CN116303253A - 事件日志管理 - Google Patents

Abstract

一种事件日志管理。本文描述的一些实现涉及一种系统，该系统被配置为获得与该系统的租户相关联的一个或多个事件日志。该系统可以被配置为基于一个或多个事件日志来确定与租户相关联的事件率，并由此基于事件率来确定轮换间隔。该系统可以被配置为基于轮换间隔来使得数据结构被生成以用于存储在时间窗口期间获得的、与租户相关联的事件日志。系统可以被配置为在时间窗口内获得与租户相关联的一个或多个附加事件日志，并且基于在时间窗口内获得一个或多个附加事件日志来使一个或多个附加事件日志被存储在数据结构中。

Description

事件日志管理

相关申请的交叉引用

本申请要求于2021年12月20日提交的题为“EVENT LOG MANAGEMENT(事件日志管理)”的印度专利申请第202141059282号的优先权，其全部内容通过引用明确并入本文。

背景技术

软件即服务(SaaS)是托管应用或服务的云服务。在一些情况下，多租户SaaS环境可以提供将由环境的不同租户(例如，不同的订户或客户组)共享的资源。

发明内容

本文描述的一些实现涉及一种系统。该系统可以包括一个或多个存储器和一个或多个处理器。该系统可以被配置为获得与该系统的租户相关联的一个或多个事件日志。该系统可以被配置为基于一个或多个事件日志来确定与租户相关联的事件率。该系统可以被配置为基于事件率来确定轮换间隔。该系统可以被配置为基于轮换间隔来使数据结构被生成以用于存储在时间窗口期间获得的、与租户相关联的事件日志。该系统可以被配置为在时间窗口内获得与租户相关联的一个或多个附加事件日志。该系统可以被配置为基于在时间窗内获得一个或多个附加事件日志来使一个或多个附加事件日志被存储在数据结构中。

本文描述的一些实现涉及为系统存储指令集的非暂态计算机可读介质。指令集当由系统的一个或多个处理器执行时可以使系统基于与系统的租户相关联的一个或多个事件日志来确定与租户相关联的事件率。指令集在由系统的一个或多个处理器执行时可以使系统基于事件率来确定与租户相关联的预测的事件率。指令集在由系统的一个或多个处理器执行时可以使系统基于预测的事件率来确定轮换间隔。指令集当由系统的一个或多个处理器执行时可以使系统基于轮换间隔来使数据结构被生成以用于存储在时间窗口期间获得的与租户相关联的事件日志。指令集当由系统的一个或多个处理器执行时可以使系统在时间窗口内获得与租户相关联的一个或多个附加事件日志。指令集在由系统的一个或多个处理器执行时可以使系统基于在时间窗口内获得一个或多个附加事件日志来使一个或多个附加事件日志被存储在数据结构中。

本文描述的一些实现涉及一种方法。该方法可以包括由系统并且基于与系统的租户相关联的一个或多个事件日志来确定与租户相关联的事件率。该方法可以包括由系统并且基于事件率来确定轮换间隔。该方法可以包括由系统并且基于轮换间隔来使数据结构被生成以用于存储在时间窗口期间获得的与租户相关联的事件日志。该方法可以包括由系统使在时间窗口期间获得的一个或多个附加事件日志被存储在数据结构中。

附图说明

图1A至图1E是本文描述的示例实现的图。

图2是可以在其中实现本文描述的系统和/或方法的示例环境的图。

图3至图4是图2的一个或多个设备的示例组件的图。

图5是与事件日志管理相关的示例过程的流程图。

具体实施方式

以下示例实现的详细描述参考附图。不同附图中的相同附图标记可以标识相同或相似的元素。

典型的SaaS系统(例如，其提供安全服务)从多租户SaaS环境的租户的相应设备接收事件日志(例如，以标识、防止和/或减轻异常事件、攻击、病毒、蠕虫或与个体租户相关联的其他恶意行为或事件)。在许多情况下，每个租户以不同的速率向SaaS系统发送事件日志。例如，第一租户每秒可以发送数百个事件日志，第二租户每秒可以发送数千个事件日志，第三租户每秒可以发送数万个事件日志，等等。但是，对于每个租户，SaaS系统都提供单一大小的数据结构(例如，数据库)以用于存储在特定时间段(例如，1小时)期间接收到的事件日志。当在特定时间段期间接收到的租户事件日志的总大小超过数据结构的存储大小时，这会导致问题。例如，SaaS系统必须利用计算资源(例如，处理资源、存储器资源、通信资源和/或功率资源等等)来动态地生成新的数据结构、清除和/或删除较旧的数据结构和/或执行其他操作。这会影响SaaS系统的性能，诸如通过导致与执行事件日志相关的查询和/或报告相关的延迟。

本文描述的一些实现提供了一种系统，该系统获得与系统的租户相关联的一个或多个事件日志，并且基于一个或多个事件日志来确定与租户相关联的事件率。系统基于事件率来确定轮换间隔(例如，时间量，诸如一小时、一天或一周等)，从而使数据结构被生成以用于存储在时间窗口(例如，其具有等于轮换间隔的持续时间)期间获得的、与租户相关联的事件日志。系统在时间窗口内获得与租户相关联的一个或多个附加事件日志，并且基于在时间窗口内获得一个或多个附加事件日志，使一个或多个附加事件日志被存储在数据结构中。

以这种方式，本文描述的一些实现基于事件日志的事件率来自动生成用于存储租户的事件日志的数据结构。这允许在时间窗口期间生成和利用适合租户的存储需求的数据结构。此外，这降低了在时间窗口期间接收到的租户事件日志的总大小超过数据结构的存储大小的可能性。因此，这减少了计算资源(例如，处理资源、存储器资源、通信资源和/或功率资源等等)的利用，否则将需要这些资源来动态地生成新的数据结构、清除和/或删除较旧的数据结构、和/或执行其他操作。这提高了系统的性能(例如，与典型的SaaS系统相比)，诸如通过将与执行事件日志相关的查询和/或报告相关的延迟最小化。

