CN1126033C

CN1126033C - 将事件动态相关的系统

Info

Publication number: CN1126033C
Application number: CN99815182A
Authority: CN
Inventors: 威廉姆·N·波尔曼; 肯尼思·D·马特森; 保罗·坎特雷尔
Original assignee: UNITED IMAGINATIVE COMPUTER CO
Current assignee: UNITED IMAGINATIVE COMPUTER CO; CA Inc
Priority date: 1998-12-31
Filing date: 1999-12-29
Publication date: 2003-10-29
Anticipated expiration: 2019-12-29
Also published as: WO2000039674A1; EP1192535B1; ZA200105265B; CA2356672A1; KR20010105320A; DE69936152D1; DE69936152T2; BR9916697A; CN1332867A; IL143940A0; HK1046449A1; EP1192535A1; AU2395200A; US6446136B1; AU760999B2; IL143940A; EP1192535A4; KR100512231B1; ATE363095T1; JP2002533828A

Abstract

本发明公开了一种事件管理系统，该系统包括事件管理器(310)、告警规则存储器(340)、事件相关器(330)以及响应引擎(350)。事件管理器(310)提供并接收事件。根据存储在告警规则存储器(340)内的告警规则，事件相关器(330)至少使事件管理器(310)提供的一个事件相关。根据事件相关器(330)产生的事件相关，响应引擎(350)执行响应策略。

Description

将事件动态相关的系统

技术领域

本发明涉及事件管理系统，尤其涉及事件的动态相关。

背景技术

信息技术(IT)已由只有巨型计算机进行计算发展为高度复杂的分布式计算机系统，它通过网络覆盖了桌面终端和各部门。这些分布的计算环境的益处在于可以灵活地选择任意数目的平台、域、工具以及网络配置。然而，此分布式环境可能会比较复杂。此外，在软件工具与平台之间会存在不兼容和不一体化的问题。例如，传统的终端产品(例如：由Oakbrook Terrace，Illinois的Platinum technology，inc.(公司)推出的Platinum DBVision产品)通常面向具体功能专业知识领域，例如：数据库监视与管理、作业调度或管理数据库重组的解决方案。各终端产品提供特定的能力并且各终端产品还包括不同接口。相反，尽管很大程度地牺牲了工具功能性，但是使用主机技术可以提供一体化解决方案。此外，利用传统终端产品或主机技术维护当前企业环境涉及到IT组织的大量资源和资金问题。

因此，需要一种一体化系统，它提供使用兼容接口又不明显牺牲工具功能性的工具。

发明概述

本发明的一个目的是提供一种一体化系统，它通过普通事件管理系统监视终端产品中事件的发生。

本发明的另一个目的是将经过企业节点的事件的动态相关。

本发明的又一个目的是动态执行对事件相关变更的规则和/或新添加的规则。

本发明的一个方面提供一种事件管理系统，该事件管理系统包括：事件管理器、告警规则存储器、事件相关器以及响应引擎。事件管理器接收来自一个或多个用户的预订一个或多个事件数据的请求，接收一个或多个事件，并且如果这一个或多个事件符合现有的条件，就进一步把这一个或多个事件数据发送给该一个或多个用户。根据存储在告警规则存储器内的告警规则，事件相关器使事件管理器提供的一个或多个事件信息相关，并动态确定规则是否改变、增加或删除以便动态执行增加或修改的规则。根据事件相关器产生的事件相关，响应引擎执行响应策略。

本发明的另一个方面提供一种动态执行事件相关的调整规则和新规则的方法。该方法进一步包括对第一组规则与第二组规则进行比较，以识别调整的、附加的或删除的规则并动态执行已调整或附加的所有各规则。

附图的简要说明

图1示出包括多个节点的、根据本发明的企业示例性实施例；

图2示出根据本发明的一组一体化终端产品的示例性实施例；

图3示出根据本发明的事件管理系统的方框图的示例性实施例；

图4示出在根据本发明的事件管理系统的多个节点之间进行通信的事件信息的示例性实施例；

图5示出根据本发明对事件相关新附加规则或变更规则的动态执行过程流程图的示例性实施例。

详细说明

根据本发明的事件管理系统对企业(例如：诸如局域网(LAN)或广域网(WAN)的计算机网络)进行管理、使企业中发生的事件信息相关并根据预定的响应策略采取正确的行为。事件管理系统从企业内的兼容终端产品接收，例如，事件消息。如图1所示，企业100可以包括多个节点110、120、130，例如，它们可以通过网络(未示出)连接。例如，节点可以是诸如运行操作系统的个人计算机、服务器等的物理箱子。在本发明的示例性实施例中，节点可以是个人计算机，在其上安装了兼容终端产品。在本发明的示例性实施例中，事件管理系统140管理产生事件的节点110、120、130上的事件，使数据在网络上的数据移动最少，并保持诸如估计、报告和自动校正靠近源端数据的作用。

