异常识别的方法、装置、设备、系统和可读存储介质与流程

1.本发明实施例涉及通信技术领域，尤其涉及一种异常识别的方法、装置、设备、系统和可读存储介质。


背景技术：

2.关键性能指标(key performance indicator，kpi)是一种通常以时间序列的方式存储的数据，被广泛应用于各行业的异常和风险识别领域。例如，在通信技术领域，路由器kpi被应用于路由器网络的异常识别场景中。
3.相关技术中，通常采用静态阈值方式判定路由器kpi是否异常，例如指定合理阈值，如果kpi的特征值超过该阈值则认定为异常。相关技术中还少量应用了有监督和无监督机器学习算法，采用了离线训练在线应用的方式，其中，有监督机器学习算法需要大量的故障样本数据进行模型训练，无监督机器学习算法利用历史数据作为参考数据进行模型训练。
4.基于上述内容，相关技术中对路由器kpi异常的识别，主要采用了静态的分析过程，如静态阈值的设置和离线训练模型的应用，识别结果的适应性差。此外，基于路由器故障发生概率低且kpi种类多的特点，静态阈值能够覆盖的kpi种类有限，有监督机器学习算法无法获取大量的故障样本，而且无监督机器学习算法采用的参考数据的正确性是不确定的，所以上述异常kpi识别结果的准确度低。


技术实现要素：

5.本技术提出一种异常识别的方法、装置、设备、系统和可读存储介质，用于解决异常识别结果的适应性差以及准确度低的问题。
6.第一方面，提供了一种异常识别方法，该方法包括：网络设备接收控制器发送的识别参考信息，该识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果。该网络设备根据识别参考信息更新异常识别模型之后，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
7.通过控制器向网络设备发送识别参考信息，有助于网络设备更新异常识别模型，不断提高异常识别模型的准确度，利用更新后的异常识别模型继续进行对后续待识别kpi数据的异常识别。本实施例提供的方法在控制器和网络设备之间完成，获得的准确度更高的异常识别模型对后续的kpi时间序列进行判定，从而减少对kpi异常的漏报、误报，提高异常kpi识别结果的准确性。
8.在一种可能的实现方式中，更新后的异常识别模型基于目标kpi时间序列训练得到，目标kpi时间序列不包括异常时间段对应的kpi数据。通过采用不包括异常时间段对应的kpi数据来更新异常识别模型，使得更新后的异常识别模型的准确度更高，进一步提高异常识别结果的准确性。
9.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，网络设备根据识别参考信息更新异常识别模型，包括：网络设备将网络设备对应的kpi时间序列中与异常时间段对应的kpi数据去除，得到目标kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
10.通过去除异常时间段对应的kpi数据，采用得到的目标kpi时间序列来训练异常识别模型，使得得到的更新后的异常识别模型的准确度更高，进一步提高异常识别结果的准确性。
11.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，网络设备根据识别参考信息更新异常识别模型，包括：网络设备将异常识别模型的参数中与异常时间段对应的参数去除，得到更新后的异常识别模型。
12.通过将异常识别模型的参数中与异常时间段对应的参数去除，使得得到的更新后的异常识别模型的准确度更高，进一步提高异常识别结果的准确性。
13.在一种可能的实现方式中，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得出的误报事件，网络设备根据识别参考信息更新异常识别模型，包括：网络设备获取目标kpi时间序列，该目标kpi时间序列包括误报的kpi异常识别结果对应的kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
14.通过将误报的kpi异常识别结果对应的kpi时间序列加入网络设备对应的kpi时间序列，实现自动标注，使得得到的目标kpi时间序列更为全面和准确，据此训练得到的更新后的异常识别模型的准确度更高，进一步提高异常识别结果的准确性。
15.在一种可能的实现方式中，网络设备接收控制器发送的识别参考信息之前，还包括：网络设备获取异常识别模型输出的的kpi异常识别结果，向控制器上报该kpi异常识别结果，该kpi异常识别结果用于控制器检测是否存在误报事件。
16.第二方面，提供了一种异常识别方法，该方法包括：控制器获取识别参考信息，该识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于所述业务质量检测结果得到的优化后的异常识别模型的参数，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；控制器将识别参考信息发送给目标网络设备，识别参考信息用于目标网络设备更新异常识别模型。
17.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，控制器获取识别参考信息，包括：控制器获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段；控制器将识别参考信息发送给目标网络设备，包括：控制器将异常时间段发送给目标网络设备，该目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备(如该异常的网络设备)。
18.在一种可能的实现方式中，识别参考信息包括优化后的异常识别模型的参数，控制器获取识别参考信息，包括：控制器获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段，采集异常的网络设备发送的kpi时间序列；控制器去除kpi时间序列中异常时间段对应的kpi数据，得到更新后的kpi数据，基于更新后的kpi数据训练得到优化后的异常识别模型的参数；控制器将识别参考信息发送给目标网络设备，包括：控制器将优化后的异常识别模型的参数发送给目标网络设备，该目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备(如该异常的网络设
备)。
19.在一种可能的实现方式中，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得到的误报事件，控制器获取识别参考信息，包括：控制器接收网络设备上报的kpi异常识别结果，基于kpi异常识别结果检测存在的误报事件；控制器将识别参考信息发送给目标网络设备，包括：控制器确定发生误报事件的网络设备，将误报事件发送给目标网络设备，该目标网络设备为用于基于异常识别模型对发生误报事件的网络设备的kpi数据进行异常识别的设备(如该发生误报事件的网络设备)。
20.在一种可能的实现方式中，控制器将识别参考信息发送给目标网络设备，还包括：控制器将优化后的异常识别模型的参数发送给与异常的网络设备同类型的网络设备。
21.在一种可能的实现方式中，目标网络设备为异常的网络设备。
22.在一种可能的实现方式中，目标网络设备为发生误报事件的网络设备。
23.第三方面，提供了一种异常检测的装置，该装置包括：
24.接收模块，用于接收控制器发送的识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于异常识别模型输出的关键性能指标kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；
25.更新模块，用于根据识别参考信息更新异常识别模型；
26.识别模块，用于根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
27.在一种可能的实现方式中，识别参考信息包括基于业务质监测结果得到的异常时间段，更新后的异常识别模型基于目标kpi时间序列训练得到，目标kpi时间序列不包括异常时间段对应的kpi数据。
28.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，更新模块，用于将网络设备采集的kpi时间序列中与异常时间段对应的kpi数据去除，得到目标kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
29.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，更新模块，用于将异常识别模型的参数中与异常时间段对应的参数去除，得到更新后的异常识别模型。