此外，在一些实现中，系统获得事件日志搜索请求并且基于请求的搜索开始时间和搜索结束时间来标识用于在相应的时间窗口期间存储事件日志的一个或多个附加数据结构。因此，系统基于事件日志搜索请求，对一个或多个附加数据结构执行一个或多个数据结构查询以标识事件日志搜索信息，并且提供事件日志搜索信息(例如，用于在另一设备上显示))。

图1A至图1E是本文描述的一个或多个示例实现100的图。(多个)示例实现100可以包括事件日志管理系统(ELMS)、网络设备和/或一个或多个端点设备，它们在下面结合图2至图4更详细地描述。ELMS例如可以是多租户云托管事件日志管理SaaS系统，并且一个或多个端点设备和网络设备可以与由ELMS所提供的多租户SaaS环境的租户相关联。如图1A至图1E中所示，ELMS可以包括入口(ingress)节点、汇聚(sink)节点、查询节点、控制器节点和/或多个数据结构(在图1A中被示为数据结构1到M，其中M≥2)。

如图1A中所示，并且通过附图标记102，ELMS可以获得(例如，与ELMS的租户相关联的)一个或多个事件日志。例如，一个或多个端点设备和/或网络设备可以(例如，基于一个或多个端点设备和/或网络设备的操作)生成一个或多个事件日志，并且可以向ELMS发送一个或多个事件日志(例如，近乎实时)。在一些实现中，ELMS的入口节点可以接收一个或多个事件日志。

如附图标记104所示，ELMS可以确定与租户相关联的事件率。例如，ELMS(例如，使用入口节点)可以基于一个或多个事件日志和/或其他获得的与租户相关联的事件日志来确定ELMS在特定时间段(例如，前5分钟)期间获得的事件日志的数目。因此，ELMS可以基于事件日志的数目和特定时间段来确定事件率(例如，通过将事件日志的数目除以特定时间段的长度)。

如图1B中所示，并且通过附图标记106，控制器节点可以从入口节点获得与租户相关联的事件率。因此，如附图标记108所示，ELMS(例如，使用控制器节点)可以确定与租户相关联的预测的事件率。在一些实现中，ELMS(例如，使用控制器节点)可以处理与租户相关联的事件率(例如，由ELMS确定)和/或与租户相关联的一个或多个先前事件率(例如，由ELMS先前确定)以确定与租户相关联的预测的事件发生率。例如，ELMS(例如，使用控制器节点)可以利用机器学习模型，诸如单变量时间序列预测模型(例如，其利用两个变量——时间和事件率)以基于与租户相关联的事件率和/或与租户相关联的一个或多个先前事件率来确定与租户相关联的预测的事件率。机器学习模型可以以统一的时间间隔(例如，每五分钟)确定预测的事件率。

如附图标记110所示，ELMS(例如，使用控制器节点)可以确定(例如，基于事件率和/或预测的事件率)轮换间隔(例如，时间量，诸如一小时、一天或一周等等，与将事件日志保存在单个数据结构中相关联)。例如，ELMS(例如，使用控制器节点)可以标识数据结构的代表性容量(例如，可以由数据结构存储的事件日志的数目)，并且可以基于预测的事件率来确定在特定时间间隔(例如，一小时、一天、一周或一个月等)期间要被接收的事件日志的数目。在一些实现中，ELMS(例如，使用控制器节点)可以确定在特定时间间隔期间要接收的事件日志的数目小于或等于代表性容量，并且因此将特定时间间隔标识为轮换间隔。例如，当特定时间间隔是一小时时，ELMS可以使轮换间隔是一小时。备选地，ELMS(例如，使用控制器节点)可以确定在特定时间间隔期间要接收的事件日志的数目大于代表性容量，并且因此使轮换间隔大于特定时间间隔。例如，当特定时间间隔为一天时，ELMS可以使轮换间隔为一周，或者当特定时间间隔为一周时，ELMS可以使轮换间隔为一个月等。

如附图标记112所示，ELMS可以使(例如，基于轮换间隔)生成数据结构。例如，控制器节点可以与汇聚节点通信以使汇聚节点创建如图1B中所示的数据结构N。该数据结构可以被配置为存储在时间窗口期间获得的与租户相关联的事件日志。时间窗口可以在数据结构的创建时间时开始，并且可以在自从创建时间起经过等于轮换间隔的时间量时结束(例如，当时间窗口的开始时间为t时，时间窗口的结束时间为t+r，其中r是轮换间隔)。在一些实现中，ELMS(例如，使用汇聚节点)可以使数据结构具有标识租户、时间窗口和/或要被存储在数据结构中的事件日志类别(例如，安全事件日志、业务事件日志和/或其他事件日志)的名称。例如，数据结构可以具有以下结构的名称：<租户名称><时间窗口><事件日志类别>。<时间窗口>元素可以具有例如以下结构：<年><月><日><小时>。

如图1C中所示，并且通过附图标记114，ELMS可以获得与ELMS的租户相关联的一个或多个附加事件日志。例如，一个或多个端点设备和/或网络设备可以生成一个或多个附加事件日志(例如，基于一个或多个端点设备和/或网络设备的操作)，并且可以向ELMS发送一个或多个附加事件日志(例如，近乎实时)。在一些实现中，ELMS的入口节点可以接收一个或多个附加事件日志。

