一種故障根因分析方法和分析設備的制造方法
【技術領域】
[0001] 本發(fā)明涉及數(shù)據(jù)挖掘和網(wǎng)絡管理領域，尤其涉及一種故障根因分析方法和分析設 備。
【背景技術】
[0002] 隨著網(wǎng)絡技術的發(fā)展，寬帶路由器在網(wǎng)絡中的應用變得越來越廣泛，且在網(wǎng)絡中 占據(jù)重要地位。然后，寬帶路由器在運行過程中難免會出現(xiàn)故障，當寬帶路由器出現(xiàn)故障 時，若不及時確定故障發(fā)生原因，排除故障，則會導致網(wǎng)絡出現(xiàn)暫時性的中斷，給企業(yè)帶來 諸多不便及損失，因此，及時確定網(wǎng)絡故障發(fā)生原因并排除寬帶路由器的故障是很有必要 的。
[0003] 由于，寬帶路由器產(chǎn)生的網(wǎng)絡日志中包含了大部分和寬帶路由器運行相關的信 息，因此，現(xiàn)有技術人員可以通過分析網(wǎng)絡日志來定位寬帶路由器故障發(fā)生的原因（即故障 根因）。但是，在實現(xiàn)本發(fā)明的過程中，技術人員發(fā)現(xiàn)：當前故障根因分析多采用人工分析日 志的方式，在分析過程中人為參與的部分較多，投入了大量的人力和時間，同時，又需要結(jié) 合大量的專業(yè)知識定位網(wǎng)絡故障根因，故障根因分析效率較低，進而導致不能快速及時的 排除網(wǎng)絡故障。

【發(fā)明內(nèi)容】

[0004] 為解決上述問題，本發(fā)明實施例提供一種故障根因分析方法和分析設備，以解決 現(xiàn)有故障根因分析過程中，需要采用大量的人力和時間來分析網(wǎng)絡日志，導致的故障根因 分析效率較低，不能及時排除網(wǎng)絡故障的問題。
[0005] 為達到上述目可選的，本發(fā)明的實施例采用如下技術方案：
[0006] 第一方面，本發(fā)明實施例提供一種故障根因分析方法，由分析設備執(zhí)行，所述方法 可以包括：
[0007] 確定網(wǎng)絡設備的故障時間點；
[0008] 獲取所述網(wǎng)絡設備在第一時間段內(nèi)產(chǎn)生的第一日志信息集;所述第一日志信息集 包含M類日志信息，所述M為大于或等于1的整數(shù)，所述第一時間段為:從所述故障時間點之 前的第一時刻到所述故障時間點之后的第二時刻之間的時間段；
[0009] 根據(jù)預設分析策略對所述M類日志信息中每類日志信息進行分析，獲取所述M類日 志信息中的N類根因日志;所述N類根因日志為:所述網(wǎng)絡設備發(fā)生故障時產(chǎn)生的日志信息， 所述M2 N2 1，所述預設分析策略為:預先確定的所述網(wǎng)絡設備故障發(fā)生時日志發(fā)生的規(guī) 律；
[0010] 根據(jù)所述N類根因日志確定所述網(wǎng)絡設備發(fā)生故障的原因。
[0011] 由于，網(wǎng)絡設備在故障發(fā)生時可能會產(chǎn)生至少一類日志信息（即根因日志），且這 些類日志信息在故障時間點附近的出現(xiàn)呈現(xiàn)比較明顯的特征規(guī)律，為此，本發(fā)明技術人員 結(jié)合大量的故障分析報告，預先對大量故障時間點附近產(chǎn)生的日志信息進行分析，挖掘出 故障根因日志出現(xiàn)的特征規(guī)律：（1)故障發(fā)生時產(chǎn)生的至少一類日志信息通常會組合在一 起在故障點附近重復且不間斷的出現(xiàn)；（2)故障發(fā)生時產(chǎn)生的一類日志信息通常在比較長 的一時間段內(nèi)頻繁出現(xiàn)，且在故障時間點處呈突然增多的趨勢。
[0012]因此，在第一方面的一種可實現(xiàn)方式中，所述根據(jù)預設分析策略對所述M類日志信 息中每類日志信息進行分析，獲取所述M類日志信息中的N類根因日志可以包括：
