王 迎，呂田田，李時宇，袁晶晶，胡華偉

(1.中國電信股份有限公司研究院，北京 102209；2.中國電信股份有限公司福建分公司，福建 福州 350001)

0 引言

相對于4G而言，5G具有網(wǎng)絡(luò)更復(fù)雜，無線網(wǎng)絡(luò)頻段多、場景差異更大、性能要求高等特點，在對通信系統(tǒng)中各種設(shè)備進行監(jiān)控的過程中，由于監(jiān)控對象繁多，更會產(chǎn)生海量告警數(shù)據(jù)。運維人員難以快速準確地對海量告警做出正確判斷，導(dǎo)致告警根因定位費時費力。在現(xiàn)有技術(shù)中，針對海量冗余告警數(shù)據(jù)的處理，通常是基于專家經(jīng)驗人為指定規(guī)則過濾，或者針對某些特定場景，如鏈路終端等進行簡單的規(guī)則派單，這種方法效率低且容易出錯。本文通過人工智能手段對告警信息的壓縮進行研究，解決人工處理效率、運維人員工作壓力激增等問題[1]。

1 告警壓縮問題描述

在復(fù)雜、異構(gòu)的網(wǎng)絡(luò)結(jié)構(gòu)中，各個網(wǎng)元設(shè)備之間相互影響，如果一個設(shè)備發(fā)生故障，與其相關(guān)的一些設(shè)備也會發(fā)出告警，同時顯示其處于故障狀態(tài)。當電信網(wǎng)絡(luò)中出現(xiàn)故障或性能出現(xiàn)瓶頸時，網(wǎng)管人員經(jīng)常被一系列突發(fā)的、對確定故障原因無意義的大量告警事件所淹沒。因此，為了更好地診斷故障，需要對網(wǎng)絡(luò)故障告警信息進行相關(guān)性分析，壓縮冗余告警、定位故障。

通過網(wǎng)絡(luò)故障告警相關(guān)性分析，可以將多個告警事件歸結(jié)成較少的告警事件，從海量告警數(shù)據(jù)中發(fā)現(xiàn)故障，準確定位故障。采用基于人工智能的告警關(guān)聯(lián)分析方法，幫助運維人員及時排除故障，確保網(wǎng)絡(luò)正常、可靠的運行。

2 基于神經(jīng)網(wǎng)絡(luò)的alarm2vec告警壓縮算法

挖掘告警間的關(guān)聯(lián)規(guī)則，本質(zhì)上是從所有的告警事件中找告警之間的共現(xiàn)關(guān)系。在同一個事件中出現(xiàn)的告警ID主要分為兩類，一類是由一個故障產(chǎn)生的多個衍生告警，這需要挖掘發(fā)現(xiàn)的關(guān)聯(lián)規(guī)則；另一類是在告警時間窗口內(nèi)發(fā)生的其他告警，本文認為與關(guān)聯(lián)規(guī)則無關(guān)，假設(shè)為噪聲。噪聲的存在使得無法在一個告警事件中發(fā)現(xiàn)規(guī)則，而故障引起的關(guān)聯(lián)規(guī)則會在多個告警事件中多次發(fā)生，又由于噪聲具有一定隨機性，因此每次伴隨規(guī)則發(fā)生的噪聲告警會有所不同。因此，通過分析告警事件列表，可以挖掘出有效的告警關(guān)聯(lián)規(guī)則。本文提出使用基于神經(jīng)網(wǎng)絡(luò)的無監(jiān)督算法來挖掘告警ID之間的關(guān)聯(lián)規(guī)則[2-3]，該算法可以充分考慮每個事件中告警ID之間的共現(xiàn)關(guān)系，濾除噪聲告警的影響，通過無監(jiān)督的方式學(xué)習(xí)到每個告警ID的特征，即將告警ID映射到高維空間上的點，具有共現(xiàn)關(guān)系的告警ID在高維空間中會聚集在一起。

挖掘告警關(guān)聯(lián)規(guī)則的整體流程如圖1所示，使用alarm2vec將告警ID映射到高維空間后，通過極大團圖挖掘的方法來挖掘關(guān)聯(lián)規(guī)則。該方法拋棄了以往的基于支持度-置信度的算法框架，避免了支持度的影響挖掘關(guān)聯(lián)規(guī)則，這樣既可以挖掘出高頻告警間的關(guān)聯(lián)規(guī)則，也可以挖掘出低頻告警間的關(guān)聯(lián)規(guī)則。

