第９期 向杨蕊，等：基于事件关联的根本原因分析系统的设计与实现 ・２３９・ 和知识获得当前问题结果的一种推理模式。在基于事例的系 统中，知识的基本单元是事例而不是规则。很多过去发生的事 例被存储、检索，并用来解决新问题。由解决新问题的经验构 成新的事例；系统将新的事例加入到数据库中，为将来使用作 好准备。这样系统可以通过自己的方法来获取知识而不必从 于网络拥塞或其他临时条件而产生的数据丢失。ＲＣＡ在关联 过程之前应用事件过滤技术进行事件确认，完成临时告警以及 其他冗余告警的消除。 事件确认的过程：ａ）当事件检测模块将发现的事件输入 ＲＣＡ系统后，首先应用忽略规则，检测是否存在用户定义的特 定上下文环境Ｃ，如果存在则将该事件忽略。ｂ）如果不存在则 应用事件压缩规则查看临时事件数据库中是否在某一时间间 隔中存在同样事件。如果存在，则将该事件与以前发生的事件 进行合并，并且刷新关联数据库；如果不存在则存人临时数据 库。ｃ）在应用过滤规则中，主要是定期检查临时数据库中事 通信专家那里获取知识。基于事例推理的另外一个特点是可 以根据出现的错误自动改正将来的行为，而且基于事例推理可 以通过调整过去的事例来构建新的方法，以自适应的方式面对 和处理新的问题。可见，基于事例的推理在一定程度上克服了 基于规则的推理的不足： ａ）在基于规则的推理中，知识单元是规则，规则必须在原 件发生的时间属性，如果事件发生的时间小于预设的阈值则认 理上解释所有问题类型，因此它的获取过程费力，而且不一定 有效。在基于事例的推理中，知识的单元是事例，是从完整的 特殊事例中推理而来，无须将经验分解开来，也不需要使用其 中的某些部分产生规则，知识获取比较容易。 ｂ）在基于规则的推理中，检索是基于对规则的完全匹配。 如果当前网络的状态与规则的前件不匹配，系统将退出整个推 理过程。在基于事例的推理中，检索是基于对事例的部分匹 配，还可以通过修改添加新的事例。 ｃ）在基于规则的推理中，规则的维护、修改必须要将以前 的规则删除，重新得到一个新规则。基于事例的推理进行知识 维护，只需要用户将新的事例加入事例库，比较容易实现。 ｄ）基于规则的推理适用于网络规模不大而且微小事件的 重复出现；基于事例的推理适用于大规模网络中的复杂问题的 整体解决。 ２系统总体设计 ２．１ 总体结构 实现自动故障管理不仅简单地包括快速获得网络事件和 正确关联到它的根本原因，也需要对事件丰富的响应，根据分 析的结果进行通告。ＲＣＡ系统由三个阶段实现，包括事件确 认、事件关联、事件通告。在事件确认阶段，ＲＣＡ系统消灭了 临时的网络故障，同时过滤了冗余事件。在关联阶段，ＲＣＡ系 统定位了网络故障的根本原因。在事件通告阶段，ＲＣＡ系统 不但向管理员通报特定的设备或接口故障，同时也根据事先设 定的排错流程给出排错方案，如图１所示。 专家经验ｉ 数据 嚣 ｒ——一Ｆ＝ 二 挖掘Ｆ＝二二＝＝ 测试 皇 箜 ｊｌ事件确认 【 ｌ壁 ——＿］ 皇塑塑壁 ＲＢＲ推理 否得出根本原因？ ＣＢＲ推理 五： ］． 壁壁 塞 ｌ 排错流程 图１网络故障ＲＣＡ系统结构 ２．