[0013] 將所述M類日志信息對應的M個日志類型分為i個不同的日志組合;每個日志組合 包含所述M個日志類型中的至少一個日志類型，且所述每個日志組合包含的日志類型各不 相同，所述i為大于或等于1的整數(shù)；
[0014] 遍歷所述i個日志組合，確定所述i個日志組合中的至少一個根因日志組合;所述 根因日志組合為:在所述第一時間段內(nèi)頻繁且持續(xù)出現(xiàn)的日志組合；
[0015] 對所述至少一個根因日志組合進行處理；
[0016] 將處理后的至少一個根因日志組合對應的至少一類日志信息確定為所述N類根因 日志。
[0017] 可以選，對于任一日志組合，確定所述日志組合為根因日志組合可以包括：
[0018] 將所述第一時間段劃分為至少一個時間窗，將所述至少一個時間窗中的每個時間 窗劃分為至少一個小時間窗；
[0019] 計算所述日志組合在任一時間窗內(nèi)出現(xiàn)的第一頻率;所述第一頻率為:所述時間 窗內(nèi)出現(xiàn)所述日志組合的小時間窗的個數(shù)與所述時間窗包含的小時間窗的個數(shù)的比值；
[0020] 若所述第一頻率大于第一預設閾值，則確定所述日志組合為所述時間窗內(nèi)的頻繁 日志組合；
[0021 ]計算所述頻繁日志組合在所述第一時間段內(nèi)出現(xiàn)的第二頻率;所述第二頻率為： 所述第一時間段內(nèi)出現(xiàn)所述頻繁日志組合的時間窗的個數(shù)與所述第一時間段包含的時間 窗的個數(shù)的比值；
[0022]若所述第二頻率大于第二預設閾值，則確定所述頻繁日志組合為根因日志組合。 [0023] 可選的，對所述至少一個根因日志組合進行處理可以包括：
[0024] 若遍歷所述i個日志組合確定出的至少一個根因日志組合中存在第一根因日志組 合和第二根因日志組合，且所述第一根因日志組合包含在所述第二根因日志組合中；則所 述對所述至少一個根因日志組合進行處理包括：
[0025] 當所述第一根因日志組合對應的第二頻率大于所述第二根因日志組合對應的第 二頻率時，不剔除所述第一根因日志組合；
[0026] 當所述第一根因日志組合對應的第二頻率小于所述第二根因日志組合對應的第 二頻率時，剔除所述第一根因日志組合。
[0027]或者，若遍歷所述i個日志組合確定出的至少一個根因日志組合中存在第三根因 日志組合，且所述第三根因日志組合為所述故障時間點之前的根因日志組合，則所述對遍 歷所述i個日志組合確定出的至少一個根因日志組合進行處理包括：
[0028]剔除所述第三根因日志組合。
[0029]需要說明的是，在本發(fā)明實施例中，所述日志組合為包含至少一個日志類型的組 合，所述時間窗為一個時間間隔，在對時間窗劃分的過程中，每個時間窗的大小可以相等也 可以不相等，每個小時間窗的大小可以相等也可以不相等，所述日志組合在時間窗出現(xiàn)可 以指:所述日志組合包含的日志類型對應的日志信息發(fā)生在該時間窗對應的時間間隔內(nèi)。
[0030] 第一預設閾值和第二預設閾值可以根據(jù)需要進行設置，本發(fā)明實施例對此不進行 限定，若一日志組合對應的第一頻率大于第一預設閾值，則表示該日志組合集中在某一時 刻頻繁出現(xiàn)，確定為頻繁日志組合，若該日志組合對應的第一頻率小于或等于第一預設閾 值，可以認為該日志組合對應的日志信息為網(wǎng)絡設備正常時產(chǎn)生的一些日志信息；若頻繁 日志組合的第二頻率大于第二預設閾值，則表示在某一時刻頻繁出現(xiàn)的日志在第一時間段 內(nèi)持續(xù)頻繁出現(xiàn)，即該頻繁日志組合為第一時間段內(nèi)重復且不間斷出現(xiàn)的日志，符合故障 根因日志出現(xiàn)的規(guī)律，確定該頻繁日志組合為根因日志組合，將該日志組合包含的日志類 型對應的日志信息確定為網(wǎng)絡設備發(fā)生故障時產(chǎn)生的日志信息，若頻繁日志組合的第二頻 率小于或等于第二預設閾值，則表示在某一時刻頻繁出現(xiàn)的日志在第一時間段內(nèi)不會持續(xù) 性出現(xiàn)，可以認為該日志組合對應的日志信息為網(wǎng)絡設備正常時產(chǎn)生的一些日志信息。
