的被识别警报状态对的统计概率以求得被识别警报状态相关性的步骤；及在网络管理系统的显示装置上对至少显示某些统计概率的步骤。

通过以此方式使用历史警报状态数据，可以识别出各警报状态之间的可能相关性。这种相关性可以通过使用根据本发明的历史时间相关性技术来识别，而不用在先知道网络部件间的任何关系。

本发明取消了事先建立一个网络模型的需要。它这样地识别可能是相关的事件，看一个是另一个的直接后果，还是它们具有同样的潜因。

最好该方法包括：选择一个被识别的警报状态，并对每个其余被识别警报状态确定出该警报状态与被选警报状态在同一时窗中偶然一起发生的统计概率的步骤。

它也可有利地包括：使统计概率以量的增大次序排列的步骤。

该方法还可合适地包括：对低于预定阈值的统计概率进行识别的步骤。

在根据本发明的一种安排中，参考时间周期被分成多个相等宽度的时窗，及在同一时窗中偶然发生的警报状态对ARm及ARn的统计概率可用下式确定：

\frac{k!}{p! (k - p)!} r^{p} {(1 - r)}^{(k - p)}

式中：

k＝其中ARm发生的时窗数，

r＝在一个时窗中ARm为有效的概率，

p＝当测量ARn对ARm的相关性时，其中事件ARm及ARn均发生的时窗数。

参考时间周期可以是固定的，或是可以通过利用加入与在预定时窗中发生的警报状态有关的数据使与警报状态发生时间有关的历史数据进行存储的步骤周期性地重复而持续地更新。

分析可追溯地作出，在引起警报状态的故障被清除后，因此可识别出故障的根本原因，由此便识别出会引起另外部件故障的不可靠部件。另一方式是，分析可以在故障状态期间实时地进行，以便确定及维修故障的原因，它将会引起另外故障报告的清除，而无需技术人员的参与。

本发明依赖于警报状态同时发生的统计概率的分析。实质上，它依赖于这个事实，即两个罕见的独立事件它们同时发生的概率非常低。它依据，如果仍然有两个罕见警报状态同时发生的历史，就有可能这些警报状态不是独立的，并且在它们之间存在相关性。该方法可被用于对由操作者成对选择的可能配对的警报状态进行比较，但在另一种实施安排中，比较可在所有同时发生的警报状态之间进行，然后对它们以计算出的在同一时刻偶然一起发生的概率的大小次序进行排列。通常它们被归入两组，即是偶然一起发生的概率高的一组，及该概率低得多的一组，后者表明它们的同时性未必是随机的相一致，并表明在它们之间可能有相关性。对于具有许多待评价的潜在相关性的大网络，需要有识别这些事件的某些方法。

该方法可包括以排列顺序显示警报状态，在显示屏上突出地显示相关警报状态，或仅显示相关的警报状态。对低于其可能具有因果关系的阈值可以进行预定，或是依赖于在逐个情况基础上确定的概率图进行变化。这个阈值可以确定出哪些事件将被显示或被突出显示。亦可使用两个或多阈值，以便识别相关性中的不同等级的可靠性。

虽然参考时间周期可被固定，但它最好对于数据能持续地更新。这允许数据库变大，并随着它的应用将变得更可靠。

在某些情况下，可能在原因的报告及效果的报告之间或是在来自同一原因的两个效果的报告之间具有系统惯有的延时。在可能出现这种情况的系统中，本方法还包括步骤：在预定时间中对彼此与多个部件相关的信号进行选择，其中对彼此发生在第二个较短预定周期中的信号子以忽略，由此对在相隔一个落在位于两个预定时间之间区域中的延时上发生的信号进行检测。

这个过程可对多个不同的延时重复地进行。

根据本发明的第二方面，提供了一种用于对由监视器产生的作为发生在一长途通信网络的多个元件中的警报状态结果的警报信号进行自动处理的网络管理系统，所述网络管理系统包括用于接收所述警报信号的装置，其特征在于，该网络管理系统还包括：用于对与在参考时间周期中在长途通信网络中的警报状态发生时间有关的历史数据进行存储的装置；对被识别为在一预定时窗中发生的警报状态求相关性的装置，所述求相关性的装置设置来确定偶然在某些时窗中发生的被识别警报状态对的统计概率；及至少显示由求相关性装置确定的某些统计概率的装置。