30.在一种可能的实现方式中，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得出的误报事件，更新模块，用于获取目标kpi时间序列，目标kpi时间序列包括误报的kpi异常识别结果对应的kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
31.在一种可能的实现方式中，装置还包括：
32.获取模块，用于获取异常识别模型输出的kpi异常识别结果；
33.发送模块，用于向控制器上报kpi异常识别结果，kpi异常识别结果用于控制器检测是否存在误报事件。
34.第四方面，提供了一种异常识别装置，该装置包括：
35.获取模块，用于获取识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于业务质量检测结果得到的优化后的异常识别模型的参数，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi
异常识别结果；
36.发送模块，用于将识别参考信息发送给目标网络设备，识别参考信息用于目标网络设备更新异常识别模型。
37.在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，获取模块，用于获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段；
38.发送模块，用于将异常时间段发送给目标网络设备，该目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备。
39.在一种可能的实现方式中，识别参考信息包括优化后的异常识别模型的参数，获取模块，用于获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段，采集异常的网络设备发送的kpi时间序列；去除kpi时间序列中异常时间段对应的kpi数据，得到更新后的kpi数据，基于更新后的kpi数据训练得到优化后的异常识别模型的参数；
40.发送模块，用于将优化后的异常识别模型的参数发送给目标网络设备，目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备。
41.在一种可能的实现方式中，识别参考信息包括基于异常是被模型输出的kpi异常识别结果得到的误报事件，获取模块，用于接收网络设备上报的kpi异常识别结果，基于kpi异常识别结果检测存在的误报事件；
42.发送模块，用于确定发生误报事件的网络设备，将误报事件发送给目标网络设备，该目标网络设备为用于基于异常识别模型对发生误报事件的网络设备的kpi数据进行异常识别的设备。
43.在一种可能的实现方式中，发送模块，还用于将优化后的异常识别模型的参数发送给与异常的网络设备同类型的网络设备。
44.在一种可能的实现方式中，目标网络设备为异常的网络设备。
45.在一种可能的实现方式中，目标网络设备为发生误报事件的网络设备。
46.第五方面，提供了一种异常识别设备，该异常识别设备包括：处理器，该处理器与存储器耦合，存储器中存储有至少一条程序指令或代码，至少一条程序指令或代码由处理器加载并执行，以使异常识别设备实现上述第一方面或第二方面中任一的异常识别方法。
47.第六方面，提供了一种异常识别系统，该系统包括网络设备和控制器；
48.控制器，用于获取识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段；将识别参考信息发送给目标网络设备；
49.网络设备，用于接收控制器发送的识别参考信息，根据识别参考信息更新异常识别模型，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
50.第七方面，提供了一种异常识别系统，该系统包括网络设备和控制器；
51.控制器，用于获取识别参考信息，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；将识别参考信息发送给目标网络设备；
52.网络设备，用于接收控制器发送的识别参考信息，根据识别参考信息更新异常识别模型，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
53.第八方面，一种计算机可读存储介质，该存储介质中存储有至少一条程序指令或代码，程序指令或代码由处理器加载并执行时以使计算机实现第一方面或第二方面中任一异常识别方法。
54.提供了另一种通信装置，该装置包括：收发器、存储器和处理器。其中，该收发器、该存储器和该处理器通过内部连接通路互相通信，该存储器用于存储指令，该处理器用于执行该存储器存储的指令，以控制收发器接收信号，并控制收发器发送信号，并且当该处理器执行该存储器存储的指令时，使得该处理器执行第一方面或第一方面的任一种可能的实施方式中的方法，或者执行第二方面或第二方面的任一种可能的实施方式中的方法。
55.作为一种示例性实施例，所述处理器为一个或多个，所述存储器为一个或多个。
56.作为一种示例性实施例，所述存储器可以与所述处理器集成在一起，或者所述存储器与处理器分离设置。
57.在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，rom)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本技术实施例对存储器的类型以及存储器与处理器的设置方式不做限定。
58.提供了一种计算机程序(产品)，所述计算机程序(产品)包括：计算机程序代码，当所述计算机程序代码被计算机运行时，使得所述计算机执行上述各方面中的方法。
59.提供了一种芯片，包括处理器，用于从存储器中调用并运行所述存储器中存储的指令，使得安装有所述芯片的通信设备执行上述各方面中的方法。
60.提供另一种芯片，包括：输入接口、输出接口、处理器和存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过内部连接通路相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述各方面中的方法。
附图说明
61.图1是本技术实施例提供的一种异常识别系统的架构示意图；
62.图2是本技术实施例提供的另一种异常识别系统的架构示意图；
63.图3是本技术实施例提供的一种异常识别方法的流程图；
64.图4是本技术实施例提供的另一种异常识别方法的流程图；
65.图5是本技术实施例提供的一种异常识别方法的应用场景示意图；
66.图6是本技术实施例提供的一种信息下发的结构示意图；
67.图7是本技术实施例提供的一种kpi的三级结构图；
68.图8是本技术实施例提供的另一种异常识别方法的流程图；
69.图9是本技术实施例提供的另一种异常识别方法的应用场景示意图；
70.图10是本技术实施例提供的一种异常识别装置的结构示意图；
71.图11是本技术实施例提供的另一种异常识别装置的结构示意图；
72.图12是本发明实施例提供的一种异常识别设备的结构示意图；
73.图13是本发明实施例提供的一种异常识别设备的结构示意图。
具体实施方式
74.本技术的实施方式部分使用的术语仅用于对本技术的实施例进行解释，而非旨在限定本技术。下面结合附图，对本发明的实施例进行描述。
75.在信息通信领域(information and communications technology，ict)，及时识别异常状况是保证网络业务正常运行的重要技术手段。路由器相关的业务、网络、网元对象的kpi覆盖范围广，轻量化，是识别业务异常的重要输入，被广泛用于异常场景。其中，路由器相关的业务对象包括无线基站业务，专线业务等，网络对象包括各类路由协议实例，网元对象包括内存、中央处理器(central processing unit，cpu)、转发器件等；业务对象指标包括丢包率，时延等，网络对象指标包括路由收、发数等，网元对象指标包括设备关键器件性能监控数据，例如cpu、内存、芯片错误计数等。路由器kpi是否异常，反映了路由器及其组成网络的运行健康度，其识别准确度影响对网络运行健康状况的判断。
76.对此，本发明实施例提供了异常识别方法，该方法通过标注kpi时间序列的疑似故障时段和/或标注异常kpi识别结果的正误，提高路由器网络得到的异常kpi识别结果的准确度。本实施例提供的方法可应用在图1所示的异常识别系统中，该系统包括控制器101和网络设备102，控制器101和网络设备102之间能够进行信息的交互，形成闭环。示例性地，控制器101包括但不限于软件定义网络(software-defined networking，sdn)控制器，网络设备102包括多种类型的网元，数据的传输方式包括网络配置协议(network configuration protocol，netconf)等。
