必示科技2020年度告警数据挖掘方向顶会论文分享
本文根据必示科技算法总监隋楷心在2020国际AIOps挑战赛的主题演讲整理而成，重点介绍了必示科技在INFOCOM 2020 、ICSE SEIP 2020、ESEC/FSE 2020发表的三篇论文成果以及核心方法，为业界在告警数据挖掘方向的研究提供新思路。
各位老师、同学，大家下午好！
今天和大家分享一下，必示科技2020年度在告警数据挖掘方向的三篇顶会论文。
先介绍下背景，从大型互联网公司过去一年遇到的服务故障可以看到，服务故障对企业效益和用户体验造成了非常大的影响。比如，亚马逊2018年Prime Day活动，1小时宕机时间就引发了约1亿美元的损失。
目前很多工作在关注运维领域的服务质量保证和可靠性提升，但由于大规模软件服务的复杂性，故障总不可避免。
告警数据挖掘的方向及痛点
为了保证软件服务质量和用户体验、减少经济损失，故障智能分析至关重要，主要聚焦在三个方向：
- 故障发现，即如何及时、准确发现故障；
- 故障诊断，即如何快速、准确诊断出故障的根因；
- 故障预测，即如何提前预警故障，规避故障。
对已有的监控告警数据进行智能分析，即告警数据挖掘在故障智能分析中，能够起到什么作用、解决什么痛点？
我们发现，在故障发现领域，告警定级策略不合理会影响故障发现的时效性；故障诊断过程中，运维工程师通常遇到的告警风暴会严重影响诊断的效率；在故障预测方面，告警信息在故障引发业务损失之前就已经有了大量的征兆，这说明，告警中的隐患信号未被有效捕捉，故障预警非常困难。
对此，我们提出了相应的告警数据挖掘的方法：
自适应的告警动态定级；
告警风暴摘要；
基于告警的事件预测。
下面，我针对痛点问题进行具体讲解：
01
告警定级策略不合理，影响故障发现时效性
告警和故障发现，通常是两个步骤。第一步异常检测，检测到异常后，通过第二步聚合和定级策略产生告警信号。告警信号是运维工程师发现故障、处理故障、介入故障的重要来源。
由于软件服务规模越来越大、复杂性越来越高，故障发生时往往会产生大量告警。在大量告警发生时，运维工程师陷入了困惑：哪个告警最严重？应该先看哪个告警？经验丰富的运维工程师可以抽丝剥茧，一下命中肯綮，但更多时候呈现出一团乱麻的状态。
举个实际案例，曾有金融客户在早上10点45分通过用户电话报障发现故障，但在10点45分之前就已有一些与故障相关的告警，比如说响应时间上升到500ms。不过由于人工设置的阈值导致告警级别不够高，并没有引起工程师的注意。
不准确的告警定级方式会导致严重告警的漏报，工程师排障时也会花费很多时间去处理没有意义的非严重告警。这表明，准确的告警定级算法有助于及时的故障发现。
02
告警风暴影响故障诊断的效率
这是运维人都会遇到的痛点。软件架构复杂化，业务拓扑之间的关系都会导致告警。一个系统引发告警，很多系统会随之呈现风暴式告警。软件架构如此，硬件拓扑网络也是如此。如果底层路由器会引发问题，整个硬件从底到上都会传导告警，形成告警风暴。
需要注意的是，服务故障和告警风暴产生时，应用架构有很多组件，且每个组件都有自己的监控数据，会产生相应的告警。同时，硬件拓扑和软件会发生复杂依赖关系，导致这些告警和故障之间会不断传导。
处于告警风暴情况下，运维管理员的难题在于：到底发生了什么事、哪些告警跟故障相关、告警风暴的核心内容是什么。如果手工检查所有的告警，不仅耗时、耗力，还容易出错。
03
告警的隐患信号未被有效捕捉，故障预警困难
学术界现有的故障预测方法有一些限制。在第一届挑战赛时，我曾跟大家介绍过在微软做的利用磁盘SMART数据做磁盘故障预测的论文。后来，我们实验室也用交换机日志做交换机故障预测，用节点性能指标做节点故障预测，还用工业设备日志去做设备故障预测。
但是，大多数方法专门为一种故障设计，比如磁盘故障、节点故障、交换机故障等，不具备泛化性。同时，这些方法大多是利用指标和日志数据来提取有预测作用的征兆特征，训练开销非常大。此外，我们希望用轻量级的告警数据来做事件预测，但已有的一些方法仅仅考虑了每类告警的数量作为特征，实际表现并不理想。
以上是学术界的情况，但是工业界也没有用告警数据做故障预测的有效方案。
首先，我们常常听到，大家会基于专家知识和运维经验，去总结事件预测的规则。比如当线上的告警满足规则，就认为要发生相应的事件。不过，基于规则的预测方法，在实际中经常会出现误报、漏报。我们分析其原因在于：维护和制定规则需要足够的运维经验，且耗费时间；不同工程师制定规则的偏好不一样，很难有统一的标准；服务系统总是会经历不停的迭代变更，固定的规则很难适应动态的环境。
其次，基于频繁项集挖掘去做探索，我们认为经常一起出现的告警会有一些征兆表现，而实际落地尝试中，金融行业工程师反馈这类方法覆盖面比较小。由于告警数据的复杂性和告警内容中混杂的参数，大多数事件都没有对应的频繁项告警，所以这类方法在金融数据中心可用性并不高。
关于告警数据挖掘的三篇论文研究成果
