DE102019131038A1

DE102019131038A1 - Detektion von Ereignisstürmen

Info

Publication number: DE102019131038A1
Application number: DE102019131038.5A
Authority: DE
Inventors: Naveena Kedlaya; Maneesh Keshavan B
Original assignee: Hewlett Packard Enterprise Development LP
Current assignee: Hewlett Packard Enterprise Development LP
Priority date: 2018-11-30
Filing date: 2019-11-18
Publication date: 2020-06-04
Also published as: US20200174868A1; US11314573B2; CN111258845A

Abstract

In einem Beispiel wird eine erste Anzahl von Ereignissen, die einem ersten Ereignistyp zugeordnet sind, die in dem ersten Zeitfenster empfangen werden, mit einem ersten Schwellenwert verglichen. Der erste Ereignistyp ist einer von mehreren Ereignistypen, und jeder Ereignistyp entspricht einer Menge von Ressourcen, die von einem Ereignis verbraucht werden, das dem Ereignistyp zugeordnet ist. Es wird basierend auf der ersten Anzahl von Ereignissen und dem ersten Schwellenwert erkannt, ob Ereignisse, die mit dem ersten im ersten Zeitfenster empfangenen Ereignistyp verknüpft sind, Teil eines Ereignissturms sind.

Description

STAND DER TECHNIK
Geräte in einer Computerumgebung, z. B. einem Rechenzentrum, können Ereignisse generieren, die auf die Funktionsweise der Geräte hinweisen. Manchmal können in kurzer Zeit mehrere Ereignisse generiert werden, z. B. in Form eines Bursts. Solche Ereignisse können als Teil eines Ereignissturms bezeichnet werden.
Figurenliste
Die folgende detaillierte Beschreibung bezieht sich auf die Figuren, wobei:

1 veranschaulicht ein System zum Erfassen eines Ereignissturms gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
2 veranschaulicht das Identifizieren von Ereignissen, die jedem Ereignistyp zugeordnet sind, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
3 (a) zeigt Erfassen , ob mit einer ersten Ereignistyp zugeordnet Ereignisse Teil eines Ereignissturms auf einer Vielzahl von Schwellenwerten basiert, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
3 (b) veranschaulicht Erfassen , ob mit einem zweiten Ereignistyp zugeordnet Ereignisse Teil eines Ereignissturms auf einer Vielzahl von Schwellenwerten basiert, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
4 veranschaulicht ein Verfahren zum Nachweis , ob Ereignisse eines Ereignisstroms Teil eines Ereignissturms sind, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
5 veranschaulicht ein Verfahren zum Erfassen eines Ereignissturms gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
6 veranschaulicht eine Computerumgebung, die ein nichtflüchtiges computerlesbares Medium zum Erfassen eines Ereignissturms gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands implementiert.

DETAILLIERTE BESCHREIBUNG
Ereignisse, die von einem Gerät in einer Computerumgebung generiert werden, können Informationen zur Funktionsweise des Geräts liefern. Beispielsweise kann ein von einem Computergerät erzeugtes Ereignis anzeigen, dass die Temperatur einer Komponente des Computergeräts einen Temperaturschwellenwert überschritten hat. In einigen Fällen wird eine große Anzahl von Ereignissen in relativ kurzer Zeit generiert. Die große Anzahl von Ereignissen kann als Teil eines Ereignissturms oder eines Ereignissturms bezeichnet werden.
Die große Anzahl von Ereignissen des Ereignissturms kann zu einer Überlastung eines Systems führen, das die Ereignisse verarbeitet. Eine solche Überlastung kann sogar zu einem Ausfall des Systems führen. Ferner können die Ereignisse des Ereignissturms redundanter Natur sein. Dementsprechend muss der Ereignissturm erkannt werden und die Ereignisse müssen möglicherweise unterdrückt werden, bis der Ereignissturm abgeklungen ist, dh die Anzahl der Ereignisse pro Zeiteinheit reduziert sich auf einen überschaubaren Wert.
Um das Auftreten eines Ereignissturms zu erfassen, wird im Allgemeinen die Anzahl der Ereignisse, die in einem bestimmten Zeitraum empfangen wurden, mit einer Schwellenanzahl von Ereignissen verglichen. Während ein derartiger Vergleich die Erkennung eines Ereignissturms ermöglichen kann, der in Form eines plötzlichen Ausbruchs von Ereignissen auftritt, ist es möglicherweise nicht möglich, einen Ereignissturm zu erkennen, bei dem Ereignisse auftreten, die mit einer relativ geringen Häufigkeit erzeugt werden, jedoch eine große Menge verbrauchen von Ressourcen des Systems. Obwohl solche Ereignisse mit einer geringeren Häufigkeit erzeugt werden, können sie dennoch zu einer Überlastung des Systems führen.
Der vorliegende Gegenstand betrifft die Erkennung eines Ereignissturms. Mit den Implementierungen des vorliegenden Gegenstands kann eine Überlastung eines Systems, das Ereignisse eines Ereignissturms behandelt, verhindert werden.
Gemäß einer beispielhaften Implementierung wird eine erste Anzahl von Ereignissen bestimmt, die einem ersten Ereignistyp zugeordnet sind und die in einem ersten Zeitfenster empfangen werden. Die Bestimmung kann basierend auf Attributen, im Folgenden als Ereignisattribute bezeichnet, jedes im ersten Zeitfenster empfangenen Ereignisses durchgeführt werden. In einem Beispiel kann der erste Ereignistyp ein erstes Ereignisattribut enthalten, und ein Ereignis kann als dem ersten Ereignistyp zugeordnet bestimmt werden, wenn das Ereignis das erste Ereignisattribut aufweist. T er erster Ereignistyp kann ein aus einer Vielzahl von Ereignistypen sein. Jeder Ereignistyp entspricht einer Ressourcenmenge, die von Ereignissen verbraucht wird, die dem Ereignistyp zugeordnet sind. Beispielsweise kann sich der Ressourcenverbrauch von Ereignissen, die dem ersten Ereignistyp zugeordnet sind, von dem Ressourcenverbrauch von Ereignissen unterscheiden, die einem zweiten Ereignistyp der Mehrzahl von Ereignistypen zugeordnet sind.
Ein erster Vergleich zwischen der ersten Anzahl von Ereignissen und einer ersten Schwelle kann durchgeführt werden. Der erste Schwellenwert kann dem ersten Ereignistyp und dem ersten Zeitfenster zugeordnet sein. Basierend auf dem ersten Vergleich, kann es sein , detektiert, ob Ereignisse mit dem ersten Ereignistyp in dem ersten Zeitfenster empfing zugehöriger Teil eines Sturmereignisses sind.
Da Ereignisse in verschiedene Ereignistypen eingeteilt sind, von denen jeder einer bestimmten Menge an Ressourcenverbrauch entspricht, ermöglicht der vorliegende Gegenstand die Bestimmung des Ressourcenverbrauchs aufgrund der empfangenen Ereignisse. Ferner ermöglicht der vorliegende Gegenstand durch Bereitstellen eines Zeitfensters und einer Schwellenanzahl von Ereignissen, die jedem Ereignistyp entsprechen, eine genaue Erfassung der Anzahl von Ereignissen, die wahrscheinlich eine Überlastung eines Systems verursachen, das die Ereignisse handhaben soll. Wenn zum Beispiel ein Ereignis wahrscheinlich eine relativ große Menge an Ressourcen verbraucht, kann der Ereignistyp, der dem Ereignis zugeordnet ist, einen relativ kleinen Schwellenwert und ein relativ großes Zeitfenster aufweisen. Daher kann der vorliegende Gegenstand zur Erfassung von Ereignisstürmen verwendet werden, die Ereignisse betreffen, die mit einer relativ geringeren Häufigkeit erzeugt werden, die jedoch eine relativ größere Menge an Ressourcen verbrauchen.
Beispielhafte Implementierungen des vorliegenden Gegenstands werden in Bezug auf Computerumgebungen mit einer Vielzahl von Geräten beschrieben, wie beispielsweise einer Vielzahl von Computergeräten und einer Vielzahl von Schaltern. Es versteht sich jedoch, dass die Implementierungen des vorliegenden Gegenstands für eine Computerumgebung verwendet werden können, die ein einzelnes Gerät, beispielsweise ein einzelnes Computergerät, aufweist, das Ereignisse erzeugen kann.
Die folgende Beschreibung bezieht sich auf die beigefügten Zeichnungen. Wo immer möglich, werden in den Zeichnungen und der folgenden Beschreibung dieselben Bezugszeichen verwendet, um auf dieselben oder ähnliche Teile Bezug zu nehmen. Während in der Beschreibung mehrere Beispiele beschrieben sind, sind Modifikationen, Anpassungen und andere Implementierungen möglich und sollen hierin abgedeckt werden.
1 veranschaulicht ein System 100 zum Erfassen eines Ereignissturms gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands. Das System 100 kann als ein beliebiges von verschiedenen Computersystemen implementiert werden, wie beispielsweise ein Desktop-Computer, ein Laptop-Computer, ein Server, ein Tablet und dergleichen. Das System 100 enthält einen Prozessor 102 und ein maschinenlesbares Speichermedium 104, das mit dem Prozessor 102 verbunden ist.
Der Prozessor 102 kann als Mikroprozessor, Mikrocomputer, Mikrocontroller, Digitalsignalprozessor, Zentraleinheit, Zustandsmaschine, Logikschaltung und / oder irgendeine Vorrichtung implementiert sein, die Signale auf der Basis von Betriebsanweisungen manipuliert. Unter anderen Fähigkeiten kann der Prozessor 102 computerlesbare Anweisungen abrufen und ausführen, die in dem maschinenlesbaren Speichermedium 104 enthalten sind. Die computerlesbaren Anweisungen, im Folgenden als Anweisungen bezeichnet, umfassen Anweisungen 106 und Anweisungen 108. Die Funktionen des Prozessors 102 können durch die Verwendung von dedizierter Hardware sowie von Hardware bereitgestellt werden, die maschinenlesbare Anweisungen ausführen kann.
