[發明專利]一種基于事件鏈的關聯分析系統

有效

• 申請號: 201210271970.6
• 申請日: 2012-08-01
• 公開（公告）號: CN103580900A
• 公開（公告）日: 2014-02-12
• 發明（設計）人: 王新春;徐培杰;李剛;錢向東
• 申請（專利權）人: 上海寶信軟件股份有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;G06F17/30
• 代理公司: 上海漢聲知識產權代理有限公司 31236
• 代理人: 郭國中

1.一種基于事件鏈的關聯分析系統，其特征在于包括：表達式執行引擎，關聯分析引擎，聚合引擎和報警引擎，這四個部分組合起來，執行規則庫里面的規則，規則庫的規則由用戶自定義配置或者是系統內置的知識庫；其中：

所述表達式執行引擎執行規則的表達式部分，根據事件和表達式，判斷事件是否符合這個表達式的條件；如果符合，送到所述關聯分析引擎；

所述關聯分析引擎根據關聯條件，找到各個事件之間的關聯關系，形成事件鏈，形成事件鏈以后，送到所述聚合引擎中；

所述聚合引擎根據聚合條件，將可以聚合的事件鏈聚合在一起，形成最后的高價值的事件鏈，送到所述報警引擎中；

所述報警引擎根據事件鏈產生報警并執行相關后續操作。

2.根據權利要求1所述的基于事件鏈的關聯分析系統，其特征在于：所述規則庫的規則，其中每條規則分3部分組成，即：一個或者多個條件表達式，條件表達式之間的關聯條件部分和事件鏈聚合條件；一條規則可以描述某種一系列行為。

3.根據權利要求1或2所述的基于事件鏈的關聯分析系統，其特征在于：所述表達式執行引擎啟動時，將所有規則的表達式部分載入到內存中，并將文本描述的表達式轉換為可執行的表達式，當一個事件到達時，表達式執行引擎的執行過程如下：

（1）取出一條規則的所有表達式：

a)將第一個表達式送到表達式執行器，執行器將該表達式的變量部分用事件中的實際值代替；

b)值替換完畢后，表達式執行器判斷這個表達式是否成立，如果成立，則匹配成功，送入關聯分析引擎，結束執行當前規則的余下部分表達式；

c)如果不匹配，執行下一個表達式；

d)重復abc過程，直至事件匹配表達式或者該規則的所有表達式執行完畢；

（2）執行下一條規則的所有表達式，過程如前（1），直至事件匹配某一表達式或者所有的規則的表達式都執行完畢；

上述（1）、（2）過程如果是在多處理器系統上執行，那么多條規則之間則并發執行，提升系統性能。

4.根據權利要求1所述的基于事件鏈的關聯分析系統，其特征在于：所述關聯分析引擎根據關聯條件，確定當前事件是創建一個新的事件鏈則創建一個全新的事件鏈，并加入到緩存中，否則就匹配緩存中已經存在的事件鏈，如果能夠匹配到事件鏈，將當前事件加入到事件鏈中，并確定是否已經完整，如果形成完整的事件鏈，送入聚合引擎中，如果不滿足創建事件鏈的條件并且匹配不到任何事件鏈則拋棄當前事件，根據形成事件鏈的事件是否有順序要求，其具體過程有所不同，其中形成事件鏈的順序有要求指即先有事件1，再有事件2才能形成事件鏈；無要求則表示，只要事件1和事件2在某個時間區間范圍內出現，不管其先后，都能夠形成事件鏈；

如果規則不需要進行關聯，即一個規則只有一個表達式，只需要匹配一類事件，則關聯分析引擎直接把事件送入聚合引擎。