[发明专利]分布式事件关联系统

说明书

技术领域

本发明涉及一种分布式事件关联系统。

背景技术

计算机网络和系统已经变成现代企业不可或缺的工具。如今，实际上能够想到的每个主题的兆兆字节的信息通过网络存储和访问。在某些情况下，可能实时分析数据中的事件以作出决策。可存储及分析连续数据流中接收的大量数据，以作出与事件有关的决策。

发明内容

根据本发明的实施例，提供一种包括集群中的集群节点的分布式事件关联系统中的主节点，所述主节点包括：至少一个处理器，用于：将各事件中的事件字段分成包括所述事件字段的值的有序的连续块的分区；将每个分区分配给一对集群节点；根据所述分区确定分区图，其中所述分区图识别每个分区、所述分区的事件字段值的块、主要集群节点和所述主要集群节点的故障转移集群节点；以及数据存储器，用于存储所述分区图，其中所述至少一个处理器用于将所述分区图存储在所述数据存储器中。

根据本发明的实施例，提供一种分布式事件关联系统中的存储事件数据的分区的多个集群节点中的集群节点，该集群节点包括：数据存储器，用于存储接收的该集群节点的分区的事件；以及至少一个处理器，用于：接收用于关联各事件的规则，其中各事件被聚合以确定是否满足所述规则中的条件；接收分区的事件；确定该事件是否是所述规则的部分匹配，其中所述部分匹配包括所述条件的部分满足；如果该事件是部分匹配，则确定所述规则是与分区无关的规则还是分区的规则；如果所述规则是与分区无关的规则，则将所述部分匹配的信息发送至规则指定节点以聚合各事件，用来确定是否满足所述条件；并且如果所述规则是分区的规则，则在该集群节点处将该事件存储为部分匹配，并在该集群节点处聚合各事件以确定是否满足所述条件。

根据本发明的实施例，提供一种非瞬态计算机可读介质，包括机器可读指令，所述机器可读指令由至少一个处理器可执行，所述至少一个处理器用于：将各事件中的事件字段分成包括所述事件字段的值的有序的连续块的分区；将每个分区分配给一对集群节点；根据所述分区确定分区图，其中所述分区图识别每个分区、所述分区的事件字段值的块、主要集群节点和所述主要集群节点的故障转移节点；以及存储所述分区图。

附图说明

参照下面的图中示出的示例，在下面的描述中详细描述实施例。

图1图示分布式事件关联系统的示例。

图2图示安全信息和事件管理系统的示例。

图3图示用于创建集群的方法的示例。

图4图示用于将事件路由到集群节点的方法的示例。

图5图示用于将事件匹配到规则条件的方法的示例。

图6图示用于将集群修改成包括新的集群节点的方法的示例。

图7图示用于在集群节点离开集群时修改集群的方法的示例。

图8图示可用作分布式事件关联系统中的节点的平台的计算机系统的示例。

具体实施方式

为了简单和说明的目的，通过主要参照实施例的示例来描述实施例的原理。在下面的描述中，为了提供对实施例的全面理解，提出了许多具体细节。显然，可不受限于所有具体细节来实践实施例。此外，实施例可以以各种组合方式一起使用。

根据示例，分布式事件关联系统可关联多个事件。可由一个或多个设备生成包含存储在分布式事件关联系统中的事件的数据。包含事件的数据的量可随着从设备接收的新数据而持续增长。

分布式事件关联系统中的节点的集群可存储包含事件的数据，且可对事件实施计算密集型关联。可存储包括条件的规则以关联事件。分布式事件关联系统可将规则应用到事件，以检测某些类型的活动，以及响应于检测到活动而实施某些功能。

分布式事件关联系统能够实现跨节点的集群的事件数据的动态数据分区机制，且能够将进入事件路由到包含有效事件关联的相关数据的节点。分布式事件关联系统还能够实现分布式检查点以及恢复功能，允许集群依靠快速的故障转移从故障的任何单点存活。

事件可包括活动，例如动作。活动可在计算机上和/或计算机网络中发生或被实施。事件的事件数据可包括描述和/或与计算机上或计算机网络中实施的活动有关的任何数据。可由分布式事件关联系统关联并分析事件数据，以检测某些条件以及触发包括告警或其他操作动作的某些操作。