Das maschinenlesbare Speichermedium 104 kann ein beliebiges nichtflüchtiges computerlesbares Medium enthalten, einschließlich eines flüchtigen Speichers (z. B. RAM) und / oder eines nichtflüchtigen Speichers (z. B. EPROM, Flash-Speicher, Memristor usw.). Das maschinenlesbare Speichermedium 104 kann auch eine externe Speichereinheit sein, beispielsweise ein Flash-Laufwerk, ein Compact-Disk-Laufwerk, ein externes Festplattenlaufwerk oder dergleichen.
Zusätzlich zu dem Prozessor 102 und dem maschinenlesbaren Speichermedium 104 kann das System 100 auch Schnittstelle (n) und Systemdaten (in 1 nicht gezeigt) enthalten. Die Schnittstelle (n) können eine Vielzahl von maschinenlesbaren anweisungsbasierten Schnittstellen und Hardwareschnittstellen enthalten, die eine Interaktion mit einem Benutzer und mit anderen Kommunikations- und Computergeräten wie Netzwerkeinheiten, Webservern und externen Repositorys sowie Peripheriegeräten ermöglichen. Die Systemdaten können als Aufbewahrungsort zum Speichern von Daten dienen, die durch die Anweisungen abgerufen, verarbeitet, empfangen oder erstellt werden können.
Im Betrieb ermöglichen die Anweisungen 106, wenn sie vom Prozessor 102 ausgeführt werden, das Bestimmen einer Anzahl von Ereignissen, die einem ersten Ereignistyp zugeordnet sind und die in einem ersten Zeitfenster empfangen werden. Jedes Ereignis kann einer Computerumgebung zugeordnet sein, beispielsweise einem Rechenzentrum (in 1 nicht gezeigt). Beispielsweise kann sich jedes Ereignis auf einen Betrieb eines Geräts in der Computerumgebung beziehen. Die Anzahl von Ereignissen, die dem ersten Ereignistyp zugeordnet sind und in dem ersten Zeitfenster empfangen werden, kann als eine erste Anzahl von Ereignissen bezeichnet werden, die dem ersten Ereignistyp zugeordnet sind. Die Bestimmung der ersten Anzahl von Ereignissen kann basierend auf Attributen jedes Ereignisses durchgeführt werden, das in dem ersten Zeitfenster empfangen wird. Die Attribute eines Ereignisses können als Ereignisattribute des Ereignisses bezeichnet werden. In einem Beispiel kann der erste Ereignistyp ein erstes Ereignisattribut enthalten, und es kann als Reaktion auf das Ereignis mit dem ersten Ereignisattribut bestimmt werden, dass ein Ereignis dem ersten Ereignistyp zugeordnet ist, wie unter Bezugnahme auf 2 erläutert wird .
Der erste Ereignistyp kann einer von mehreren Ereignistypen sein. Jeder Ereignistyp der Vielzahl von Ereignistypen entspricht einer Menge von Ressourcen, die von Ereignissen verbraucht werden, die dem Ereignistyp zugeordnet sind. Beispielsweise kann sich der Ressourcenverbrauch von Ereignissen, die dem ersten Ereignistyp zugeordnet sind, von dem Ressourcenverbrauch von Ereignissen unterscheiden, die einem zweiten Ereignistyp der Mehrzahl von Ereignistypen zugeordnet sind. Der Ressourcenverbrauch eines Ereignisses kann sich auf eine Menge von Ressourcen beziehen, die beim Behandeln des Ereignisses verbraucht würden. Die verbrauchte Ressource kann beispielsweise Prozessorressourcen, Speicherressourcen oder Speicherressourcen sein.
Die Anweisungen 108 ermöglichen, wenn sie von dem Prozessor 102 ausgeführt werden, das Erfassen, ob die Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der in dem ersten Zeitfenster empfangen wurde, Teil eines Ereignissturms sind, basierend auf einem Vergleich zwischen der ersten Anzahl von Ereignissen und einem ersten Schwellenwert. Die erste Schwelle kann dem ersten Ereignistyp und dem ersten Zeitfenster zugeordnet sein. Beispielsweise kann sich der erste Schwellenwert von einem Schwellenwert unterscheiden, der dem zweiten Ereignistyp zugeordnet ist, wie unter Bezugnahme auf die 1 und 2 ausführlicher erläutert wird. 3 (a) und 3 (b). Der Vergleich zwischen der ersten Anzahl von Ereignissen und der ersten Schwelle kann als erster Vergleich bezeichnet werden.
2 veranschaulicht das Identifizieren von Ereignissen, die jedem Ereignistyp zugeordnet sind, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands. Das System 100 kann Ereignisse von einer Computerumgebung 202 empfangen, die ein Gerät wie ein Computergerät (z. B. einen Server), einen Switch, einen Router oder dergleichen (in 2 nicht gezeigt) enthalten kann. In einem Beispiel kann die Computerumgebung 202 mehrere Geräte enthalten. Beispielsweise kann die Computerumgebung 202 ein Datenzentrum sein.
Das System 100 kann eine Verwaltungsstation sein, die verwendet werden kann, um in der Computerumgebung 202 erzeugte Ereignisse zu überwachen. Um die in der Computerumgebung 202 erzeugten Ereignisse zu überwachen, kann das System 100 über ein Kommunikationsnetzwerk (in 2 nicht gezeigt) mit der Computerumgebung 202 verbunden sein. Das Kommunikationsnetz kann ein drahtloses oder ein drahtgebundenes Netzwerk oder eine Kombination davon sein. Das Kommunikationsnetz kann eine Sammlung von einzelnen Netzwerken sein, die miteinander verbunden sind und als ein einziges großes Netzwerk (z. B. das Internet oder ein Intranet) funktionieren. Beispiele für solche individuellen Netze sind das GSM-Netz (Global System for Mobile Communication), das UMTS-Netz (Universal Mobile Telecommunications System), das PCS-Netz (Personal Communications Service), das TDMA-Netz (Time Division Multiple Access) und das CDMA-Netz (Code Division Multiple Access) , Next Generation Network (NGN), öffentliches Telefonnetz (PSTN) und Integrated Services Digital Network (ISDN). Abhängig von der Technologie enthält das Kommunikationsnetzwerk verschiedene Netzwerkeinheiten wie Transceiver, Gateways und Router.
Ein in der Computerumgebung 202 erzeugtes Ereignis kann sich auf die Funktionsweise eines Geräts in der Computerumgebung 202 beziehen. Beispielsweise kann ein Ereignis darauf hinweisen, dass ein Port eines Switches aktiv ist. Ein anderes Ereignis kann sich auf den Lebenszyklus eines Geräts beziehen. Beispielsweise kann ein Ereignis darauf hinweisen, dass ein Server, z. B. ein Blade-Server, in ein Gehäuse eingefügt wurde. Bei der Erzeugung können die Ereignisse durch das System 100 über das Kommunikationsnetzwerk empfangen werden. Das Empfangen eines Ereignisses durch das System 100 kann austauschbar als Eintreffen eines Ereignisses bei dem System 100 bezeichnet werden. Das empfangene Ereignis muss möglicherweise von dem System 100 in Abhängigkeit von der Art des Ereignisses behandelt werden. Wenn beispielsweise das empfangene Ereignis lediglich Informationen bereitstellt und nicht bearbeitet werden muss (auch als „Informationsereignis“ bezeichnet), kann das System 100 das Ereignis einfach ignorieren oder es einem Benutzer über eine Benutzerschnittstelle anzeigen (UI). Das Ereignis, das angibt, dass der Port des Switch aktiv ist, ist ein solches Ereignis. Im Gegensatz dazu kann das empfangene Ereignis einen Status im Lebenszyklus eines Geräts anzeigen (auch als „Lebenszyklusereignis“ bezeichnet), und das System muss möglicherweise eine oder mehrere Aktionen ausführen. Ein Ereignis, das angibt, dass ein Server in ein Gehäuse eingefügt wurde, ein Ereignis, das angibt, dass ein Server aus dem Gehäuse entfernt wurde, und ein Ereignis, das angibt, dass eine Festplatte in den Server eingefügt wurde, sind solche Ereignisse. Wenn beispielsweise das empfangene Ereignis anzeigt, dass der Server eingefügt ist, muss das System 100 möglicherweise die folgenden Aktionen ausführen:

ich. Anmeldeinformationen konfigurieren,
ii. NTP-Client (Network Time Protocol) konfigurieren,
iii. Konfigurieren Sie den SNMP-Agenten (Simple Network Management Protocol).
iv. Konfigurieren Sie die Administrator-E-Mail-Adresse.
v. Firmware aktualisieren und
vi. Bestandskonfiguration der Hardware.

In einigen Fällen kann ein Satz von Ereignissen in der Computerumgebung 202 in einer bestimmten Zeitspanne generiert und vom System 100 empfangen werden. Manchmal kann das Eintreffen der Ereignisse eine Überlastung des Systems 100 verursachen. Beispielsweise kann die Behandlung der Ereignisse durch das System 100 dazu führen, dass sein Ressourcenverbrauch, wie z. B. der Prozessorverbrauch, der Speicherverbrauch oder der Speicherverbrauch, über einen Ressourcenschwellenwert hinaus ansteigt. Eine Menge von Ereignissen, die in einem bestimmten Zeitraum empfangen wurden, kann als Teil eines Ereignissturms bezeichnet werden, wenn die Menge von Ressourcen, die zu einem Zeitpunkt aufgrund der Menge von Ereignissen verbraucht würde, eine Schwellenmenge von Ressourcen überschreiten würde. Der Satz von Ereignissen kann dazu führen, dass der Ressourcenverbrauch den Ressourcenschwellenwert aufgrund der Nähe zwischen den Zeitpunkten, zu denen die Ereignisse am System 100 ankommen, und aufgrund der Ressourcen, die bei der Behandlung jedes der Ereignisse verbraucht würden, überschreitet. Ein solcher Satz von Ereignissen ist zu erfassen und verschiedenen Operationen zu unterziehen, um eine Überlastung des Systems 100 zu verhindern. Beispielsweise müssen die Ereignisse des Ereignissatzes möglicherweise unterdrückt werden. Die Unterdrückung eines Ereignisses kann das Nichtbearbeiten des Ereignisses, dh das Nichtbearbeiten des Ereignisses, umfassen.