在如图2所示的示例性实施例中，事件管理系统270可以包括一组一体化工具200，一体化工具200包括例如用于管理应用程序、数据库、台式机、网络以及系统的兼容终端产品。工具230、240、250、260可以利用一组通用业务210来共享与事件有关的数据。例如，指挥仪220可以是对兼容终端产品230、240、250、260共享的、运行在传统服务器计算机上的通用图形用户界面(GUI)。在本发明的示例性实施例中，指挥仪220在Windows NT和Windows 95环境下运行并象一个控制台一样运行，它允许用户查看企业内包括兼容终端产品230、240、250、260在内的所有资源，并可以与企业内包括兼容终端产品230、240、250、260在内的所有资源交互。

根据本发明的事件管理系统使用的信息主管理单位是称为事件的结构化消息。事件表示企业内的资源出现的或对企业内资源发生的某些重大事件的信息。事件管理系统内的兼容终端产品和事件管理器发送并接收事件。例如，事件是管理企业使用的实时信息处理过程的基本积木式组件。事件定义可公开、可共享信息的基本单元以及事件应当被保持和发送的格式。例如，事件的结构包括对任意事件记录所必需的基本信息预定的字段。预定字段分为两类：标识字段和非标识字段。标识字段即集合在一起形成事件唯一的键并与另一个事件区别开的字段。非标识字段即将事件的附加信息附加到事件键但并不参与事件键的字段。根据本发明的事件管理系统允许用户通过动态附加键值对、并由此唯一定义各事件结构来扩展事件结构。因此，对事件结构附加的键值对可以使终端产品公开唯一定义的事件，否则，由于没有利用事件的预定字段进行唯一定义，所以就不能被公开。

例如，以下以C语言定义了根据本发明实施例的事件结构的示例性实施例：

typedef struct_PT_EVENT

　　{

　　int             Version；      /*事件结构版本                        */

　　PT_CHAR_T       *Node；        /*事件节点                            */

　　PT_CHAR_T       *class；       /*事件类                              */

　　PT_CHAR_T       *Instance；    /*发出产品实例                        */

　　PT_CHAR_T       *Name；        /*事件名                              */

　　PT_CHAR_T       *Time          /*事件时间                            */

　　PT_CHAR_T       *CondTime      /*状态时间                            */

　　PT_CHAR_T       *AgentNode；   /*检测代理运行的节点                  */

　　PT_CHAR_T       *EvmgrNode；   /*响应的事件mgr运算的节点             */

　　PT_EVENT_TYPE   Type；         /*事件类型                            */

　　PT_RESP_TYPE    Response；     /*响应类型                            */

　　PT_CHAR_T       *RespPolicy；  /*响应策略                            */

　　PT_CHAR_T       *Descr；       /*说明                                */

　　PT_CHAR_T       *DescrId；     /*MsgPut的消息串键                    */

　　PT_CHAR_T       *DescrFields； /*消息中替换的字段列表                */

　　double          Value；        /*值(用于条件/告警事件)               */

　　int             Level；        /*告警等级(对type＝EV_ALARM_SET)      */

　　PT_CHAR_T       *IntKeys；     /*应用特定的内部键                    */

　　int             NumKey；       /*键/值对跟着的数目                   */

　　PT_CHAR_T       **Keys；       /*其它键(属性)名的阵列                */

　　PT_CHAR_T       **Values       /*其它键(属性)值的阵列                */

　　BOOL            Archived       /*布尔标志，如果事件归档则为TRUE(真)  */

　　PT_CHAR_T       *Id            /*唯一的事件id                        */

　　PT_CHAR_T       *CondId；      /*状态id                              */

　　int             RepeatCount；  /*用于风暴抑制的这种类型事件的复制数  */
				
				<dp n="d4"/>
　　int          HopCount；       /*Peter Cotton Tail...来了           * */

　　PT_CHAR_T    *GMTOffset；     /*GMT偏移                              */

　　int          ActionTaken；    /*布尔标志，进程中的响应动作           */

　　BOOL         Silenced；       /*布尔标志，告警静音                   */

　　PT_CHAR_T    *ProductName；   /*提交产品的产品名称                   */

　　PT_CHAR_T    *InstanceType；  /*Instance中的实例类型                 */

　　void         *localParam；    /*摘机以允许将数据与事件局部相联系     */

　　PT_CHAR_T    *AuthString；    /*用于许可串的占位符，事件内容特征标

　　                              记的一些形式                           */

　　PT_CHAR_T    *TTId；          /*问题票据id                           */

　　PT_CHAR_T    *TTStatus；      /*问题票据状态                         */

　　}_PT_EVENT；

典型事件的标识字段为节点、名称、产品、实例、类型、如果类型是离散的则为condition_time、如果类型为离散的则为事件时间、包括键字段矩阵内容和数值字段矩阵(具有字段，例如NumKeys，包括在其各自字段矩阵内表示键数值对的数字)内容的所有键值对。其它所有预定字段为非标识字段。

