java cep aactor_IT系统监控的规则引擎-CEP

CEP简介

CEP全称为 Complex Event Processing 复杂事件处理，其可以通过在流式数据中发现符合某种特征的模式进而触发对应的后续动作，其既支持基于单条事件的简单无状态的模式匹配(例如基于事件中的某个字段进行筛选过滤)，也可以支持基于关联／聚合／时间窗口等跨事件的复杂有状态模式匹配(例如计算滑动时间窗口移动均值)。受益于其直接作用于流式数据，无需查询持久化数据库，对底层数据库不会产生任何压力，以及其强大的模式发现能力，在监控系统中，如果把CEP与流处理引擎结合，在IT运维管理中，可以大大增强告警的实时性以及适用范围。

CEP对IT运维的价值

传统的ITOM主要对底层的软硬件基础架构对单一指标基于静态的阈值进行监控告警，这里有两个关键词：基础架构 以及 单一， 这其实正好对应了传统IT监控的两大痛点。单一导致的结果就是误报，服务器的CPU利用率上升有时是因为交易量的上升带来的正常现象，只要在合理区间内就无需告警，但是CPU利用率的孤立上升就可能是因为代码缺陷造成的，有经验的工程师一眼就能看出是否是故障，是因为工程师在一瞬间就综合分析了各个相关指标。针对基础架构则让运维人员的生活非常苦逼，有功劳都是其他部门的，出了故障都是运维的兄弟在顶包，所以近些年来基本上所有的企业都在做APM，通过网络抓包或者日志埋点等方式可以提取交易成功率/交易量/成功率等反映业务性能的指标，做了不少漂亮工程，不过不管是交易量还是成功率都还是从系统的角度去看问题，真正能带来多少业务价值其实也很难说，大屏上那些五颜六色的图表可能更多时候也是在领导检查或者参观时才体现其价值。从数据来看，其实IT运维过程中的数据是最完整的，既有包含了服务器，网络设备等基础设施的底层运行信息，也有包含中间件和数据库的中间层系统信息，还有包含了全部业务过程的上层应用日志信息，在这个数据时代，IT运维正在向IT运营转变，理应能够发挥更大的业务价值，举例对于一个金融企业，如果能从应用日志中提取到同一个账户在1分钟内在距离50公里的两地柜员机取款的类欺诈信息来支持风控，IT运维所承担的就不只是保障作用，而是直接参与到了业务决策过程当中。虽然CEP不是为IT运维管理而生，但是在一定程度上CEP确实可以解决上述两个问题，CEP最强大的就是其模式匹配引擎，其不仅可以作用于不同类型的事件，更可以按照时间窗口，发生顺序和次数以及其他状态聚合结果进行模式匹配，可以和各种业务规则进行对应。另外CEP是直接作用于流式数据，而非通过定期查询数据库的方式，因此最实时，且对数据库没有任何压力。目前的Flink流引擎已经自带了CEP模块，Flink官方给出的CEP例子正好就是针对数据中心监控的场景，案例中需要对Rack的温度进行监控，对于同一个Rack，当10秒内连续两次温度超过温度阈值时预警，当20秒内