在一些实现中，ELMS可以在时间窗内获得一个或多个附加事件日志(例如，与由ELMS生成的数据结构N相关联)。因此，如附图标记116所示，ELMS可以使一个或多个附加事件日志被存储在数据结构(例如，数据结构N)中。例如，如图1C中所示，入口节点可以将一个或多个附加事件日志转发给汇聚节点，汇聚节点可以确定ELMS在时间窗口内(例如，一个或多个附加事件日志的获得时间o在时间窗口的开始时间t和结束时间t+r内，因此t≤o≤t+r)获得了一个或多个附加事件日志。因此，汇聚节点可以将一个或多个附加事件日志存储在数据结构N中。

如图1D中所示，并且通过附图标记118，ELMS可以获得事件日志搜索请求(例如，对于与由ELMS获得的一个或多个事件日志相关联的信息)。例如，一个或多个端点设备中的特定端点设备可以生成事件日志搜索请求(例如，基于由特定端点设备的用户的输入)，并且可以将事件日志搜索请求发送到ELMS。在一些实现中，ELMS的入口节点可以接收事件日志搜索请求并且可以将事件日志搜索请求转发到查询节点。

如附图标记120所示，ELMS可以执行一个或多个数据结构查询(例如，基于事件日志搜索请求)。例如，ELMS(例如，使用查询节点)可以处理事件日志搜索请求以确定与事件日志搜索请求相关联的搜索开始时间和搜索结束时间(例如，与事件日志搜索请求相关联的时间跨度)。ELMS(例如，使用查询节点)可以搜索另一数据结构(例如，二叉搜索树，诸如平衡二叉搜索树，或存储标识多个数据结构的相应开始时间和时间窗口的信息的另一数据结构)以标识多个数据结构(例如，一个或多个数据结构1到N)中的数据结构集(例如，一个或多个数据结构)。数据结构集中的每个数据结构可以具有至少部分地与和事件日志搜索请求相关联的时间跨度共同扩展的时间窗口。例如，ELMS可以搜索该另一数据结构以标识多个数据结构中的按时间顺序排列的数据结构集，其中按时间顺序排列的数据结构集中的第一数据结构具有发生在事件日志搜索请求的搜索开始时间之前或与之同时的开始时间，并且其中按时间顺序排列的数据结构集合中的最后一个数据结构具有发生在事件日志搜索请求的搜索结束时间之前或与之同时的开始时间，并且具有发生在事件日志搜索请求的搜索结束时间之后或与之同时的结束时间(例如，如在数据结构的开始时间之后的与数据结构相关联的时间窗口的时间长度所指示的)。也就是说，与按时间顺序排列的数据结构集相关联的时间跨度具有发生在事件日志搜索请求的搜索开始时间之前或与之同时的开始时间和发生在事件日志搜索请求的搜索结束时间之后或与之同时的结束时间。

因此，ELMS(例如，使用查询节点)可以基于事件日志搜索请求分别对数据结构集执行一个或多个数据结构查询。例如，ELMS(例如，使用查询节点)可以对按时间顺序排列的数据结构集中的每个数据结构执行数据结构查询。以这种方式，ELMS(例如，使用查询节点)可以标识日志搜索信息(例如，作为一个或多个数据结构查询的结果)并且可以提供日志搜索信息。例如，ELMS可以将日志搜索信息传输到特定端点设备(例如，将事件日志搜索请求发送到ELMS的端点设备)，这可以使特定端点设备在特定端点设备的显示器上显示日志搜索信息。

如图1E中所示，并且通过附图标记122，ELMS可以获得剩余存储容量请求(例如，针对与可用于与租户相关联的事件日志的存储量相关的信息的请求)。例如，一个或多个端点设备中的特定端点设备可以生成剩余存储容量请求(例如，基于由特定端点设备的用户的输入)，并且可以将剩余存储容量请求发送到ELMS。在一些实现中，ELMS的入口节点可以接收剩余存储容量请求并且可以将剩余存储容量请求转发给汇聚节点。

如附图标记124所示，ELMS可以确定(例如，基于剩余存储容量请求)剩余存储容量(例如，可用于与租户相关联的事件日志的存储量)，例如以时间量来表示。例如，ELMS(例如，使用汇聚节点)可以基于剩余存储容量请求来确定针对租户的可用存储量(例如，以兆字节、千兆字节或太字节为单位)(例如，基于预先配置的信息，诸如由租户和ELMS的运营方之间的许可协议所指示的内容)，从而确定可以被存储在租户的可用存储中的事件日志的数目(例如，通过将租户的可用存储量除以事件日志的代表性大小)。ELMS(例如，使用汇聚节点)可以基于可以被存储在租户的可用存储中的事件日志的数目和与租户相关联的事件率，确定针对租户的以时间量表示的剩余存储容量(例如，通过将可以被存储在针对租户的可用存储中的事件日志的数目除以与租户相关联的事件率)。因此，ELMS可以提供针对租户的以时间量表示的剩余存储容量。例如，ELMS可以将针对租户的以时间量表示的剩余存储容量传输到特定端点设备(例如，发送针对租户的剩余存储容量请求的端点设备)，这可能使特定端点设备在特定端点设备的显示器上显示针对租户的以时间量表示的剩余存储容量。

如上面所指示的，图1A至图1E仅作为一个或多个示例而被提供。其他示例可以与关于图1A至图1E所描述的不同。

图2是示例环境200的图，在该示例环境200中可以实现本文描述的系统和/或方法。如图2中所示，环境200可以包括事件日志管理系统201，其可以包括云计算系统202的一个或多个元素和/或可以在云计算系统202内被执行。云计算系统202可以包括一个或多个元素203至元素212，如下面更详细描述的。如图2中进一步所示，环境200可以包括网络220、网络设备230和/或一个或多个端点设备240。环境200的设备和/或元素可以经由有线连接和/或无线连接互连。