我们在INFOCOM 2020 、ICSE SEIP 2020、ESEC/FSE 2020发表了三篇论文（如下图），对应解决故障发现、故障诊断和故障预测的痛点问题。
接下来，我将介绍论文的核心方法。
INFOCOM 2020：自适应的告警动态定级
第一篇文章的核心，是用历史告警的处置记录做标注，利用多特征融合方法训练排序模型，对线上实时到达的告警流进行排序，以排序结果作为严重性的定级结果。
我们可以看到，工业界实践中告警定级通常基于手工规则的告警，比如P1是严重，P2是错误，P3是警告。怎么去区分？这里做了一些规则。对于CPU来说是阈值，利用率超过90%是P2，利用率超过80%是P3；对于日志来说是关键字，如果有fail就是P1，有warning就是P3。
当然，这也有明显的不足，简单的手工规则的定级方式不能满足线上服务系统的动态性与复杂性，手工定制和维护大量的规则耗时、耗力。
同时，我们也遇到了告警种类非常多，系统变更会引入新类型的告警，不同工程师制定规则的偏好不一致、很难有统一的规则等问题。这要求我们通过数据挖掘和数据驱动的方式，来做到基于系统自适应的告警动态定级的算法，来帮助及时的故障发现。
在此过程中，我们同样遇到了一些挑战（如图）：
- 标注开销非常大，这是常见的问题。
- 告警类型复杂多样，有大量的应用、网络、数据库、中间件、存储等告警数据。
- 复杂动态的线上环境。因为我们要适应动态的线上环境，比如系统变更衍生出的新告警。
- 数据不平衡。故障种类少，严重告警比例比较小。
对于告警处理方法和流程，我们的核心思想在于：首先采用多特征融合，不仅采用告警数据，还提取了一部分指标特征；其次，对告警严重性进行排序，把识别告警严重性定义为排序模型。其实，告警严不严重是相对概念，只要它比别的严重，那就更严重。这不是常说的分类概念，ranking model排序模型在此场景下更为合适。
整体流程方面，将告警数据和指标数据分别进行预处理和数据筛选，用告警模板提取相应的特征，指标也提取相应的特征，生成特征向量后，再从工单中进行标注提取，建立排序模型，完成离线训练。在线数据同样会进行特征提取和特征向量的建立，经过排序模型后给出结果，直接反馈给工程师，去看哪一个更严重。
我们使用数据包括告警数据、KPI数据和工单数据。我们基于工单数据中的记录和历史告警数据中的处置记录，对每一个告警给出严重性评分（比如某个告警关联到了工单，那这个告警的严重性就很高；如果某个告警的处置记录反馈无影响，那么这个告警的严重性就相对较低）。
在特征工程方面，我们采用多特征融合方式，针对告警数据提取三类特征：一是文本特征，包括告警语义的主题模型和文本熵IDF（Inverse document frequency），去看关键词的重要性；二是时间特征，包括频率、周期、告警数量和间隔时间等；三是告警类型和发出时间等其他特征。比如发出时间就是一个关键特征，券商客户遇到的告警发生在开市期间还是闭市期间？不同时间同样的CPU告警级别是完全不同的。
告警所在的业务也有各种各样的黄金指标，特别是相应的业务指标。对此，我们提取了所在应用系统的关键业务指标，比如交易量、响应时间、成功率等。这里主要采用两种方式：一、对它们做异常检测，将异常分数作为评分；二、进行多指标异常检测，安全模拟一个实体的健康分数，作为特征融入模型。
通过上图特征分析，可以看到，特征和告警严重性并不是简单的线性关系。这要求我们使用AI机器学习模型，去综合建模不同的特征和最后告警定级之间的复杂关系。
我们论文中的特征工程，一共用到40个特征。特征完成后去训练排序模型，这里的标签主要来自于历史的告警数据的处置记录，也就是工单。另外，我们还采用了XGBoost ranking模型。
在线数据同样经过特征工程，经过排序的过程，生成排序结果。比如，当abcde告警同时到达时，我们能够给出ranking结果，让管理员更清晰知道从哪个告警入手。
最后介绍一下评估规则，我们使用三组工业界真实的告警数据来评估，用AlertRank方法去对比传统基于规则的方法和BUG报告定级算法BUG-KNN。结果表明， AlertRank方法可以达到平均90%的F1 -SCORE，是整体最优的方法。同时，我们评估了多特征融合方式的作用，分别看了告警特征和指标特征对结果的贡献，发现它们对模型起到正向作用。
以上是发表在INFOCOM 2020顶会上的论文，我们提出的“自适应的告警动态定级”方法已应用于工业实践中，赋能金融客户切实解决运维难题。
下一期精彩继续，将分享在ICSE SEIP 2020、ESEC/FSE 2020发表的两篇论文，介绍“告警风暴摘要”和“基于告警的事件预测”的核心思想，敬请关注。
必示科技2020年度告警数据挖掘方向顶会论文分享相关推荐
- 必示科技C轮融资近两亿元，推出新一代产品矩阵
近日,必示科技宣布完成近两亿元C轮融资,本轮融资由晨壹投资领投,国泰财富基金.三奕资本.顺为资本.红杉中国等跟投,指数资本担任独家财务顾问.据悉,本轮融资将用于加速新产品研发和市场推广. 必示科技是一 ...