77.例如，如图2所示，该系统由路由器和sdn控制器共同构成，两者通过netconf/遥测(telemetry)/cli等机制交互，配合完成本发明实施例提供的异常识别方法。图2所示的架构还可以应用到不同的路由器组网中，上述图2仅给出了在ipran网络的应用示意，其他路由器的组网应用场景均适用此架构。
78.结合图1和图2所示的异常识别系统，该异常识别方法如图3所示，包括但不限于如下几个过程。
79.301、控制器获取识别参考信息。
80.识别参考信息包括但不限于基于业务质量检测结果得到的异常时间段，或者基于业务质量检测结果得到的优化后的异常识别模型的参数，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件。该误报事件用于指示误报的kpi异常识别结果。
81.针对识别参考信息的几种情况，控制器获取识别参考信息包括但不限于如下三种情况。
82.情况一，识别参考信息包括基于业务质量检测结果得到的异常时间段。
83.针对情况一，控制器获取识别参考信息，包括：获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段。
84.情况二，识别参考信息包括优化后的异常识别模型的参数。
85.针对情况二，控制器获取识别参考信息，包括：控制器获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段，获取异常的网络设备发送的kpi时间序列；控制器去除获取到的kpi时间序列中与异常时间段相对应的kpi数据，得到更新后的kpi数据，基于更新后的kpi数据训练得到优化后的异常识别模型的参数。
86.其中，上述情况一和情况二中的业务质量检测结果需要通过在路由器网络中部署
业务质量检测实例，实时监控业务状态而获得。当检测到业务流劣化后，控制器结合业务流的路径和逐段检测结果，确定故障网络设备和故障类型，即确定与故障相关的kpi时间序列的范围；在故障结束后，控制器可以获得故障的发生时间和结束时间，即可以获得与故障对应的异常时间段。控制器从异常的网络设备中获取相关的kpi时间序列。可选地，本技术实施例不对部署的业务质量检测技术进行限定，不同的业务质量检测技术对应不同范围的kpi时间序列，可以根据异常识别的需要部署相应的业务质量检测技术检测实例。
87.示例性地，业务质量检测技术包括网络流量监控技术(in-band operation,administration and maintenance，ioam)等。由于部署随业务流的ioam检测后，可以精确的获得所检测业务的异常情况，例如丢包、时延大、业务报文乱序等，因此可以使用ioam的结果来标注kpi时间序列中的疑似故障时间段，进而提升机器学习算法的准确度，降低漏报。
88.情况三，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得到的误报事件。
89.针对情况三，控制器获取识别参考信息，包括：控制器接收网络设备上报的kpi异常识别结果，基于kpi异常识别结果检测存在的误报事件，得到误报事件。在该种可能的实现方式中，网络设备上报kpi异常识别结果之前，网络设备获取异常识别模型输出的kpi异常识别结果，向控制器上报kpi异常识别结果，kpi异常识别结果用于控制器检测是否存在误报事件，该误报事件用于指示误报的kpi异常识别结果。
90.网络设备获取的异常识别模型输出的kpi异常识别结果包括两种可能的实现方式：
91.在一种可能的实现方式中，该异常识别模型用于对该网络设备的kpi数据进行异常识别，该过程包括但不限于：网络设备在本地kpi时间序列中采集多段连续时间段中的kpi数据；基于采集的kpi数据训练异常识别模型，生成多组异常识别模型的参数，该异常识别模型的参数具有时间属性，不同时间段的kpi数据生成与时间段相对应的异常识别模型的参数，另外，异常识别模型的参数同样对应于kpi数据所属的kpi时间序列和应用的异常识别模型的算法类型。应用该异常识别模型的参数，进行kpi异常识别，得到本地的kpi异常识别结果并上报给控制器。示例性地，kpi异常识别结果的获得通过判断待识别的kpi数据特征和异常识别模型的参数之间的偏差程度，当偏差超过一定程度时，则认定kpi数据为异常，上报kpi异常识别结果。
92.在一种可能的实现方式中，异常识别模型用于该网络设备对其他网络设备的kpi数据进行异常识别。例如，网络设备1对所自身管理的局点网络中的网络设备a、网络设备b等的kpi数据进行异常识别。
93.302、控制器发送识别参考信息。
94.其中，控制器发送识别参考信息包括将识别参考信息发送给目标网络设备。针对控制器获取到的识别参考信息的不同情况，控制器发送识别参考信息的方式也包括但不限于如下三种情况。
95.情况一，识别参考信息包括异常时间段，控制器将异常时间段发送给用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备，如该异常的网络设备。该异常的网络设备即为已确定的与异常时间段指示的故障相对应的异常的网络设备。
96.情况二，识别参考信息包括优化后的异常识别模型的参数，控制器将优化后的异常识别模型的参数发送给用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备，如该异常的网络设备。
97.可选地，控制器还识别确定了路由器网络中其他与异常网络设备同类型的网络设备，控制器将优化后的异常识别模型的参数发送给与异常的网络设备同类型的网络设备。
98.情况三，控制器将误报事件发送给用于基于异常识别模型对发生误报事件的网络设备的kpi数据进行异常识别的设备，如该发生误报事件的网络设备。
99.针对情况三，控制器先确定发生误报事件的网络设备，之后，再将误报事件发送给发生误报事件的网络设备。
100.无论是上述哪种情况，各类型的识别参考信息均由控制器通过netconf下发，识别参考信息采用数据建模语言(yet another next generation，yang)模型，该yang模型包括但不限于kpi范围部分和标注信息部分，其中，kpi范围部分用于指示识别参考信息的下发位置，如相关kpi的所属模块、对象及其具体的kpi数据；标注信息部分则用于携带识别参考信息的具体内容，包括异常时间、优化后的异常识别模型的参数等信息。
101.303、网络设备接收控制器发送的识别参考信息。
102.其中，该303中的网络设备为上述302中的目标网络设备。网络设备接收控制器发送的识别参考信息，该识别参考信息包括但不限于基于业务质量检测结果得到的异常时间段，或者基于业务质量检测结果得到的优化后的异常识别模型的参数，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件，该误报事件用于指示误报的kpi异常识别结果。
103.304、网络设备根据识别参考信息更新异常识别模型。
104.网络设备根据接收到的识别参考信息内容的不同，进行不同的更新操作。更新后的异常识别模型基于目标kpi时间序列训练得到，该目标kpi时间序列不包括异常时间段对应的kpi数据。
105.情况一，当网络设备接收到的识别参考信息包括基于业务质量检测结果得到的异常时间段时，网络设备根据识别参考信息更新异常识别模型，包括：网络设备将网络设备中对应的kpi时间序列中与异常时间段对应的kpi数据去除，得到目标kpi时间序列，基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。其中，目标kpi时间序列不包括异常时间段对应的kpi数据。此外，如果异常识别模型用于对网络设备的kpi数据进行异常识别，该网络设备获取的kpi时间序列即为该网络设备自身的kpi时间序列；如果异常识别模型用于对网络设备管理的局点网络中的网络设备的kpi数据进行异常识别，该网络设备获取的kpi时间数据即为该网络设备管理的局点网络中的网络设备的kpi时间序列。
106.可选地，网络设备中本地的异常识别模型的参数具备时间属性，即异常识别模型的参数与某一时间段内的kpi数据是对应的，当网络设备接收到异常时间段时，网络设备根据识别参考信息更新异常识别模型，包括：网络设备根据异常时间段的信息确定该异常时间段的kpi数据对应的参数，即该异常时间段的kpi数据参与模型训练得到的参数，网络设备直接将异常识别模型的参数中与异常时间段对应的参数去除，以保证异常识别模型的参数的准确性，实现对异常识别模型的更新。
107.情况二，识别参考信息包括基于业务质量检测结果得到的优化后的异常识别模型
的参数，网络设备直接更新本地的异常识别模型的参数，实现对异常识别模型的更新。