现在将参照附图利用例子的方式来描述本发明，其中附图为：

图1是应用本发明方法的一个实施例的简单长途通信网络的示意概图，用于说明相关性的确定；

图2是表示图1中网络的历史警报数据的示意概图；

图3是说明图1中的网络具有由本发明方法的该实施例确定的相关性的示意概图；

图4a，4b及4c表示代表由本发明的方法可获得的结果的相关性“对照表”；

图5是根据本发明的第二个确定相关性的例子，它表示由该本发明方法产生出的显示的示意图；及

图6是用于实施本发明的一个实施例的装置的示意概图。

为了有助于理解本发明各实施例的说明，首先着手说明图1的简单网络，其中仅有六个资源A，B，C，D，E及F和一个仅分成十个时窗(t-9至to)的参考时间周期。

AR1，AR2，AR3，AR4，AR5，AR6是由这些资源产生的可能发生的警报。

图2表示在参考时间周期上接收到的来自每个资源的一个示范性历史警报信息序列。

按照本发明的方法，由操作者选择一个出现事件用来分析。在该例中，选择了在时窗to中出现的警报AR1。在此例中，所有另外事件AR2至AR6在此时窗中与AR1同时地发生。

由历史数据，利用将发生事件的时窗数(x)除以参考时间周期中的总时窗数(n)的计算，可获得每个事件出现的概率(r)，即对于AR1，AR2及AR5为0.5，对于AR3及AR6为0.1，而对于AR4为0.9。

事件AR2，AR3及AR5每个与AR1同时发生五次，而AR3及AR6与AR1同时发生仅一次。

如果两个资源各自的历史警报序列具有低的由于纯偶然而相似的概率，则这两个资源之间将趋于存在相关性。

偶然相似的两个历史警报序列ARm(t)及ARn(t)的概率可从二项式分布来计算：

P(AR_m(t)和AR_n(t)相似)＝

\frac{k!}{p! (k - p)!} r^{p} {(1 - r)}^{(k - p)}

式中：

k＝ARn为有效的时窗数

p＝ARm及ARn为有效的时窗数

r＝当测试ARn对ARm的相关性时ARm为有效的概率。

r是用本方法根据经验确定的，即通过计算x/n确定，其中n是总的时窗数，x是其中ARm为有效的时窗数。当计算出每对偶然一起出现的警报ARm，ARn的概率时，可将各配对以它们的概率次序排列以形成一个相关性“对照表”。

由上述公式计算得到的相关概率以数值增大的次序表示在图4a至4c的表中。于是从图4a中容易看出，与AR1偶然同时出现的最小可能性的(因而是最可能相关的)警报为AR2及AR5。

可应用一个决定界线来确定相关及非相关概率之间的分界点应置于的位置。这个阈值可预先确定，或在这结果集的基础上计数出来。例如，图4a表示利用计算AR1(t)与所有图1所示的所有资源的历史时间相关性得出的相关性对照表。

AR2及AR5被表明落在与AR1本身相同的相关性等级中。

图4a中的双线指示出相关/非相关阈值应置于的位置。相似警报的概率随着跨过该阈值的数值顺序变化被聚集成两组。在操作者的显示器上，在该阈值上方的屏2的区域将以某种方式使其引人注目。另一方式是可仅显示相关的事件。

该方法可重复选择一个另外的警报，用以对照其它的作出比较。

对于AR3可以确定出它与AR6的随机相关概率为0.1，而与任何其它资源的随机相关概率均大于0.3，如图4b中所示。类似地，使用AR4，可以确定出所有相关性具有至少为0.24的随机出现概率。由此可见事件AR4与任何其它事件不相关，这个结果表示在图4c上。

在图1的简单网络中，可从图2的目测中看出这些结果在直观上是合理的。对所有历史警报信息的目测表明AR1(t)的历史序列图与AR2(t)及AR5(t)两者的相同，而很不同于AR3(t)，AR4(t)及AR6(t)的历史序列图。AR3(t)具有类同于AR6(t)的历史序列图，但非常不同于所有其它的警报序列。

虽然所有资源警报在时窗to中是时间相关的，但是这些警报序列的历史时间相关性表明AR1及AR2是与AR5可能相关的，及AR3与AR6是可能相关的(图3)。没有警报显示与AR4相关。

但是，在具有可能数百个资源的更复杂系统中，这种目测分析是不可能的。

此外，在真实网络中，警报信号发生的频率要比该例中的频率低得多，因此必须提供用于统计的有用的数据库的时帧数将是非常大的。再者，虽然对于熟练的操作者有可能对许多的这些警报手工地再分组，但在现有技术系统中没有以使最重要的警报(即最多的另外警报对其有关的警报)能被识别的方式表示数据。因而本发明的方法特别适用于其中可能相关的数目过大而不能直觉地分组的大系统中。