可以将事件分类为多种类型，例如，包括离散事件、条件和告警。“离散事件”即指出在特定时间发生的某些事件并且是完全自含式事件。离散事件不出现状态并且不会发生更新。例如，失败的注册尝试会请求产生离散事件。“条件”即指示持续一段时间并且具有被更新的属性的某些事件状态的事件。“产品”说明的事件属于该产品。通常，只有终端产品可以更新或清除在终端产品产生的条件事件。离散事件的内容和条件事件的内容表示企业的真实信息，不改变引起事件发生变化的出现值就不会改变企业的真实信息。例如，告警即根据用户可配置策略对其它事件进行解释。因此，用户随时可以清除告警，而无需解答产生此告警的条件。同样，如果不能清除产生告警的事件，告警就持续进行。

如图3所示，根据本发明的事件管理系统300的示例性实施例包括事件管理器310、事件档案库320、事件相关器330、告警规则存储器340以及响应引擎350。在根据本发明的示例实施例中，在企业的所有节点均包括事件管理器310、事件档案库320、事件相关器330以及响应引擎350，而在允许在本地存储事件和管理事件的中央节点包括告警规则存储器340。

在根据本发明的示例性实施例中，例如，事件管理系统可以例如通过企业从终端产品接受事件管理。在位于各节点的事件管理器310接收事件的企业节点对事件进行管理。例如，事件管理器310可以接收所有事件、保持先前发送事件的状态、维护署名列表以及将事件路由选择至适当用户。在根据本发明的示例实施例中，可以在本地存储事件及其状态以及署名列表。

如图4所示，节点a 401的事件管理器402以及节点b 410的事件管理器411也从节点b 410的事件相关器413接收事件信息。节点b 410的事件管理器411还将事件送到节点b的事件相关器413。事件管理器411还从实际发生事件的终端产品415接收事件信息。例如，事件管理器402、411维护事件及其相关状态以及署名列表。各事件管理器可以具有存储状态事件的本地存储数据存储器，例如：黑板。黑板可以持续保持在基于文件的存储器中，用于恢复交叉代信息(事件管理器的过程调用)。预约事件的客户负责重新建立事件管理器的新调用信息的各署名。因此，可以将署名保持在存储器内。将事件管理器接收的所有事件保持在本地事件档案库。根据本发明的事件管理系统还可以使多个节点产生的事件相关。在根据本发明的示例性实施例中，事件管理系统可以将合并的事件提供到单个管理站或在节点边界交会的观察/分类中。

根据本发明的事件管理系统被配置为，通过判据而非通过节点，在事件组中查询有显著关系的内容或表现有显著关系的内容(例如：事件署名)。事件署名允许说明关于事件字段内容的判据。例如，可以模拟确定对特定过程感兴趣的事件，以写一数据库查询，请求与记录的各字段的判据匹配。本发明的请求与普通数据库查询的不同之处在于，它不仅仅是对已有数据的请求，而且是对必将发生的或必将存在的选择事件正在进行的请求。

当对事件(例如在终端产品415发生的事件)进行署名时，将署名请求发送到节点b 410的事件管理器411。事件管理器411接收此请求并将此请求附加到其显著请求列表，然后将它存储到例如存储器。在存储到例如黑板之前，事件管理器411校验显著事件以查阅它是否与请求判据匹配。将每个匹配事件转发到(例如公开给)请求者(例如事件用户)。并将接收的与署名判据匹配的任何新事件转发。持续进行此过程直到署名被删除。

在根据本发明的示例性实施例中，署名即在它形成时指定的唯一ID。唯一ID和产生此请求的数据组唯一定义署名。通过调用具有从初始署名返回的请求句柄的API可以删除署名。这样就可以利用各自的请求ID将删除消息发送到事件管理器。然后，事件管理器使删除请求与初始署名匹配，并将它从事件管理器的处理排列中删除。

节点的事件管理器接收在节点公开的所有事件。事件管理器还接收并保持由进程从其节点发送到其它节点的所有请求。收到事件后，事件管理器还对它分配事件ID。事件管理器确定事件是否是条件，如果事件是条件，则事件管理器检验例如黑板以确定事件是否与现存条件匹配。如果匹配，则对条件事件分配现存条件的条件ID并作为更新的条件应用于现存条件。此外，如果归档过程被激活，则对事件进行归档。在根据本发明的示例性实施例中，例如，归档过程可以包括将事件存储到诸如平面文件归档库的数据库的存储过程。一个独立文件可用于每个日历日期。以它们被接收的顺序，对于作为换行定界的记录的事件内的时间戳日期可以将事件写入归档库。事件管理器还检验所有未决的署名请求。对于任意事件而非对于条件更新，如果接收的事件匹配请求，则事件管理器将此事件转发到请求者。如果对条件进行更新，则更新的事件就确实是与请求匹配的事件。因此，事件管理器的确将更新的事件转发到请求者。

事件过滤器描述感兴趣事件的识别判据，并允许说明对包括扩展事件结构的键值对的事件的各字段规定的各种形式的比较过程。例如，事件过滤器为布尔表达式，它包括对事件字段与用户规定值进行比较的各子表达式。例如，事件过滤器与结构查询语言(SQL)中的“WHERE”语句类似。例如，事件过滤器的基本子表达式为将事件字段与值进行比较的短语，例如：node＝ptisun20。子表达式node＝ptisun20意味着事件的节点字段必须完全与字符串“ptisun20”匹配。除了需要特殊语法的键字段矩阵和数值字段矩阵之外，结构可以被用作节点字段的事件的任何字段均可以用于此实例。例如，如果附加的一个键值对为：

