[發明專利]事件規則關聯分析方法及裝置

有效

• 申請號: 201010279945.3
• 申請日: 2010-09-09
• 公開（公告）號: CN101938486A
• 公開（公告）日: 2011-01-05
• 發明（設計）人: 王承志
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京鴻元知識產權代理有限公司 11327
• 代理人: 陳英俊

1.一種用于SOC系統的基于多線程對事件進行規則關聯分析的方法，包括：

預先定義若干規則模型，每個規則模型包括靜態節點和動態節點，靜態節點為每個規則模型的頭節點，動態節點為每個規則模型的除頭節點外的其它節點；

創建每幀包含第一部分和第二部分的幀結構；

將SOC系統所采集的事件填入所創建的幀結構的各幀的第一部分中；

在填入所述事件的同時，采用第一組線程來對所述每個規則模型中的各個靜態節點和所創建的幀結構的各幀中填入的事件進行匹配并且在匹配成功時產生動態節點，并將所產生的動態節點填入其對應靜態節點的相應幀的第二部分中；以及

在進行所述靜態節點與所述事件匹配的同時，采用第二組線程來對先前靜態節點匹配成功后產生的動態節點與該動態節點所位于幀中的事件進行匹配，

其中，如果動態節點與事件匹配成功后產生該動態節點后續的動態節點，則銷毀該動態節點，并將該后續的動態節點放入該動態節點的相應幀中，同時根據該動態節點的預置行為產生告警事件。

2.如權利要求1所述的方法，其中，采用第一組線程來對所述每個規則模型中的各個靜態節點和所創建的幀結構的各幀中填入的事件進行匹配并且在匹配成功時產生動態節點，并將該動態節點填入其對應靜態節點的相應幀的第二部分中的步驟還包括：

(a)將所述每個規則模型中的靜態節點鏈接形成一個有向環，所述有向環中的每個靜態節點對所創建的幀結構中的各幀都具有引用關系；

(b)針對所創建的幀結構中的每一幀進行下述操作，直到完成各個靜態節點和所創建的幀結構的各幀中填入的事件的匹配為止，

(b1)每個線程從所述有向環中獲取一個沒有被其它線程加鎖的靜態節點，并對該靜態節點進行加鎖；

(b2)在所獲取的靜態節點與當前引用幀中填入的事件匹配成功時，產生動態節點，并將該動態節點填入其對應靜態節點的相應幀的第二部分中，并且將所獲取的靜態節點對幀的引用關系移動到下一幀；以及在所獲取的靜態節點與當前引用幀中填入的事件匹配失敗時，進行步驟

(b3)中的處理；

(b3)對該靜態節點進行解鎖，并且針對下一獲取的靜態節點進行上述步驟(b1)到(b3)中的處理。

3.如權利要求2所述的方法，其中，在進行所述靜態節點與所述事件匹配的同時，采用第二組線程來對先前靜態節點匹配成功后產生的動態節點與該動態節點所位于幀中的事件進行匹配的步驟還包括：

針對所有所產生的動態節點進行下述操作，直到完成所有所產生的動態節點與該動態節點所位于的幀中填入的事件進行匹配為止，

每個線程從所述幀結構的幀中獲取第一個沒有被其它線程加鎖的動態節點，并對該動態節點進行加鎖；

判斷該動態節點與所位于的幀中填入的事件是否匹配成功；

在該動態節點與所述事件匹配成功時，從所述幀中移除該動態節點；以及

對該動態節點進行解鎖。

4.如權利要求3所述的方法，在從所述幀中移除該動態節點的步驟之后，所述方法還包括：

在該動態節點產生后續動態節點的情況下，將該新產生的動態節點放入所述幀結構的相應幀中。

5.如權利要求4所述的方法，其中，所述幀結構的相應幀是與該動態節點匹配的幀或該匹配幀的下一幀。

6.如權利要求3所述的方法，還包括：

在該動態節點與所述事件間匹配條件失敗或匹配成功但次數不足時，將該動態節點從該動態節點所位于幀中移動到該幀的下一幀。

7.如權利要求1所述的方法，還包括：

當自所述幀結構的第一幀開始存在連續的多個未被靜態節點引用且不包含動態節點的幀時，銷毀該連續的多個幀。

8.如權利要求1所述的方法，還包括：

獲取第一組線程的每個線程的工作時間與實際時間比值的平均值作為第一平均值；

獲取第二組線程的每個線程的工作時間與實際時間比值的平均值作為第二平均值；

當第一平均值和/或第二平均值超出預置的閾值時，調整第一組線程和第二組線程的個數。

9.如權利要求2所述的方法，其中，所述第一組線程的個數最大不超過規則模型的個數。