云计算系统202包括计算硬件203、资源管理组件204、主机操作系统(OS)205、和/或一个或多个虚拟计算系统206。云计算系统202可以在例如亚马逊Web服务平台、微软Azure平台或Snowflake平台上执行。资源管理组件204可以执行计算硬件203的虚拟化(例如，抽象)以创建一个或多个虚拟计算系统206。使用虚拟化，诸如通过从单个计算设备的计算硬件203创建多个隔离的虚拟计算系统206，资源管理组件204使单个计算设备(例如，计算机或服务器)能够像多个计算设备一样操作。以这种方式，计算硬件203可以以比使用分离的计算设备更有效地运行，具有更低的功耗、更高的可靠性、更高的可用性、更高的利用率、更大的灵活性和更低的成本。

计算硬件203包括来自一个或多个计算设备的硬件和对应的资源。例如，计算硬件203可以包括来自单个计算设备(例如，单个服务器)或来自多个计算设备(例如，多个服务器)的硬件，诸如一个或多个数据中心中的多个计算设备。如所示，计算硬件203可以包括一个或多个处理器207、一个或多个存储器208和/或一个或多个网络组件209。处理器、存储器和网络组件(例如，通信组件)的示例是本文别处进行描述。

资源管理组件204包括虚拟化应用(例如，在诸如计算硬件203的硬件上执行)，其能够将计算硬件203虚拟化以启动、停止和/或管理一个或多个虚拟计算系统206。例如，资源管理组件204可以包括管理程序(例如，裸机或类型1管理程序、托管或类型2管理程序，或另一类型的管理程序)或虚拟机监视器，诸如当虚拟计算系统206是虚拟机210时。附加地或备选地，资源管理组件204可以包括容器管理器，诸如当虚拟计算系统206是容器211(例如，其包括一个或多个线程)时。在一些实现中，资源管理组件204在主机操作系统205内执行和/或与主机操作系统205协调执行。在一些实现中，资源管理组件204包括入口节点、汇聚节点、查询节点、控制器节点和/或本文关于图1A至图1E描述的多个数据结构。

虚拟计算系统206包括虚拟环境，其使用计算硬件203实现了本文描述的操作和/或过程的基于云的执行。如所示，虚拟计算系统206可以包括虚拟机210、容器211或者包括虚拟机和容器的混合环境212等。虚拟计算系统206可以使用文件系统来执行一个或多个应用，该文件系统包括二进制文件、软件库和/或在访客操作系统(例如，在虚拟计算系统206内)或主机操作系统205上执行应用所需的其他资源。

尽管事件日志管理系统201可以包括云计算系统202的一个或多个元素203至元素212，可以在云计算系统202内执行，和/或可以被托管在云计算系统202内，但是在一些实现中，事件日志管理系统201可以不是基于云的(例如，可以被实现在云计算系统之外)或者可以部分地基于云。例如，事件日志管理系统201可以包括不是云计算系统202部分的一个或多个设备，诸如图3的设备300，其可以包括独立的服务器或另一类型的计算设备。事件日志管理系统201可以执行在本文别处更详细描述的一个或多个操作和/或过程。在一些实现中，事件日志管理系统可以向一个或多个租户提供多租户SaaS环境(例如，在租户包括网络设备230和一个或多个端点设备240的情况下)。

网络220包括一个或多个有线和/或无线网络。例如，网络220可以包括蜂窝网络、公共陆地移动网络(PLMN)、局域网(LAN)、广域网(WAN)、专用网络、互联网和/或这些的组合或其他类型的网络。网络220实现环境200的设备之间的通信。

网络设备230包括能够以本文描述的方式接收、处理、存储、路由和/或提供业务(例如，分组或其他信息或元数据)的一个或多个设备。例如，网络设备230可以包括路由器，诸如标签交换路由器(LSR)、标签边缘路由器(LER)、入口路由器、出口路由器、提供方路由器(例如，提供方边缘路由器或提供方核心路由器)、虚拟路由器或其他类型的路由器。附加地或备选地，网络设备230可以包括网关、交换机、防火墙、集线器、网桥、反向代理、服务器(例如，代理服务器、云服务器或数据中心服务器)、负载平衡器和/或类似设备。在一些实现中，网络设备230可以是在外壳(诸如，机箱)内实现的物理设备。在一些实现中，网络设备230可以是由云计算环境或数据中心的一个或多个计算机设备实现的虚拟设备。在一些实现中，网络设备组230可以是被用来路由通过网络220的业务流的数据中心节点组。在一些实现中，网络设备230可以与由事件日志管理系统201提供的多租户SaaS环境的租户相关联。

端点设备240包括能够接收、生成、存储、处理和/或提供诸如本文所述信息的信息的一个或多个设备。例如，端点设备240可以包括移动电话(例如，智能电话或无线电话)、膝上型计算机、平板计算机、台式计算机、手持式计算机、游戏设备、可穿戴通信设备(例如，智能手表，智能眼镜、心率监测器、健身跟踪器、智能服装、智能首饰或头戴式显示器)、网络设备或类似类型的设备。在一些实现中，端点设备240可以经由网络220从事件日志管理系统201和/或网络设备230接收网络业务和/或可以向事件日志管理系统201和/或网络设备230提供网络业务。在一些实现中，端点设备240可以与由事件日志管理系统201提供的多租户SaaS环境的租户相关联。

