CN104636130B

CN104636130B - 用于生成事件树的方法和系统

Info

Publication number: CN104636130B
Application number: CN201410613123.2A
Authority: CN
Inventors: E·M·安德森; C·J·道森; R·拉达克里施南
Original assignee: International Business Machines Corp
Current assignee: Qindarui company
Priority date: 2013-11-08
Filing date: 2014-11-04
Publication date: 2017-12-08
Anticipated expiration: 2034-11-04
Also published as: US20150134601A1; US9852232B2; CN104636130A

Abstract

本发明涉及一种用于生成事件树的方法和系统。所述方法包括接收在联网计算环境中发生的一个或多个事件。所述方法包括生成包含所接收的一个或多个事件的事件树。所述方法包括将所生成的事件树与存储在数据库中的多个事件树相比较。所述方法然后包括至少部分地基于所述比较，为所生成的事件树指定概率。

Description

用于生成事件树的方法和系统

技术领域

本发明一般地涉及服务和系统管理领域，更具体地说，涉及使用分析自动执行事件树。

背景技术

每天具有数千个事件，例如计算机系统错误或软件故障，它们可以在数据中心或云数据中心中发生。数据中心是一种设施，用于保存计算机系统和关联组件(例如电信和存储系统)的网络。为了评估这数千个事件，创建事件树和故障树以便检查一系列按时间的后续事件或结果。通过创建逻辑结构生成事件树和故障树，该逻辑结构尝试使用节点和路径表示系统操作和故障状态，这些节点和路径在某种意义上类似于树的根、树干、树枝和叶。通常使用布尔逻辑定义到节点的路径，布尔逻辑精确地描述节点和路径的逻辑组合。

事件例如可以是缓慢的虚拟专用网络(“VPN”)性能；这将导致生成用于确定如何解决该问题的事件树。事件树表示复杂的超级事件系统，并且故障树表示用于评估对象效率和安全性的事件子系统。基于在系统、技术领域中发生的事件或者跨越技术领域的事件，生成事件树。事件树显示跨越时间的序列进展、序列最终状态，以及序列特定的依赖性。但是，这些事件树通常在事件发生很长时间之后生成，因此生成的事件树通常不准确或不相关。

发明内容

本发明的各实施例公开一种用于生成事件树的方法、计算机程序产品和计算机系统。在一个实施例中，计算机处理器接收在联网计算环境中发生的一个或多个事件。所述计算机处理器生成包括所接收的一个或多个事件的事件树。所述计算机处理器将所生成的事件树与存储在数据库中的多个事件树相比较。所述计算机处理器然后至少部分地基于所述比较，为所生成的事件树指定概率。

附图说明

图1是示出根据本发明的一个实施例的包括客户机计算设备和服务器计算设备的分布式数据处理环境的功能框图；

图2是示出根据本发明的一个实施例的用于分析联网计算环境中的事件并且为生成的事件树指定概率的分析程序的操作步骤的流程图；

图3示出根据本发明的一个实施例的示例性用户接口，例如图1的客户机计算设备上的用户接口，其显示图2的分析程序提供的结果；

图4示出根据本发明的一个实施例的图1的客户机计算设备的组件的框图。

具体实施方式

所属技术领域的技术人员知道，本发明的各个方面可以实现为系统、方法或计算机程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、驻留软件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。此外，本发明的各个方面还可以实现为在一个或多个计算机可读介质中的计算机程序产品的形式，该计算机可读介质中包含计算机可读的程序代码/指令。

可以采用计算机可读介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是—但不限于—电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括例如在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括—但不限于—电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括—但不限于—无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明的各个方面的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如、Smalltalk、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

下面将参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述本发明的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机程序指令实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。

也可以把这些计算机程序指令存储在计算机可读介质中，这些指令使得计算机、其它可编程数据处理装置、或其它设备以特定方式工作，从而，存储在计算机可读介质中的指令就产生出包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的指令的制造品(article of manufacture)。

也可以把计算机程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机或其它可编程装置上执行的指令提供实现流程图和/或框图中的一个或多个方框中规定的功能/动作的过程。