２事件确认阶段 对于有效的网络故障管理来说，发现问题的根本原因是必 要的。消灭临时网络告警的能力是正确分析根本原因的主要 因素。临时网络失效通常是网络正常操作的一部分。例如，由 为可能是临时事件，将该事件从临时数据库中删除。存人事件 关联数据库中的事件即为通过事件确认的事件。 ２．３事件关联阶段 当网络设备故障通过确认阶段鉴别之后，ＲＣＡ主要通过 关联引擎执行根本原因分析来得出故障的确切原因。关联引 擎的输入来自两方面：经过事件确认存储在关联数据库中的事 件和存储在知识库中的知识，其输出端输出故障假设。测试模 块则对故障假设实施测试，验证假设。关联引擎工作原理如图 ２所示 图２事件关联引擎工作原理 １）关联数据库经过事件确认的事件数据按照一定的格 式统一保存在关联数据库中，等待关联引擎进行事件关联。 ２）知识库知识主要由规则库和事例库组成。规则库是 一些故障精练的描述，它是按一定的语法格式书写的，并在相 应的模块内存储一张规则表。在规则库中，对规则的描述包括 规则的序号、前提、结论和规则本身的可信度。事例库提供支 持问题求解的一组案例，它是系统过去进行问题求解经验的聚 集。事例库应用一定的事例表示方法，构造数据结构，存储事 例的类别、特征、属性、方法、解答以及一般知识或领域知识等 信息。 ３）事件关联引擎支持基于规则的推理和基于事例的推 理，关联引擎提供数据库的检索、比较、修改、添加、删除等功 能。首先，关联数据库中的事件所表达的当前网络的状态与规 则库中规则的条件部分进行比较，以决定该规则是否被采用。 当条件满足时，输出规则的后项。在最简单的情况下，一条规 则就可以判断网络故障的根源。实际上这种情况十分少见，多 数时候关联引擎需要将当前得到的结论再作为条件在规则库 中进行多次推理，最终得出故障假设。 如果应用基于规则的推理未得出结论，则进一步应用基于 事例的推理。根据问题描述，关联引擎的事例检索机制从事例 库中查找一个与当前问题相匹配的事例。如果该事例满足问 题描述的要求，则输出相应的结果；否则根据问题描述，对检索 出的事例进行修改，事例改写的结果形成一个满足全部问题描 述要求的答案。该结果同时作为一个新的事例经索引机制组 维普资讯 http://www.cqvip.com ・２４０・ 计算机应用研究 第２４卷 织添加到事例库中以备将来使用。 基于规则的推理和基于事例的推理是常用的事件关联技 应用事件关联技术对事件的根本原因进行分析，及时准确地向 网络管理员进行通告，给出排错方案，极大地减轻了网络管理 术，在满足关联引擎需求的同时，具有容易实现的优点。 员的工作负担，为故障的排除奠定了基础。下一步需要做的工 ２．４通告阶段 作就是进一步改进基于规则的推理和基于事例的推理算法，增 只向网络管理员通告事件关联的结果是不够的。由于计 强关联引擎的功能，更准确、快速地定位网络故障的根源。 算机本身并不知道怎样排除错误，为了减轻管理员的负担，在 表２分析前和分析后每分钟平均事件数 通告阶段首先建立排错流程库，管理人员事先设定排错条件和 排错步骤。