108.情况三，识别参考信息包括基于kpi异常识别结果得到的误报事件，网络设备根据误报事件确定误报的kpi异常识别结果对应的kpi时间序列，将误报的kpi异常识别结果对应的kpi时间序列加入网络设备对应的kpi时间序列，得到目标kpi时间序列，基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
109.305、网络设备根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
110.网络设备更新异常识别模型之后，利用更新后的异常识别模型继续对待识别的kpi数据进行异常识别。由于更新后的异常识别模型去除了异常时间段的数据影响，因而基于更新后的异常识别模型进行异常识别的准确性更高。
111.在一种可能的实现方式中，网络设备对待识别的kpi数据进行异常识别的过程中，网络设备识别到新的kpi异常结果，网络设备将向控制器上报新的kpi异常识别结果。
112.本技术实施例提供了一种异常识别的方法，通过控制器向网络设备发送识别参考信息，有助于网络设备更新异常识别模型，不断提高异常识别模型的准确度，利用更新后的异常识别模型继续进行对后续待识别kpi数据的异常识别。本实施例提供的方法在控制器和网络设备之间完成，获得的准确度更高的异常识别模型对后续的kpi时间序列进行判定，从而减少对kpi异常的漏报、误报，提高异常kpi识别结果的准确性。
113.下面将以如下两种场景为例，来介绍本发明实施例提供的异常识别的方法。
114.场景一，在识别kpi是否异常的过程中，控制器应用业务质量检测技术的业务检测结果获取识别参考信息。
115.例如，本技术实施例提供的异常识别方法包括但不限于图4所示以下步骤，该场景的实现过程可查看图5所示的过程。
116.401、控制器获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段。
117.例如，在互联网协议化无线接入网(internet protocol radio access network，ip ran)网络中部署随业务流的ioam技术的检测实例，实现对网络中的业务状态的实时监控。当业务流服务水平协议(service level agreement，sla)出现劣化后，例如，丢包率超约定、时延超阈值，控制器会结合业务流的路径和逐段检测结果，确定故障网络设备和故障类型。不同的网络设备、不同的检测内容对应不同范围的kpi时间序列，控制器根据确定的故障网络设备和故障类型，确定kpi时间序列的异常范围，即确定控制器需要去哪些网络设备采集哪些相关的kpi时间序列。在故障恢复后，控制器得到故障的发生时间和结束时间，用于确定故障对应的异常时间段。
118.在一种可能的实现方式中，由于不同的业务检测技术结果对应不同范围的kpi，可根据需要部署其他的业务检测技术替换本实施例中的ioam技术，标注出其他范围的异常kpi时间序列。
119.402、控制器从异常的网络设备采集kpi时间序列。
120.控制器确定异常的网络设备及异常时间段后，触发获取kpi时间序列的操作，例如，向异常的网络设备发送获取kpi数据的指令，从异常的网络设备采集相关的kpi时间序列。
121.在一种可能的实现方式中，控制器确定异常的网络设备及异常时间段后，直接将
确定的异常时间段发送给相应的网络设备。网络设备基于该异常时间段更新本地的异常识别模型。示例性地，网络设备将网络设备中对应的kpi时间序列中与异常时间段对应的kpi数据去除，得到目标kpi时间序列，基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型；可选地，网络设备将异常识别模型的参数中与异常时间段对应的参数去除，得到更新后的异常识别模型。
122.403、控制器基于采集到的kpi时间序列得到优化后的异常识别模型的参数。
123.控制器根据获取到的kpi时间序列训练异常识别模型得到优化后的异常识别模型的参数。优化后的异常识别模型的参数指示kpi数据正常时的样子。
124.生成优化后的异常识别模型的参数的过程包括但不限于如下步骤：控制器基于得到的kpi时间序列和异常时间段的信息，移除kpi时间序列中与异常时间段对应的kpi数据，得到更新后的kpi数据；控制器基于更新后的kpi数据从中提取数据特征生成优化后的异常识别模型的参数。该过程中训练异常识别模型中应用的算法类型与该kpi时间序列在网络设备中计算生成本地的异常识别模型的参数时应用的算法的类型相同。
125.404、控制器确定优化后的异常识别模型的参数的下发范围。
126.优化后的异常识别模型的参数是与控制器获取的参与模型训练的kpi时间序列一一对应的，也就意味着，得到的优化后的异常识别模型的参数的下发范围是确定的，即为获取的kpi时间序列的范围。所以，控制器直接确定的优化后的异常识别模型的参数的下发范围为与控制器根据业务质量检测结果确定的异常的网络设备的范围。
127.在一种可能的实现方式中，控制器确定的优化后的异常识别模型的参数的下发范围为路由器网络中所有同类型网络设备。在路由器网络的大量网络设备中，许多网络设备的类型相同、支持的业务也相同，相同类型的网络设备运行相同类型的业务会生成相似的kpi时间序列，这也就意味着，同类型网络设备之间存在相似的kpi时间序列，对kpi数据是否异常的识别可以采用相同的方式与标准。因而，在本技术实施例中，控制器得到优化后的异常识别模型的参数后，基于各优化后的异常识别模型的参数对应的异常的网络设备的类型，在路由器网络中识别相同类型的网络设备，确定优化后的异常识别模型的参数下发范围为所有的同类型的网络设备，优化后的异常识别模型的参数下发到相关网络设备后，依据kpi类型在网络设备内的相似kpi时间序列间扩散。
128.405、控制器下发优化后的异常识别模型的参数。
129.控制器在确定优化后的异常识别模型的参数的下发范围后，将优化后的异常识别模型的参数通过netconf向网络设备下发。参见图6，下发的优化后的异常识别模型的参数采用了yang模型，包括但不限于图中所示的kpi范围部分602与标注信息部分601。
130.kpi范围部分602用于确定优化后的异常识别模型的参数下发的具体位置。参见图7，kpi范围以三级方式组织，分别为模块(module)、对象(object)和属性(attribute)。模块表示一类kpi的聚合，比如流量统计模块等；对象是承载kpi的实体，比如接口等；属性是具体的kpi数据，比如单播、组播、总报文计数。各类模块、对象和属性均可以通过与之对应的编号进行标识。其中，对象的确定通过确定对象所在机框的框号(chassis-id)，所在扩展插槽的槽位号(slot-id)和对象自身标识(object-id)的方式实现。kpi范围组合方式比较灵活，可以仅使用模块或模块与属性，这样可以和具体的对象解耦。
131.标注信息部分601用于携带该优化后的异常识别模型的参数和对应的kpi时间序
列的标注信息。标注信息部分包括但不限于，优化后的异常识别模型的参数，用fingerprint部分表示；异常起止时间，用start-time和end-time表示，用以对应ioam检测到的异常时间段；标注类型，用tagging-type表示，分为标白和标黑两种，分别表示kpi时间序列正常、异常两种情况，本实施例的ioam场景类型为标黑；算法类型，用algorithm-id表示，该算法类型与该优化后的异常识别模型的参数对应的kpi时间序列在网络设备中计算生成本地的异常识别模型的参数时应用的算法模型的类型相对应，可以帮助指示优化后的异常识别模型的参数下发后的更新操作。
132.406、网络设备根据控制器下发的优化后的异常识别模型的参数，更新异常识别模型。
133.网络设备接收控制器通过netconf下发的优化后的异常识别模型的参数，可选地，接收该优化后的异常识别模型的参数的网络设备可以为已经确定为异常的网络设备以及所有与异常的网络设备同类型网络设备。网络设备接收到优化后的异常识别模型的参数后，再依据kpi范围和标注信息中携带的算法类型，替换更新与优化后的异常识别模型的参数对应的kpi时间序列本地的异常识别模型的参数。
134.在一种可能的实现方式中，采用ioam标注kpi时间序列的异常时段之前，网络设备会采集kpi时间序列中一定数量的连续的kpi数据，通过异常识别模型训练得到本地的异常识别模型的参数，用来判断对应kpi时间序列中后续的kpi数据是否异常。根据本地的异常识别模型的参数的获得过程可知，本地的异常识别模型的参数与kpi时间序列进行模型训练时采用的算法的类型是相互匹配对应的。因而，优化后的异常识别模型的参数更新本地的异常识别模型的参数时，需要通过判断匹配操作，保证计算优化后的异常识别模型的参数的算法类型与下发的标注信息部分中携带的algorithm-id表示的算法类型相同。
135.407、网络设备根据更新后的异常识别模型，继续对待识别的kpi数据进行异常识别。