当事件出现概率(r)小时，在第一例中使用的二项式分布接近于泊松分布：

作为第二例使用真实数据，在一个在某日期的10：53：43报告一故障的BT网络监测系统(NTEMON)中的被选资源及在同一时窗中报告故障的系统中的所有另外资源之间执行一次性的历史时间相关性运算。这个历史的数据库包括所有1990年12月份的警报数据(故障报告)，使用150秒的时窗宽度，因此得到17，856个时窗。国家NETMON数据库对于1990年12月份存储了来自约40,000个资源的约2×10⁶个警报。显然，利用简单的目测对来自这样大量数据的历史警报序列图不能作出识别。

在此例中，将事先决定一个阈值。从上述数据中可看出，在参考周期中每个资源的平均警报数约为2,000,000/40,000＝50，因此在任何给定时窗中事件出现的平均概率为50/17856＝0.0028。因而在给定时窗中同时报告的任何随机选择资源对的概率为(0.0028)²＝7.8×10^-6数量级。具有(40,000)²＝1.6×10⁹个可能的资源配对，因此在任何给定时窗中具有约12，500个随机相关资源对。

为了避免被这些随机相关数搞到不知所措，选择了一个阈值，它仅报告统计上最重要的相关性。在下例中，使用了10^-8的阈值概率。

图5表示在该数据基础上运用根据本发明的方法得出的相关性“对照表”的顶部。它可以被显示在显示屏1上(图6)。在该对照表中的顶部条项是关于被选资源报告的故障。阈值距该表的这个片断的底部有一定距离。

该表有五列。第一列表示故障位于的区域，NE＝东北部，S＝苏格兰，M＝中部，L＝伦敦，NW＝西北部。

第二列表示警报的真正来源地。

第三列表示故障的性质，两字母码首标表示故障位置(注意：对系统可能从远离故障本身的地点发来故障报告)。

第四列是计算的偶然发生警报故障的概率。

第五列给出相关概率。

从它们在该对照表中的位置，对于在一个警报相关等级中各资源间的许多相关性的识别变得容易了，否则就弄不清楚了。

在这个等级中的故障可被看出具有首标码(第三列)：对于莱斯特为(LE)，利兹为(LS)，设菲尔德为(SF)，爱丁堡为(EH)，剑桥为(CB)，伦敦为(L)，曼彻斯特为(MR)等。由该对照表显示的某些相关性具有明显的原因：例如作为被选资源头十三个均发生在同一地点。但是，也可以看出，来自三个线路系统并全从同一地点码LE/D(莱斯特D)发出的警报，即：莱斯特D-德比F，莱斯特D-利兹G及莱斯特D-设菲尔德E。这个相关性体系的顶部看来似乎是电力相关的效应。

从这个示范的历史时间相关性的结果提示出，与在地点码LE/D处电源有关的问题是造成在广大的地理区域上发生许多警报的原因。这个结论不会从观察现有技术的单时窗时间相关性的结果中得出，因为其中也显示出大量不相关的警报，但是可从利用本发明的方法确定的排列中很容易地识别出。

事后的分析揭示了，在此情况下故障确实存在于莱斯特地区部分供电网络中。

在本发明中所使用的历史时间相关性的原理可在网络管理系统中作为警报相关性的自学习技术。人造神经网络原理提供了一个在其中警报相关性自学习能起作用的框架。

利用当它们被识别时相关性的记录，系统可以建立一个相关性的计算机模型，以使得当出现警报的特定序列图时可以更容易地识别相关警报。

一个根据本发明的网络管理系统表示在图6中。它表示具有许多互连点的资源R1至R9的一个网络。资源R1至R8具有各自的监视器AR1至AR8，它们能对网络监视装置2报告警报状态，用于在显示屏1上对操作者3显示。资源R9不直接地连接到该管理系统，但现场操作者4发现在资源R9中发生故障时可告知操作者3，例如通过电话联系线路T，以致借助数据输入装置5及输入线路12可将故障报告给监视装置2。