键值

FileSystem /usr，

此键值对的精确匹配过滤器为

keyfield.FileSystem＝“/usr”。此外，通过检验此键不与零值匹配，例如：keyfield.FileSystem！＝“

可以对存在的任意数值的键进行检验。可以将事件过滤器作为C源代码(例如：在程序中硬编码的)等存储到可以存储正文串的位置，例如，存储器内数据库中诸如平面文本文件的配置文件。

还可以对事件键值对的数值进行过滤。与上述实例中一样，存在相关数值为专用文件系统名称的键“FileSystem”。要求的事件仅可以是特定文件系统的事件，例如：/usr。响应键值的过滤机制规定键并检验相关键值。专用语法用于将键与允许与预定事件字段具有不同名称空间的其它事件字段区别开。语法为“keyfield.[name]”。例如，对键值对的数值/usr进行检验的实例为keyfield.FileSystem＝/usr。

在根据本发明的示例性实施例中，事件过滤器包括诸如＝的比较运算符以及由运算符“like”规定的全规则表达式匹配。例如，过滤器可以是node＝ptisun05。与所有具有ptisun[#]形式的节点数值匹配的过滤器为类似于“ptisun[0-9]+”的节点。以下是事件过滤器比较运算符的典型列表：＞＝(大于或等于)，＜＝(小于或等于)，＞(大于)，＜(小于)，＝(等于)，like(与规则表达式匹配)，likeci(不区分大小写的串匹配)，和！＝(不相等)。

在根据本发明的示例性实施例中，可以使用下列记号、产生规则以及利用又一个编辑程序编辑程序(yacc)完成的事件过滤器定义。

％token NO_MORE_TOKENS

　　％token  FILTER

　　％token  ＜symp＞NAME

　　％token  ＜symp＞FUNC_PART
　　％token  ＜keywp＞BOOLEAN

　　％token  ＜kdywp＞COMPOP

　　％token  ＜kdywp＞SEPARATOR

　　％token  ＜kdywp＞LEFTPAREN

　　％token  ＜kdywp＞RIGHTPAREN

　　/*解除表达语法移动/减小冲突*/

　　％left BOOLEAN

　　％type＜evalp＞filter

　　％type＜evalp＞statement

　　％％

　　statement：FILTER filter NO_MORE TOKENS
				
				<dp n="d9"/>
filter：NAME COMPOP NAME

　　    | FUNC_PART SEPARATOR NAME COMPOP NAME

　　    | NAME COMPOP FUNC_PART SEPARATOR NAME

　　    | filter BOOLEAN filter

　　    | LEFTPATEN filter RIGHTPAREN

在根据本发明的示例性实施例中，事件管理器411可以作为后台程序实现(例如：在UNIX服务器上持续运行并为网络上的客户系统提供资源的代理程序)。收到事件后，事件过滤器411确定事件的处理过程，包括它是否已经被接收以及事件状态是否发生变化。事件管理器411还将事件写入本地事件档案库412，并将事件路由选择至预约事件内容的所有客户。例如，事件管理器411可以为节点402上的事件相关器413和事件管理器提供事件信息。事件档案库412可以包括事件归档业务处理器。事件档案库412业务处理器从事件档案库读取事件。用户可以包括具有对事件预约的告警规则的任意事件相关器413实例以及例如将源对象或对内容的更新事件预约的产品存储到中央存储器(例如：数据交换业务(DEX))的指挥仪。

例如，数据相关器413包括数据相关器业务处理器。事件相关器41 3执行相关规则规定的用户策略。告警是一种类型的事件，它向显著条件或出现值的用户发通知。告警的确定包括判断是否出现一个事件、当另一个事件发生时出现特定已有状态，或在固定时间窗口内特定事件再次发生。此外，告警是在出现特定状态时固定时间窗口内特定事件的再次发生的组合。

确定是否发生告警的事件可以是作为事件相关器413的相同节点上的事件，或是来自一个或多个其它节点401、410。告警还与关于说明允许响应引擎414处理自动通知或校正告警的自动响应策略有关。例如，事件相关器413可以产生告警、接收事件的修改版本、或可以与另一个告警规则相关的全新的事件。

通过告警规则，各事件可以相关。告警规则的基础是确定应分析的事件。可以产生告警规则以定义哪个事件或哪组事件表示待响应的重要出现值。告警规则可以包括描述、对发生情况的逻辑描述、和事件管理系统对所发生情况的响应的定义。相关的结果是产生一个或多个事件。例如，可以通过例如指挥仪404对告警规则进行定义。

例如，告警规则包括允许在其它表达式中利用名称参考该规则的唯一名称。告警规则还包括运行规则的节点列表(例如：分布列表)。例如，利用运行规则的节点的列表或应该运行规则的节点的查询可以规定规则的分布列表。例如，查询可以是等于运行事件相关器的各节点的“所有”。此外，查询可以运行诸如DEX 405的中央存储器以确定企业内节点的特定判据，例如可用事件。告警规则还包括对相关过滤器的定义。

