[發明專利]一種事件關聯分析方法、裝置、電子設備及存儲介質

在審

• 申請號: 202211329762.7
• 申請日: 2022-10-27
• 公開（公告）號: CN115599822A
• 公開（公告）日: 2023-01-13
• 發明（設計）人: 史鵬飛;陳飛;何文杰
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: G06F16/2455
• 分類號: G06F16/2455;G06F16/18;G06F18/22
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 李娟;張穎玲

1.一種事件關聯分析方法，其特征在于，所述方法包括：

將事件流中的事件與設定事件規則集中的子規則進行匹配，將匹配成功的事件添加到該子規則對應的緩存區中；所述設定事件規則集包括至少兩個子規則；

在滿足事件關聯分析條件的情況下，根據各個子規則對應的緩存區獲得滿足所述設定事件規則集的至少一個事件集；所述至少一個事件集表征事件關聯分析結果。

2.根據權利要求1所述的方法，其特征在于，所述根據各個子規則對應的緩存區獲得滿足所述設定事件規則集的至少一個事件集，包括：

在滿足事件關聯分析條件的情況下，分別在各個子規則對應的緩存區中各取一個事件進行組合，組合得到滿足所述設定事件規則集的至少一個事件集。

3.根據權利要求1所述的方法，其特征在于，在將匹配成功的事件添加到該子規則對應的緩存區中之后，所述方法還包括：

確定第一事件是否與設定關聯規則對應的緩存區中的關聯事件匹配；所述第一事件表征當前寫入緩存區的事件；所述設定關聯規則表征事件之間具有關聯關系；

若不匹配，確定所述設定事件規則集對應的緩存區中是否有與所述第一事件具有關聯關系的事件；

若有與所述第一事件具有關聯關系的事件，將所述與第一事件具有關聯關系的事件和所述第一事件組合為關聯事件，并將所述關聯事件添加到設定關聯規則對應的緩存區中；

對應地，在滿足所述事件關聯分析條件的情況下，基于所述設定關聯規則對應的緩存區中的關聯事件，確定滿足所述設定關聯規則的至少一個事件集。

4.根據權利要求2所述的方法，其特征在于，所述分別在各個子規則對應的緩存區中各取一個事件進行組合，包括：

根據所述設定關聯規則對應的事件數量，確定是否從所述設定事件規則集的子規則對應的緩存區提取事件與關聯事件進行組合；

若所述事件數量小于所述設定事件規則集的子規則的數量，則從所述設定事件規則集的子規則對應的緩存區中提取事件，與所述設定關聯規則對應的緩存區中的關聯事件進行組合，組合得到滿足所述設定關聯規則的至少一個事件集。

5.根據權利要求1或3所述的方法，其特征在于，所述方法還包括：

確定第一事件是否滿足窗口觸發條件；所述第一事件表征當前寫入緩存區的事件；

若所述第一事件滿足窗口觸發條件，且設定跳過策略為第一跳過策略，確定滿足所述事件關聯分析條件；

若所述第一事件不滿足窗口觸發條件，且所述設定跳過策略為第二跳過策略，確定滿足所述事件關聯分析條件。

6.根據權利要求1所述的方法，其特征在于，所述將匹配成功的事件添加到該子規則對應的緩存區中，包括：

為所述匹配成功的事件設置索引；

將所述索引寫入緩存區中；所述索引表征對應的事件在緩存區中的位置。

7.根據權利要求1所述的方法，其特征在于，在將事件流中的事件與設定事件規則集中的子規則進行匹配之前，所述方法還包括：

根據設定的分組規則對事件流中的事件進行分組；

對應地，所述將事件流中的事件與設定事件規則集中的子規則進行匹配，包括：

分別將各個分組中的事件與設定事件規則集中的子規則進行匹配；其中，各個分組并發進行事件關聯分析。

8.根據權利要求1所述的方法，其特征在于，在將事件流中的事件與設定事件規則集中的子規則進行匹配之前，所述方法還包括：

基于設定的時間語義為事件流中的每個事件注冊事件時間和水印；

根據事件時間對事件流中的事件進行窗口劃分；

對應地，所述將事件流中的事件與設定事件規則集中的子規則進行匹配，包括：

將窗口內的事件與設定事件規則集中的子規則進行匹配。