本发明的各实施例认识到，通常手动创建事件树，或者通过自动化而不准确并且未在允许它们有用的时间内创建事件树。本发明的各实施例认识到，更准确并且在很短的时间段内生成事件树将允许它们对用户更有用。通过以下操作生成事件树：分析大型事件集合，并将所生成的事件树与数据库中的事件树相比较。比较事件树有助于普遍理解在联网计算环境中发生的事件，从而允许用户在环境中确定根事件或问题，并且允许防止再次出现相同的问题。

现在将参考附图详细描述本发明。图1是示出根据本发明的一个实施例的分布式数据处理环境(总体标为100)的功能框图。

分布式数据处理环境100包括客户机计算设备120、服务器计算设备130和组件140，它们全部通过网络110互连。

网络110例如可以是局域网(LAN)、诸如因特网之类的广域网(WAN)，或者这两者的组合，并且可以包括有线、无线或光纤连接。一般而言，网络110可以是支持客户机计算设备120和服务器计算设备130之间的通信的连接和协议的任意组合。

在本发明的不同实施例中，客户机计算设备120可以是膝上型计算机、平板计算机、上网本计算机、个人计算机(PC)、台式计算机、个人数字助理(PDA)、智能电话，或者是能够经由网络110与服务器计算设备130通信的任何可编程电子设备。客户机计算设备120可以包括内部和外部硬件组件，如针对图4进一步详细示出和描述的那样。在该示例性实施例中，客户机计算设备120包括用户接口(UI)122和分析程序124。UI 122例如可以是图形用户接口(GUI)或Web用户接口(WUI)，并且可以显示文本、文档、Web浏览器窗口、用户选项、操作指令，以及包含文本或图形元素的其它工具。

分析程序124分析在联网计算环境(例如，诸如分布式数据处理环境100之类的数据中心)中发生的一组事件，并且生成实时事件树。在分布式数据处理环境100中发生的事件可以来自：系统、技术领域，或者来自多个技术领域。在本发明的一个示例性实施例中，可以使用诸如事件发生时的时间戳和事件之间已知关系之类的分析组合确定实时事件树，并且可以从环境中的多个设备和组件(由图1中的组件140表示)收集实时事件。将实时事件与存储在知识数据库中的事件树相比较，该知识数据库例如为服务器计算设备130上的知识数据库132，其包含供应商公布或发布以及从供应商或技术支持团队下载的事件树、针对环境中的设备和组件开发的先前事件树，以及根本原因分析(“RCA”)数据库。RCA数据库包含事件的根本原因，其可以帮助分析程序124比较事件树，例如，如果已知某个问题具有特定根事件，则可以将生成的实时事件树与RCA数据库中的事件树相比较，并且如果发现匹配根事件，则根事件可以允许更快地解决该问题。尽管在图1中，分析程序124包括在客户机计算设备120中，但所属技术领域的技术人员应该理解，在其它实施例中，分析程序124可以位于分布式数据处理环境100中的其它位置，并且可以经由网络110与客户机计算设备120通信。

服务器计算设备130可以包括数据存储装置或用作万维网(WWW)的一部分，并且可以包括电子表格、Web浏览器页面或其它文档，可以搜索它们并且将其下载到客户机计算设备120以便由用户查看。服务器计算设备130可以是膝上型计算机、平板计算机、上网本计算机、个人计算机(PC)、台式计算机、个人数字助理(PDA)、智能电话，或者是能够经由网络110与客户机计算设备120通信以及与分布式数据处理环境100中的各种其它组件和设备(未示出)通信的任何可编程电子设备。服务器计算设备130可以表示使用群集计算机和组件的计算系统，当通过网络访问时，这些群集计算机和组件用作单个无缝资源池。这是数据中心和云计算应用的常见实现。服务器计算设备130包含知识数据库132。知识数据库132可以包含大型事件树集合，这些事件树按系统、设备、技术领域来组织，以及跨技术领域来组织。该事件树集合可以由供应商发布、由技术支持团队创建，并且可以包括RCA数据库。存储在知识数据库132中的事件树还可以包括针对分布式数据处理环境100中的设备和组件确定的先前事件树。尽管在图1中，知识数据库132包括在服务器计算设备130中，但所属技术领域的技术人员应该理解，在其它实施例中，知识数据库132可以位于分布式数据处理环境100中的其它位置，并且可以经由网络110与客户机计算设备120和服务器计算设备130通信。