圖1 告警壓縮算法流程

2.1 告警向量

告警向量是用來表示告警之間關(guān)聯(lián)性的向量，它以某告警所在的事件為基礎(chǔ)，發(fā)現(xiàn)有哪些告警伴隨該告警出現(xiàn)。alarm2vec神經(jīng)網(wǎng)絡(luò)可以將告警之間的共現(xiàn)關(guān)系映射到高維空間，訓(xùn)練每個告警ID的告警向量，使得具有共現(xiàn)關(guān)系的告警ID聚集在一起[4-7]。

2.1.1 alarm2vec神經(jīng)網(wǎng)絡(luò)

alarm2vec神經(jīng)網(wǎng)絡(luò)是擁有一個隱層的神經(jīng)網(wǎng)絡(luò)，不需要有標簽的監(jiān)督數(shù)據(jù)，其輸入是設(shè)定窗口內(nèi)的中心告警ID和其余告警ID構(gòu)成的數(shù)據(jù)對來訓(xùn)練，最終得到高維的告警向量。圖2是alarm2vec神經(jīng)網(wǎng)絡(luò)的結(jié)構(gòu)。

圖2 alarm2vec神經(jīng)網(wǎng)絡(luò)

在輸入數(shù)據(jù)之前對告警ID進行one-hot編碼，對所有告警ID按照頻度進行降序排序，固定這些告警ID的順序，假設(shè)有V個告警ID，那么每個告警ID就可以用一個V維的稀疏向量表示，這個向量只有一個位置的元素是1，代表該告警ID，其余位置為0。

假定告警向量的長度為N，最終有V個告警ID參與訓(xùn)練，那么輸入權(quán)值共享矩陣W的維度為V*N，在訓(xùn)練開始之前對W進行隨機初始化。

第一層是輸入層。對于訓(xùn)練窗口[a，b，c]，假設(shè)訓(xùn)練窗口大小C=2，輸入告警為告警b，和告警b共現(xiàn)的告警是告警a和告警c，那么將告警a和告警c的one-hot編碼作為輸入向量x，輸入層將這些向量分別和權(quán)值共享矩陣W相乘之后得到對應(yīng)的隱向量，將這些隱向量傳輸?shù)诫[層。

第二層是隱層。隱層接收輸入層的C個隱向量，將這些隱向量的平均值向量h作為隱層的輸出。

輸出權(quán)值共享矩陣W′的維度為N*V，在開始訓(xùn)練之前，需要對W′進行隨機初始化。

第三層是輸出層，輸出層接收隱層的輸出向量h，將h與W′相乘，之后對每一維都使用softmax進行處理，得到1*V的向量y。為了表示方便，使用v′j表示W(wǎng)′的第j列的轉(zhuǎn)置，并引入中間向量u，uj代表u的第j個維度的值，那么：

uj=v′j·h。

yj表示向量y第j個維度的值：

使用一個告警ID的one-hot向量乘向量y得到的便是這個告警ID出現(xiàn)的概率，alarm2vec取出現(xiàn)的概率最大的告警ID的one-hot向量作為輸出。

alarm2vec采用反向傳播算法以及隨機梯度下降來學(xué)習(xí)權(quán)重的更新，alarm2vec按照事件列表的順序依次訓(xùn)練每個樣本，逐個觀察輸出和真實值之間的誤差，計算這些誤差的梯度，并在梯度方向上糾正權(quán)重矩陣。

alarm2vec真正的輸出是告警wo，alarm2vec預(yù)設(shè)的輸出是輸入告警。損失函數(shù)的定義是輸出告警wo在輸入告警條件下的概率的對數(shù)，vj表示矩陣W的第j列，則損失函數(shù)E為：

對上式求導(dǎo)，計算梯度，按照隨機梯度下降算法更新權(quán)重矩陣，更新函數(shù)如下：

W′(new)=W′(old)-l·(y-t)·h，

W′(new)代表參數(shù)更新后的W′，W′(old)代表參數(shù)更新前的W′，l是學(xué)習(xí)率，需要在訓(xùn)練之前預(yù)設(shè)，t是輸入告警的one-hot向量。在所有事件參與訓(xùn)練之后，去掉輸出層，僅保留隱層的權(quán)重矩陣W。使用一個告警ID的one-hot向量乘矩陣W就可以得到這個告警ID的告警向量。