In einem Beispiel können unterschiedliche Ereignisse unterschiedliche Mengen an Ressourcen verbrauchen. Beispielsweise kann ein Informationsereignis im Vergleich zu einem Lebenszyklusereignis weniger Ressourcen verbrauchen. Während eine Reihe von Ereignissen mit 100 Informationsereignissen, die in 1 Minute empfangen wurden, möglicherweise nicht dazu führen, dass der Ressourcenverbrauch den Ressourcenschwellenwert überschreitet, kann eine Reihe von Ereignissen mit 25 Lebenszyklusereignissen, die in 1 Minute empfangen wurden, dazu führen, dass der Ressourcenverbrauch den Ressourcenschwellenwert überschreitet. Darüber hinaus kann der Ressourcenverbrauch von Lebenszyklusereignissen je nach dem Gerät, auf das sie sich beziehen, unterschiedlich sein. Beispielsweise kann ein Lebenszyklusereignis in Bezug auf einen ersten Server der Version 1.0, das angibt, dass der erste Server in ein Gehäuse eingefügt ist, eine andere Menge an Ressourcen verbrauchen als ein Lebenszyklusereignis in Bezug auf einen zweiten Server der Version 2.0, das angibt, dass der zweite Server ein Server ist in das Gehäuse eingesetzt.
Dementsprechend kann das System 100, um das Auftreten eines Ereignissturms zu erfassen, von der Computerumgebung 202 empfangene Ereignisse in verschiedene Ereignistypen klassifizieren. Ein Ereignistyp kann eine Menge von Ressourcen anzeigen, die von den entsprechenden Ereignissen verbraucht werden, dh Ereignisse, die dem Ereignistyp zugeordnet sind. Beispielsweise kann sich die Menge an Ressourcen, die von Ereignissen verbraucht werden, die einem Ereignistyp zugeordnet sind, von der Menge an Ressourcen unterscheiden, die von Ereignissen verbraucht werden, die einem anderen Ereignistyp zugeordnet sind. Dementsprechend kann die Anzahl von Ereignissen, die jedem Ereignistyp entsprechen, unabhängig von der Anzahl von Ereignissen, die anderen Ereignistypen entsprechen, überwacht werden. Ferner kann eine Erfassung des Auftretens eines Ereignissturms für Ereignisse, die jedem Ereignistyp entsprechen, unabhängig durchgeführt werden, wie nachstehend erläutert wird.
Wie in 2 dargestellt, können mehrere Ereignisse in der Computerumgebung 202 erzeugt und vom System 100 empfangen werden. Die Vielzahl von Ereignissen umfasst ein erstes Ereignis 204, ein zweites Ereignis 206, ein drittes Ereignis 208 und ein viertes Ereignis 210. Jedes Ereignis kann eine Vielzahl von Attributen enthalten, im Folgenden als Ereignisattribute bezeichnet, die verschiedene Details bezüglich des Ereignisses bereitstellen.
Jedes Ereignisattribut kann eine Paarung eines Ereignisattributtyps und eines Ereignisattributwerts für den Ereignisattributtyp enthalten. Die Ereignisattributtypen können die verschiedenen Aspekte sein, mit denen ein Ereignis charakterisiert werden kann. Beispielsweise können die Ereignisattributtypen eines Ereignisses ein Ursprungsgerät, eine betroffene Komponente des Ursprungsgeräts und eine Ereignissignifikanz umfassen. Das Ursprungsgerät bezieht sich auf das Gerät der Computerumgebung 202, von dem das Ereignis stammt, und eine betroffene Komponente des Ursprungsgeräts bezieht sich auf eine Komponente des Ursprungsgeräts, auf das sich das Ereignis bezieht. Die Ereignisbedeutung eines Ereignisses kann einen Hinweis auf den Umfang der zur Bewältigung des Ereignisses durchzuführenden Behandlung geben.
Ein Ereignisattributwert kann ein Wert sein, der einem Ereignisattributtyp für ein bestimmtes Ereignis entspricht. Der Ereignisattributwert kann einer von mehreren möglichen Werten für den Ereignisattributtyp sein. Die Vielzahl von möglichen Werten für den Ereignisattributtyp der Ursprungsvorrichtung kann ein erster Server (in 2 nicht gezeigt) der Computerumgebung 202 und ein erster Schalter (in 2 nicht gezeigt) sein. In ähnlicher Weise kann die Vielzahl möglicher Werte für den Ereignisattributtyp der Ereignissignifikanz der Lebenszyklus (was einen großen Handhabungsaufwand anzeigt), der Fehler (was einen mittleren Handhabungsaufwand anzeigt) und die Information (was einen geringen Handhabungsaufwand anzeigt) sein. Ferner kann die Vielzahl von möglichen Werten für den Ereignisattributtyp der betroffenen Komponente ein Baseboard-Management-Controller (BMC) des ersten Servers und ein erster Port des ersten Switch sein. Da jedes Ereignisattribut eine Paarung eines Ereignisattributtyps und eines Ereignisattributwerts enthält, kann jedes Ereignisattribut als Ereignisattributtyp-Ereignisattributwert-Paar oder als Typ-Wert-Paar bezeichnet werden.
Bei Empfang eines Ereignisses von der Computerumgebung 202 kann das System 100 einen Ereignistyp bestimmen, dem das Ereignis zugeordnet ist. Ein Ereignistyp kann einer Reihe von Ereignisattributen entsprechen und zum Klassifizieren von Ereignissen basierend auf ihren jeweiligen Ereignisattributen verwendet werden. Ein Satz von Ereignisattributen, die einem Ereignistyp entsprechen, kann den Ressourcenverbrauch jedes entsprechenden Ereignisses anzeigen. Beispielsweise kann jedes Ereignis, das alle Ereignisattribute des Satzes von Ereignisattributen aufweist, eine bestimmte Menge von Ressourcen oder eine bestimmte Menge von Ressourcen in einem bestimmten Bereich verbrauchen. Um einen Ereignistyp zu bestimmen, dem das Ereignis zugeordnet ist, können die Ereignisattribute des Ereignisses verwendet werden, wie nachstehend erläutert wird:
Das erste Ereignis 204 kann mehrere Ereignisattribute enthalten, dh mehrere Typ-Wert-Paare. Beispielsweise enthält das erste Ereignis 204 ein erstes Ereignisattribut 212, das austauschbar als erstes Typ-Wert-Paar 212 bezeichnet wird und eine Paarung eines ersten Ereignisattributtyps und eines ersten Ereignisattributwerts sein kann. Der erste Ereignisattributtyp kann beispielsweise ein Ursprungsgerät sein, und der erste Ereignisattributwert kann beispielsweise ein erster Server sein. Das erste Ereignis 204 kann auch ein zweites Typ-Wert-Paar 214 enthalten, das eine Paarung eines zweiten Ereignisattributtyps und eines zweiten Ereignisattributwerts sein kann. Der zweite Ereignisattributtyp kann beispielsweise eine betroffene Komponente sein und der zweite Ereignisattributwert kann beispielsweise der BMC des ersten Servers sein. Das erste Ereignis 204 kann ferner ein drittes Typ-Wert-Paar 216 enthalten, das eine Paarung eines dritten Ereignisattributtyps und eines dritten Ereignisattributwerts sein kann. Der dritte Ereignisattributtyp kann beispielsweise eine Ereignisbedeutung sein und der dritte Ereignisattributwert kann beispielsweise Information sein.
Das zweite Ereignis 206 kann ein viertes Typwertpaar 218, ein fünftes Typwertpaar 220 und ein sechstes Typwertpaar 222 enthalten. Das vierte Typ-Wert-Paar 218 kann eine Paarung des ersten Ereignisattributtyps und eines dritten Ereignisattributwerts sein. Wie zuvor erwähnt, kann der erste Ereignisattributtyp zum Beispiel das Ursprungsgerät sein, und der dritte Ereignisattributwert kann zum Beispiel ein erster Schalter sein. Das fünfte Typ-Wert-Paar 220 kann eine Paarung des zweiten Ereignisattributtyps und eines vierten Ereignisattributwerts sein. Der zweite Ereignisattributtyp kann beispielsweise die betroffene Komponente sein, und der vierte Ereignisattributwert kann beispielsweise ein erster Port des ersten Switch sein. Das sechste Typ-Wert-Paar 222 kann eine Paarung des dritten Ereignisattributtyps und eines fünften Ereignisattributwerts sein. Der dritte Ereignisattributtyp kann zum Beispiel die Ereignissignifikanz sein und der fünfte Ereignisattributwert kann zum Beispiel der Lebenszyklus sein. Das dritte Ereignis 208 kann das erste Typwertpaar 212, das fünfte Typwertpaar 220 und das dritte Typwertpaar 216 enthalten. Ferner kann das vierte Ereignis 210 das vierte Typwertpaar 218, das fünfte Typwertpaar 220 und das dritte Typwertpaar 216 enthalten.