系统根据根本原因分析的结果查询排错条件并按 照管理经验设定规则给出排错方案；同时告警的级别和告警的 方式可以根据实际的需要进行设定，尽量及时准确地向管理员 进行通告，以减轻网络故障所带来的损失。 ３实验及运行结果 参考文献： ＲＣＡ系统用于大型数据库集群系统的故障管理。所管理 ［１］ ＢＨＡＴＩＩＡｃＨＡＲＹＡ Ｋ，ＲＡＮＩ Ｎ Ｕ，ＧＯＮＳＡＬＶＥＳ Ｔ Ａ．Ｅｆｆｉｃｉｅｎｔ ａｌ— 的数据库集群系统由４个Ｆｏｒｃｅ１０ Ｅ６００高性能交换机将１０个 ｇｏｒｉｔｈｍ ｆｏｒ ｒｏｏｔ ｃａｕｓｅ ａｎａｌｙｓｉｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ｔｈｅ ｌｌｔｈ Ｎａｔｉｏｎａｌ Ｃｏｍ— ｍｕｎｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ．２０Ｄ５：４４７—４５１． Ｃｌｕｓｔｅｒ连接起来，每个Ｃｌｕｓｔｅｒ包含了６个计算节点，１８个磁盘 ［２］ＦＩＮＫＥＬ Ａ，ＨＯＵＣＫ Ｋ，ＣＡＬＯ Ｓ，ｅｔ ａＬ Ａｎ ａｌａｒｍ ｃｏｒｒｅｌａｔｉｏｎ ｓｙｓｔｅｍ 控制器和１个磁带库；Ｃｌｕｓｔｅｒ内部通过私有网络连接。系统还 ｏｆｒ ｈｅｔｅｒｏｇｅｎｅｏｕｓ ｎｅｔｗｏｒｋｓ［Ｊ］．Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ ａｎｄ Ｃｏｎ－ 提供了一套备份网络，因此需要管理的接口总数达５００个。实 ｔｒｏＩ，１９９４，２：２２６—２３７． 验通过收集事件，并且将事件输入ＲＣＡ系统，对比分析前与分 ［３］ＧＡＲＤＥＮＥＲ Ｒ，ＨＡＲＬＥ Ｄ Ａ．Ｍｅｔｈｏｄｓ ａｎｄ ｓｙｓｔｅｍｓ ｏｆｒ ｌａａｒｍ ｃｏｍ 析后的事件数测试系统的性能。表１、２分别显示分析前和分 ｌａｔｉｏｎ［Ｃ］．Ｐｒｏｃ ｏｆＧｌｏｂｅｃｏｍ’９６．Ｌｏｎｄｏｎ：［ｓ．ｎ．］，１９９６：１３６—１３４． 析后的事件数与每分钟平均事件数。 ［４］ＯＨＳＩＥ Ｄ Ａ．Ｍｏｄｅｌｅｄ ａｂｄｕｃｔｉｖｅ ｉｎｆｅｒｅｎｃｅ ｆｏｒ ｅｖｅｎｔ ｍａｎａｇｅｍｅｎｔ ｎａｄ 表１分析前秘分析后事｛年数 ｃｏｒｒｅｌａｔｉｏｎ［Ｄ］．［ｓ．１Ｊ］：Ｃｏｌｕｍｂｉａ Ｕｎｉｖｅｒｓｉｔｙ。１９９８． ［５］ＰＥＮＧ Ｙ，ＲＥＧＧＩＡ Ｊ Ａ．Ａ ｐｒｏｂａｂｉｌｉｓｔｉｃ ｃａｕｓａｌ ｍｏｄｅｌ ｆｏｒ ｄｉａｇｎｏｓｔｉｃ ｐｒｏｂｌｅｍ ｓｏｌｖｉｎｇ－－ｐａｒｔ Ｉ：ｄｉａｇｎｏｓｔｉｃ ｓｔｒａｔｅｇｙ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｓｙｓｔ，Ｍａｎ ａｎｄ Ｃｙｂｅｒｎ，１９８７，１７（２）：３９５—４０４． ［６］ＢＯＵＬＯＵＴＡＳ Ａ，ＣＡＬＯ Ｓ，ＦＩＮＫＥＬ Ａ．