2.1.2 分層softmax輸出層優(yōu)化的策略

alarm2vec本質(zhì)上采用的是多分類問題的訓(xùn)練方法，其輸出層使用softmax函數(shù)，時間復(fù)雜度為O(|V|)，計算代價很大，對大規(guī)模的訓(xùn)練語料來說，非常不現(xiàn)實。所以本文采用分層softmax(hierarchical softmax)技巧來加速訓(xùn)練。

Hierarchical softmax是一種對輸出層進行優(yōu)化的策略，輸出層在原始alarm2vec模型中利用softmax計算概率值，采用hierarchical softmax之后，改為利用Huffman樹計算概率值。Huffman樹是二叉樹，在葉子節(jié)點及葉子節(jié)點的權(quán)值給定的情況下，該樹的帶權(quán)路徑長度最短。帶權(quán)路徑的定義為，一個節(jié)點的根節(jié)點到該節(jié)點的路徑長度乘以該節(jié)點的權(quán)值；樹的帶權(quán)路徑長度定義為全部葉子節(jié)點的帶權(quán)路徑長度之和[8-12]。直觀上可以看出，葉子節(jié)點的權(quán)值越大，則該葉子節(jié)點就應(yīng)該離根節(jié)點越近。因此對于模型來說，頻度越高的告警，距離根節(jié)點就越近。

采用告警列表中的全部告警作為葉子節(jié)點，頻度作為節(jié)點的權(quán)值，構(gòu)建Huffman樹。從根節(jié)點出發(fā)，到達指定葉子節(jié)點的路徑是唯一的。hierarchical softmax正是利用這條路徑來計算指定告警的概率，而非用softmax函數(shù)來計算。

圖3是一個構(gòu)建好的Huffman樹。各葉子節(jié)點代表一個告警，非葉子節(jié)點共|V|-1個。以w2為例，從根節(jié)點到該葉子節(jié)點的路徑長度L(w2)=4，各個節(jié)點依次被記為n(w2,1)、n(w2,2)、n(w2,3)和n(w2,L(w2))。從根節(jié)點出發(fā)，走到指定葉子節(jié)點w的過程，就是一個進行L(w)-1次二分類的過程：路徑上的每個非葉子節(jié)點都擁有兩個孩子節(jié)點，從當前節(jié)點n(w,j) 向下走時共有兩種選擇，走到左孩子節(jié)點ch(n(w,j))就定義為正類，走到右孩子節(jié)點就定義為負類。用二項Logistic回歸模型對每一次分類過程建模：從當前節(jié)點n(w,j)走到下一節(jié)點，那么走到左孩子節(jié)點的概率為：

圖3 Huffman樹

走到右孩子節(jié)點的概率為：

將上面兩個式子統(tǒng)一起來，即為：

其中，雙線括號的意思是，當括號內(nèi)為真則輸出1，為假則輸出-1。

現(xiàn)在計算輸出節(jié)點為w的概率,對應(yīng)了一條從根節(jié)點n(w,1)走到葉子節(jié)點n(w,L(w))的路徑，概率計算式為：

P(w|wt-m,…,wt-1,wt+1,…,wt+m)=

平均時間復(fù)雜度為O(lb|V|)，相比于使用softmax函數(shù)有很大提高。應(yīng)用hierarchical softmax的優(yōu)勢為把N分類問題變成lg(N)次二分類。

2.1.3 訓(xùn)練告警向量

搭建alarm2vec神經(jīng)網(wǎng)絡(luò)需要預(yù)設(shè)一些參數(shù)來保證alarm2vec神經(jīng)網(wǎng)絡(luò)的正常運行，這些參數(shù)如表1所示。

表1 alarm2vec神經(jīng)網(wǎng)絡(luò)預(yù)設(shè)參數(shù)