- 从国务院机构改革看智能运维行业未来趋势【必示说：第六期】
近日,十四届全国人大一次会议表决通过了关于国务院机构改革方案的决定.新一轮国务院机构改革作为新一届中央政府运转前奏的惯例,引起政届.学届和社会各界的广泛关注.国务院机构的调整方向往往预示着未来经济模式 ...
- openwrt 19 overlay 空间不足_【邯郸】2020年度市级科技企业孵化器和众创空间拟认定名单公示...
2020年度市级科技企业孵化器和众创空间拟认定公示 根据邯郸市市级众创空间.市级科技企业孵化器建设的相关标准,市科技局聘请第三方服务机构,对各县(市.区)推荐申报的众创空间.科技企业孵化器进行了实地考 ...
- 腾讯AI Lab 2020年度回顾：科技向善，迈向通用人工智能
来源:腾讯AI Lab 刚刚过去的 2020 年算不上是平静的一年.贯穿全年的新冠肺炎疫情仍未平息,各类偶发事件也层出不穷.即便如此,秉承「科技向善」信念和「Make AI Everywhere」愿景 ...
- 再获殊荣！上海控安技术成果入选“2020年度上海市科技成果转化项目自主创新十强”
近日,上海市科技创业中心予以公示"2020年度上海市高新技术成果转化项目百佳.自主创新十强"名单,上海控安自研的智能嵌入式单元测试用例设计工具软件(项目编号:202001003)成 ...
- 《大数据》入选2020年度《信息通信领域高质量科技期刊分级目录》
点击上方蓝字关注我们 在中国科协的统一部署下,中国通信学会开展2020年度<信息通信领域高质量科技期刊分级目录>(以下简称"期刊目录")的认定与发布工作,面向对象为国内 ...
- 2020年度“CCF优秀博士学位论文奖”初评结果公示
本文转自中国计算机学会,该文未经许可,禁止进行转载.摘编.复制及建立镜像等任何使用.如需转载,请通过向CCFvoice公众号后台申请并获得授权.我爱计算机视觉已获授权. 根据同行专家函评意见和学科方向 ...
- 中国人工智能学会2020年度优秀科技成果出炉，百度文心ERNIE入选
11月14日,由中国人工智能学会(CAAI)主办的2020第十届中国智能产业高峰论坛(CIIS 2020)正式开幕,CAAI理事长戴琼海院士.何积丰院士.何友院士.王恩东院士.陆军院士等多位中外院士. ...
- 捷报 | 2020年度北京市科学技术奖揭晓！“清华数为”荣获科技进步奖一等奖
9月25日,2021中关村论坛全体大会揭晓了2020年度北京市科学技术奖获奖清单:清华大学作为第一完成单位共获得10项成果奖,其中自然科学奖一等奖2项,技术发明奖二等奖1项,科技进步奖一等奖4项,二等 ...
最新文章
- 小数型 Float(M,D),decimal(M,D)
- CSS3无前缀脚本prefixfree.js与Animatable使用
- windows 程序员电脑设置
- 026_CSS内边距
- OpenCV C++ 07 - Histogram Equalization of a Color image with OpenCV
- case when用法java,sql之case when用法详解
- Apache yarn入门介绍
- PVID、Access、Trunk、Hybrid三种不同端口收发规则、Vlan中tagged端口和untagged端口的区别
- 【VHDL】四位全减器
- 项目管理 - 变更控制流程
- 拉结尔微信开到多少服务器了,拉结尔微信渠道服
- cpp封装dll和so，cpp调用so
- 数据挖掘 任务一：预测贷款是否逾期
- 【c语言】判断一个数n能否同时被3和5整除
- 手机上流行的各类谜语大揭密
- Android Compose——一个简单的Bilibili APP
- java设计模式（13-19节）
- 2018年4月——英语
- SQL Developer连接时报错：ORA-12528
- 解决错误 Bad key “text.kerning_factor“ on line 4 in