Jeder Ereignistyp einer Vielzahl von Ereignistypen 224 (austauschbar als „Ereignistypen 224“ bezeichnet) kann einem Satz von Ereignisattributen entsprechen, dh Typ-Wert-Paaren. Beispielsweise entspricht ein erster Ereignistyp 226 dem ersten Typ-Wert-Paar 212, ein zweiter Ereignistyp 228 entspricht einem Satz von Ereignisattributen, der das erste Typ-Wert-Paar 212 und das zweite Typ-Wert-Paar 214 umfasst, ein dritter Der Ereignistyp 230 entspricht dem fünften Typ-Wert-Paar 220, ein vierter Ereignistyp 232 entspricht dem dritten Typ-Wert-Paar 216 und ein fünfter Ereignistyp 234 entspricht dem sechsten Typ-Wert-Paar 222. Die Ereignisattribute, die einem Ereignistyp entsprechen, können zusammen als ein Satz von Ereignisattributen bezeichnet werden, die dem Ereignistyp entsprechen. In einem Beispiel kann ein Satz von Attributen ein einzelnes Ereignisattribut haben. Ferner kann der Satz von Ereignisattributen, die zwei verschiedenen Ereignistypen entsprechen, ein gemeinsames Ereignisattribut enthalten.
In einem Beispiel kann ein Ereignis als einem Ereignistyp zugeordnet bezeichnet werden, wenn das Ereignis alle Ereignisattribute des Satzes von Ereignisattributen aufweist, die dem Ereignistyp entsprechen. Zum Beispiel enthält, wie oben erwähnt, der Satz von Ereignisattributen, die dem ersten Ereignistyp 226 entsprechen, das erste Typ-Wert-Paar 212. Da das erste Ereignis 204 das erste Typ-Wert-Paar 212 enthält, wird identifiziert, dass das erste Ereignis 204 alle Ereignisattribute des ersten Ereignistyps 226 aufweist, und das erste Ereignis 204 kann als dem ersten Ereignistyp zugeordnet bestimmt werden 226. In ähnlicher Weise kann, da das dritte Ereignis 208 auch das erste Typ-Wert-Paar 212 enthält, auch bestimmt werden, dass das dritte Ereignis 208 dem ersten Ereignistyp 226 zugeordnet ist. Ferner enthält, wie oben erwähnt, ein Satz von Ereignisattributen, die dem zweiten Ereignistyp 228 entsprechen, das erste Typ-Wert-Paar 212 und das zweite Typ-Wert-Paar 214. Da das erste Ereignis 204 sowohl das erste Typ-Wert-Paar 212 als auch das zweite Typ-Wert-Paar 214 enthält, kann bestimmt werden, dass das erste Ereignis 204 dem zweiten Ereignistyp 228 zugeordnet ist. In ähnlicher Weise können das zweite Ereignis 206, das dritte Ereignis 208 und das vierte Ereignis 210 als dem dritten Ereignistyp 230 zugeordnet bestimmt werden, das erste Ereignis 204, das dritte Ereignis 208 und das vierte Ereignis 210 können als dem vierten zugeordnet bestimmt werden Der Ereignistyp 232 und das zweite Ereignis 206 können als dem fünften Ereignistyp 234 zugeordnet bestimmt werden. In einem Beispiel kann das System 100 zum Identifizieren eines Ereignistyps, der einem von der Computerumgebung 202 empfangenen Ereignis zugeordnet ist, die Ereignisattribute des Ereignisses mit dem Satz von Ereignisattributen vergleichen, die jedem der mehreren Ereignistypen 224 entsprechen. Da ein einzelnes Ereignisattribut Teil mehrerer Sätze von Ereignisattributen sein kann, kann ein Ereignis mehr als einem Ereignistyp der Vielzahl von Ereignistypen 224 zugeordnet sein.
Wie sich aus der obigen Erläuterung ergibt, kann der Satz von Ereignisattributen, die einem Ereignistyp entsprechen, verwendet werden, um Ereignisse zu identifizieren, die hinsichtlich des Satzes von Ereignisattributen gemeinsam sind. Daher kann der Satz von Ereignisattributen, der einem Ereignistyp entspricht, ausgewählt werden, um alle Ereignisse zu identifizieren, die den Satz von Ereignisattributen gemeinsam haben. Man betrachte zum Beispiel das Szenario , bei dem das erste Ereignis Attributtyp ist das Ursprungsgerät und das erste Ereignis Attributwert ist der erste Server und in dem der erste Typ-Wert - Paar 212 ist die Paarung von der ersten Ereignisattributtyp und das erster Ereignisattributwert. Dementsprechend kann der erste Ereignistyp 226 so definiert werden, dass er das erste Typ-Wert-Paar 212 enthält, um alle vom ersten Server ausgehenden Ereignisse zu identifizieren. In einem Beispiel können die Ereignisattribute, die Teil eines Satzes von Ereignisattributen sein sollen, die jedem Ereignistyp entsprechen, in dem System 100 vordefiniert sein, und die mehreren Ereignistypen 224 können in dem maschinenlesbaren Speichermedium 104 gespeichert sein (in 2 nicht dargestellt).
Ferner kann der Satz von Ereignisattributen, die einem Ereignistyp entsprechen, so ausgewählt werden, dass jedes Ereignis, das dem Ereignistyp zugeordnet ist, eine bestimmte Menge von Ressourcen oder eine Menge von Ressourcen in einem bestimmten Bereich verbrauchen kann. In einem Beispiel kann der Satz von Ereignisattributen, die unterschiedlichen Ereignistypen entsprechen, so ausgewählt werden, dass Ereignisse, die unterschiedlichen Ereignistypen entsprechen, unterschiedliche Ressourcen verbrauchen können. Stellen Sie sich zum Beispiel ein Szenario vor, in dem Ereignisse mit dem Lebenszyklus als Ereignisbedeutung mehr Ressourcen verbrauchen als Ereignisse mit Informationen als Ereignisbedeutung. Dementsprechend kann der vierte Ereignistyp 232 so definiert werden, dass der Satz von Ereignisattributen, der dem vierten Ereignistyp 232 entspricht, das dritte Typ-Wert-Paar 216 enthält (ein Paar von Ereignisbedeutung als Ereignisattributtyp und Information als Ereignisattributwert). und der fünfte Ereignistyp 234 kann derart definiert sein, dass der Satz von Ereignisattributen, der dem fünften Ereignistyp 234 entspricht, das sechste Typ-Wert-Paar 222 enthält (ein Paar von Ereignisbedeutung als Ereignisattributtyp und Lebenszyklus als Ereignisattributwert). Daher können die Ereignisse, die dem vierten Ereignistyp 232 zugeordnet sind, im Vergleich zu den Ereignissen, die dem fünften Ereignistyp 234 zugeordnet sind, mehr Ressourcen des Systems 100 verbrauchen. Stellen Sie sich auch ein anderes Szenario vor, in dem Ereignisse mit dem Lebenszyklus als Ereignissignifikanz und dem Ursprung auf dem ersten Server mehr Ressourcen verbrauchen als Ereignisse mit dem Lebenszyklus als Ereignissignifikanz und dem Ursprung auf dem ersten Switch. Dementsprechend kann ein sechster Ereignistyp (in 2 nicht gezeigt) so definiert werden, dass der Satz von Ereignisattributen, der dem sechsten Ereignistyp entspricht, das erste Typ-Wert-Paar und das sechste Typ-Wert-Paar 222 und ein siebtes Ereignis enthält Typ (in 2 nicht gezeigt) kann so definiert werden, dass der Satz von Ereignisattributen, der dem siebten Ereignistyp entspricht, das vierte Typ-Wert-Paar 218 und das dritte Typ-Wert-Paar 216 enthält.
Da Ereignistypen eine Menge von Ressourcen anzeigen, die von entsprechenden Ereignissen verbraucht werden, kann in einem Beispiel eine Anzahl von Ereignissen, die dem Ereignistyp zugeordnet sind, mit a verglichen werden, um zu erfassen, ob ein Ereignis, das einem Ereignistyp zugeordnet ist, Teil eines Ereignissturms ist Schwellenwert für die Anzahl der Ereignisse, die diesem Ereignistyp entsprechen. Eine solche Schwellenanzahl von Ereignissen kann sich von einer Schwellenanzahl von Ereignissen unterscheiden, die einem anderen Ereignistyp entsprechen. Ferner kann entsprechend jedem Ereignistyp eine mehrfache Schwellenwertanzahl von Ereignissen verwendet werden. Eine Schwellenanzahl von Ereignissen kann als Schwelle bezeichnet werden. Die Einzelheiten bezüglich der Schwellenwerte werden unter Bezugnahme auf die 1 und 2 erläutert. 3 (a) und 3 (b).
Obwohl 2 unter Bezugnahme auf ein Szenario erläutert wird, in dem das System 100 die Ereignisse von der Computerumgebung 202 verarbeitet, ist dies in einem Beispiel möglicherweise nicht der Fall, und das System 100 ist möglicherweise nur an der Erkennung von Ereignisstürmen beteiligt.
3 (a) veranschaulicht das Erfassen, ob Ereignisse, die dem ersten Ereignistyp 226 zugeordnet sind, Teil eines Ereignissturms sind, basierend auf einer Vielzahl von Schwellenwerten, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands. Hier sind Ereignisse, die dem ersten Ereignistyp 226 zugeordnet sind, als Kreise dargestellt. Beispielsweise veranschaulichen die Kreise 302-1, 302-2, ..., 302-13 die Ereignisse, die dem ersten Ereignistyp 226 zugeordnet sind. In einem Beispiel kann das Ereignis 302-1 das erste Ereignis 204 und das Ereignis 302-2 das dritte Ereignis 208 sein. Die dem ersten Ereignistyp 226 zugeordneten Ereignisse können auch als Ereignisse eines ersten Ereignisstroms bezeichnet werden.
Die Ereignisse des ersten Ereignisstroms können zu verschiedenen Zeitpunkten von dem System 100 empfangen werden. Beispielsweise kann das Ereignis 302-1 zu einem ersten Zeitpunkt empfangen werden, das Ereignis 302-2 kann zu einem zweiten Zeitpunkt nach dem ersten Zeitpunkt empfangen werden, das Ereignis 302-3 kann zu einem dritten Zeitpunkt empfangen werden Zeitpunkt nach dem zweiten Zeitpunkt usw. Ferner können die Ereignisse des ersten Ereignisstroms periodisch oder nichtperiodisch empfangen werden. Beispielsweise kann die Differenz zwischen dem zweiten Zeitpunkt und dem ersten Zeitpunkt gleich oder verschieden von der Differenz zwischen dem dritten Zeitpunkt und dem zweiten Zeitpunkt sein.