知识数据库132还可以包含分布式数据处理环境100中的设备、组件和应用之间的已知关系，例如来自配置管理数据库(“CMDB”)。CMDB是存储配置项目(“CI”)和CI之间的描述性关系的数据库。CMDB包含有关如何在联网计算环境中组成关键信息技术资产的信息，包括每个资产或组件的上游源或依赖性可以是什么，以及资产和组件的下游目标是什么。分析程序124可以使用CMDB中的信息以便减少可能显示根本原因的已存储事件树的数量。例如，如果在联网计算环境中发生两个单独的事件(例如缓慢的VPN性能和网络设备断开连接)，则CMDB CI可以认识到这两个事件可能相关。

分析程序124在知识数据库132中搜索包含匹配事件代码、描述和类型的事件树，并且将这些事件树与生成的实时事件树相匹配，这允许分析程序124通过将实时事件树与知识数据库132中存储的那些事件树相比较来指定概率。实时事件树是分析程序124生成的最新事件树。分析程序124可以使用匹配算法确定匹配事件和事件树。

分析程序124基于建立的情况集合，例如生成的事件树是否与来自知识数据库132的事件树具有相同的匹配顶事件、根事件和/或中间事件，为生成的实时事件树指定概率。分析程序124还可以基于事件时间戳指定概率。例如，如果某个事件的发生时间比可能在数周之前发生的事件更近，则可以为该事件提供更高的概率。分析程序124可以判定实时事件树是否类似于存储的事件树，或者包含已知关系，并且因此可以存在实时事件树中的一个或多个事件的已知解决方案，或者可以基于在多个设备中发生的事件之间的已知关系发现根本原因。例如，一个或多个实时事件可以涉及到网卡的失败连接，并且存储的已知关系(例如在CMDB中)可以指示网卡与什么组件连接，哪个组件可以有助于诊断失败连接事件的根本原因。再如，可以将一个或多个实时事件与从供应商接收的事件树中的事件相匹配。存储的事件树可以包含一个根本原因，该根本原因还可以导致一个或多个实时事件。将为生成的事件树指定高概率，因为在知识数据库132中发现匹配事件树，因此可以知道实时事件的根本原因或解决方案。

如果为事件树指定高概率，则将使用该事件树更新相关事件单(incidentticket)，然后例如在客户机计算设备用户接口(例如客户机计算设备120上的UI 122)上将该单提供给用户。相关事件单通常由问题跟踪系统创建，并且可以包含有关技术支持人员执行的技术支持操作的信息。相关事件单上的事件树为用户提供有关在分布式数据处理环境100中发生的错误、故障或其它实时事件的可能解决方案的信息，或者为用户提供什么可能是错误、故障或其它实时事件的根本原因。

组件140可以是计算设备、服务器，或者能够与客户机计算设备120和服务器计算设备130通信的任何设备。组件140可以将事件(例如，在分布式数据处理环境100中发生的事件)提供给分析程序124。事件例如可以是缓慢的应用响应、在网络上检测到的错误，或者缓慢的VPN性能。

图2是示出根据本发明的一个实施例的用于分析数据中心中的事件，并且为生成的事件树指定概率的分析程序124的操作步骤的流程图。

分析程序124接收实时事件(步骤202)。在任何给定时间，可以在联网计算环境(例如在图1中描述的分布式数据处理环境100)中发生数千个正常和异常的事件。分析程序124从分布式数据处理环境100中的多个设备和组件(由图1中的组件140表示)接收和收集实时事件。例如，事件例如是缓慢的应用响应、缓慢的VPN性能、网络OS检测到的错误、故障网卡、在VPN日志中检测到的错误、在网络OS中使用ECC纠正的错误条件，以及使用ECC纠正的错误。