Ａｌａｒｍ ｃｏｒｒｅｌａｔｉｏｎ ａｎｄ ｆａｕｌｔ ｉｄｅｎｔｉｉｆｃａｔｉｏｎ ｉｎ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｎｅｔｗｏｒｋｓ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，１９９４，４２（２／４）：５２３—５３３． ［７］ＪＡＫＯＢＳＯＮ Ｇ，ＷＥＩＳＳＭＡＮ Ｍ Ｄ．Ａｌａｒｍ ｃｏｒｒｅｌａｔｉｏｎ［Ｊ］．ＩＥＥＥ Ｎｅｔ－ 实验结果表明，通过对网络中的事件进行根本原因分析， ｗｏｒｋ，１９９３，７（１１）：５２—５９． 平均减少告警１３志中９０％的数据。 ［８］ ＬＥ 口ｓ Ｌ Ｍ．Ｍａｎａｇｉｎｇ ｃｏｍｐｕｔｅｒ ｎｅｔｗｏｒｋｓ：ａ ｃａｓｅ－ｂａｓｅｄ ｒｅａｓｏｎｉｎｇ ａｐ— ｐｒｏａｃｈ［Ｍ］．Ｎｏｒ ｗｏｏｄ：Ａｒｔｅｃｈ Ｈｏｕｓｅ，１９９５． ４结束语 ［９］ＹＥＭＩＮＩ Ｓ，ＫＬＩＧＥＲ Ｓ，ＭＯＺＥＳ Ｅ，ｅｔ ａＬ Ｈｉｇｈ ｓｐｅｅｄ＆ｒｏｂｕｓｔ ｅｖｅｎｔ ｃｏｒｒｅｌａｔｉｏｎ［Ｊ］．ＩＥＥＥ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｍａｇａｚｉｎｅ，１９９６，３４（５）： 网络故障ＲＣＡ系统能够消除临时告警和冗余事件，并且 ８２—９０． （上接第２１１页） ｎ．Ｊ，２００３：７６５—７７５． ［５］ＰＡＲＫ Ｊ Ｍ，ＢＡＥ Ｅ Ｈ，ＰＹＥＯＮ Ｈ Ｊ，ｅｔ ａ１．Ａ ｔｉｃｋｅｔ—ｂａｓｅｄ ＡＡＡ ｓｅ— 『ｌ１］ＢＵＡＵＮ Ｔ，ＫＩＭ Ｈ．Ｅｆｆｉｃｉｅｎｔ ａｎｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ａｕｔｈｏｆｉｚａｔｉｏｎ ｏｆ ｍｏ－ ｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍ ｉｎ ｍｏｂｉｌｅ ＩＰ ｎｅｔｗｏｒｋ『Ｃ］／／Ｐｒｏｃ ｏｆ ＩＣＣＳＡ’０３． ｂｉｌｅ ｕｓｅｒｓ ｂａｓｅｄ ｏｎ ｐｅｅｒ—ｔｏ—ｐｅｅｒ ｎｅｔｗｏｒｋ ｍｅｃｈａｎｉｓｍｓ［Ｃ］／／ＩＥＥＥ Ｈｅｉｄｅｌｂｅｒｇ：Ｓｐｒｉｎｇｅｒ，２００３：２１０—２１９， ＨＩＣＳＳ’０５．［Ｓ．１．］：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ，２００５：３０６， ［６］皿ＯＮ Ｈ，ＣＨＯＯ Ｈ，ＯＨ Ｊ Ｈ．Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｋｅｙ ｂａｓｅｄ ＡＡＡ ｍｅｃｈａ— ［Ｉ２］ＳＨＩＮ Ｍ，ＭＡ Ｊ，ＡＲＢＡＵＧＨ Ｗ Ａ．Ｔｈｅ ｄｅｓｉｎｇ ｏｆ ｅｆｉｆｃｉｅｎｔ ｉｎｔｅｍｅｔ— ｎｉｓｍ ｉｎ ｍｏｂｉｌｅ ＩＰ ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ＩＣＣＳＡ’０５．