136.网络设备更新异常识别模型的参数后，异常识别模型随之更新，采用更新后的异常识别模型进行待识别kpi数据的异常识别。识别方法可以是后续kpi数据与更新后的优化后的异常识别模型的参数进行比对，偏差超过一定程度时，判定kpi数据为异常。
137.在一种可能的实施方式中，网络设备得到异常识别结果后，本发明实施例提供的方法还包括将得到的异常kpi识别结果上报给控制器。
138.本技术实施例提供了一种异常识别的方法，有助于提高异常识别模型的准确性。本实施例中控制器根据业务检测技术的检测结果，获取与故障相关的kpi时间序列，移除异常kpi数据后计算得到优化后的异常识别模型的参数，并替换更新网络设备中的本地的异常识别模型的参数实现对异常模型参数的更新，应用更新后的异常识别模型进行待识别的kpi数据的异常识别。本实施例提供的方法在控制器和网络设备之间在线完成，由于优化后的异常识别模型的参数是移除了异常数据后得到的，具有更高的准确性，利用准确度更高的异常识别模型对后续的kpi时间序列进行判定，从而减少对kpi异常的漏报，提高异常kpi识别结果的准确性。
139.场景二，在识别kpi是否异常的过程中，网络设备上报已识别出的kpi异常识别结果，控制器进行相应的汇聚分析，确定上报的kpi异常识别结果中的误报事件；网络设备根据确定出的误报事件更新相应的本地的异常识别模型，采用更新后的异常识别模型识别待
识别的kpi数据是否异常。
140.本技术实施例提供的异常识别方法包括但不限于图8所示以下步骤，结合图9所示场景进行说明。
141.801、网络设备向控制器上报异常识别模型输出的kpi异常识别结果。
142.网络设备中设置有异常识别模型，采用无监督机器学习的方法在线实时分析kpi数据是否存在异常。
143.在异常识别的整体过程中，网络设备在kpi时间序列中定时采集连续时段内的kpi数据作为网络设备本地的异常识别模型的训练数据，基于采集的kpi数据对异常识别模型进行训练，得出本地的异常识别模型的参数。其中，异常识别模型包括多种算法，得到的本地的异常识别模型的参数与模型训练过程中采用的kpi数据所属的kpi时间序列和算法种类相对应，本技术实施例不对算法种类进行限定。同一算法可以应用到不同kpi时间序列中的kpi数据上。示例性地，在kpi时间序列1和kpi时间序列2中采集的kpi数据均应用算法1，得到的本地的异常识别模型的参数分别是kpi时间序列1和kpi时间序列2中被采集的kpi数据的标准差；kpi时间序列3中采集的kpi数据应用算法3，得到的本地的异常识别模型的参数是被采集的kpi数据的平均数。得到的异常识别模型的参数作为本地的异常识别模型的参数用来识别后续的kpi时间序列是否存在异常。若识别到异常，将kpi异常识别结果采用遥测(telemetry)技术上报给控制器。上报的kpi异常识别结果信息所包括的内容如下表1：
144.表1上报信息内容
[0145][0146][0147]
802，控制器根据kpi异常识别结果确定误报事件。
[0148]
控制器中设置有异常事件管理单元，网络设备上报的kpi异常识别结果均由该异常事件管理单元进行统一管理。异常事件管理单元存储网络设备上报的kpi异常识别结果，并定时触发kpi异常识别结果的汇聚分析，以确定kpi异常识别结果中的误报事件。可选地，对kpi异常识别结果的汇聚分析操作由异常事件管理单元执行或者由控制器中其他单元执行，本实施例在此不做限定。例如，汇聚分析过程包括但不限于以下8021-8023。
[0149]
8021、控制器识别上报的kpi异常识别结果所属的网络设备的类型和kpi类型。
[0150]
根据网络设备上报的kpi异常识别结果所包括的内容，控制器可以识别出每条kpi异常识别结果所属的网络设备，同时识别出所属的网络设备的类型以及对应的kpi异常时间序列的kpi类型。
[0151]
8022、控制器根据网络设备的类型和kpi类型将上报的kpi异常识别结果分拆成不同的块。
[0152]
示例性地，将所有汇聚测网关(aggregation site gateway，asg)网元流量统计模块的kpi异常识别结果作为一块。
[0153]
8023、控制器针对块内kpi异常识别结果对应的kpi时间序列的多维特征值做聚类分析。
[0154]
控制器在每个块中，针对块内kpi异常识别结果对应的kpi时间序列的多维特征值，如kpi对应的对象、对应的属性，进行聚类分析，本实施例对聚类分析的具体方法不做限定。基于聚类分析结果，对于离群事件，直接保留，不做处理；对于非离群事件，结合区域特征进行分析，判断是否误报。从整个路由器网络看，网络设备发生故障通常表现出区域性、偶发性，也就意味着，与故障相对应的kpi时间序列不会广泛地分布在多个不同区域，即相似故障不会同时均匀的分布在多个不同的网络设备中。因而，如果聚类分析后得到的非离群事件跨越多个区域，则判定该非离群事件为误报事件。控制器对误报事件进行标注，用于指示误报的kpi异常识别结果，即确定出网络设备上报的kpi异常识别结果中本应为正常的事件。
[0155]
在一种可能的实现方式中，控制器得到非离群事件后，计算各非离群事件间的相似度，将相似度达到一定阈值的相似事件自动标注成误报事件。
[0156]
803，控制器下发误报事件，该误报事件用于指示误报的kpi异常识别结果。
[0157]
在完成误报事件的确定工作后，控制器将误报事件通过netconf下发到目标网络设备，误报事件的下发形式依旧采用yang模型，可参见图6。下发的误报事件的信息包括但不限于kpi范围部分602和标注信息部分601。
[0158]
kpi范围信息602用于标识误报事件对应的kpi时间序列的具体位置，与场景一实施例中所叙述的内容相同，在此不再一一赘述。
[0159]
标注信息部分601，标识对应kpi时间序列的部分特征值。示例性地，本实施例的标注类型(tagging-type)为标白，异常起止时间start-time和end-time与网络设备上报kpi异常识别结果时的值一致。
[0160]
控制器中可以设置标注管理单元，该标注管理单元下发上述误报事件的信息到网络设备。
[0161]
804，网络设备根据误报事件更新异常识别模型。
[0162]
网络设备设置有模型训练和更新模块，该模型训练和更新模块收到控制器下发的误报事件后，根据yang模型携带的kpi范围、异常时段等信息，确定误报的kpi异常识别结果对应的kpi时间序列，将之前误报的kpi异常识别结果对应的kpi时间序列中的kpi数据标注为正常，加入到网络设备中对应的kpi时间序列中，得到目标kpi时间序列，基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
[0163]
805，网络设备使用更新后的异常识别模型进行待识别的kpi数据的异常识别。
[0164]
网络设备采用更新后的异常识别模型识别后续的kpi数据是否异常。示例性地，识
别方法为，如果此后kpi时间序列中的kpi数据特征和更新后的异常识别模型中的参数相似，则认定为正常，否则，认定为异常。
[0165]
在一种可能的实现方式中，网络设备上报新的kpi异常识别结果。异常识别模型更新后，网络设备继续识别待识别的kpi数据的异常情况，若识别到异常，网络设备上报新的kpi异常识别结果。
[0166]
在本实施例提供的方法中，控制器通过判断网络设备上报的kpi异常识别结果是否正确，确定出误报事件，网络设备根据误报事件的信息修改误报事件为正常事件，更新异常识别模型，并将该更新后的异常识别模型应用到后续的识别过程中，如识别出新的异常信息，网络设备继续向控制器上报新的kpi异常识别结果。上述过程在控制器和网络设备之间自动完成，形成闭环，持续压抑误报，提升系统的可用性、提高识别结果的精准性。
[0167]
以上介绍了本技术实施例提供的异常识别的方法，与上述方法对应，本技术实施例还提供异常识别的装置。图10是本技术实施例提供的一种识别异常装置的结构示意图，该装置应用于网络设备，该网络设备为上述图3、图4和图8任一附图所示的网络设备。基于图10所示的如下多个模块，该图10所示的识别异常装置能够执行网络设备所执行的全部或部分操作。应理解到，该装置可以包括比所示模块更多的附加模块或者省略其中所示的一部分模块，本技术实施例对此并不进行限制。如图10所示，该装置包括：
[0168]
接收模块1001，用于接收控制器发送的识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于异常识别模型输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；
[0169]
更新模块1002，根据识别参考信息更新异常识别模型；
[0170]
识别模块1003，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。
