[發(fā)明專利]一種基于大數(shù)據(jù)存儲的檢索分析方法、裝置及介質(zhì)

有效

• 申請?zhí)枺?/td>: 201910362509.3
• 申請日: 2019-04-30
• 公開（公告）號: CN110245208B
• 公開（公告）日: 2022-05-24
• 發(fā)明（設(shè)計）人: 凌翔;秦昊;張東波;楊瑞;魏千洲;林利彬;劉智;張昱;王曉旭;郭旭
• 申請（專利權(quán)）人: 廣東省智能制造研究所
• 主分類號: G06F16/31
• 分類號: G06F16/31;G06F16/33
• 代理公司: 廣州容大知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44326
• 代理人: 劉新年

1.一種基于大數(shù)據(jù)存儲的檢索分析方法，其特征在于，方法包括：

接收字段查詢信息；

根據(jù)所述字段查詢信息在存儲數(shù)據(jù)中搜索對應(yīng)的現(xiàn)場可搜索事件，其中，所述現(xiàn)場可搜索事件為一個或多個信息技術(shù)系統(tǒng)的安全性或性能方面的活動事件；

生成所述對應(yīng)的現(xiàn)場可搜索事件的子集；

識別所述子集中一個或多個事件中的字段，并確定上述字段存在的唯一值的個數(shù)；

顯示所選的字段名稱和所述唯一值的個數(shù)，其中，所述字段名稱為可在查詢信息中引用的字段的字段名稱；

所述存儲數(shù)據(jù)，包括：多組現(xiàn)場可搜索事件，其中，

各組現(xiàn)場可搜索事件中的每個事件均與時間戳關(guān)聯(lián)；

各組現(xiàn)場可搜索事件中的每個事件均包括反映一個或多個信息技術(shù)系統(tǒng)中活動的機器數(shù)據(jù)；

各組現(xiàn)場可搜索事件中至少一個事件包括反映一個或多個信息技術(shù)系統(tǒng)中活動的日志數(shù)據(jù)；

各組現(xiàn)場可搜索事件中至少一個事件包括非結(jié)構(gòu)化數(shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的基于大數(shù)據(jù)存儲的檢索分析方法，其特征在于，所述字段查詢信息，包括但不限于：字段的值標準、和/或關(guān)鍵字的標準、和/或時間范圍。

3.根據(jù)權(quán)利要求1所述的基于大數(shù)據(jù)存儲的檢索分析方法，其特征在于，還包括：

顯示具有字段并且存在于子集事件中的兩個或更多個事件的信息，其中，所述兩個或更多個事件以對應(yīng)于字段的排序進行順序顯示。

4.根據(jù)權(quán)利要求2所述的基于大數(shù)據(jù)存儲的檢索分析方法，其特征在于，所述字段的值標準，其中，所述字段存在于一組字段可搜索事件中的一個或多個事件中。

5.根據(jù)權(quán)利要求2所述的基于大數(shù)據(jù)存儲的檢索分析方法，其特征在于，所述關(guān)鍵字的標準，具體為：要求匹配事件具有特定關(guān)鍵字的標準。

6.一種基于大數(shù)據(jù)存儲的檢索分析裝置，應(yīng)用于如權(quán)利要求1-5任一所述的檢索分析方法，其特征在于，包括：

查詢接收器，用于接收字段查詢信息；

查詢執(zhí)行器，用于根據(jù)所述字段查詢信息在存儲數(shù)據(jù)中搜索對應(yīng)的現(xiàn)場可搜索事件，其中，所述現(xiàn)場可搜索事件為一個或多個信息技術(shù)系統(tǒng)的安全性或性能方面的活動事件；生成所述對應(yīng)的現(xiàn)場可搜索事件的子集；識別所述子集中一個或多個事件中的字段，并確定上述字段存在的唯一值的個數(shù)；

字段選擇器，用于選擇并顯示字段名稱和所述唯一值的個數(shù)，其中，所述字段名稱為可在查詢信息中引用的字段的字段名稱。

7.根據(jù)權(quán)利要求6所述的基于大數(shù)據(jù)存儲的檢索分析裝置，其特征在于，還包括：數(shù)據(jù)存儲器，用于存儲多組現(xiàn)場可搜索事件。

8.根據(jù)權(quán)利要求6所述的基于大數(shù)據(jù)存儲的檢索分析裝置，其特征在于，所述字段選擇器，還用于顯示現(xiàn)場可搜索事件的子集中的一個或多個事件的信息。

9.一種計算機可讀存儲介質(zhì)，其上存儲計算機程序指令，其特征在于，所述計算機程序指令在被處理器執(zhí)行時實現(xiàn)如權(quán)利要求1-5中任一項所述的方法。