[發(fā)明專利]事件規(guī)則關(guān)聯(lián)分析方法及裝置

有效

• 申請?zhí)枺?/td>: 201010279945.3
• 申請日: 2010-09-09
• 公開（公告）號: CN101938486A
• 公開（公告）日: 2011-01-05
• 發(fā)明（設(shè)計）人: 王承志
• 申請（專利權(quán)）人: 東軟集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京鴻元知識產(chǎn)權(quán)代理有限公司 11327
• 代理人: 陳英俊

1.一種用于SOC系統(tǒng)的基于多線程對事件進行規(guī)則關(guān)聯(lián)分析的方法，包括：

預(yù)先定義若干規(guī)則模型，每個規(guī)則模型包括靜態(tài)節(jié)點和動態(tài)節(jié)點，靜態(tài)節(jié)點為每個規(guī)則模型的頭節(jié)點，動態(tài)節(jié)點為每個規(guī)則模型的除頭節(jié)點外的其它節(jié)點；

創(chuàng)建每幀包含第一部分和第二部分的幀結(jié)構(gòu)；

將SOC系統(tǒng)所采集的事件填入所創(chuàng)建的幀結(jié)構(gòu)的各幀的第一部分中；

在填入所述事件的同時，采用第一組線程來對所述每個規(guī)則模型中的各個靜態(tài)節(jié)點和所創(chuàng)建的幀結(jié)構(gòu)的各幀中填入的事件進行匹配并且在匹配成功時產(chǎn)生動態(tài)節(jié)點，并將所產(chǎn)生的動態(tài)節(jié)點填入其對應(yīng)靜態(tài)節(jié)點的相應(yīng)幀的第二部分中；以及

在進行所述靜態(tài)節(jié)點與所述事件匹配的同時，采用第二組線程來對先前靜態(tài)節(jié)點匹配成功后產(chǎn)生的動態(tài)節(jié)點與該動態(tài)節(jié)點所位于幀中的事件進行匹配，

其中，如果動態(tài)節(jié)點與事件匹配成功后產(chǎn)生該動態(tài)節(jié)點后續(xù)的動態(tài)節(jié)點，則銷毀該動態(tài)節(jié)點，并將該后續(xù)的動態(tài)節(jié)點放入該動態(tài)節(jié)點的相應(yīng)幀中，同時根據(jù)該動態(tài)節(jié)點的預(yù)置行為產(chǎn)生告警事件。

2.如權(quán)利要求1所述的方法，其中，采用第一組線程來對所述每個規(guī)則模型中的各個靜態(tài)節(jié)點和所創(chuàng)建的幀結(jié)構(gòu)的各幀中填入的事件進行匹配并且在匹配成功時產(chǎn)生動態(tài)節(jié)點，并將該動態(tài)節(jié)點填入其對應(yīng)靜態(tài)節(jié)點的相應(yīng)幀的第二部分中的步驟還包括：

(a)將所述每個規(guī)則模型中的靜態(tài)節(jié)點鏈接形成一個有向環(huán)，所述有向環(huán)中的每個靜態(tài)節(jié)點對所創(chuàng)建的幀結(jié)構(gòu)中的各幀都具有引用關(guān)系；

(b)針對所創(chuàng)建的幀結(jié)構(gòu)中的每一幀進行下述操作，直到完成各個靜態(tài)節(jié)點和所創(chuàng)建的幀結(jié)構(gòu)的各幀中填入的事件的匹配為止，

(b1)每個線程從所述有向環(huán)中獲取一個沒有被其它線程加鎖的靜態(tài)節(jié)點，并對該靜態(tài)節(jié)點進行加鎖；

(b2)在所獲取的靜態(tài)節(jié)點與當(dāng)前引用幀中填入的事件匹配成功時，產(chǎn)生動態(tài)節(jié)點，并將該動態(tài)節(jié)點填入其對應(yīng)靜態(tài)節(jié)點的相應(yīng)幀的第二部分中，并且將所獲取的靜態(tài)節(jié)點對幀的引用關(guān)系移動到下一幀；以及在所獲取的靜態(tài)節(jié)點與當(dāng)前引用幀中填入的事件匹配失敗時，進行步驟

(b3)中的處理；

(b3)對該靜態(tài)節(jié)點進行解鎖，并且針對下一獲取的靜態(tài)節(jié)點進行上述步驟(b1)到(b3)中的處理。

3.如權(quán)利要求2所述的方法，其中，在進行所述靜態(tài)節(jié)點與所述事件匹配的同時，采用第二組線程來對先前靜態(tài)節(jié)點匹配成功后產(chǎn)生的動態(tài)節(jié)點與該動態(tài)節(jié)點所位于幀中的事件進行匹配的步驟還包括：

針對所有所產(chǎn)生的動態(tài)節(jié)點進行下述操作，直到完成所有所產(chǎn)生的動態(tài)節(jié)點與該動態(tài)節(jié)點所位于的幀中填入的事件進行匹配為止，

每個線程從所述幀結(jié)構(gòu)的幀中獲取第一個沒有被其它線程加鎖的動態(tài)節(jié)點，并對該動態(tài)節(jié)點進行加鎖；

判斷該動態(tài)節(jié)點與所位于的幀中填入的事件是否匹配成功；

在該動態(tài)節(jié)點與所述事件匹配成功時，從所述幀中移除該動態(tài)節(jié)點；以及

對該動態(tài)節(jié)點進行解鎖。

4.如權(quán)利要求3所述的方法，在從所述幀中移除該動態(tài)節(jié)點的步驟之后，所述方法還包括：

在該動態(tài)節(jié)點產(chǎn)生后續(xù)動態(tài)節(jié)點的情況下，將該新產(chǎn)生的動態(tài)節(jié)點放入所述幀結(jié)構(gòu)的相應(yīng)幀中。

5.如權(quán)利要求4所述的方法，其中，所述幀結(jié)構(gòu)的相應(yīng)幀是與該動態(tài)節(jié)點匹配的幀或該匹配幀的下一幀。

6.如權(quán)利要求3所述的方法，還包括：

在該動態(tài)節(jié)點與所述事件間匹配條件失敗或匹配成功但次數(shù)不足時，將該動態(tài)節(jié)點從該動態(tài)節(jié)點所位于幀中移動到該幀的下一幀。

7.如權(quán)利要求1所述的方法，還包括：

當(dāng)自所述幀結(jié)構(gòu)的第一幀開始存在連續(xù)的多個未被靜態(tài)節(jié)點引用且不包含動態(tài)節(jié)點的幀時，銷毀該連續(xù)的多個幀。

8.如權(quán)利要求1所述的方法，還包括：

獲取第一組線程的每個線程的工作時間與實際時間比值的平均值作為第一平均值；

獲取第二組線程的每個線程的工作時間與實際時間比值的平均值作為第二平均值；

當(dāng)?shù)谝黄骄岛?或第二平均值超出預(yù)置的閾值時，調(diào)整第一組線程和第二組線程的個數(shù)。

9.如權(quán)利要求2所述的方法，其中，所述第一組線程的個數(shù)最大不超過規(guī)則模型的個數(shù)。