在时钟9的控制下，故障状态及它们发生的时间可通过更新线路11被周期性地报告给存储器6。

当在显示屏1上观察到操作者希望其与其它故障相关的故障时，操作者3将使用输入装置5来选择待识别相关的一个故障状态。关于目前警报状态的信息被相关性装置7从监视装置2中取出。相关性装置7从存储器6中取出历史数据，并进行统计分析(如上所述)，对每个目前报告给监视装置2的警报计算出作为被选警报在同一时刻它出现的理论概率。这些警报以概率增大次序显示在显示屏1上。具有的相关概率低于一预定值的警报被用突出辉光部分8识别出来。

监视装置2，显示屏1，输入线路12，时钟9，更新线路11，存储器6及相关性装置7可作成设有适用软件的计算机来实施。

Claims

1、一种用以对于长途通信网络的网络管理系统中的警报信号作自动处理的方法，所述警报信号是在长途通信网络中作为发生在长途通信网络的多个部件中的警报状态的结果产生的，所述方法包括将警报信号从长途通信网络传送给网络管理系统的步骤，其特征在于，还包括以下步骤：在网络管理系统的存储形成部分中对在参考时间周期中与长途通信网络中的警报状态的发生时间有关的历史数据进行存储的步骤；对在预定时窗中在长途通信网络中发生的警报状态进行识别的步骤；利用对历史数据分析来确定偶然在同一时窗中发生的被识别警报状态对的统计概率以求得被识别警报状态相关性的步骤；及在网络管理系统的显示装置上至少显示某些统计概率的步骤。

2、根据权利要求1所述的方法，其特征在于，还包括：选择一个被识别的警报状态，并对每个其余被识别警报状态确定出该警报状态与被选警报状态偶然在同一时窗中发生的统计概率的步骤。

3、根据权利要求2所述的方法，其特征在于，还包括：将统计概率以数量增大的次序排列的步骤。

4、根据权利要求3所述的方法，其特征在于，还包括：对低于一预定阈值的统计概率进行识别的步骤。

5、根据权利要求4所述的方法，其特征在于，还包括：将低于预定阈值的所述统计概率在显示装置上突出显示的步骤。

6、如以上权利要求中任一项所述的方法，其特征在于，参考时间周期被分成多个相等宽度的时窗，及在同一时窗中偶然发生的警报状态对ARm及ARn的统计概率可用下式确定：

\frac{k!}{p! (k - p)!} r^{p} {(1 - r)}^{(k - p)}

式中：

k＝其中ARm发生的时窗数，

r＝在一个时窗中ARm为有效的概率，

7、根据权利要求1至5中任一项所述的方法，其特征在于，利用加入与在预定时窗中发生的警报状态有关的数据使与警报状态发生时间有关的历史数据进行存储的步骤周期性地重复。

8、一种用于对由监视器(AR1至AR8)产生的作为发生在一长途通信网络的多个元件(R1至R8)中的警报状态结果的警报信号进行自动处理的网络管理系统，所述网络管理系统包括用于接收所述警报信号的装置(2)，其特征在于，该网络系统还包括：用于对与在参考时间周期中在长途通信网络中的警报状态发生时间有关的历史数据进行存储的装置(6)；对被识别为在一预定时窗中发生的警报状态求相关性的装置(7)，所述求相关性的装置设置来确定偶然在某些时窗中发生的被识别警报状态对的统计概率；从至少显示由求相关性装置确定的某些统计概率的装置(1)。

9、根据权利要求8所述的网络管理系统，其特征在于，该网络管理系统包括用于允许一个系统操作者选择一个被识别警报状态的装置(5)，所述求相关性的装置(7)设置用来确定偶然与被选警报状态在同一时窗中发生的每个其余警报状态的统计概率。

10、根据权利要求9所述的网络管理系统，其特征在于，求相关性的装置(7)设置来以数量增大次序排列统计概率。

11、根据权利要求8至10中任一项的网络管理系统，其特征在于，参考时间周期被分成多个等宽度的时窗，及求相关性的装置(7)设置来利用下式确定在某一时窗中偶然发生的警报状态对ARm及ARn的统计概率：

\frac{k!}{p! (k - p)!} r^{p} {(1 - r)}^{(k - p)}

式中：k＝其中ARm发生的时窗数，

r＝在一个时窗中ARm为有效的概率，

12、根据权利要求8至10中任一项的网络管理系统，其特征在于，该网络管理系统包括用于将保持在接收装置(2)中的数据周期性地提供给存储装置(6)的装置(9，11)。

13、根据权利要求8至10中任一项的网络管理系统，其特征在于，该网络管理系统包括用于通过人工将关于警报状态的数据提供给接收装置(2)的装置(5，12)。