輸入權(quán)值共享矩陣W和輸出權(quán)值共享矩陣W′可以采用隨機初始化的方式進行，要求區(qū)間限制在[0,1]；學(xué)習(xí)率需要先設(shè)定為一個較大的值，然后按照一定的方式每輪學(xué)習(xí)進行衰減，這樣可以在前期加快參數(shù)更新的幅度，后期減少參數(shù)更新的波動，從而更接近最優(yōu)解。訓(xùn)練窗口的長度要略大于事件的最大長度，因為一個事件內(nèi)的告警之間是有一定的關(guān)聯(lián)性，這樣在訓(xùn)練告警向量時可以囊括整個事件。告警向量的長度設(shè)置過長會導(dǎo)致告警向量稀疏，計算壓力大；設(shè)置過短導(dǎo)致告警向量表達告警之間關(guān)聯(lián)性的效果不好，選擇預(yù)設(shè)為50。

神經(jīng)網(wǎng)絡(luò)每一輪的輸入是一個事件上劃分出的一個訓(xùn)練窗口，對于訓(xùn)練窗口[a,b,c,d,e]，輸入告警是告警c，將和告警c共現(xiàn)的a,b,d,e的one-hot編碼輸入到輸入層；在所有的事件都參與了訓(xùn)練之后，去掉輸出層，取出輸入權(quán)值共享矩陣W，使每一個告警ID的one-hot編碼形式的向量乘W得到每個告警ID的告警向量。

2.2 基于極大團的挖掘技術(shù)

圖論中，團是一個圖的完全子圖，如果一個團不被其他任一團所包含，即它不是其他任何團的真子集，則稱該團為圖的極大團。在關(guān)聯(lián)規(guī)則挖掘中，基于極大團的挖掘可以解決關(guān)聯(lián)規(guī)則挖掘問題[13-14]。

告警向量之間的相似性代表該告警和其他告警之間的關(guān)聯(lián)性，如果兩個告警向量十分相近，那么可以判定這兩個告警之間具有很強關(guān)聯(lián)性?？梢酝ㄟ^余弦相似度來定義兩個告警之間的相似性，這里可以預(yù)設(shè)相似度閾值，告警向量之間的相似度大于相似度閾值的告警對，視為兩個告警之間具有關(guān)聯(lián)。

定義k項集：如果k個告警兩兩之間具有關(guān)聯(lián)性，那么稱這k個告警之間具有關(guān)聯(lián)性；k個具有關(guān)聯(lián)性的告警組成的集合稱之為k項集。

通過告警之間的余弦相似度和預(yù)設(shè)的相似度閾值，可以得到2項集的全集。從圖論上看，如果將每個告警看作圖上的一個點，將兩個告警之間的關(guān)聯(lián)看作兩個點之間連了一條線，那么將告警樣例在二維坐標中表征，如圖4所示。

圖4 2項集可視化

從2項集可視化的結(jié)果可以看出，由alarm2vec算法將告警ID映射到高維空間后，會產(chǎn)生類似于聚類的效果，這說明告警向量可以反應(yīng)出告警之間的相關(guān)性。

對于k項集來說，其任意k-1個元素都可以組成一個k項集，因此如果一個k項集存在，那么它的所有k-1項集一定都出現(xiàn)在k項集中。也就是說(k+1)項集的條件是它的所有k項子集都存在。若某個k項子集不存在,則該 (k+1)項集不能產(chǎn)生,也就不能再繼續(xù)聚合成更高項集。這個過程實際上是發(fā)現(xiàn)所有極大團的過程，每一個極大團都是一個k項集。根據(jù)團的圖論表示，即團是一個完全子圖，只要找到k項集的兩個k-1項集，且這兩個k-1項集的差集是2項集，那么就可以得到這個k項集，圖5為4項集和它的兩個3項集。

圖5 4項集和它的兩個3項集

圖6介紹了如何通過k項集的全集得到(k+1)項集的全集。如果把告警看作圖上一個點，那么兩個告警之間具有關(guān)聯(lián)性可以看作兩個點之間有一條連線。那么k項集就是一個包含k個點的完全圖，它的k-1項集就是包含k-1個點的完全子圖，并且兩個k-1項集的差別最多只有一個點，差別的點對也是一個2項集。所以如果兩個k-1項集的差別只有一個告警，且差別的告警對是一個二項集，那么兩個k-1項集的并集是k項集。