[0171]
在一种可能的实现方式中，识别参考信息包括基于业务质监测结果得到的异常时间段，更新后的异常识别模型基于目标kpi时间序列训练得到，目标kpi时间序列不包括异常时间段对应的kpi数据。
[0172]
在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，更新模块1002，用于将网络设备获取的kpi时间序列中与异常时间段对应的kpi数据去除，得到目标kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
[0173]
在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，更新模块1002，用于将异常识别模型的参数中与异常时间段对应的参数去除，得到更新后的异常识别模型。
[0174]
在一种可能的实现方式中，识别参考信息包括基于异常识别模型输出的kpi异常识别结果得出的误报事件，更新模块1002，用于获取目标kpi时间序列，目标kpi时间序列包括误报的kpi异常识别结果对应的kpi时间序列；基于目标kpi时间序列训练异常识别模型，得到更新后的异常识别模型。
[0175]
在一种可能的实现方式中，装置还包括：
[0176]
获取模块，用于获取异常网络设备输出的kpi异常识别结果；
[0177]
发送模块，用于向控制器上报kpi异常识别结果，kpi异常识别结果用于控制器检测是否存在误报事件。
[0178]
图11是本技术实施例提供的一种异常识别装置的结构示意图，该装置应用于控制器，该控制器为上述图3、图4和图8任一附图所示的控制器。基于图11所示的如下多个模块，该图11所示的异常识别装置能够执行控制器所执行的全部或部分操作。应理解到，该装置可以包括比所示模块更多的附加模块或者省略其中所示的一部分模块，本技术实施例对此并不进行限制。如图11所示，该装置包括：
[0179]
获取模块1101，用于获取识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段，或者基于业务质量检测结果得到的优化后的异常识别模型的参数，或者基于异常网络设备输出的kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；
[0180]
发送模块1102，用于将识别参考信息发送给目标网络设备，识别参考信息用于目标网络设备更新目标异常识别模型。
[0181]
在一种可能的实现方式中，识别参考信息包括基于业务质量检测结果得到的异常时间段，获取模块1101，用于获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段；
[0182]
发送模块1102，用于将异常时间段发送给目标网络设备，目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备(如该异常的网络设备)。
[0183]
在一种可能的实现方式中，识别参考信息包括优化后的异常识别模型的参数，获取模块1101，用于获取业务质量检测结果，基于业务质量检测结果确定异常的网络设备以及异常时间段，采集异常的网络设备发送的kpi时间序列；去除kpi时间序列中异常时间段对应的kpi数据，得到更新后的kpi数据，基于更新后的kpi数据训练得到优化后的异常识别模型的参数；
[0184]
发送模块1102，用于将优化后的异常识别模型的参数发送给目标网络设备，目标网络设备为用于基于异常识别模型对异常的网络设备的kpi数据进行异常识别的设备(如该异常的网络设备)。
[0185]
在一种可能的实现方式中，识别参考信息包括基于kpi异常识别结果得到的误报事件，获取模块1101，用于接收网络设备上报的kpi异常识别结果，基于kpi异常识别结果检测存在的误报事件；
[0186]
发送模块1102，用于确定发生误报事件的网络设备，将误报事件发送给目标网络设备，目标网络设备为用于基于异常识别模型对发生误报事件的网络设备的kpi数据进行异常识别的设备(如该发生误报事件的网络设备)。
[0187]
在一种可能的实现方式中，发送模块1102，还用于将优化后的异常识别模型的参数发送给与异常的网络设备同类型的网络设备。
[0188]
在一种可能的实现方式中，目标网络设备为异常的网络设备。
[0189]
在一种可能的实现方式中，目标网络设备为发生误报事件的网络设备。
[0190]
应理解的是，上述图10、图11提供的装置在实现其功能时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的装置与方法实施例属于同一构思，其具体实现过程详见方法实施例，这
里不再赘述。
[0191]
上述实施例中的网络设备的硬件结构如图12所示的网络设备1500，包括收发器1501、处理器1502和存储器1503。收发器1501、处理器1502和存储器1503之间通过总线1504连接。其中，收发器1501用于接收报文和发送报文，存储器1503用于存放指令或程序代码，处理器1502用于调用存储器1503中的指令或程序代码使得网络设备执行上述方法实施例中客户端的相关处理步骤。在具体实施例中，本技术实施例的网络设备1500可对应于上述各个方法实施例中的客户端，网络设备1500中的处理器1502读取存储器1503中的指令或程序代码，使图12所示的网络设备1500能够执行客户端所执行的全部或部分操作。
[0192]
在具体实施例中，本技术实施例的网络设备1500可对应于上述各个方法实施例中的服务端，网络设备1500中的处理器1502读取存储器1503中的指令或程序代码，使图10所示的网络设备1500能够执行服务端所执行的全部或部分操作。
[0193]
在具体实施例中，本技术实施例的网络设备1500可对应于上述各个方法实施例中的认证中心，网络设备1500中的处理器1502读取存储器1503中的指令或程序代码，使图10所示的网络设备1500能够执行认证中心所执行的全部或部分操作。
[0194]
参见图13，图13示出了本技术一个示例性实施例提供的网络设备2000的结构示意图。图13所示的网络设备2000用于执行上述图2至图6所示的异常识别的方法所涉及的操作。该网络设备2000例如是交换机、路由器等。
[0195]
如图13所示，网络设备2000包括至少一个处理器2001、存储器2003以及至少一个通信接口2004。
[0196]
处理器2001例如是通用中央处理器(central processing unit，cpu)、数字信号处理器(digital signal processor，dsp)、网络处理器(network processer，np)、图形处理器(graphics processing unit，gpu)、神经网络处理器(neural-network processing units，npu)、数据处理单元(data processing unit，dpu)、微处理器或者一个或多个用于实现本技术方案的集成电路。例如，处理器2001包括专用集成电路(application-specific integrated circuit，asic)，可编程逻辑器件(programmable logic device，pld)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。pld例如是复杂可编程逻辑器件(complex programmable logic device，cpld)、现场可编程逻辑门阵列(field-programmable gate array，fpga)、通用阵列逻辑(generic array logic，gal)或其任意组合。其可以实现或执行结合本发明实施例公开内容所描述的各种逻辑方框、模块和电路。处理器也可以是实现计算功能的组合，例如包括一个或多个微处理器组合，dsp和微处理器的组合等等。
[0197]
可选的，网络设备2000还包括总线。总线用于在网络设备2000的各组件之间传送信息。总线可以是外设部件互连标准(peripheral component interconnect，简称pci)总线或扩展工业标准结构(extended industry standard architecture，简称eisa)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图13中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。图12中网络设备2000的各组件之间除了采用总线连接，还可采用其他方式连接，本发明实施例不对各组件的连接方式进行限定。
[0198]