[0031] 此外，通過對大量故障相關日志和正常日志分析發(fā)現(xiàn)，正常日志往往呈現(xiàn)周期性 出現(xiàn)的規(guī)律，分布比較均勻，且在整個日志中出現(xiàn)的比較頻繁。而故障根因日志在故障點處 呈突然增多趨勢，且在非故障模式對應的日志中卻幾乎從未出現(xiàn)，這與信息論所述的出現(xiàn) 頻率越高的內(nèi)容信息含量越低一致，為此，在第一方面的又一種可實現(xiàn)方式中，所述根據(jù)預 設分析策略對所述M類日志信息中每類日志信息進行分析，獲取所述M類日志信息中的N類 根因日志可以包括：
[0032] 確定與所述M類日志信息一一對應的M個異常值;所述異常值用于表示:一類日志 信息在第二時間段內(nèi)發(fā)生的頻繁程度和突變程度，所述第二時間段包含所述第一時間段；
[0033] 從所述M個異常值中獲取前N個最大異常值，將所述第一日志信息集中與所述前N 個最大異常值對應的N類日志信息確定為所述N類根因日志。
[0034] 可選的，可以獲獲取所述網(wǎng)絡設備在所述第二時間段內(nèi)產(chǎn)生的第二日志信息集； 所述第二日志信息集包含至少一個日志信息，每個日志信息對應一個時間點；
[0035]對所述第二日志信息集進行預處理，獲取第一日志行為矩陣;所述第一日志行為 矩陣包含:Q組日志行為向量，每組日志行為向量占用一個時間間隔，每組日志行為向量包 含R個元素，所述R為所述第二日志信息集對應的日志類型的組數(shù)，所述R 2所述M;所述日志 行為向量中的第j個元素表示:在所述日志行為向量的時間間隔內(nèi)第j類日志信息的個數(shù)；
[0036] 根據(jù)公式
分別計算所述R類日志信息 的異常值，得到與所述R類日志信息一一對應的R個異常值；
[0037] 從所述R個異常值中獲取與所述M類日志信息一一對應的M個異常值。
[0038] 其中，所述時間間隔比較大，通常為幾十分鐘，且每組日志行為向量的時間間隔可 以相等也可以不相等。
[0039] 所述
表示所述R類日志信息中第j類日志信息在所述第二日志信息集中出 現(xiàn)的頻繁程度，所述
1表示所述R類日志信息中第j類日志信息在所述第 二日志信息集中的突變程度，所述為包含第j類日志信息的日志行為向量的組數(shù)，所述 ck+u表示第k+Ι個時間間隔內(nèi)第j類日志信息的總數(shù)量，所述表示第k個時間間隔內(nèi)第j 類日志信息的總數(shù)量。
[0040] 需要說明的是，上述兩種方式獲取所述M類日志信息中的N類根因日志可以單獨執(zhí) 行，也可以結(jié)合在一起執(zhí)行，以更加準確的定位網(wǎng)絡故障發(fā)生的確切原因。
[0041] 最后，由于日志信息為網(wǎng)絡設備在一時間點的活動行為的記錄信息，因此，可以直 接獲取所述N類根因日志，將N類根因日志對應的記錄信息作為網(wǎng)絡設備發(fā)生故障的原因； 還可以采用現(xiàn)有分析方法結(jié)合N類根因日志進行分析，確定導致N類根因日志的最根本的故 障原因。
[0042] 還可以在第一種獲取所述M類日志信息中的N類根因日志的方式的基礎上，將合并 后的至少一個日志類型中每個日志類型與其在至少一個根因日志組合中出現(xiàn)的次數(shù)對應 記錄，將次數(shù)最高的日志類型對應的日志信息直接作為網(wǎng)絡設備故障發(fā)生的根本原因。
[0043] 第二方面，本發(fā)明實施例還提供一種分析設備，用于分析網(wǎng)絡設備的故障根因，所 述分析設備可以包括：