In einem Beispiel kann das System 100, um zu bestimmen, ob die Ereignisse des ersten Ereignisstroms eintreffen, Teil eines Ereignissturms sein, eine Anzahl von Ereignissen des ersten Ereignisstroms bestimmen, die in einem Zeitfenster empfangen wurden, wie beispielsweise einem ersten Zeitfenster 304. Um die Anzahl von Ereignissen des ersten in einem Zeitfenster empfangenen Ereignisstroms zu bestimmen, kann der Ereignistyp, der jedem in dem Zeitfenster empfangenen Ereignis zugeordnet ist, auf die unter Bezugnahme auf 2 erläuterte Weise bestimmt werden. Das System 100 kann die Anzahl von Ereignissen des ersten Ereignisstroms für mehrere erste Zeitfenster bestimmen. Die verschiedenen ersten Zeitfenster sind mit den Bezugszeichen 304-1, 304-2, ... bezeichnet. Zur Vereinfachung der Erläuterung kann jedoch jedes der ersten Zeitfenster 304-1, 304-2, ... als das erste Zeitfenster 304 bezeichnet werden. Ferner können sich die verschiedenen ersten Zeitfenster nicht überlappen. Das erste Zeitfenster 304 kann eine erste Schwellenzahl von Ereignissen aufweisen, die mit sich selbst assoziiert sind, die auch als erste Schwellenzahl bezeichnet wird. Wie nachstehend ausführlicher erläutert wird, können solche Ereignisse als Teil eines Ereignissturms bestimmt werden, wenn die Anzahl von Ereignissen, die dem ersten Ereignistyp 226 zugeordnet sind, der in dem ersten Zeitfenster 304 empfangen wird, den ersten Schwellenwert überschreitet.
In einem Beispiel kann das System 100 mehrere Zeitfenster verwenden, um zu bestimmen, ob die Ereignisse des ersten Ereignisstroms Teil eines Ereignissturms sind. Die mehreren Zeitfenster können das erste Zeitfenster 304 und ein zweites Zeitfenster 306 enthalten. Die verschiedenen zweiten Zeitfenster sind mit den Bezugszeichen 306-1, 306-2, ... bezeichnet. Zur Vereinfachung der Erläuterung kann jedoch jedes der zweiten Zeitfenster 306-1, 306-2, ... als das zweite Zeitfenster 306 bezeichnet werden. Ferner können sich verschiedene zweite Zeitfenster nicht überlappen. In einem Beispiel kann das zweite Zeitfenster 306 größer sein als das erste Zeitfenster 304. Ferner kann das zweite Zeitfenster 306 mit dem ersten Zeitfenster 304 überlappen. Beispielsweise überlappt das zweite Zeitfenster 306-1 mit dem ersten Zeitfenster 304-1. Die Überlappung zwischen dem zweiten Zeitfenster 306 und dem ersten Zeitfenster 304 kann teilweise sein, wie durch die Überlappung zwischen dem zweiten Zeitfenster 306-1 und dem ersten Zeitfenster 304-2 veranschaulicht. Ähnlich dem ersten Zeitfenster 304 kann dem zweiten Zeitfenster 306 auch eine Schwelle zugeordnet sein. Eine solche Schwelle kann als zweite Schwelle bezeichnet werden.
Die Größe des ersten Zeitfensters, die Größe des zweiten Zeitfensters, der ersten Schwelle und der zweiten Schwelle können in dem System 100 basierend auf einer vorherigen Kenntnis einer Menge von Ressourcen konfiguriert werden, die von Ereignissen verbraucht werden, die dem ersten Ereignistyp 226 zugeordnet sind. Angenommen, wenn 3 Ereignisse, die dem ersten Ereignistyp 226 zugeordnet sind, in 1 Minute empfangen werden, steigt die Menge der verbrauchten Ressourcen nicht über einen Ressourcenschwellenwert an, und wenn mehr als 3 Ereignisse in 1 Minute empfangen werden, steigt die Menge der verbrauchten Ressourcen überschreitet den Ressourcenschwellenwert. Gemäß dem Beispiel kann das erste Zeitfenster 304 als 1 Minute konfiguriert sein und der erste Schwellenwert kann als 3 Ereignisse konfiguriert sein. Berücksichtigen Sie außerdem, dass die Menge der verbrauchten Ressourcen den Ressourcenschwellenwert überschreitet, wenn in 1 Minute und 15 Sekunden mehr als 4 Ereignisse empfangen werden. In einem solchen Fall kann das zweite Zeitfenster 306 als 1 Minute und 15 Sekunden konfiguriert sein und der zweite Schwellenwert kann als 4 Ereignisse konfiguriert sein.
Die Anzahl der im Zeitfenster empfangenen Ereignisse kann dann mit dem dem Zeitfenster zugeordneten Schwellenwert verglichen werden. Beispielsweise kann die Anzahl von Ereignissen des ersten Ereignisstroms, die in dem ersten Zeitfenster 304 empfangen wurden, mit dem ersten Schwellenwert verglichen werden, und die Anzahl von Ereignissen des ersten Ereignisstroms, die in dem zweiten Zeitfenster 306 empfangen wurden, kann mit dem zweiten verglichen werden Schwelle. Die Anzahl von Ereignissen des ersten Ereignisstroms, die in dem ersten Zeitfenster 304 empfangen werden, kann als eine erste Anzahl von Ereignissen bezeichnet werden. In ähnlicher Weise kann die Anzahl von Ereignissen des ersten Ereignisstroms, die in dem zweiten Zeitfenster 306 empfangen werden, als eine zweite Anzahl von Ereignissen bezeichnet werden. Das System 100 kann auf der Grundlage eines ersten Vergleichs zwischen der ersten Anzahl von Ereignissen und dem ersten Schwellenwert erkennen, dass die Ereignisse des ersten Ereignisstroms, die in dem ersten Zeitfenster 304 empfangen werden, Teil eines Ereignissturms sind. Ferner kann das System 100 basierend auf einem zweiten Vergleich zwischen der zweiten Anzahl von Ereignissen und dem zweiten Schwellenwert erfassen, dass die Ereignisse des ersten Ereignisstroms, die in dem zweiten Zeitfenster 306 empfangen werden, Teil eines Ereignissturms sind. Der Vergleich und die Erkennung werden nachfolgend anhand eines Szenarios erläutert, bei dem die erste Schwelle 3 Ereignisse und die zweite Schwelle 4 Ereignisse beträgt.
Wie dargestellt, wird in dem ersten Zeitfenster 304-1 ein Ereignis (302-1) des ersten Ereignisstroms empfangen. Da dies den ersten Schwellenwert nicht überschreitet, kann das System 100 erfassen, dass die Ereignisse des ersten Ereignisstroms, die in dem ersten Zeitfenster 304-1 empfangen werden, nicht Teil eines Ereignissturms sind. Ferner werden in dem zweiten Zeitfenster 306-1 zwei Ereignisse (302-1 und 302-2) des ersten Ereignisstroms empfangen. Da dies den zweiten Schwellenwert nicht überschreitet, kann das System 100 erfassen, dass die Ereignisse des ersten Ereignisstroms, die in dem zweiten Zeitfenster 306-1 empfangen werden, nicht Teil eines Ereignissturms sind. Anschließend werden im ersten Zeitfenster 304-2 3 Ereignisse des ersten Ereignisstroms empfangen. Da dies nicht größer als der erste Schwellenwert ist, kann das System 100 erfassen, dass die Ereignisse nicht Teil des Ereignissturms sind. In dem zweiten Zeitfenster 306-2 werden jedoch 5 Ereignisse des ersten Ereignisstroms empfangen. Da dies den zweiten Schwellenwert überschreitet, kann das System 100 erfassen, dass die Ereignisse des ersten Ereignisstroms, die in dem zweiten Zeitfenster 306-2 empfangen werden, Teil eines Ereignissturms sind. Eine solche Erkennung kann auch für nachfolgende Zeitfenster fortgesetzt werden.
In einem Beispiel kann jeder Ereignistyp entsprechende Zeitfenster und Schwellenwerte aufweisen. Beispielsweise können sich das erste Zeitfenster 304, das zweite Zeitfenster 306, der erste Schwellenwert und der zweite Schwellenwert, die dem ersten Ereignistyp 226 entsprechen, von einem dritten Zeitfenster, einem vierten Zeitfenster, einem dritten Schwellenwert bzw. einem vierten Schwellenwert unterscheiden auf den zweiten Ereignistyp 228, wie unter Bezugnahme auf 3 (b) erläutert wird.
Obwohl dies in 3 (a) nicht gezeigt ist, können zusätzlich zu dem ersten Zeitfenster, dem zweiten Zeitfenster, dem ersten Schwellenwert und dem zweiten Schwellenwert zusätzliche Zeitfenster und Schwellenwerte, die den zusätzlichen Zeitfenstern zugeordnet sind, ebenfalls verwendet werden, um zu erfassen, ob Ereignisse von Die ersten Ereignisströme sind Teil eines Ereignissturms.
3 (b) veranschaulicht das Erfassen, ob Ereignisse, die dem zweiten Ereignistyp 228 zugeordnet sind, Teil eines Ereignissturms sind, basierend auf einer Vielzahl von Schwellenwerten, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands. Hier werden die Ereignisse, die dem zweiten Ereignistyp 228 zugeordnet sind, durch Kreise dargestellt, wie z. B. 352-1, 352-2,.... Die Ereignisse, die dem zweiten Ereignistyp 228 zugeordnet sind, können als Ereignisse eines zweiten Ereignisstroms bezeichnet werden. Dem zweiten Ereignistyp 228 kann auch ein drittes Zeitfenster 354 zugeordnet sein. Dem zweiten Ereignistyp 228 können auch andere Zeitfenster zugeordnet sein, beispielsweise ein viertes Zeitfenster 356. Ferner kann jedem Zeitfenster ein Schwellenwert zugeordnet sein. Der dem dritten Zeitfenster 354 zugeordnete Schwellenwert kann ein dritter Schwellenwert sein, und der dem vierten Zeitfenster 356 zugeordnete Schwellenwert kann ein vierter Schwellenwert sein.