２００５：７６５— ｗｏｒｋ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ ｕｂｉｑｕｉｔｏｕｓ ｗｉｒｅｌｅｓｓ ｃｏｍｍｕｎｉｃａｔｉｏｎ［ＥＢ／ＯＬ］． ７７５． （２００６］．ｈｔｔｐ：／／ｈｄ１．ｈａｎｄｌｅ．ｎｅｔ／１９０３／３０３８／１／ｉｎｔｅｒａｕｔｈ．ｐｄｆ． ［７］ＪＥＯＮ Ｈ，ＣＨＵＮＧ Ｍ Ｙ，ＣＨＯＯ Ｈ．Ｏｎ ＡＡＡ ｗｉｔｈ ｅｘｔｅｎｄｅｄ ＩＤＫ ｉｎ ［１３］ＺＨＥＮ Ｚｈｅｎ，ＳＡＭＰＡＬＬＩ Ｓ．ＡＡＡ ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｍｏｂｉｌｅ ＩＰ ｉｎ ｏｖｅｒ－ ｍｏｂｉｌｅ ＩＰ ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ＩＣＣＳＡ’０５．Ｇｅｒｍａｎｙ：Ｓｐｒｉｎｇｅｒ— ｌａｙ ｎｅｔｗｏｒｋｓ［Ｃ］／／ｉＥＥＥ ＬＣＮ’０５．Ｗａｓｈｉｎｇｔｏｎ，ＤＣ：ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｖｅｒｌａｇ，２００５：５２９—５３９． Ｓｏｃｉｅｔｙ．２００５：７７２—７７５． ［８］ＬＩＡＮＧ Ｗ，ＷＡＮＧ Ｗ．Ａ ｌｏｃａｌ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｎｔｒｏｌ ｓｃｈｅｍｅ ｂａｓｅｄ ［１４］ＬＩＡＮＧ Ｗｅｉ，ＷＡＮＧ Ｗｅｎ—ｙｅ．Ａ ｃｏｓｔ．ａｗａｒｅ ｃｏｎｔｒｏｌ ｓｃｈｅｍｅ ｆｏｒ ｅｆｉｆ— ｏｎ ＡＡＡ ａｒｃｈｉｔｅｃｔｕｒｅ ｉｎ ｗｉｒｅｌｅｓｓ ｎｅｔｗｏｒｋｓ［Ｃ］／／ＩＥＥＥ ＶＴＣ’０４．［Ｓ． ｃｉｅｎｔ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｉｎ ｗｉｒｅｌｅｓｓ ｎｅｔｗｏｒｋｓ［Ｃ］／／ＩＥＥＥ ＰＩＭＲＣ’０４．ｆｓ． １，］：ＩＥＥＥ，２００４：５２７６—５２８０． １．］：ＩＥＥＥ，２００４：１５４８—１５５２． ｆ９］Ｋ／Ｍ Ｈ，ＡＦＩＦＩ Ｈ．Ｉｍｐｒｏｖｉｎｇ ｍｏｂｉｌｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｗｉｔｈ ｎｅｗ ＡＡＡ ［１５］徐鹏，廖建新，朱晓民，等．移动ＩＰ与ＳＩＰ集成应用中优化的ＡＡＡ ｐｒｏｔｃｏｏｌｓ［Ｃ］／／ＩＥＥＥ ＩＣＣ’０３，［Ｓ．１．］：ＩＥＥＥ，２００３：４９７—５０１． 过程［Ｊ］．通信学报，２００６，２７（１）：１—７． ［ＩＯ］ＫＩＭ Ｈ，ＡＭＥＵＲ Ｗ Ｂ，ＡＦＩＦＩ Ｈ．Ｔｏｗａｒｄ ｅｆｉｃｉｅｎｔ ｍｏｂｉｌｅ Ａｕｔｈｅｎｔｉ． ［１６］刘雅静，郭巧．ＤＩＡＭＥＴＥＲ移动ＩＰｖ６应用扩展方案［Ｊ】．计算机工 ｃａｔｉｏｎ ｉｎ ｗｉｒｅｌｅｓｓ ｉｎｔｅｒ－ｄｏｍａｉｎｆＣ］／／ＩＥＥＥ ＡＳＷＮ’０３．Ｂｅｄｉｎ：［ｓ． 程与应用，２００５，４１（３Ｏ）：１４９－１５２．
因篇幅问题不能全部显示，请点此查看更多更全内容