图2中所示的设备和网络的数目和布置作为示例而被提供。在实践中，与图2中所示的那些相比，可以存在更多的设备和/或网络、更少的设备和/或网络、不同的设备和/或网络、或不同布置的设备和/或网络。此外，图2中所示的两个或更多设备可以在单个设备内实现，或者图2中所示的单个设备可以被实现为多个分布式设备。附加地或备选地，环境200的组设备集(例如，一个或多个设备)可以执行被描述为由环境200的另一设备集执行的一个或多个功能。

图3是设备300的示例组件的图，其可以对应于事件日志管理系统201、计算硬件203、网络设备230和/或端点设备240。在一些实现中，事件日志管理系统201、计算硬件203、网络设备230和/或端点设备240包括一个或多个设备300和/或设备300的一个或多个组件。如图3中所示，设备300可以包括总线310、处理器320、存储器330、输入组件340、输出组件350和通信组件360。

总线310包括一个或多个组件，其使设备300的组件之间能够进行有线和/或无线通信。总线310可以将图3的两个或更多组件耦合在一起，诸如经由操作耦合、通信耦合、电子耦合和/或电耦合。处理器320包括中央处理单元、图形处理单元、微处理器、控制器、微控制器、数字信号处理器、现场可编程门阵列、专用集成电路和/或另一类型的处理组件。处理器320以硬件、固件或硬件和软件的组合来实现。在一些实现中，处理器320包括一个或多个处理器，其能够被编程以执行本文别处描述的一个或多个操作或过程。

存储器330包括易失性和/或非易失性存储器。例如，存储器330可以包括随机存取存储器(RAM)、只读存储器(ROM)、硬盘驱动器和/或另一种类型的存储器(例如，闪存、磁存储器和/或光学存储器)。存储器330可以包括内部存储器(例如，RAM、ROM或硬盘驱动器)和/或可移动存储器(例如，经由通用串行总线连接可移动)。存储器330可以是非暂态计算机可读介质。存储器330存储与设备300的操作相关的信息、指令和/或软件(例如，一个或多个软件应用)。在一些实现中，诸如经由总线310，存储器330包括耦合到一个或多个处理器(例如，处理器320)的一个或多个存储器。

输入组件340使设备300能够接收输入，诸如用户输入和/或感测输入。例如，输入组件340可以包括触摸屏、键盘、小键盘、鼠标、按钮、麦克风、开关、传感器、全球定位系统传感器、加速度计、陀螺仪和/或致动器。输出组件350使得设备300能够提供输出，诸如经由显示器、扬声器和/或发光二极管。通信组件360使得设备300能够经由有线连接和/或无线连接来与其他设备通信。例如，通信组件360可以包括接收器、发射器、收发器、调制解调器、网络接口卡和/或天线。

设备300可以执行本文描述的一个或多个操作或过程。例如，非暂态计算机可读介质(例如，存储器330)可以存储指令集(例如，一个或多个指令或代码)以供处理器320执行。处理器320可以执行指令集以执行本文描述的一个或多个操作或过程。在一些实现中，由一个或多个处理器320执行指令集以使一个或多个处理器320和/或设备300执行本文描述的一个或多个操作或过程。在一些实现中，使用硬连线电路代替指令或与指令组合来执行本文描述的一个或多个操作或过程。附加地或备选地，处理器320可以被配置为执行本文描述的一个或多个操作或过程。因此，本文描述的实现不限于硬件电路和软件的任何特定组合。

图3中所示的组件的数目和布置作为示例而被提供。设备300可以包括与图3中所示的组件相比更多的组件、更少的组件、不同的组件或不同布置的组件。附加地或备选地，设备300的组件集(例如，一个或多个组件)可以执行被描述为由设备300的另一组件集执行的一个或多个功能。

图4是设备400的示例组件的图。设备400可以对应于事件日志管理系统201、计算硬件203、网络设备230和/或端点设备240。在一些实现中，事件日志管理系统201、计算硬件203、网络设备230和/或端点设备240可以包括一个或多个设备400和/或设备400的一个或多个组件。如图4中所示，设备400可以包括一个或多个输入组件410-1到410-B(B≥1)(以下统称为输入组件410，单独称为输入组件410)、切换组件420、一个或多个输出组件430-1到430-C(C≥1)(以下统称为输出组件430，单独称为输出组件430)以及控制器440。

输入组件410可以是物理链路的一个或多个连接点，并且可以是针对诸如分组的传入业务的一个或多个入口点。输入组件410可以处理传入业务，诸如通过执行数据链路层封装或解封装。在一些实现中，输入组件410可以传输和/或接收分组。在一些实现中，输入组件410可以包括输入线卡，该输入线卡包括一个或多个分组处理组件(例如，以集成电路的形式)，诸如一个或多个接口卡(IFC)、分组转发组件、线卡控制器组件、输入端口、处理器、存储器和/或输入队列。在一些实现中，设备400可以包括一个或多个输入组件410。

切换组件420可以将输入组件410与输出组件430互连。在一些实现中，切换组件420可以经由一个或多个交叉开关、经由总线和/或使用共享存储器来实现。共享存储器可以充当临时缓冲器以在最终调度来自输入组件410的分组以用于递送到输出组件430之前存储这些分组。在一些实现中，切换组件420可以使输入组件410、输出组件430和/或控制器440能够彼此通信。

输出组件430可以存储分组并且可以调度分组以在输出物理链路上传输。输出组件430可以支持数据链路层封装或解封装，和/或各种更高级别的协议。在一些实现中，输出组件430可以传输分组和/或接收分组。在一些实现中，输出组件430可以包括输出线卡，该输出线卡包括一个或多个分组处理组件(例如，以集成电路的形式)，诸如一个或多个IFC、分组转发组件、线卡控制器组件、输出端口、处理器、存储器和/或输出队列。在一些实现中，设备400可以包括一个或多个输出组件430。在一些实现中，输入组件410和输出组件430可以由同一组件集来实现(例如，输入/输出组件可以是输入组件410和输出组件430的组合)。