相关过滤器与在如下未决专利申请中描述的署名事件中使用的过滤器相同：题为METHOD AND APPARATUS FOR A USEREXTENSIBLE EVENT STRUCTURE(用于用户可扩展的事件结构的方法和设备)，于1998年12月31日提交的代理人案号为22074661/25529的专利申请、题为METHOD AND APPARATUS FORTHE DYNAMIC FILTERING AND ROUTING OF EVENTS(用于对事件动态过滤和路由选择的方法和设备)，于1998年12月31日提交的代理人案号为22074661/25546号专利申请，以及Platinum ProvisionCommon Services Reference Guide，第1.08版(1998年，Platinumtechnology公司编写)，这里一并引用供参考。然而，可以为相关过滤器指定一个名称，而且它还包括限定词。例如，限定词可以使在单个规则内的多个事件相关。限定词还表示该过滤器不能应用于当前输入的事件。告警规则还包括检验过滤器的逻辑以及根据检验的结果更新/发送事件的逻辑，例如，允许检验过滤器的布尔组合并允许完成导致产生事件的动作的如果/然后/否则逻辑。

在根据本发明的示例性实施例中，告警规则采用下列格式：

if(相关过滤器表达式)

{<相关过滤器表达式1>；

<相关过滤器表达式2>；

…

<相关过滤器表达式n>；}

在上述示例性格式中，相关过滤器表达式以“if”语句开始并用括号括起。这是一个含有一个或多个由诸如“与”和“或”的布尔运算符连接的相关过滤器名称的逻辑表达式。此外，利用附加括号来控制计算顺序。在上述典型格式中，用一组圆括号括起相关事件表达式。开始圆括号和结束圆括号可以在单独的行，或者说，各事件定义可以在以分号结束的单独行。相关过滤器表达式定义为了实现相关必须满足什么样的过滤器条件。如何根据对过滤器的限定满足过滤器条件(例如：计算为真)。对于标准过滤器，当前输入事件必须匹配。对于计数过滤器，当前事件必须对要被满足的过滤器在时间窗口内完成接收一组事件。此外，如果在过去接收了给定事件表示特定条件仍然存在，则满足条件存在(conditionExists)过滤器。通过利用这些单独过滤器的布尔运算符，包括“非”运算的相关过滤器表达式可以对过去和当前事件规定判据(例如：当前不存在该条件、计数未完成、或当前事件不匹配)。

例如，如果f1为应用于当前事件的标准的、不限定的过滤器，则表达式“if(f1)”表示当前事件必须匹配待执行的相关过滤器。然后，如果存在第二标准过滤器f2，则利用表达式“if(f1 or f2)”可以对两个过滤器进行检验。在此表达式中，如果输入事件匹配f1或匹配f2，则可以实现相关。相关过滤器表达式还可以包括与下列格式相同的嵌套条件，例如“if/else if”表达式：

If(F1)

{<相关事件1>；}

Else if(F2)

{<相关事件2>；}

根据本发明的告警规则可以使用逻辑也可以不使用逻辑。在没有任何控制逻辑的情况下，无论是否接收到事件均执行该规则中的作用语句。无论是否存在匹配任何已说明过滤器的事件，均接收该事件。根据例如通过使用过滤器的名称构成布尔表达式检验规则内的一个或多个说明过滤器是否真实、并根据在任意给定时间检验其真实性，可以将该规则分为各种动作组。例如，如果存在3个过滤器名称A、B和C，则对(A和(B或C))进行检验。这意味着，如果过滤器A为真并且过滤器B或C为真，则该表达式为真。例如，此规则可以被表示为：

If(A and(B or C))

SendModifedAlarm(-110)；

Else

SendModifiedAlarm(-10)；

在此实例中，根据检验哪个过滤器为真可以设置不同的告警级。

在根据本发明的示例性实施例中，存在4个作用语句：SendEvent、SendModifiedInputEvent、SendModifiedAlarm和SendModifiedCondition，传送事件的事件相关规则语法支持它们。作用语句SendEvent以新产生的事件开始，并且除了那些可以指定缺省值(例如：时间、节点以及代理节点)的字段外，必须具有作为参数提供的事件的各强制字段，利用此作用可以提交任意事件类型。作用语句SendModifiedInputEvent将此输入事件作为输出事件的模板使用，仅对SendModifiedInputEvent替换规定为参数的字段。将事件时间更新为当前时间，并且如果这会产生条件或告警问题(要求事件时间>条件时间的条件和告警)，则将时间设置为例如输入事件的时间(已经大于condition time)加1秒。在SendModifiedInputEvent之上，建立作用语句SendModifiedAlarm。其差别仅在于，它仅传送告警，例如，它使一组事件类型进行alarm set。它还根据不具有条件时间的离散事件创建告警，将条件时间设置为当前时间。除了将类型设置为condition set之外，作用语句SendModifiedCondition与作用语句SendModifiedAlarm相同。