存储器2003例如是只读存储器(read-only memory，rom)或可存储静态信息和指令的其它类型的静态存储设备，又如是随机存取存储器(random access memory，ram)或者
可存储信息和指令的其它类型的动态存储设备，又如是电可擦可编程只读存储器(electrically erasable programmable read-only memory，eeprom)、只读光盘(compact disc read-only memory，cd-rom)或其它光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其它磁存储设备，或者是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其它介质，但不限于此。存储器2003例如是独立存在，并通过总线与处理器2001相连接。存储器2003也可以和处理器2001集成在一起。
[0199]
通信接口2004使用任何收发器一类的装置，用于与其它设备或通信网络通信，通信网络可以为以太网、无线接入网(ran)或无线局域网(wireless local area networks，wlan)等。通信接口2004可以包括有线通信接口，还可以包括无线通信接口。具体的，通信接口2004可以为以太(ethernet)接口、快速以太(fast ethernet，fe)接口、千兆以太(gigabit ethernet，ge)接口，异步传输模式(asynchronous transfer mode，atm)接口，无线局域网(wireless local area networks，wlan)接口，蜂窝网络通信接口或其组合。以太网接口可以是光接口，电接口或其组合。在本技术实施例中，通信接口2004可以用于网络设备2000与其他设备进行通信。
[0200]
在具体实现中，作为一种实施例，处理器2001可以包括一个或多个cpu，如图12中所示的cpu0和cpu1。这些处理器中的每一个可以是一个单核(single-cpu)处理器，也可以是一个多核(multi-cpu)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。
[0201]
在具体实现中，作为一种实施例，网络设备2000可以包括多个处理器，如图12中所示的处理器2001和处理器2005。这些处理器中的每一个可以是一个单核处理器(single-cpu)，也可以是一个多核处理器(multi-cpu)。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(如计算机程序指令)的处理核。
[0202]
在具体实现中，作为一种实施例，网络设备2000还可以包括输出设备和输入设备。输出设备和处理器2001通信，可以以多种方式来显示信息。例如，输出设备可以是液晶显示器(liquid crystal display，lcd)、发光二级管(light emitting diode，led)显示设备、阴极射线管(cathode ray tube，crt)显示设备或投影仪(projector)等。输入设备和处理器2001通信，可以以多种方式接收用户的输入。例如，输入设备可以是鼠标、键盘、触摸屏设备或传感设备等。
[0203]
在一些实施例中，存储器2003用于存储执行本技术方案的程序代码2010，处理器2001可以执行存储器2003中存储的程序代码2010。也即是，网络设备2000可以通过处理器2001以及存储器2003中的程序代码2010，来实现方法实施例提供的报文处理方法。程序代码2010中可以包括一个或多个软件模块。可选地，处理器2001自身也可以存储执行本技术方案的程序代码或指令。
[0204]
在具体实施例中，本技术实施例的网络设备2000可对应于上述各个方法实施例中的第一网络设备，网络设备2000中的处理器2001读取存储器2003中的程序代码2010或处理器2001自身存储的程序代码或指令，使图12所示的网络设备2000能够执行第一网络设备所执行的全部或部分操作。
[0205]
在具体实施例中，本技术实施例的网络设备2000可对应于上述各个方法实施例中
的第二网络设备，网络设备2000中的处理器2001读取存储器2003中的程序代码2010或处理器2001自身存储的程序代码或指令，使图13所示的网络设备2000能够执行第二网络设备所执行的全部或部分操作。
[0206]
网络设备2000还可以对应于上述图10、11所示的装置，图10、11所示的装置中的每个功能模块采用网络设备2000的软件实现。换句话说，图10、11所示的装置包括的功能模块为网络设备2000的处理器2001读取存储器2003中存储的程序代码2010后生成的。
[0207]
其中，图2、图3、图4所示的识别异常的方法的各步骤通过网络设备2000的处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本技术实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤，为避免重复，这里不再详细描述。
[0208]
本技术实施例还提供了一种异常识别系统，该系统包括网络设备和控制器；
[0209]
控制器，用于获取识别参考信息，识别参考信息包括基于业务质量检测结果得到的异常时间段；将识别参考信息发送给目标网络设备；
[0210]
网络设备，用于接收控制器发送的识别参考信息，根据识别参考信息更新异常识别模型，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。该系统的网络设备和控制器各自的功能可参考上述图3、图4和图8所示的相关描述，此处不再一一赘述。
[0211]
还提供了一种异常识别系统，该系统包括网络设备和控制器；
[0212]
控制器，用于获取识别参考信息，识别参考信息包括基于kpi异常识别结果得到的误报事件，误报事件用于指示误报的kpi异常识别结果；将识别参考信息发送给目标网络设备；
[0213]
网络设备，用于接收控制器发送的识别参考信息，根据识别参考信息更新异常识别模型，根据更新后的异常识别模型对待识别的kpi数据进行异常识别。该系统的网络设备和控制器各自的功能可参考上述图3、图4和图8所示的相关描述，此处不再一一赘述。
[0214]
应理解的是，上述处理器可以是中央处理器(central processing unit，cpu)，还可以是其他通用处理器、数字信号处理器(digital signal processing，dsp)、专用集成电路(application specific integrated circuit，asic)、现场可编程门阵列(field－programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者是任何常规的处理器等。值得说明的是，处理器可以是支持进阶精简指令集机器(advanced risc machines，arm)架构的处理器。
[0215]
进一步地，在一种可选的实施例中，上述存储器可以包括只读存储器和随机存取存储器，并向处理器提供指令和数据。存储器还可以包括非易失性随机存取存储器。例如，存储器还可以存储设备类型的信息。
[0216]
该存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，rom)、可编程只读存储器(programmable rom，prom)、可擦除可编程只读存储器(erasable prom，eprom)、电可擦除可编程只读存储器(electrically eprom，eeprom)或闪存。易失性存储器可以是随机存取存储器(random access memory，ram)，其用作外部高速缓存。通过示例性但不是限
制性说明，许多形式的ram可用。例如，静态随机存取存储器(static ram，sram)、动态随机存取存储器(dynamic random access memory，dram)、同步动态随机存取存储器(synchronous dram，sdram)、双倍数据速率同步动态随机存取存储器(double data date sdram，ddr sdram)、增强型同步动态随机存取存储器(enhanced sdram，esdram)、同步连接动态随机存取存储器(synchlink dram，sldram)和直接内存总线随机存取存储器(direct rambus ram，dr ram)。
[0217]
还提供了一种计算机可读存储介质，存储介质中存储有至少一条程序指令或代码，所述程序指令或代码由处理器加载并执行时以使计算机实现如上图2、图3、图4中任一所述的异常识别的方法。
[0218]
本技术提供了一种计算机程序，当计算机程序被计算机执行时，可以使得处理器或计算机执行上述方法实施例中对应的各个步骤和/或流程。