控制器440包括处理器，其形式为例如CPU、GPU、APU、微处理器、微控制器、DSP、FPGA、ASIC和/或其他类型的处理器。处理器以硬件、固件或硬件和软件的组合来实现。在一些实现中，控制器440可以包括可以被编程以执行功能的一个或多个处理器。

在一些实现中，控制器440可以包括RAM、ROM和/或另一类型的动态或静态存储设备(例如，闪存、磁存储器、光存储器等)，其存储供控制器440使用的信息和/或指令。

在一些实现中，控制器440可以与连接到设备400的其他设备、网络和/或系统通信以交换关于网络拓扑的信息。控制器440可以基于网络拓扑信息创建路由表，可以基于路由表创建转发表，并且可以将转发表转发到输入组件410和/或输出组件430。输入组件410和/或输出组件430可以使用转发表来执行针对传入和/或传出分组的路由查找。

控制器440可以执行本文描述的一个或多个过程。控制器440可以响应于执行由非暂态计算机可读介质存储的软件指令来执行这些过程。计算机可读介质在本文中被限定为非暂态存储器设备。存储器设备包括单个物理存储设备内的存储器空间或分布在多个物理存储设备上的内存空间。

软件指令可以经由通信接口从另一计算机可读介质或从另一设备而被读取到与控制器440相关联的存储器和/或存储组件。当被执行时，存储在与控制器440相关联的存储器和/或存储组件中的软件指令可以使控制器440执行本文描述的一个或多个过程。附加地或备选地，硬连线电路可以被用于代替软件指令或与软件指令结合来执行本文描述的一个或多个过程。因此，本文描述的实现不限于硬件电路和软件的任何特定组合。

图4中所示的组件的数目和布置作为示例而被提供。在实践中，设备400可以包括与图4中所示的组件相比更多的组件、更少的组件、不同的组件或不同布置的组件。附加地或备选地，设备400的组件集(例如，一个或多个组件)可以执行被描述为由设备400的另一组件集执行的一个或多个功能。

图5是与事件日志管理相关联的示例过程500的流程图。在一些实现中，图5的一个或多个过程块由系统(例如，事件日志管理系统201)执行。在一些实现中，图5的一个或多个过程框由与该系统分离或包括该系统的另一设备或设备集来执行，诸如计算硬件(例如，计算硬件203)、网络设备(例如，网络设备230)和/或端点设备(例如，端点设备240)。附加地或备选地，图5的一个或多个处理块可以如下组件来执行：设备300的一个或多个组件，诸如处理器320、存储器330、输入组件340、输出组件350和/或通信组件360；设备400的一个或多个组件，诸如输入组件410、切换组件420、输出组件430和/或控制器440；和/或另一设备的一个或多个组件。

如图5中所示，过程500可以包括获得与系统的租户相关联的一个或多个事件日志(框510)。例如，系统可以获得与系统的租户相关联的一个或多个事件日志，如上所述。

如图5中进一步所示，过程500可以包括基于一个或多个事件日志来确定与租户相关联的事件率(框520)。例如，系统可以基于一个或多个事件日志来确定与租户相关联的事件率，如上所述。

如图5中进一步所示，过程500可以包括基于事件率来确定轮换间隔(框530)。例如，系统可以基于事件率来确定轮换间隔，如上所述。

如图5中进一步所示，过程500可以包括基于轮换间隔来使生成数据结构以用于存储与在时间窗口期间获得的与租户相关联的事件日志(框540)。例如，系统可以基于轮换间隔来使生成数据结构以用于存储在时间窗口期间获得的与租户相关联的事件日志，如上所述。

如图5中进一步所示，过程500可以包括在时间窗口内获得与租户相关联的一个或多个附加事件日志(框550)。例如，系统可以在时间窗口内获得与租户相关联的一个或多个附加事件日志，如上所述。

如图5中进一步所示，过程500可以包括基于在时间窗口内获得一个或多个附加事件日志，使一个或多个附加事件日志被存储在数据结构中(框560)。例如，系统可以基于在时间窗内获得一个或多个附加事件日志，使一个或多个附加事件日志被存储在数据结构中，如上所述。

过程500可以包括附加的实现，例如下文描述的任何单个实现或实现的任何组合和/或结合本文别处描述的一个或多个其他过程。

在第一实现中，确定轮换间隔包括：使用机器学习模型处理事件率和与租户相关联的一个或多个先前事件率以确定预测的事件率，并基于预测的事件率来确定轮换间隔。

在第二实现中，单独地或与第一实现结合，确定轮换间隔包括：使用单变量时间序列预测模型来处理事件率和与租户相关联的一个或多个先前事件率以确定预测的事件率，并且基于预测的事件率来确定轮换间隔。

在第三实现中，单独地或与第一实现和第二实现中的一个或多个实现组合，确定轮换间隔包括：基于事件率来确定预测的事件率；标识数据结构的代表性容量；基于预测的事件率来确定在特定时间间隔期间要接收的事件日志的数目；确定在特定时间间隔期间要接收的事件日志的数目小于或等于代表性容量；并且将特定时间间隔标识为轮换间隔。

在第四实现中，单独地或与第一至第三实现中的一个或多个实现组合，确定轮换间隔包括：基于事件率来确定预测事件率；标识数据结构的代表性容量；基于预测的事件率来确定在特定时间间隔期间要接收的事件日志的数目；确定在特定时间间隔期间要接收的事件日志的数目大于代表性容量；并且使轮换间隔大于特定时间间隔。