例如，相关过滤器的限制符可以包括ConditionExists、Count以及CountDiscrete。限制符ConditionExists表示该过滤器应应用于接收当前事件前已经接收的事件。如果存在与规定的过滤器匹配的先前状态事件，则过滤器表达式为真，否则就为假。限制符Count用于跟踪在规定时间周期内发生匹配事件的次数。其说明形式为count(次数，时间间隔，过滤器)。起动之后清除设置，因此在接到下一个匹配事件后，计数将为0。可以滚动时间窗口，在滚动过程中，最早的匹配事件会脱离未决表，因为它们与在规定的时间间隔内最新附加的事件不同。限制符CountDiscrete对离散事件进行计数。Count的等效物的过滤器被修改为例如filter_filter AND type＝discrete。

在运行告警规则的任何节点均可以检索事件。在根据本发明的示例性实施例中，确定在哪里运行规则的过程依赖于规则的性质。例如，如果规则规定事件仅在本地节点发生，则规则需要在要求这种相关的所有节点上运行。例如，如果规则要对有关机器的CPU用途的事件实现某些形式的相关，并且过滤器未规定节点，则运行规则的事件相关器仅接收有关CPU在进行署名的节点上的用途的事件。因此，过滤器和规则为通用的并可以应用于各机器。因此，规则分布表应包括发生相关的各节点。

通用的规则还允许将单个定义应用于企业内各主机上的同类问题，因此减少了需要维护和配置的规则数。通用规则允许在发生问题的位置(例如在各节点)对问题进行分析和校正。

告警规则存储器406可以包括告警规则业务处理器，告警规则业务处理器管理告警规则并响应存储在中央存储位置(例如DEX 405)的策略。在根据本发明的示例性实施例中，DEX 405是可重用信息的中央存储位置，可重用信息包括数据配置、产品信息、事件信息、安全信息以及规则。DEX 405可以是分布式、多平台、多数据格式、共享的数据存储器，它包括多个数据存储器、关系数据、数据位置以及文件。

响应引擎414执行响应策略。响应引擎414包括多个进程。例如，响应策略是含有一系列动作的逻辑表达式，此一系列动作由事件相关器413产生的触发告警调用的逻辑语句连接。可以定义多个动作并可以在响应策略范围内执行多个动作。在根据本发明的示例性实施例中，多个动作可以为列表顺序，或在收到另一个动作的返回代码后或收到在告警中传送的规定字段后，对它们附加逻辑以形成各动作分组。通过定义一组动作并以逻辑顺序组成基于一个或多个这些动作的表达式，可以建立响应策略。动作可以是全局性的并可以被多个响应策略调用。在根据本发明的示例实施例中，在完成各步骤时，响应引擎414还将有关各动作成功的信息附加到触发告警。例如，这可以通过传送更新告警事件来实现，更新告警事件利用刚完成步骤的顺序号、步骤类型(例如：电子邮件/页面)来更新事件，并在事件中将动作步骤的名称。通过指挥仪可以访问此信息。

在根据本发明的示例性实施例中，例如，响应引擎414可以包括第一进程、第二进程以及第三进程。第一进程预约在与响应引擎414在同一个节点410上运行的事件相关器413传送的事件。收到相关响应策略的告警后，第一进程调用第二进程来实现此策略。根据在与各进程有关的配置文件内的设置，第一进程可以调用第二进程的多个实例。第二进程执行要求传送事件的动作并调用第三进程以执行其它任意动作。响应引擎414的第三进程还可以实现要求呼叫操作系统的响应策略动作，例如传送电子邮件消息、调用脚本文件、传送页面、将消息写入文件或作为简单网络管理协议(SNMP)俘获转发事件。

在根据本发明的示例性实施例中，可以使用以下记号、产品规则以及利用yacc实现的相关语言。

％union{

　　        struct FilterEvalNode*evalp；

　　        struct FilterSymTab*symp；

　　        struct keyword_table*keywp；

　　        struct ARG_LIST*argP；}

　　％nonassoc LOWER_THAN_ELSE

　　％nonassoc＜symp＞ELSE

　　％token NO_MORE_TOKENS

　　％token＜symp＞DECLARED_FILTER

　　％token＜symp＞ACTION_FUNC

　　％token ALARM

　　％token＜symp＞NAME

　　％token＜keywp＞IF

　　％token＜keywp＞CONDITION

　　％token＜keywp＞CONDITIONNEXISTS

　　％token＜keywp＞BOOLEAN

　　％token＜keywp＞UNARYOP

　　％token＜keywp＞LEFTPAREN

　　％token＜keywp＞RIGHTPAREN

　　％token＜keywp＞LEFTCULYBRACE

　　％token＜keywp＞RIGHTCURLYBRACE

　　％token＜keywp＞ENDSTATEMENT

　　％token＜keywp＞ASSIGN

　　％token＜keywp＞COUNTDISCRETE
				
				<dp n="d16"/>
％token＜keywp＞COUNT
％token＜keywp＞SECONDS
％token＜keywp＞MINUTES
％token＜keywp＞HOURS
％token＜keywp＞DAYS
％token＜keywp＞COMMA
％token left BOOLEAN
％left UNARYOP
％type＜evalp＞Actions
％type＜evalp＞Action
％type＜argp＞ArgList
％type＜argp＞Arg
％type＜evalp＞AlarmPrograms
％type＜evalp＞AlarmProgram
％type＜evalp＞filter
％type＜evalp＞statement
％type＜evalp＞declaredFilterExpr
％type＜symp＞timeInterval
％type＜symp＞nameAsInteger
％type＜evalp＞countType
％type＜keywp＞maybeNOT
statements：ALARM AlarmPrograms NO_MORE_TOKENS
AlarmPrograms：  AlarmPrograms AlarmProgram