分析程序124过滤实时事件(步骤204)。分析程序124收集数千个实时事件并且搜索重复事件、表面事件、错误肯定和错误否定事件，然后不予考虑这些事件。

分析程序124生成实时事件树(步骤206)。通过使用事件影响分析对生成的实时事件树进行分类，以便判定是否可能、看似可能或大概针对彼此发生事件。这将有助于确定可能与当前问题相关的事件。在另一个实施例中，分析程序124使用业务影响分析、服务影响分析和CI影响分析来分析每个过滤后的事件，以便确定什么实时事件与当前问题相关。在另一个实施例中，分析程序124升级对于解决当前问题至关重要的事件。分析程序124使用过滤后的事件，并且例如基于最近时间戳和CI影响分析，判定是否需要升级事件。如果要升级事件，则该事件可以接收级别或状态，例如严重性1、严重性2或严重性3事件状态。

分析程序124比较事件树(步骤208)。将分析程序124生成的实时事件树与存储在知识数据库132中的事件树相比较。例如，如果生成的实时事件树的根事件是故障网卡(硬件)，则分析程序124将在知识数据库132中搜索具有该相同根事件的所有事件树。将最近生成的事件树与存储在知识数据库132中的事件树相比较可以允许用户基于先前已发生或者已知为存储的事件树一部分的问题来解决问题。

分析程序124确定生成的事件树并为生成的事件树指定概率(步骤210)。可以基于以下各项确定生成的实时事件树并为生成的实时事件树指定概率：生成的实时事件树中的事件与彼此的关系，以及与在联网计算环境中发生的其它事件的关系，或者例如实时事件与已知CI关系的接近度；事件的发生顺序，例如使用事件的时间来组织；以及通过搜索顶事件并将其与知识数据库132中存储的事件树相匹配。在本发明的一个示例性实施例中，可以根据在服务模型和CMDB CI关系中反映的实时事件与已知CI关系的接近度，确定和指定概率。还可以通过以下操作指定概率：使用分析程序124在知识数据库132中搜索顶事件，将事件与最近生成的事件树相匹配，并且将这些事件与最近生成的事件树相比较。可以确定概率并将概率指定给生成的事件树，以便确定在联网计算环境(例如分布式数据处理环境100)中出现生成的事件树的可能性。将针对图3进一步讨论事件树的匹配。在本发明的一个备选实施例中，还可以根据具有最近时间戳的事件树指定概率，具有非常近的时间戳的事件树可能比具有更后的时间戳的事件树更重要，并且然后将接收更高的概率。

分析程序124更新相关单(步骤212)。这些单包括事件单、报告或事件通知，并且将使用高概率或高度可能的生成的事件树更新这些单。分析程序124更新相关事件单，或者对应于生成的事件树的事件单。这些单将可供用户使用并且在UI 122上显示。更新相关单可以向用户显示发生的实时事件的高度可能的原因和结果(基于将实时事件树与存储的事件树相匹配，或者确定实时事件之间的关系)，这可以允许用户在事件解决过程中提早解决问题。

图3示出根据本发明的一个实施例的示例性用户接口，例如客户机计算设备120上的UI 122，其显示分析程序124提供的结果。

事件树310是分析程序124生成的实时事件树。事件树320是存储在知识数据库132中的事件树。分析程序124将生成的事件树与知识数据库132中的事件树相匹配和比较。如果生成的事件树与来自知识数据库132的事件树具有相同的匹配顶事件、根事件和中间事件，则该事件树可以接收由分析程序124指定的最高概率等级。其次的最高概率等级可以是生成的事件树具有匹配根事件和中间事件但没有顶事件，然后是生成的事件树与来自知识数据库132的事件树具有匹配根事件，最后的最高概率可以来自生成的事件树与知识数据库132中的事件树具有匹配顶事件。例如，事件树310可以具有顶事件312(缓慢的应用响应)、中间事件314(包括缓慢的VPN性能、在网络OS中使用ECC纠正的错误条件和网络OS检测到的错误)以及根事件316(故障网卡(硬件故障))。分析程序124可以将事件树310与事件树320匹配，事件树320具有顶事件322(缓慢的应用响应)、中间事件324(缓慢的VPN性能)以及根事件326(故障网卡(硬件故障))。生成的事件树310可以接收相对高的概率等级，因为除了两个中间事件之外，所有事件都匹配。高概率等级可以告知用户哪些事件树更可能有助于做出有关遇到的问题是什么的决策。