在第五实现中，单独地或与第一至第四实现中的一个或多个实现组合，数据结构的名称标识以下至少一项：租户、时间窗口或要被存储在数据结构中的事件日志类别。

在第六实现中，单独地或与第一至第五实现中的一个或多个结合，过程500包括：获得事件日志搜索请求；基于事件日志搜索请求来确定与事件日志搜索请求相关联的时间跨度；基于与事件日志搜索请求相关联的时间跨度来搜索另一数据结构以标识数据结构集合，其中数据结构集合中的每个数据结构存储在特定时间窗口期间获得的与租户相关联的事件日志，该特定时间窗口至少部分地与和事件日志搜索请求相关联的时间跨度共同扩展；基于事件日志搜索请求，对数据结构集合执行一个或多个数据结构查询以标识事件日志搜索信息；并且提供事件日志搜索信息。

在第七实现中，单独地或与第一至第六实现中的一个或多个实现组合，该另一个数据结构是二叉搜索树。

在第八实现中，单独地或与第一至第七实现中的一个或多个实现结合，过程500包括：获得剩余存储容量请求；基于剩余存储容量请求来确定针对租户的可用存储量；基于针对租户的可用存储量来确定可以被存储在租户的可用存储中的事件日志的数目；基于可以被存储在针对租户的可用存储中的事件日志的数目以及与租户相关联的事件率，确定针对租户的以时间量表示的剩余存储容量；并且向租户提供以时间量表示的剩余存储容量。

尽管图5示出了过程500的示例框，但是在一些实现中，过程500包括与图5中描绘的那些相比更多的框、更少的框、不同的框或不同布置的框。附加地或备选地，过程500的两个或更多个框可以被并行执行。

前述公开提供了图示和描述，但是不旨在穷举或将实现限制为所公开的精确形式。可以根据上述公开做出修改和变型，或者可以从实现的实践中获取修改和变型。

如本文中所使用的，术语“组件”旨在被广义地解释为硬件、固件或硬件和软件的组合。很显然，本文描述的系统和/或方法可以以不同形式的硬件、固件和/或硬件和软件的组合来实现。用于实现这些系统和/或方法的实际专用控制硬件或软件代码不限制实现。因此，本文描述了系统和/或方法的操作和行为而不参考特定的软件代码——应当理解，软件和硬件可以被用来基于本文的描述来实现系统和/或方法。

尽管特征的特定组合在权利要求中被记载和/或在说明书中被公开，但是这些组合并不旨在限制各种实现的公开。事实上，这些特征中的许多可以以未在权利要求中具体记载和/或在说明书中公开的方式来进行组合。尽管下面列出的每个从属权利要求可以直接从属于一个权利要求，但是各种实现的公开包括每个从属权利要求与权利要求集中的每个其他权利要求的组合。如本文中所使用的，提及项目列表中的“至少一个”的短语是指这些项目的任何组合，包括单个成员。例如，“a、b或c中的至少一个”旨在涵盖a、b、c、a至b、a至c、b至c和a至b至c、以及具有多个相同项目的任何组合。

除非明确说明，否则本文中使用的任何元素、动作或指令均不应被解释为关键或必要的。此外，如本文中所使用的，冠词“一”和“一个”旨在包括一个或多个项目，并且可以与“一个或多个”互换使用。此外，如本文中所使用的，冠词“该”、“所述”旨在包括与冠词“该”、“所述”相关参考的一个或多个项目，并且可以与“一个或多个”互换使用。此外，如本文中所使用的，术语“集”、“组”旨在包括一个或多个项(例如，相关项、不相关项或相关和不相关项的组合)，并且可以与“一个或多个”互换使用。如果仅旨在一个项目，则使用短语“仅一个”或类似的语言。此外，如本文中所使用的，术语“具有”等旨在是开放式术语。此外，除非另有明确说明，否则短语“基于”旨在意指“至少部分地基于”。此外，如本文中所使用的，术语“或”在以一系列形式使用时旨在是包括性的，并且可以与“和/或”互换使用，除非另有明确说明(例如，如果与“要么”或“其中的仅一个”)。

Claims (20)

1.一种系统，包括：

一个或多个存储器；以及

一个或多个处理器，用于：

获得与所述系统的租户相关联的一个或多个事件日志；

基于所述一个或多个事件日志来确定与所述租户相关联的事件率；

基于所述事件率来确定轮换间隔；

基于所述轮换间隔来使数据结构被生成以用于存储在时间窗口期间被获得的、与所述租户相关联的事件日志；

在所述时间窗口内获得与所述租户相关联的一个或多个附加事件日志；以及

基于在所述时间窗口内获得所述一个或多个附加事件日志，使所述一个或多个附加事件日志被存储在所述数据结构中。

2.根据权利要求1所述的系统，其中用于确定所述轮换间隔的所述一个或多个处理器，用于：

使用机器学习模型来处理所述事件率和与所述租户相关联的一个或多个先前事件率以确定预测的事件率；以及

基于所述预测的事件率来确定所述轮换间隔。

3.根据权利要求1所述的系统，其中用于确定所述轮换间隔的所述一个或多个处理器，用于：

使用单变量时间序列预测模型来处理所述事件率和与所述租户相关联的一个或多个先前事件率以确定预测的事件率；以及

基于所述预测的事件率来确定所述轮换间隔。

4.根据权利要求1所述的系统，其中用于确定所述轮换间隔的所述一个或多个处理器，用于：

基于所述事件率来确定预测的事件率；

标识数据结构的代表性容量；

基于所述预测的事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目小于或等于所述代表性容量；以及

将所述特定时间间隔标识为所述轮换间隔。

5.根据权利要求1所述的系统，其中用于确定所述轮换间隔的所述一个或多个处理器，用于：

基于所述事件率来确定预测的事件率；

标识数据结构的代表性容量；

基于所述预测的事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目大于所述代表性容量；以及

使所述轮换间隔大于所述特定时间间隔。

6.根据权利要求1所述的系统，其中所述数据结构的名称标识以下至少一项：

所述租户；

所述时间窗口；或

要被存储在所述数据结构中的事件日志类别。

7.根据权利要求1所述的系统，其中所述一个或多个处理器还用于：

获得事件日志搜索请求；

基于所述事件日志搜索请求来确定与所述事件日志搜索请求相关联的时间跨度；

基于与所述事件日志搜索请求相关联的所述时间跨度，搜索另一数据结构以标识数据结构集，

其中所述数据结构集中的每个数据结构存储在特定时间窗口期间被获得的、与所述租户相关联的事件日志，所述特定时间窗口至少部分地与和所述事件日志搜索请求相关联的所述时间跨度共同扩展，