[0044]確定單元，用于確定網(wǎng)絡設備的故障時間點；
[0045] 獲取單元，用于獲取所述網(wǎng)絡設備在第一時間段內(nèi)產(chǎn)生的第一日志信息集;所述 第一日志信息集包含M類日志信息，所述M為大于或等于1的整數(shù)，所述第一時間段為:從所 述故障時間點之前的第一時刻到所述故障時間點之后的第二時刻之間的時間段；
[0046] 分析單元，用于根據(jù)預設分析策略對所述獲取單元獲取到的M類日志信息中每類 日志信息進行分析，獲取所述M類日志信息中的N類根因日志;所述N類根因日志為:所述網(wǎng) 絡設備發(fā)生故障時產(chǎn)生的日志信息，所述M 2 N 2 1，所述預設分析策略為:預先確定的所述 網(wǎng)絡設備故障發(fā)生時日志發(fā)生的規(guī)律；
[0047] 所述確定單元，還用于根據(jù)所述N類根因日志確定所述網(wǎng)絡設備發(fā)生故障的原因。
[0048] 由于，網(wǎng)絡設備在故障發(fā)生時可能會產(chǎn)生至少一類日志信息（即根因日志），且這 些類日志信息在故障時間點附近的出現(xiàn)呈現(xiàn)比較明顯的特征規(guī)律，為此，本發(fā)明技術人員 結(jié)合大量的故障分析報告，預先對大量故障時間點附近產(chǎn)生的日志信息進行分析，挖掘出 故障根因日志出現(xiàn)的特征規(guī)律：（1)故障發(fā)生時產(chǎn)生的至少一類日志信息通常會組合在一 起在故障點附近重復且不間斷的出現(xiàn)；（2)故障發(fā)生時產(chǎn)生的一類日志信息通常在比較長 的一時間段內(nèi)頻繁出現(xiàn)，且在故障時間點處呈突然增多的趨勢。
[0049] 因此，在第二方面的一種可實現(xiàn)方式中，所述分析單元可以用于：
[0050] 將所述M類日志信息對應的M個日志類型分為i個不同的日志組合;每個日志組合 包含所述M個日志類型中的至少一個日志類型，且所述每個日志組合包含的日志類型各不 相同，所述i為大于或等于1的整數(shù)；
[0051] 遍歷所述i個日志組合，確定所述i個日志組合中的至少一個根因日志組合;所述 根因日志組合為:在所述第一時間段內(nèi)頻繁且持續(xù)出現(xiàn)的日志組合；
[0052] 對所述至少一個根因日志組合進行處理；
[0053] 將處理后的至少一個根因日志組合對應的至少一類日志信息確定為所述N類根因 日志。
[0054]其中，對于任一日志組合，所述分析單元可以用于：
[0055]將所述第一時間段劃分為至少一個時間窗，將所述至少一個時間窗中的每個時間 窗劃分為至少一個小時間窗；
[0056] 計算所述日志組合在任一時間窗內(nèi)出現(xiàn)的第一頻率;所述第一頻率為:所述時間 窗內(nèi)出現(xiàn)所述日志組合的小時間窗的個數(shù)與所述時間窗包含的小時間窗的個數(shù)的比值；
[0057] 若所述第一頻率大于第一預設閾值，則確定所述日志組合為所述時間窗內(nèi)的頻繁 日志組合；
[0058]計算所述頻繁日志組合在所述第一時間段內(nèi)出現(xiàn)的第二頻率;所述第二頻率為： 所述第一時間段內(nèi)出現(xiàn)所述頻繁日志組合的時間窗的個數(shù)與所述第一時間段包含的時間 窗的個數(shù)的比值；
[0059] 若所述第二頻率大于第二預設閾值，則確定所述頻繁日志組合為根因日志組合。
[0060] 需要說明的是，在本發(fā)明實施例中，所述日志組合為包含至少一個日志類型的組 合，所述時間窗為一個時間間隔，在對時間窗劃分的過程中，每個時間窗的大小可以相等也 可以不相等，每個小時間窗的大小可以相等也可以不相等，所述日志組合在時間窗出現(xiàn)可 以指:所述日志組合包含的日志類型對應的日志信息發(fā)生在該時間窗對應的時間間隔內(nèi)。