In einem Beispiel kann sich das dritte Zeitfenster 354 vom ersten Zeitfenster 304 und das vierte Zeitfenster 356 vom zweiten Zeitfenster 306 unterscheiden. Ferner kann sich die dritte Schwelle von der ersten Schwelle unterscheiden, und die vierte Schwelle kann sich von der zweiten Schwelle unterscheiden. Der Unterschied in den Zeitfenstern und den Schwellenwerten zwischen dem ersten Ereignistyp 226 und dem zweiten Ereignistyp 228 kann auf einen Unterschied im Ressourcenverbrauch von Ereignissen zurückzuführen sein, die dem ersten Ereignistyp 226 und dem zweiten Ereignistyp 228 zugeordnet sind.
Eine Größe des dritten Zeitfensters 354 und des dritten Schwellenwerts können basierend auf einer vorherigen Kenntnis einer Menge von Ressourcen konfiguriert werden, die von Ereignissen verbraucht werden, die dem zweiten Ereignistyp 228 zugeordnet sind. Wenn ferner das vierte Zeitfenster 356 ebenfalls verwendet wird, kann eine Größe des vierten Zeitfensters 356 und des vierten Schwellenwerts auch basierend auf der vorherigen Kenntnis der Menge von Ressourcen konfiguriert werden, die von Ereignissen verbraucht werden, die dem zweiten Ereignistyp 228 zugeordnet sind.
Wie bei den Ereignissen des ersten Ereignisstroms kann das System 100 die Anzahl von Ereignissen des zweiten Ereignisstroms bestimmen, die in dem dritten Zeitfenster 354 empfangen werden. Die Anzahl von Ereignissen des zweiten Ereignisstroms, die in dem dritten Zeitfenster 354 empfangen werden, kann als dritte Anzahl von Ereignissen bezeichnet werden. Ferner kann auch die Anzahl von Ereignissen des zweiten Ereignisstroms bestimmt werden, die in dem vierten Zeitfenster 356 empfangen werden. Die Anzahl von Ereignissen des zweiten Ereignisstroms, die in dem vierten Zeitfenster 356 empfangen werden, kann als eine vierte Anzahl von Ereignissen bezeichnet werden. Ferner kann eine solche Anzahl von Ereignissen mit ihren jeweiligen Schwellenwerten verglichen werden, um zu erfassen, ob Ereignisse des zweiten Ereignisstroms Teil eines Ereignissturms sind. Angenommen, der dritte Schwellenwert besteht aus 4 Ereignissen und der vierte Schwellenwert aus 5 Ereignissen. Dementsprechend kann das System 100 durch Vergleichen der dritten Anzahl von Ereignissen, die in den dritten Zeitfenstern 354-1, 354-2 und 354-3 empfangen wurden, mit dem dritten Schwellenwert erfassen, dass die Ereignisse des zweiten Ereignisstroms beim dritten Mal empfangen wurden Die Fenster 354-1, 354-2 bzw. 354-3 sind Teil eines Ereignissturms. Der Vergleich der dritten Anzahl von Ereignissen mit der dritten Schwelle kann als dritter Vergleich bezeichnet werden, und der Vergleich der vierten Anzahl von Ereignissen mit der vierten Schwelle kann als vierter Vergleich bezeichnet werden.
Ähnlich wie bei dem ersten Ereignisstrom und dem zweiten Ereignisstrom kann auch das Auftreten von Ereignisstürmen in Ereignissen anderer Ereignisströme erfasst werden, wie beispielsweise dem dritten Ereignisstrom, dem vierten Ereignisstrom und dem fünften Ereignisstrom, die Ereignisse enthalten, die mit dem dritten Ereignis verbunden sind Typ 230, vierter Ereignistyp 232 bzw. fünfter Ereignistyp 234.
Die Erkennung von Ereignisstürmen anhand von Schwellenwerten, die bestimmten Ereignistypen entsprechen, ermöglicht die genaue Erkennung von Ereignisstürmen. Wenn zum Beispiel Ereignisse, die dem fünften Ereignistyp 234 zugeordnet sind, im Vergleich zu Ereignissen, die dem vierten Ereignistyp 232 zugeordnet sind, mehr Ressourcen verbrauchen, kann ein Schwellenwert, der dem fünften Ereignistyp 234 entspricht, auf einem niedrigeren Wert gehalten werden als ein Schwellenwert, der dem entspricht vierter Ereignistyp 232. Dementsprechend kann der vorliegende Gegenstand verwendet werden, um selbst solche Ereignisstürme zu erfassen, die nicht in Form eines Ereignisstoßes in kurzer Zeit auftreten, sondern in Form eines anhaltenden und mittelfrequenten Ereignisflusses. Das Beibehalten unterschiedlicher Schwellenwerte für verschiedene Ereignistypen verhindert außerdem Fehlalarme in Bezug auf einen Ereignissturm. Wenn beispielsweise der Schwellenwert, der dem fünften Ereignistyp 234 entspricht, auf einem niedrigeren Wert gehalten wird als der Schwellenwert, der dem vierten Ereignistyp 232 entspricht, wird sichergestellt, dass mehr Ereignisse, die dem vierten Ereignistyp 232 zugeordnet sind, empfangen werden können, ohne erfasst zu werden als Teil eines Ereignissturms.
Ferner ermöglicht die Erfassung der Ereignisstürme basierend auf einer Vielzahl von Zeitfenstern und einer Vielzahl von Schwellenwerten, wie oben erläutert, die Erfassung von Ereignisstürmen, die ansonsten möglicherweise nicht erfasst werden. Wenn zum Beispiel das erste Zeitfenster 304 und der erste Schwellenwert alleine verwendet würden, um den Ereignissturm zu erfassen, wäre es möglicherweise nicht möglich gewesen, zu erfassen, dass die Ereignisse des ersten Ereignisstroms Teil eines Ereignissturms sind. Unter Bezugnahme auf 3 (a) ist beispielsweise die Anzahl von Ereignissen, obwohl ein Muster der Ankunft von Ereignissen des ersten Ereignisstroms derart ist, dass die Anzahl von Ereignissen in irgendeinem ersten Zeitfenster 304 den ersten Schwellenwert nicht überschreitet, die Anzahl von Ereignissen in Einige erste Zeitfenster (304-2, 304-3, 304-4 und 304-5) sind konsistent höher, beispielsweise gleich dem ersten Schwellenwert. Durch Bereitstellen des zweiten Zeitfensters 306 und durch Überwachen der zweiten Anzahl von Ereignissen in dem zweiten Zeitfenster 306 kann ein solcher Ereignissturm erfasst werden.
Nach dem Erkennen, dass die Ereignisse eines Ereignisstroms Teil eines Ereignissturms sind, kann das System 100 Abhilfemaßnahmen ergreifen, um eine Überlastung des Systems 100 zu verhindern. Solche Abhilfemaßnahmen können beispielsweise das Unterdrücken der Ereignisse des Ereignisstroms umfassen, wie unter Bezugnahme auf 4 erläutert wird.
4 veranschaulicht ein Verfahren 400 zum Erfassen, ob Ereignisse eines Ereignisstroms Teil eines Ereignissturms sind, gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands. Das Verfahren 400 kann vom System 100 durchgeführt werden.
Die Reihenfolge, in der das Verfahren 400 beschrieben wird, soll nicht als Einschränkung aufgefasst werden, und eine beliebige Anzahl der beschriebenen Verfahrensblöcke kann in einer beliebigen Reihenfolge kombiniert werden, um das Verfahren 400 oder ein alternatives Verfahren zu implementieren. Weiterhin kann das Verfahren 400 durch einen oder mehrere Prozessoren oder eine oder mehrere Rechenvorrichtungen durch irgendeine geeignete Hardware, nichtflüchtige maschinenlesbare Anweisungen oder eine Kombination davon implementiert werden.
Es versteht sich, dass Schritte des Verfahrens 400 von programmierten Rechenvorrichtungen ausgeführt werden können und basierend auf Anweisungen ausgeführt werden können, die in einem nichtflüchtigen computerlesbaren Medium gespeichert sind. Das nichtflüchtige computerlesbare Medium kann beispielsweise digitale Speicher, magnetische Speichermedien wie eine oder mehrere Magnetplatten und Magnetbänder, Festplatten oder optisch lesbare digitale Datenspeichermedien umfassen.
Mit Bezug auf das Verfahren 400 wird bei Block 402 eine erste Anzahl von Ereignissen eines Ereignisstroms, wie beispielsweise des ersten Ereignisstroms, der von dem System 100 in einem ersten Zeitfenster, wie beispielsweise dem ersten Zeitfenster 304 empfangen wird, bestimmt. Anschließend kann bei Block 404 die erste Anzahl von Ereignissen mit einem ersten Schwellenwert verglichen werden und es kann bestimmt werden, ob die erste Anzahl von Ereignissen größer als der erste Schwellenwert ist. Die erste Schwelle kann eine dem ersten Zeitfenster zugeordnete Schwelle sein, wie unter Bezugnahme auf 3 (a) erläutert. Der Vergleich der ersten Anzahl von Ereignissen mit der ersten Schwelle kann als erster Vergleich bezeichnet werden.
Wenn bestimmt wird, dass die erste Anzahl von Ereignissen größer als der erste Schwellenwert ist, kann das System 100 in Block 406 bestimmen, dass die Ereignisse des Ereignisstroms, wie beispielsweise des ersten Ereignisstroms, die in dem ersten Zeitfenster empfangen wurden, Teil von sind ein Ereignissturm. Andernfalls kann das System 100 in Block 408 bestimmen, dass die Ereignisse des in dem ersten Zeitfenster empfangenen Ereignisstroms nicht Teil eines Ereignissturms sind, wenn bestimmt wird, dass die erste Anzahl von Ereignissen nicht größer als der erste Schwellenwert ist.