基于所述事件日志搜索请求，对所述数据结构集执行一个或多个数据结构查询以标识事件日志搜索信息；以及

提供所述事件日志搜索信息。

8.根据权利要求7所述的系统，其中所述另一数据结构是二叉搜索树。

9.根据权利要求1所述的系统，其中所述一个或多个处理器还用于：

获得剩余存储容量请求；

基于所述剩余存储容量请求来确定针对所述租户的可用存储的数量；

基于针对所述租户的所述可用存储的所述数量来确定可以被存储在针对所述租户的所述可用存储中的事件日志的数目；

基于可以被存储在针对所述租户的所述可用存储中的所述事件日志的数目以及与所述租户相关联的所述事件率，确定针对所述租户的以时间量表示的剩余存储容量；以及

向所述租户提供以所述时间量表示的所述剩余存储容量。

10.一种存储指令集的非暂态计算机可读介质，所述指令集包括：

一个或多个指令，所述一个或多个指令在由系统的一个或多个处理器执行时使所述系统：

基于与所述系统的租户相关联的一个或多个事件日志来确定与所述租户相关联的事件率；

基于所述事件率来确定与所述租户相关联的预测的事件率；

基于所述预测的事件率来确定轮换间隔；

基于所述轮换间隔来使数据结构被生成以用于存储在时间窗口期间被获得的、与所述租户相关联的事件日志；

在所述时间窗口内获得与所述租户相关联的一个或多个附加事件日志；以及

基于在所述时间窗口内获得所述一个或多个附加事件日志，使所述一个或多个附加事件日志被存储在所述数据结构中。

11.根据权利要求10所述的非暂态计算机可读介质，其中使所述系统确定所述预测的事件率的所述一个或多个指令使所述系统：

使用机器学习模型来处理所述事件率以确定所述预测的事件率。

12.根据权利要求10所述的非暂态计算机可读介质，其中使所述系统确定所述预测事件率的所述一个或多个指令使所述系统：

使用单变量时间序列预测模型来处理所述事件率以确定所述预测的事件率。

13.根据权利要求10所述的非暂态计算机可读介质，其中使所述系统确定所述轮换间隔的所述一个或多个指令使所述系统：

基于所述预测的事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目小于或等于数据结构的代表性容量；以及

将所述特定时间间隔标识为所述轮换间隔。

14.根据权利要求10所述的非暂态计算机可读介质，其中使所述系统确定所述轮换间隔的所述一个或多个指令使所述系统：

基于所述预测的事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目大于数据结构的代表性容量；以及

使所述轮换间隔大于所述特定时间间隔。

15.根据权利要求10所述的非暂态计算机可读介质，其中所述一个或多个指令还使所述系统：

获得事件日志搜索请求；

基于所述事件日志搜索请求来确定与所述事件日志搜索请求相关联的时间跨度；

基于与所述事件日志搜索请求相关联的所述时间跨度，搜索另一数据结构以标识数据结构集，所述数据结构集存储与所述租户相关联的事件日志并且与和所述事件日志搜索请求相关联的所述时间跨度相关联，

基于所述事件日志搜索请求，对所述数据结构集执行一个或多个数据结构查询以标识事件日志搜索信息；以及

提供所述事件日志搜索信息。

16.根据权利要求10所述的非暂态计算机可读介质，其中所述一个或多个指令还使所述系统：

获得剩余存储容量请求；

基于所述剩余存储容量请求来确定可以被存储在针对所述租户的可用存储中的事件日志的数目；

基于可以被存储在针对所述租户的所述可用存储中的所述事件日志的数目以及与所述租户相关联的所述事件率，确定针对所述租户的以时间量表示的剩余存储容量；以及

向所述租户提供以所述时间量表示的所述剩余存储容量。

17.一种方法，包括：

由系统并且基于与所述系统的租户相关联的一个或多个事件日志来确定与所述租户相关联的事件率；

由所述系统并且基于所述事件率来确定轮换间隔；

由所述系统并且基于所述轮换间隔来使数据结构被生成以用于存储在时间窗口期间被获得的、与所述租户相关联的事件日志；以及

由所述系统使在所述时间窗口内被获得的一个或多个附加事件日志被存储在所述数据结构中。

18.根据权利要求17所述的方法，其中确定所述轮换间隔包括：

使用机器学习模型来处理所述事件率以确定所述轮换间隔。

19.根据权利要求17所述的方法，其中确定所述轮换间隔包括：

基于所述事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目小于或等于数据结构的代表性容量；以及

将所述特定时间间隔标识为所述轮换间隔。

20.根据权利要求17所述的方法，其中确定所述轮换间隔包括：

基于所述事件率来确定在特定时间间隔期间要被接收的事件日志的数目；

确定在所述特定时间间隔期间要被接收的所述事件日志的数目大于数据结构的代表性容量；以及

使所述轮换间隔大于所述特定时间间隔。

Images