圖6 極大團挖掘過程

2.3 關(guān)聯(lián)規(guī)則合并

關(guān)聯(lián)規(guī)則的挖掘使用了基于極大團的圖挖掘技術(shù)，從極大團定義和挖掘過程中可知，它要求規(guī)則內(nèi)的告警兩兩之間具有關(guān)聯(lián)性，在圖論中可以表示為一個完全圖。這會造成一大批相似規(guī)則的出現(xiàn)，比如規(guī)則[a,b,c,d,e]和[a,b,c,d,f]，兩個規(guī)則之間e和f沒有太強的關(guān)聯(lián)性，所以不能進一步合成。

為解決上述問題，本文提出了基于事件的規(guī)則合并技術(shù)，即讓每一條規(guī)則嘗試對每一個事件進行壓縮，如果一個事件包含一個規(guī)則的所有告警，那么稱這個事件可以被規(guī)則壓縮，記錄每個規(guī)則可以壓縮哪些窗口，記為壓縮窗口序列；對于壓縮窗口序列相同的規(guī)則，使用這些規(guī)則的并集來代替這些規(guī)則。比如規(guī)則a,b,c都能且僅能壓縮窗口10,12,15，那么就可以使規(guī)則a,b,c的并集加入關(guān)聯(lián)規(guī)則集，并移除規(guī)則a,b,c[15]。

3 算法實驗及結(jié)果分析

3.1 告警記錄壓縮過程

如圖7所示，在得到告警之間的關(guān)聯(lián)規(guī)則之后，使用關(guān)聯(lián)規(guī)則對告警記錄進行壓縮。壓縮過程如下：

圖7 告警壓縮舉例

① 初始化事件列表，預(yù)設(shè)事件的時間窗口大小和步長，初始化被壓縮告警列表和未被壓縮告警列表。

② 第一個事件的窗口范圍是從第一個告警序列的開始時間到這個時間加上時間窗口大??；之后滑動窗口一個步長的距離，得到第二個事件；重復(fù)此步驟，直到處理完所有告警。

③ 對于每一個事件，使用每一條規(guī)則對其壓縮，如果該規(guī)則的所有告警ID都在此窗口內(nèi)出現(xiàn)，那么在被壓縮告警列表中加入一條關(guān)于該規(guī)則的告警，告警發(fā)生時間記為該規(guī)則中最先開始的告警發(fā)生時間，終止時間集為該規(guī)則中最遲結(jié)束的告警的終止時間；如果被壓縮告警列表中存在此壓縮告警，則忽略；在使用完所有規(guī)則后，將此窗口內(nèi)未被壓縮的告警和被壓縮的告警組成新的事件，并按告警發(fā)生事件升序排列。

3.2 告警壓縮效果

本文研究所使用的數(shù)據(jù)為某區(qū)縣2021年6月無線側(cè)告警數(shù)據(jù)，如圖8和圖9所示，原始(Origin)告警數(shù)據(jù)有58 049條，過濾“設(shè)備名稱” “告警發(fā)生時間” “終止時間”中有空缺值(Incomplete)的告警之后有57 896條，刪除連續(xù)相同(Continuioisly Repeated)告警發(fā)生時間相同設(shè)備名稱的告警之后有53 713條，刪除設(shè)備名稱格式有誤(Wrong format)的告警之后有51 302條，刪除閃斷告警(Flash)之后有51 170條，刪除偶發(fā)(Sporadic)告警之后有42 478條，用alarm2vec算法進行告警壓縮(Compressed by rules )之后有23 134條告警，占原始告警數(shù)量的39.85%，占數(shù)據(jù)預(yù)處理后數(shù)據(jù)的54.46%。

圖8 告警壓縮過程記錄

圖9 告警壓縮過程比率

4 結(jié)論

本文提出了一種基于神經(jīng)網(wǎng)絡(luò)的alarm2vec告警壓縮方法,該方法可以有效對告警信息進行壓縮，告警壓縮后數(shù)據(jù)占原始數(shù)據(jù)的39.85%，占數(shù)據(jù)預(yù)處理后的54.46%?；谏窠?jīng)網(wǎng)絡(luò)的alarm2vec算法結(jié)合極大團圖挖掘的告警關(guān)聯(lián)規(guī)則挖掘方法，準確挖掘出各頻段告警ID之間的關(guān)聯(lián)規(guī)則，對告警信息進行合理的壓縮，更快發(fā)現(xiàn)告警根原因，提高處理告警的效率，是AI技術(shù)應(yīng)用于網(wǎng)絡(luò)智能運營的有效實踐。