Bei Block 410 wird eine zweite Anzahl von Ereignissen des Ereignisstroms bestimmt, die von dem System 100 in einem zweiten Zeitfenster empfangen werden, wie beispielsweise dem zweiten Zeitfenster 306. Anschließend kann bei Block 412 die zweite Anzahl von Ereignissen mit einem zweiten Schwellenwert verglichen werden und es kann bestimmt werden, ob die zweite Anzahl von Ereignissen größer als der zweite Schwellenwert ist, der ein dem zweiten Zeitfenster zugeordneter Schwellenwert sein kann. Der Vergleich der zweiten Anzahl von Ereignissen mit der zweiten Schwelle kann als zweiter Vergleich bezeichnet werden.
Wenn bestimmt wird, dass die zweite Anzahl von Ereignissen größer als der zweite Schwellenwert ist, kann das System 100 in Block 406 bestimmen, dass die Ereignisse des in dem zweiten Zeitfenster empfangenen Ereignisstroms Teil eines Ereignissturms sind. Andernfalls kann das System 100 in Block 408 bestimmen, dass die Ereignisse des in dem zweiten Zeitfenster empfangenen Ereignisstroms nicht Teil eines Ereignissturms sind, wenn bestimmt wird, dass die zweite Anzahl von Ereignissen nicht größer als der zweite Schwellenwert ist.
In einem Beispiel werden der erste Vergleich und der zweite Vergleich gleichzeitig und nicht nacheinander durchgeführt. Ferner können solche Vergleiche kontinuierlich durchgeführt werden, dh für aufeinanderfolgende Zeitfenster. Dementsprechend können Ereignisse eines Ereignisstroms als Teil eines Ereignissturms erfasst werden, wenn einer der ersten und zweiten Vergleiche angibt, dass eine Anzahl von in einem Zeitfenster empfangenen Ereignissen größer als der jeweilige Schwellenwert ist. Ferner können die Vergleiche für jeden Ereignisstrom durchgeführt werden. Daher können Ereignisstürme in jedem Ereignisstrom erkannt werden.
Nach der Bestimmung in Block 406, dass die Ereignisse des Ereignisstroms Teil eines Ereignissturms sind, kann das System 100 in Block 414 Ereignisse des Ereignisstroms unterdrücken. Die Unterdrückung von Ereignissen des Ereignisstroms durch das System 100 kann das Ignorieren der Ereignisse des Ereignisstroms durch das System 100, das auf ein einzelnes Ereignis einer Vielzahl von Ereignissen des Ereignisstroms durch das System 100 oder dergleichen einwirkt, einschließen. Die Unterdrückung der Ereignisse des Ereignisstroms stellt sicher, dass das System 100 nicht mit den Ereignissen überlastet wird. In einem Beispiel kann die Unterdrückung der Ereignisse fortgesetzt werden, bis der Ereignissturm abgeklungen ist. Um zu bestimmen, ob der Ereignissturm abgeklungen ist, kann das System 100 die Ergebnisse des ersten Vergleichs und des zweiten Vergleichs verwenden. Wenn beispielsweise die erste Anzahl von Ereignissen kleiner als der erste Schwellenwert und die zweite Anzahl von Ereignissen kleiner als der zweite Schwellenwert ist, kann gesagt werden, dass der Ereignissturm abgeklungen ist, und die Unterdrückung von Ereignissen kann unterbrochen werden.
5 veranschaulicht ein Verfahren 500 zum Erfassen eines Ereignissturms gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands.
Die Reihenfolge, in der das Verfahren 500 beschrieben wird, soll nicht als Einschränkung aufgefasst werden, und eine beliebige Anzahl der beschriebenen Verfahrensblöcke kann in einer beliebigen Reihenfolge kombiniert werden, um das Verfahren 500 oder ein alternatives Verfahren zu implementieren. Darüber hinaus kann das Verfahren 500 implementiert werden, indem Ressource (n) oder Rechenvorrichtung (en) durch irgendeine geeignete Hardware, nichtflüchtige maschinenlesbare Anweisungen oder eine Kombination davon verarbeitet werden.
Es versteht sich, dass Schritte des Verfahrens 500 von programmierten Rechenvorrichtungen ausgeführt werden können und basierend auf Anweisungen ausgeführt werden können, die in einem nichtflüchtigen computerlesbaren Medium gespeichert sind. Das nichtflüchtige computerlesbare Medium kann beispielsweise digitale Speicher, magnetische Speichermedien wie eine oder mehrere Magnetplatten und Magnetbänder, Festplatten oder optisch lesbare digitale Datenspeichermedien umfassen. Obwohl das Verfahren 500 in einer Vielzahl von Systemen implementiert werden kann, wird das Verfahren 500 zur Vereinfachung der Erläuterung in Bezug auf das zuvor erwähnte System 100 beschrieben. In einem Beispiel kann das Verfahren 500 von einer Verarbeitungsressource wie dem Prozessor 102 ausgeführt werden.
Bei Block 502 werden ein erstes Zeitfenster und ein erster Schwellenwert empfangen, der einem ersten Ereignistyp und dem ersten Zeitfenster zugeordnet ist. Der erste Ereignistyp entspricht einem ersten Satz von Ereignisattributen und ist einer von mehreren Ereignistypen. Jeder Ereignistyp kann einer Ressourcenmenge entsprechen, die von entsprechenden Ereignissen verbraucht wird. Beispielsweise kann sich jeder Ereignistyp von einem anderen Ereignistyp hinsichtlich des Ressourcenverbrauchs der damit verbundenen Ereignisse unterscheiden. Der erste Ereignistyp kann beispielsweise der erste Ereignistyp 226 sein. Dementsprechend kann der erste Satz von Ereignisattributen das erste Typ-Wert-Paar 212 enthalten. Ferner kann das erste Zeitfenster beispielsweise das erste Zeitfenster 304 sein.
Bei Block 504 kann bestimmt werden, ob eine erste Anzahl von Ereignissen, die dem ersten Ereignistyp zugeordnet sind, der in dem ersten Zeitfenster empfangen wird, den ersten Schwellenwert überschreitet. Eine solche Bestimmung kann als erste Bestimmung bezeichnet werden. In einem Beispiel wird ein Ereignis als dem ersten Ereignistyp zugeordnet bestimmt, wenn das Ereignis jedes Ereignisattribut des ersten Satzes von Ereignisattributen aufweist.
Bei Block 506 wird basierend auf der ersten Bestimmung erfasst, ob Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der in dem ersten Zeitfenster empfangen wurde, Teil eines Ereignissturms sind. Wenn beispielsweise die erste Anzahl von Ereignissen größer als der erste Schwellenwert ist, werden die Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der im ersten Zeitfenster empfangen wurde, als Teil eines Ereignissturms bestimmt.
Zusätzlich zu der ersten Bestimmung und Erfassung des Ereignissturms basierend auf der ersten Bestimmung kann der vorliegende Gegenstand zusätzliche Bestimmungen zur Erfassung eines Ereignissturms verwenden. Beispielsweise kann das Verfahren 500 das Empfangen eines zweiten Zeitfensters und eines zweiten Schwellenwerts umfassen, der dem ersten Ereignistyp zugeordnet ist. Das zweite Zeitfenster kann beispielsweise das zweite Zeitfenster 306 sein. Das zweite Zeitfenster kann größer als das erste Zeitfenster sein und mit dem ersten Zeitfenster überlappen.
Das Verfahren 500 kann auch das Durchführen einer zweiten Bestimmung umfassen, ob eine zweite Anzahl von Ereignissen, die dem im zweiten Zeitfenster empfangenen ersten Ereignistyp zugeordnet sind, den zweiten Schwellenwert überschreitet. Basierend auf der zweiten Bestimmung wird erfasst, ob Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der in dem zweiten Zeitfenster empfangen wird, Teil eines Ereignissturms sind.
Das Verfahren 500 kann auch das Durchführen einer dritten Bestimmung umfassen, ob eine dritte Anzahl von Ereignissen, die dem in einem dritten Zeitfenster empfangenen zweiten Ereignistyp zugeordnet sind, einen dritten Schwellenwert überschreitet. Basierend auf der dritten Bestimmung wird erfasst, ob Ereignisse, die dem zweiten Ereignistyp zugeordnet sind, der in dem dritten Zeitfenster empfangen wird, Teil eines Ereignissturms sind. In einem Beispiel kann sich das dritte Zeitfenster vom ersten Zeitfenster und der dritte Schwellenwert vom ersten Schwellenwert unterscheiden. Ferner kann in einem Beispiel jedes Ereignis, wie beispielsweise die Ereignisse, die dem ersten Ereignistyp zugeordnet sind, und die Ereignisse, die dem zweiten Ereignistyp zugeordnet sind, von einer Computerumgebung, wie beispielsweise einem Datenzentrum, empfangen werden.
6 veranschaulicht eine Computerumgebung 600, die ein nichtflüchtiges computerlesbares Medium 602 zum Erfassen von Ereignisstürmen gemäß einer beispielhaften Implementierung des vorliegenden Gegenstands implementiert.
In einem Beispiel kann das nichtflüchtige computerlesbare Medium 602 von einem System wie dem System 100 verwendet werden. Das System 100 kann in einer öffentlichen Netzwerkumgebung oder einer privaten Netzwerkumgebung implementiert sein. In einem Beispiel kann die Computerumgebung 600 eine Verarbeitungsressource 604 enthalten, die über eine Kommunikationsverbindung 606 kommunikativ mit dem nichtflüchtigen computerlesbaren Medium 602 gekoppelt ist.