[0061] 第一預設閾值和第二預設閾值可以根據(jù)需要進行設置，本發(fā)明實施例對此不進行 限定，若一日志組合對應的第一頻率大于第一預設閾值，則表示該日志組合集中在某一時 刻頻繁出現(xiàn)，確定為頻繁日志組合，若該日志組合對應的第一頻率小于或等于第一預設閾 值，可以認為該日志組合對應的日志信息為網(wǎng)絡設備正常時產(chǎn)生的一些日志信息；若頻繁 日志組合的第二頻率大于第二預設閾值，則表示在某一時刻頻繁出現(xiàn)的日志在第一時間段 內(nèi)持續(xù)頻繁出現(xiàn)，即該頻繁日志組合為第一時間段內(nèi)重復且不間斷出現(xiàn)的日志，符合故障 根因日志出現(xiàn)的規(guī)律，確定該頻繁日志組合為根因日志組合，將該日志組合包含的日志類 型對應的日志信息確定為網(wǎng)絡設備發(fā)生故障時產(chǎn)生的日志信息，若頻繁日志組合的第二頻 率小于或等于第二預設閾值，則表示在某一時刻頻繁出現(xiàn)的日志在第一時間段內(nèi)不會持續(xù) 性出現(xiàn)，可以認為該日志組合對應的日志信息為網(wǎng)絡設備正常時產(chǎn)生的一些日志信息。
[0062] 此外，通過對大量故障相關日志和正常日志分析發(fā)現(xiàn)，正常日志往往呈現(xiàn)周期性 出現(xiàn)的規(guī)律，分布比較均勻，且在整個日志中出現(xiàn)的比較頻繁。而故障根因日志在故障點處 呈突然增多趨勢，且在非故障模式對應的日志中卻幾乎從未出現(xiàn)，這與信息論所述的出現(xiàn) 頻率越高的內(nèi)容信息含量越低一致，為此，在第二方面的又一種可實現(xiàn)方式中，所述分析單 元可以用于：
[0063] 確定與所述M類日志信息一一對應的M個異常值;所述異常值用于表示:一類日志 信息在第二時間段內(nèi)發(fā)生的頻繁程度和突變程度，所述第二時間段包含所述第一時間段；
[0064] 所述分析單元用于:從所述M個異常值中獲取前N個最大異常值，將所述第一日志 信息集中與所述前N個最大異常值對應的N類日志信息確定為所述N類根因日志。
[0065] 可選的，可以獲取所述網(wǎng)絡設備在所述第二時間段內(nèi)產(chǎn)生的第二日志信息集;所 述第二日志信息集包含至少一個日志信息，每個日志信息對應一個時間點；
[0066]對所述第二日志信息集進行預處理，獲取第一日志行為矩陣;所述第一日志行為 矩陣包含:Q組日志行為向量，每組日志行為向量占用一個時間間隔，每組日志行為向量包 含R個元素，所述R為所述第二日志信息集對應的日志類型的組數(shù)，所述R 2所述M;所述日志 行為向量中的第j個元素表示:在所述日志行為向量的時間間隔內(nèi)第j類日志信息的個數(shù)；
[0067]根據(jù)公式
分別計算所述R類日志信息 的異常值，得到與所述R類日志信息一一對應的R個異常值；
[0068] 從所述R個異常值中獲取與所述M類日志信息--對應的M個異常值。
[0069] 其中，所述時間間隔比較大，通常為幾十分鐘，且每組日志行為向量的時間間隔可 以相等也可以不相等。
[0070] 所述
表示所述R類日志信息中第j類日志信息在所述第二日志信息集中出 現(xiàn)的頻繁程度，所述
1表示所述R類日志信息中第j類日志信息在所述第 二日志信息集中的突變程度，所述為包含第j類日志信息的日志行為向量的組數(shù)，所述 Ck+u表示第k+Ι個時間間隔內(nèi)第j類日志信息的總數(shù)量，所述表示第k個時間間隔內(nèi)第j 類日志信息的總數(shù)量。
[0071 ]需要說明的是，上述兩種方式獲取所述M類日志信息中的N類根因日志可以單獨執(zhí) 行，也可以結(jié)合在一起執(zhí)行，以更加準確的定位網(wǎng)絡故障發(fā)生的確切原因。