图4示出根据本发明的一个示例性实施例的客户机计算设备120的组件的框图。应该理解，图4仅提供一种实现的例示，并非暗示对其中可以实现不同实施例的环境的任何限制。在不偏离下面要求保护的本发明的范围的情况下，所属技术领域的普通技术人员可以对所示环境做出许多修改。

客户机计算设备120包括通信结构402，通信结构402在计算机处理器(多个)404、存储器406、永久性存储装置408、通信单元410和输入/输出(I/O)接口(多个)412之间提供通信。通信结构402可以使用任何体系架构实现，该体系架构被设计为在系统中的处理器(例如微处理器、通信和网络处理器等)、系统存储器、外围设备和任何其它硬件组件之间传递数据和/或控制信息。例如，通信结构402可以使用一个或多个总线实现。

存储器406和永久性存储装置408是计算机可读存储介质。在该实施例中，存储器406包括随机存取存储器(RAM)414和高速缓冲存储器416。一般而言，存储器406可以包括任意合适的易失性或非易失性计算机可读存储介质。

分析程序124存储在永久性存储装置408中，以便经由存储器406的一个或多个存储器由一个或多个相应的计算机处理器404执行。在该实施例中，永久性存储装置408包括硬磁盘驱动器。备选地，或者除了硬磁盘驱动器之外，永久性存储装置408可以包括固态硬盘驱动器、半导体存储器件、只读存储器(ROM)、可擦式可编程只读存储器(EPROM)、闪存，或者能够存储程序指令或数字信息的任何其它计算机可读存储介质。

永久性存储装置408使用的介质也可以是可移动的。例如，可移动硬盘驱动器可以用于永久性存储装置408。其它实例包括光盘和磁盘、拇指驱动器以及智能卡，它们插入到驱动器中以便在也是永久性存储装置408的一部分的另一个计算机可读存储介质上传输。

在这些实例中，通信单元410用于与其它数据处理系统或设备通信，包括在客户机计算设备120和服务器计算设备130之间通信，以及与分布式数据处理环境100中的其它设备和组件(未示出)通信。在这些实例中，通信单元410包括一个或多个网络接口卡。通信单元410可以通过使用物理和无线通信链路之一或两者提供通信。分析程序124可以通过通信单元410下载到永久性存储装置408。

I/O接口(多个)412允许使用可以连接到客户机计算系统120的其它设备输入和输出数据。例如，I/O接口412可以提供到外部设备(多个)418的连接，外部设备418例如包括键盘、小键盘、触摸屏和/或某种其它合适的输入设备。外部设备(多个)418还可以包括便携式计算机可读存储介质，例如拇指驱动器、便携式光盘或磁盘和存储卡。用于实现本发明各实施例的软件和数据(例如，分析程序124)可以存储在这种便携式计算机可读存储介质上，并且可以经由I/O接口(多个)412加载到永久性存储装置408。I/O接口(多个)412还连接到显示器420。显示器420提供用于向用户显示数据的机制，并且例如可以是计算机监视器或者用于平板计算机和智能电话的整合显示屏。

在此描述的程序基于在本发明的特定实施例中实现程序的应用进行标识。但是，应该理解，此处的任何特定程序术语仅为了方便而使用，因此本发明不应该限于仅用于由此类术语标识和/或暗示的任何特定应用中。

附图中的流程图和框图显示了根据本发明的不同实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

Claims

1.一种用于生成事件树的方法，所述方法包括：

一个或多个计算机处理器接收在联网计算环境中发生的一个或多个事件；

所述一个或多个计算机处理器生成包括所接收的一个或多个事件的事件树；

所述一个或多个计算机处理器将所生成的事件树与存储在数据库中的多个事件树相比较；以及

所述一个或多个计算机处理器至少部分地基于所述比较，为所生成的事件树指定概率。

2.根据权利要求1的方法，其中从一个或多个技术领域接收所接收的一个或多个事件。

3.根据权利要求1的方法，其中存储在所述数据库中的所述多个事件树包括以下一个或多个：供应商发布的事件树、技术支持团队创建的事件树。

4.根据权利要求1的方法，其中所述一个或多个计算机处理器将所生成的事件树与存储在数据库中的所述多个事件树相比较进一步包括：

所述一个或多个计算机处理器确定所生成的事件树包括以下至少一个：顶事件、中间事件和根事件；以及

所述一个或多个计算机处理器将所生成的事件树的所述顶事件、所述中间事件和所述根事件与存储在所述数据库中的所述多个事件树相比较，所述多个事件树的每个均至少包括顶事件、中间事件和根事件。

