[发明专利]分析事件

说明书

背景技术

从电信网络到办公室打印机的几乎所有复杂的系统都包括事件监视器，其生成提供能够用来维修系统的信息的事件流（例如，信息消息、警告和错误消息）。根据系统的类型和大小，典型的一天中可以生成几百个或者甚至几百万个事件。把此类大量的事件整理归类的过程是繁重的，并且妨碍操作员识别故障并修理系统的能力。为此原因，许多系统包括自动化事件过滤系统，其尝试滤出不能提供信息的事件以便减少呈现给用户的事件的数目。事件过滤规则通常由目标系统领域的专家主要基于他或她对正在被监视的系统的知识来编写和确认。此过程通常涉及大量的反复试验。

需要的是用于在开发事件过滤规则时帮助领域专家及其它用户的系统和方法。

发明内容

在一方面，本发明的特征在于一种方法，依照该方法，基于描述事件的事件记录来识别一个或多个事件的序列。确定表示序列中的一些序列之间的距离的相应距离值。基于距离值来构造目标度量空间中的点的配置，其中，每个点表示序列中的相应一个序列。在显示器上呈现该配置的可视表示。

本发明的特征还在于可操作用于实现上述发明方法的装置和存储促使计算机实现上述发明方法的计算机可读指令的计算机可读介质。

通过以下说明（包括附图和权利要求），本发明的其它特征和优点将变得显而易见。

附图说明

图1是事件分析系统的实施例的方框图。

图2是事件分析方法的实施例的流程图。

图3是其中已识别了两个事件序列的示例性事件流的示意图。

图4是确定目标度量空间中的点的配置的多维标度方法的实施例的流程图。

图5是用于图1的事件分析系统的图形用户界面的实施例的示意图。

图6是用于图1的事件分析系统的图形用户界面的实施例的示意图，示出将一组序列合并的结果。

图7是由图1的事件分析系统的实施例生成的报告的实施例的示意图，所述报告示出应用过滤规则的结果。

图8是实现图1的事件分析系统的实施例的计算机的实施例的方框图。

具体实施方式

在以下说明中，使用相同的附图标记来识别相同的元件。此外，附图意图以图表的方式来说明示例性实施例的主要特征。附图并不意图描绘实际实施例的每个特征或所描绘元件的相对尺寸，并且不是按比例绘制的。

I.介绍 

本文所述的实施例提供了使得领域专家及其它用户能够分析事件流并开发事件过滤规则的事件分析系统和方法。某些实施例在事件流内发现显著的事件序列并提供用于对所发现的序列进行可视化、分析和概括的工具。在这些实施例的某些中，在显示器上将事件序列可视化为二维配置的点，其中，通过被更接近地分组在一起的点来表示相似的序列并通过更远地间隔开的点来表示无关的序列。此类可视化允许用户容易地认出频繁地发生的情形并使得他们能够容易地针对给定情形将重要事件与不重要事件分离。这样，这些实施例给用户提供其能够用来定义滤出事件的规则的对于事件数据的认识。某些实施例提供用于将事件流精炼为事件过滤规则的工具和用于确认那些事件过滤规则的工具。

II.分析事件 

A.介绍 

图1示出包括事件映射器12、距离计算器14和可视化引擎16的事件分析系统10的实施例。

图2示出由事件分析系统10实现的事件分析方法的实施例。

依照图2的方法，事件映射器12基于描述一个或多个事件的事件记录20来识别那些事件的序列（图2，方框18）。在此过程中，事件映射器12识别相关事件的序列。事件映射器12生成定义所识别的相关事件的序列的输出24。在所示的实施例中，输出24被传递至距离计算器14和可视化引擎16。在其它实施例中，输出24被以表格或其它数据结构的形式存储在能够被距离计算器14和可视化引擎16访问的数据库22中。

距离计算器14确定表示序列24中的一些序列之间的距离的相应距离值（图2，方框26）。通常，用来计算距离值的距离度量可以对应于多种不同距离度量中的一个或多个。下面详细地描述在距离计算器14的实施例中用来计算距离值的示例性距离度量。距离计算器14向可视化引擎16传送包含所计算的距离值的输出28。