　　      |  AlarmProgram

　　      |  UNARYOP AlarmProgram
AlarmProgram：   NAME ASIGN filter

　　      |  NAME ASSIGN maybeNOT CONDITION filter

　　      |  NAME ASSIGN maybeNOT CONDITIONEXISTS
LEFTPAREN filter
				
				<dp n="d17"/>
　　       |  NAME    ASSIGN    maybeNOT    countTyPe
LEFTPAREN NAME COMMA

　　          timeInterval COMMA filter RIGHTPAREN

　　       |  Action
Actions：           Actions Action
Action：      ACTION_FUNC LEFTPAREN ArgList RIGHTPAREN
ENDSTATEMENT

　　       |  IF LEFTPAREN declaredFilterExpr RIGHTPAREN

　　          Action％prec LOWER_THAN_ELSE

　　       |  IF LEFTPATEN declaredFilterExpr RIGHTPAREN

　　          Action％prec LOWER_THAN_ELSE

　　       |  IF LEFTPAREN declareFilterExpr RIGHTPAREN

　　          Action
ELSE

　　          Action

　　       |  LEFTCURLYBRACE Actions RIGHTCURLYBRACE

　　       |  ENDSTATEMENT
ArgList：          ArgList Arg

　　       |  ArgList COMMA Arg

　　       |  Arg
Arg：         NAME
countTyPe：   COUNT

　　       |  COUNTDISCRETE
timeInterval：nameAsInteger

　　       |  nameAsInteger SECONDS

　　       |  nameAsInteger MINUTES

　　       |  nameAsInteger HOURS

　　       |  nameAsInteger DAYS
nameAsInteger：     NAME
declaredFilterExpr：DECLARED_FILTER
				
				<dp n="d18"/>
　　           | declaredFilterExpr BOOLEAN declaredFilterExpr

　　           | LEFTPAREN declaredFilterExpr RIGHTPAREN

　　           | UNARYOP declaredFilterExpr

　　maybeNOT： /*空*/

　　           | UNARYOP

根据本发明的事件管理系统提供基于署名的分层统一方法。例如，根据对提供事件信息的各节点的署名，在企业内，指挥仪403统一地进行事件观察。事件信息可以表示为单个、统一的观察，但是可以依据于对不同的事件源的多个署名。通过在指挥仪403统一多个事件源输出的事件所使用的规则范围内使用相同的署名机制，相关规则配置允许一组相关规则执行分层相关或统一。例如，如果在节点A上运行的应用程序依赖于节点B和节点C上的数据库，则监视此应用程序的一个规则可以统一节点A上有关此应用程序、保持连接到节点B和节点C的能力以及节点B和节点C上的数据库的状态的事件。这可以通过在此规则内配置此过滤器实现以规定这些事件源。

此外，利用适当配置的相关规则，同样可以实现从一个节点到另一个节点的差错统一。例如，利用规则，节点A可以统一节点B和节点C产生的问题。例如，事件相关器根据本地产生的事件的输出可以是将节点的事件统一到告警。根据本发明的实施例，节点A的事件相关器可以预约在节点B和节点C产生的告警。这样可以将所有说明的问题引入节点A。根据规则的内容说明的问题可以重新说明为节点A的告警，或在此规则内使用说明的问题以确定节点B、节点C与节点A报告的问题之间的特定相关类型。重新说明的问题允许进行本地冗余拷贝或允许进行仅规定各节点允许人们观察在所有3个节点之间的问题的署名。

因此，根据本发明的事件管理系统提供的分层统一方法除了规则本身之外不需要任何附加配置。

除了规则之间的关系之外，不需要保持其它关系。根据规则可以有效改变分层。一个节点可以是特定问题的统一节点，而另一个节点可以是用于不同的组的统一节点，这两个节点都对彼此的统一有贡献。

根据本发明的事件管理系统可以动态地(例如：在事件相关器运行时)确定规则是否被改变、被附加或被删除。例如，可以将用户定义的告警规则保持在DEX 405内的中央存储器的告警规则存储器(ARS)406内。通过指挥仪403可以对规则进行编辑或附加。图5示出动态附加和修改规则的典型流程图。如图5所示，在步骤510，指挥仪403向ARS 406查询规则并将任意变更写入ARS 406。无论在ARS 406内是否更新规则，ARS 406均将事件公开。位于各节点的事件相关器413预约此事件。收到此事件后，各事件相关器413知道去接触ARS 406以确定它们运行的规则是否已经被更新。例如，ARS 406公开的事件可以指出规则存储器已发生变化。

