4. 告警与停线数据对齐

告警数据和停线数据通常来自两套独立系统：告警来自设备监控或SCADA/PLC采集平台，停线记录来自MES、Andon或生产日报系统。两者在时间基准、设备命名、事件粒度上天然存在差异。如果直接按“同一时刻、同一设备名”做关联，往往匹配率极低，甚至得出错误结论。本节要解决的核心问题就是：如何把两套异构事件流对齐到同一分析坐标系中。

一、时间窗口对齐：不是找同一秒，而是找合理邻域

告警发生时刻与停线记录时刻几乎不可能完全相等。停线记录常由人工确认或班组长补录，存在分钟级甚至十分钟级延迟；告警则可能是毫秒级触发。因此对齐的第一步是定义时间窗口，而不是精确匹配。

常用做法是：以停线事件的开始时间为基准，向前回溯一个前置窗口（如5分钟），向后延伸一个后置窗口（如2分钟），落在该区间内的告警视为候选关联告警。前置窗口用于捕捉“先告警、后停线”的因果链，后置窗口用于捕捉“停线记录滞后于实际停机”的情况。

窗口大小不能拍脑袋。建议用历史数据做分布统计：抽取一批已确认的“告警-停线”配对样本，计算告警时间与停线开始时间的差值分布。若80%的差值落在-180秒到+60秒之间，则前置窗口取180秒、后置窗口取60秒较为合理。窗口过小会漏配，过大则会引入大量无关告警，导致关联分析虚高。

二、设备标识映射：从“名称”到“统一编码”

告警系统中的设备标识可能是“PLC-03-Motor-07”，停线系统中的设备可能是“3线7号电机”或“MTR_003_07”。两者指向同一物理对象，但字符串完全不同。设备标识映射的目标是建立一张映射表，把不同来源的标识统一到同一个设备主键上。

映射表至少应包含以下字段：

映射方式有三种：精确映射（一对一，最可靠）、规则映射（如按产线+设备类型+序号拼接）、模糊匹配（用于名称不规范、存在别名的情况）。实际工程中通常先用规则映射覆盖大部分设备，再对剩余无法匹配的做人工确认或模糊匹配。

需要特别注意的是：同一台设备在不同产线可能有相同名称，映射时必须带上产线维度，否则会把L3的电机告警错误关联到L5的停线记录上。

三、事件序列对齐：从“点匹配”到“序列匹配”

时间窗口和设备映射解决的是“哪些告警可能和这条停线有关”。但一条停线往往对应多条告警，且告警之间存在先后顺序。事件序列对齐要回答的是：这些告警的排列顺序是否与停线的实际发展过程一致。

例如，某次停线记录为“L3-7号电机过载停机”，时间窗口内捕获到三条告警：

10:02:15  A-1023  电机电流高
10:02:48  A-1024  电机温度高
10:03:10  A-1025  电机过载跳闸

停线开始时间为10:03:12。从序列上看，电流高→温度高→过载跳闸，符合“负载逐渐升高导致热积累最终跳闸”的典型模式，可以判定为强关联。如果告警顺序是“过载跳闸→电流高→温度高”，则可能是采集延迟或时间戳错乱，需要检查数据质量。

序列对齐的实用方法是：对窗口内告警按时间排序，检查是否存在因果链模式（如先参数越限、后保护动作），以及首告警是否落在停线开始前的合理时间内。首告警往往是最值得关注的根因线索。

四、常见对齐错误与处理

错误一：时间基准不一致。告警系统用UTC，停线系统用本地时间，导致整体偏移8小时。处理方式是统一转换为同一时区，并在映射表中记录时区偏移量。

错误二：设备映射缺失。新设备上线后未及时更新映射表，导致该设备所有告警无法关联。处理方式是建立映射表变更流程，并在对齐前做覆盖率检查：若某产线映射覆盖率低于95%，先补全映射再分析。

错误三：窗口内告警过多。一条停线关联了20条告警，无法判断主因。处理方式是引入优先级过滤：只保留严重级别为“高”或“故障”的告警，或按首告警+保护动作告警做二次筛选。

错误四：重复停线记录。同一停线被多个班次重复录入，导致一条告警关联多条停线。处理方式是对停线记录按设备+时间做去重，合并时间间隔小于5分钟的重复记录。

错误五：时钟漂移。设备PLC时钟未同步，长期运行后偏差累积到数分钟。处理方式是定期校时，并在对齐前检查各数据源的时间偏差，超过阈值时先校正再对齐。

五、对齐质量检查清单

完成对齐后，建议用以下指标判断对齐是否可用：

• 映射覆盖率：告警和停线记录中能映射到统一设备编码的比例，建议≥98%。
• 时间窗口命中率：停线事件在窗口内至少匹配到一条告警的比例，过低说明窗口或映射有问题。
• 平均关联告警数：每条停线关联的告警数量，过高说明窗口过大或未做优先级过滤。
• 首告警提前量：首告警时间与停线开始时间的差值分布，用于验证窗口设置是否合理。

对齐不是一次性工作。设备增减、系统升级、时区调整都会影响对齐结果，建议将对齐规则和映射表纳入日常运维，定期用上述指标做健康检查。只有对齐可靠，后续的关联分析和根因定位才有意义。