[0219]
提供了一种芯片，包括处理器，用于从存储器中调用并运行所述存储器中存储的指令，使得安装有所述芯片的通信设备执行上述各方面中的方法。
[0220]
提供另一种芯片，包括：输入接口、输出接口、处理器和存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过内部连接通路相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述各方面中的方法。
[0221]
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本技术所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘solid state disk)等。
[0222]
以上所述的具体实施方式，对本技术的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本技术的具体实施方式而已，并不用于限定本技术的保护范围，凡在本技术的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本技术的保护范围之内。
[0223]
本领域普通技术人员可以意识到，结合本文中所公开的实施例中描述的各方法步骤和模块，能够以软件、硬件、固件或者其任意组合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各实施例的步骤及组成。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。本领域普通技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本技术的范围。
[0224]
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件
来完成，也可以通过程序来指令相关的硬件完成，该程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。
[0225]
当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。该计算机程序产品包括一个或多个计算机程序指令。作为示例，本技术实施例的方法可以在机器可执行指令的上下文中被描述，机器可执行指令诸如包括在目标的真实或者虚拟处理器上的器件中执行的程序模块中。一般而言，程序模块包括例程、程序、库、对象、类、组件、数据结构等，其执行特定的任务或者实现特定的抽象数据结构。在各实施例中，程序模块的功能可以在所描述的程序模块之间合并或者分割。用于程序模块的机器可执行指令可以在本地或者分布式设备内执行。在分布式设备中，程序模块可以位于本地和远程存储介质二者中。
[0226]
用于实现本技术实施例的方法的计算机程序代码可以用一种或多种编程语言编写。这些计算机程序代码可以提供给通用计算机、专用计算机或其他可编程的数据处理装置的处理器，使得程序代码在被计算机或其他可编程的数据处理装置执行的时候，引起在流程图和/或框图中规定的功能/操作被实施。程序代码可以完全在计算机上、部分在计算机上、作为独立的软件包、部分在计算机上且部分在远程计算机上或完全在远程计算机或服务器上执行。
[0227]
在本技术实施例的上下文中，计算机程序代码或者相关数据可以由任意适当载体承载，以使得设备、装置或者处理器能够执行上文描述的各种处理和操作。载体的示例包括信号、计算机可读介质等等。
[0228]
信号的示例可以包括电、光、无线电、声音或其它形式的传播信号，诸如载波、红外信号等。
[0229]
机器可读介质可以是包含或存储用于或有关于指令执行系统、装置或设备的程序的任何有形介质。机器可读介质可以是机器可读信号介质或机器可读存储介质。机器可读介质可以包括但不限于电子的、磁的、光学的、电磁的、红外的或半导体系统、装置或设备，或其任意合适的组合。机器可读存储介质的更详细示例包括带有一根或多根导线的电气连接、便携式计算机磁盘、硬盘、随机存储存取器(ram)、只读存储器(rom)、可擦除可编程只读存储器(eprom或闪存)、光存储设备、磁存储设备，或其任意合适的组合。
[0230]
所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、设备和模块的具体工作过程，可以参见前述方法实施例中的对应过程，在此不再赘述。
[0231]
在本技术所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，该模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、设备或模块的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。
[0232]
该作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本技术实施例方案的目的。
[0233]
另外，在本技术各个实施例中的各功能模块可以集成在一个处理模块中，也可以
是各个模块单独物理存在，也可以是两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
[0234]
该集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，本技术的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本技术各个实施例中方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(read-only memory，rom)、随机存取存储器(random access memory，ram)、磁碟或者光盘等各种可以存储程序代码的介质。
[0235]
本技术中术语“第一”“第二”等字样用于对作用和功能基本相同的相同项或相似项进行区分，应理解，“第一”、“第二”、“第n”之间不具有逻辑或时序上的依赖关系，也不对数量和执行顺序进行限定。还应理解，尽管以下描述使用术语第一、第二等来描述各种元素，但这些元素不应受术语的限制。这些术语只是用于将一元素与另一元素区别分开。例如，在不脱离各种所述示例的范围的情况下，第一网络设备可以被称为第二网络设备，并且类似地，第二网络设备可以被称为第一网络设备。第一网络和设备和第二网络设备都可以是网络设备，并且在某些情况下，可以是单独且不同的网络设备。
[0236]
还应理解，在本技术的各个实施例中，各个过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本技术实施例的实施过程构成任何限定。
[0237]
本技术中术语“至少一个”的含义是指一个或多个，本技术中术语“多个”的含义是指两个或两个以上，例如，多个第二报文是指两个或两个以上的第二报文。本文中术语“系统”和“网络”经常可互换使用。
[0238]
应理解，在本文中对各种所述示例的描述中所使用的术语只是为了描述特定示例，而并非旨在进行限制。如在对各种所述示例的描述和所附权利要求书中所使用的那样，单数形式“一个(“a”，“an”)”和“该”旨在也包括复数形式，除非上下文另外明确地指示。
[0239]
还应理解，术语“包括”(也称“includes”、“including”、“comprises”和/或“comprising”)当在本说明书中使用时指定存在所陈述的特征、整数、步骤、操作、元素、和/或部件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元素、部件、和/或其分组。
[0240]
还应理解，术语“若”和“如果”可被解释为意指“当...时”(“when”或“upon”)或“响应于确定”或“响应于检测到”。类似地，根据上下文，短语“若确定...”或“若检测到[所陈述的条件或事件]”可被解释为意指“在确定...时”或“响应于确定...”或“在检测到[所陈述的条件或事件]时”或“响应于检测到[所陈述的条件或事件]”。
[0241]
应理解，根据a确定b并不意味着仅仅根据a确定b，还可以根据a和/或其它信息确定b。
[0242]
还应理解，说明书通篇中提到的“一个实施例”、“一实施例”、“一种可能的实现方式”意味着与实施例或实现方式有关的特定特征、结构或特性包括在本技术的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”、“一种可能
的实现方式”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。