5.根据权利要求4的方法，还包括：

所述一个或多个计算机处理器判定所生成的事件树的所述顶事件是否与所述多个事件树中的至少一个的所述顶事件相匹配；以及

响应于所述一个或多个计算机处理器判定所生成的事件树的所述顶事件是否与所述多个事件树中的至少一个的所述顶事件相匹配，所述一个或多个计算机处理器为所生成的事件树指定概率。

6.根据权利要求1的方法，其中所述一个或多个计算机处理器至少部分地基于所述比较，为所生成的事件树指定概率进一步包括：

所述一个或多个计算机处理器确定以下一个或多个：所接收的一个或多个事件中的至少一个事件与所接收的一个或多个事件中的第二事件的至少一个关系、所接收的一个或多个事件的时间，以及所生成的事件树和存储在所述数据库中的事件树之间的匹配；以及

所述一个或多个计算机处理器基于所述至少一个关系、所述时间和所述匹配中的至少一个，确定在所述联网计算环境中出现所生成的事件树的可能性。

7.根据权利要求1的方法，还包括：

所述一个或多个计算机处理器至少部分地基于所指定的概率，确定所述联网计算环境中与所生成的事件树对应的事件单；以及

所述一个或多个计算机处理器使用所生成的事件树更新所述事件单。

8.一种用于生成事件树的计算机系统，所述计算机系统包括：

一个或多个计算机处理器；

一个或多个计算机可读有形存储介质；以及

程序指令，其存储在所述一个或多个计算机可读有形存储介质上以便由所述一个或多个计算机处理器中的至少一个执行，所述程序指令包括：

用于接收在联网计算环境中发生的一个或多个事件的程序指令；

用于生成包括所接收的一个或多个事件的事件树的程序指令；

用于将所生成的事件树与存储在数据库中的多个事件树相比较的程序指令；以及

用于至少部分地基于所述比较，为所生成的事件树指定概率的程序指令。

9.根据权利要求8的计算机系统，其中存储在所述数据库中的所述多个事件树包括以下一个或多个：供应商发布的事件树、技术支持团队创建的事件树。

10.根据权利要求8的计算机系统，其中用于将所生成的事件树与存储在数据库中的所述多个事件树相比较的所述程序指令进一步包括：

用于确定所生成的事件树包括顶事件、中间事件和根事件中的至少一个的程序指令；以及

用于将所生成的事件树的所述顶事件、所述中间事件和所述根事件与存储在所述数据库中的所述多个事件树相比较的程序指令，所述多个事件树的每个均至少包括顶事件、中间事件和根事件。

11.根据权利要求10的计算机系统，还包括：

用于判定所生成的事件树的所述顶事件是否与所述多个事件树中的至少一个的所述顶事件相匹配的程序指令；以及

用于响应于判定所生成的事件树的所述顶事件是否与所述多个事件树中的至少一个的所述顶事件相匹配，为所生成的事件树指定概率的程序指令。

12.根据权利要求8的计算机系统，其中用于至少部分地基于所述比较，为所生成的事件树指定概率的所述程序指令进一步包括：

用于确定以下一个或多个的程序指令：所接收的一个或多个事件中的至少一个事件与所接收的一个或多个事件中的第二事件的至少一个关系、所接收的一个或多个事件的时间，以及所生成的事件树和存储在所述数据库中的事件树之间的匹配；以及

用于基于所述至少一个关系、所述时间和所述匹配中的至少一个，确定在所述联网计算环境中出现所生成的事件树的可能性的程序指令。

13.根据权利要求8的计算机系统，还包括：

用于至少部分地基于所指定的概率，确定所述联网计算环境中与所生成的事件树对应的事件单的程序指令；以及

用于使用所生成的事件树更新所述事件单的程序指令。