在步骤530，各事件相关器413接触ARS 406以请求其规则组。在步骤540，事件相关器413将正在运行的当前规则组与从ARS 406接收的规则进行比较。在步骤550，未发生变化的规则不需要动作，任意新规则均需要被附加到各事件相关器的规则组，已从ARS 406删除的任意规则均需要从各事件相关器的规则组中被删除。在步骤560，任何改变的或附加到各事件相关器的规则组的规则均被执行。此外，可在多个相关器之间分布规则组。因此，通过改变规则分布表，任意特定节点实现的相关可以重新路由选择到另一个节点。

由于各规则保持其自己的事件流，所以通过将规则附加到运行的事件相关器，可以将规则动态附加到根据本发明实施例的事件管理系统。附加或删除一个规则的署名不会影响任何其它规则。新规则会引起事件相关器接收先前未接收的事件。因为这些规则看不到新事件，所以无论如何估计任何其它规则，这些事件均不会发生变化。同样，删除规则将导致事件相关器比其以前接收的事件少。然而，不接收这些事件就不能改变对事件相关器运行的任何其它规则的估计。由于各规则规定接收其所属事件流的独立事件组，所以规则的变更被隔离因此不会影响任何其它规则。

需要对规则进行剖析并形成适当署名，这样该规则就可以接收适当事件。通过删除规则的显著署名、清除在跟踪规则状态过程中使用的存储器结构以及清除规则产生的告警，还可以从事件管理系统中动态删除规则。事件管理系统可以将用户定义的告警列表保持到告警规则存储器。事件管理系统可以将包括事件名称的规则产生的告警列表保持到例如黑板。

根据本发明的事件管理系统允许确定产生各告警的输入事件和告警规则。在根据本发明的示例性实施例中，事件管理系统跟踪与各规则有关的各告警。通过对规则进行分析，可以确定告警与引起告警的原因的关系。例如，需要在输入事件与节点之间实现n到1的映射，其中n为输入的事件数。在最简单的情况下，一个输入事件(n＝1)映射建立一个告警。因此，由于仅有一个输入事件与告警有关，所以可以容易地确定产生告警的输入事件。

然而，当使用事件过滤器或计数过滤器时，映射就变成n到1的映射。例如，可以将映射表示为信息元组，信息元组将多个输入事件ID与输出告警ID关联。例如，确定考虑什么事件的过程包括产生规则时当前输入事件的过程。确定研究什么事件的过程还包括利用同样位于导致规则动作产生告警的控制“if”块中的任意状态事件所存储的事件(例如：基于规定一个或多个已经发生的事件的过滤器的ConditionExists或Count)。在根据本发明的示例性实施例中，除了产生的告警之外，所有这些事件还具有一个唯一的ID。然而，在事件管理器对事件进行处理之前，告警没有唯一的ID。因此，如果没有输出告警的唯一标识符，则可以使用告警的全部多个部分键使n到1的关系记录写出。因此，可以确定导致各告警的输入事件和告警规则。

另外，如果没有输出告警的唯一标识符，则将n到1关系记录延期到规则接收告警事件可以允许知道其相应的唯一ID。通过提供相应的唯一ID，可以将n到1的关系记录写出。因此，可以确定导致各告警的输入事件和告警规则。

另外，在产生诸如告警的事件时，可以使用唯一的提交者指定ID。可以使用提交者指定的ID代替事件管理器指定的唯一ID以允许将n到1的关系记录写出。因此，可以确定导致各告警的输入事件和告警规则。

在任何情况下，可以将输出(例如：n到1关系的记录)作为表存储并作为事件档案库部分保持。因此，对事件归档业务处理器进行扩增以查询使用事件档案库的相关事件，从而获得由n到1的关系记录提供的信息。

上述实施例是本发明的说明性实例，这并不说明本发明局限于这些特定实施例。在所附权利要求定义的本发明实质范围内，本技术领域的技术人员可以进行各种变更和调整。

Claims

1.一种事件管理系统，该系统包括：

事件管理器，该事件管理器接收来自一个或多个用户的预订一个或多个事件数据的请求，接收一个或多个事件，并且如果这一个或多个事件符合现有的条件，就进一步把这一个或多个事件数据发送给该一个或多个用户；

告警规则存储器，该告警规则存储器存储告警规则；

事件相关器，与数据管理器和告警规则存储器相连，该事件相关器根据告警规则使事件管理器提供的一个或多个事件数据相关，并动态确定规则是否改变、增加或删除以便动态执行增加或修改的规则；以及

响应引擎，与事件管理器相连，该响应引擎根据事件相关器产生的事件相关执行响应策略。

2.根据权利要求1所述的事件管理系统，其中事件管理器包括多个事件管理器，其中多个事件管理器中的各事件管理器分别位于网络的各节点上。

3.根据权利要求2所述的事件管理系统，其中事件相关器至少使多个事件管理器中的至少两个事件管理器分别提供的两个事件相关。

4.根据权利要求1所述的事件管理系统，该事件管理系统进一步包括与事件管理器相连的事件档案库，该事件档案库包括事件归档文件和事件归档业务处理器，其中事件管理器将事件数据存储到事件归档文件，并且事件归档业务处理器处理事件归档文件内的事件数据。