In einem Beispiel kann die Verarbeitungsressource 604 in einem System wie dem System 100 implementiert sein. Die Verarbeitungsressource 604 kann der Prozessor 102 sein. Das nichtflüchtige computerlesbare Medium 602 kann zum Beispiel eine interne Speichervorrichtung oder eine externe Speichervorrichtung sein. In einer Implementierung kann die Kommunikationsverbindung 606 eine direkte Kommunikationsverbindung sein, wie beispielsweise eine beliebige Speicherlese- / Schreibschnittstelle. In einer anderen Implementierung kann die Kommunikationsverbindung 606 eine indirekte Kommunikationsverbindung sein, beispielsweise eine Netzwerkschnittstelle. In einem solchen Fall kann die Verarbeitungsressource 604 über ein Netzwerk 608 auf das nichtflüchtige computerlesbare Medium 602 zugreifen. Das Netzwerk 608 kann ein einzelnes Netzwerk oder eine Kombination mehrerer Netzwerke sein und kann eine Vielzahl verschiedener Kommunikationsprotokolle verwenden.
Die Verarbeitungsressource 604 und das nichtflüchtige computerlesbare Medium 602 können auch über das Netzwerk 608 kommunikativ mit einer Computerumgebung 610 gekoppelt sein. Die Computerumgebung kann zum Beispiel die Computerumgebung 202 sein.
In einer beispielhaften Implementierung enthält das nichtflüchtige computerlesbare Medium 602 einen Satz computerlesbarer Anweisungen, um Ereignisstürme zu erfassen. Auf den Satz computerlesbarer Anweisungen kann von der Verarbeitungsressource 604 über die Kommunikationsverbindung 606 zugegriffen werden und anschließend ausgeführt werden, um Aktionen zum Erfassen von Ereignisstürmen auszuführen.
Bezugnehmend auf 6 enthält in einem Beispiel das nichtflüchtige computerlesbare Medium 602 Anweisungen 612, die die Verarbeitungsressource 604 veranlassen, unter einer Vielzahl von Ereignissen, die in einem ersten Zeitfenster empfangen wurden, eine erste Anzahl von Ereignissen zu bestimmen, die zugeordnet sind ein erster Ereignistyp. Der erste Ereignistyp kann einer von mehreren Ereignistypen sein, und die Bestimmung kann basierend auf Ereignisattributen jedes Ereignisses und basierend auf einem ersten Satz von Ereignisattributen, die dem ersten Ereignistyp entsprechen, durchgeführt werden. Beispielsweise kann als Reaktion darauf, dass das Ereignis jedes Ereignisattribut des ersten Satzes von Ereignisattributen aufweist, bestimmt werden, dass ein Ereignis dem ersten Ereignistyp zugeordnet ist. In einem Beispiel entspricht jeder Ereignistyp einer Ressourcenmenge, die von einem Ereignis verbraucht wird, das dem Ereignistyp zugeordnet ist. Der erste Ereignistyp kann beispielsweise der erste Ereignistyp 226 sein.
Das nichtflüchtige computerlesbare Medium 602 enthält Befehle 614, die die Verarbeitungsressource 604 veranlassen, auf der Grundlage der ersten Anzahl von Ereignissen und eines ersten Ereignisses zu erfassen, ob Ereignisse, die dem ersten Ereignistyp zugeordnet sind, die in dem ersten Zeitfenster empfangen wurden, Teil eines Ereignissturms sind Schwellenwert, der dem ersten Ereignistyp zugeordnet ist. Wenn beispielsweise die erste Anzahl von Ereignissen den ersten Schwellenwert überschreitet, können die Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der in dem ersten Zeitfenster empfangen wurde, als Teil eines Ereignissturms bestimmt werden.
In einem Beispiel enthält das nichtflüchtige computerlesbare Medium 602 Anweisungen, um unter einer Vielzahl von Ereignissen, die in einem zweiten Zeitfenster empfangen werden, eine zweite Anzahl von Ereignissen zu bestimmen, die dem ersten Ereignistyp zugeordnet sind. Das zweite Zeitfenster ist größer als und überlappt sich mit dem ersten Zeitfenster. Beispielsweise kann das erste Zeitfenster das erste Zeitfenster 304 und das zweite Zeitfenster das zweite Zeitfenster 306 sein. Basierend auf der zweiten Anzahl von Ereignissen und einem zweiten Schwellenwert, der dem ersten Ereignistyp zugeordnet ist, kann erfasst werden, ob die Ereignisse, die dem ersten Ereignistyp zugeordnet sind, die in dem zweiten Zeitfenster empfangen werden, Teil eines Ereignissturms sind.
In einem Beispiel umfasst die Vielzahl von Ereignistypen einen zweiten Ereignistyp, der ein drittes Zeitfenster, ein viertes Zeitfenster, eine dritte Schwelle und eine vierte Schwelle aufweisen kann, die mit sich selbst assoziiert sind. Das vierte Zeitfenster kann größer sein als das dritte Zeitfenster und sich mit diesem überlappen. Das dritte Zeitfenster, das vierte Zeitfenster, die dritte Schwelle und die vierte Schwelle können sich von dem ersten Zeitfenster, dem zweiten Zeitfenster, der ersten Schwelle bzw. der zweiten Schwelle unterscheiden.
Der vorliegende Gegenstand kategorisiert Ereignisse in verschiedene Ereignistypen, von denen jeder einer bestimmten Menge oder einem bestimmten Bereich des Ressourcenverbrauchs entspricht, wodurch die Bestimmung des Ressourcenverbrauchs aufgrund der empfangenen Ereignisse ermöglicht wird. Ferner kann durch Bereitstellen einer Schwellenanzahl von Ereignissen, die jedem Ereignistyp entsprechen, die Empfindlichkeit für Ereignisse erhöht werden, die eine größere Menge von Ressourcen verbrauchen. Darüber hinaus kann der vorliegende Gegenstand zur Erfassung von Ereignisstürmen verwendet werden, die Ereignisse betreffen, die mit einer relativ geringeren Häufigkeit erzeugt werden, die jedoch eine relativ größere Menge an Ressourcen verbrauchen.
Die Techniken des vorliegenden Gegenstands verwenden keine Musteranpassungstechniken zum Erkennen von Ereignisstürmen und können lediglich durch Konfigurieren verschiedener Zeitfenster und zugehöriger Schwellenwerte erreicht werden. Daher ist der vorliegende Gegenstand einfacher zu implementieren und kann in einer Produktionsumgebung mit geringem Aufwand implementiert werden.
Obwohl Implementierungen zur Erkennung von Ereignisstürmen in einer Sprache beschrieben wurden, die für strukturelle Merkmale und / oder Verfahren spezifisch ist, versteht es sich, dass der vorliegende Gegenstand nicht notwendigerweise auf die beschriebenen spezifischen Merkmale oder Verfahren beschränkt ist. Vielmehr werden die spezifischen Merkmale und Verfahren als beispielhafte Implementierungen offenbart und erläutert.

Claims

System, das Folgendes umfasst: einen Prozessor; und ein maschinenlesbares Speichermedium mit Anweisungen, die vom Prozessor ausgeführt werden können, zum: Bestimmen, basierend auf Ereignisattributen eines jeden Ereignisses in einem ersten Zeitfenster, eine erste Anzahl von Ereignissen mit einer ersten Ereignistyp zugeordnet empfangenen Attributen, die im ersten Zeitfenster empfangen werden wobei der Ereignistyp einer von einer Vielzahl von Ereignistypen ist und wobei jeder Ereignistyp der Vielzahl von Ereignistypen einer Menge an Ressource entspricht, die von einem Ereignis verbraucht wird, das dem Ereignistyp zugeordnet ist; und auf der Grundlage eines Vergleichs zwischen der ersten Anzahl von Ereignissen und einem ersten Schwellenwert Feststellen, ob Ereignisse, die dem ersten Ereignistyp zugeordnet sind, der in dem ersten Zeitfenster empfangen wurde, Teil eines Ereignissturms sind, wobei der erste Schwellenwert dem ersten Ereignistyp und dem ersten Zeitfenster zugeordnet ist.
System nach Anspruch 1, wobei die Anweisungen , die von dem Prozessor ausführbar: Bestimmen einer zweiten Anzahl von Ereignissen, die dem ersten Ereignistyp zugeordnet sind, die in dem zweiten Zeitfenster empfangen werden, basierend auf Ereignisattributen jedes in einem zweiten Zeitfenster empfangenen Ereignisses; und Auf der Grundlage eines Vergleichs zwischen der zweiten Anzahl von Ereignissen und einem zweiten Schwellenwert wird festgestellt, ob Ereignisse, die dem im zweiten Zeitfenster empfangenen ersten Ereignistyp zugeordnet sind, Teil eines Ereignissturms sind, wobei der zweite Schwellenwert dem ersten Ereignistyp und dem zweiten Zeitpunkt zugeordnet ist Fenster.
System nach Anspruch 2, wobei das zweite Zeitfenster größer ist als und überlappt mit dem ersten Zeitfenster.
Das System nach einem der Ansprüche 1 bis 3, wobei die Anweisungen durch den Prozessor ausführbar sind: Bestimmen einer dritten Anzahl von Ereignissen, die einem zweiten Ereignistyp zugeordnet sind, die in dem dritten Zeitfenster empfangen werden, basierend auf Ereignisattributen jedes in einem dritten Zeitfenster empfangenen Ereignisses; und auf der Grundlage eines Vergleichs zwischen der dritten Anzahl von Ereignissen und einem dritten Schwellenwert zu erkennen, ob Ereignisse, die dem zweiten Ereignistyp zugeordnet sind, der in dem dritten Zeitfenster empfangen wurde, Teil eines Ereignissturms sind, wobei Der Ressourcenverbrauch von Ereignissen, die dem zweiten Ereignistyp zugeordnet sind, unterscheidet sich vom Ressourcenverbrauch von Ereignissen, die dem ersten Ereignistyp zugeordnet sind. der dritte Schwellenwert ist dem zweiten Ereignistyp und dem dritten Zeitfenster zugeordnet, Das dritte Zeitfenster unterscheidet sich vom ersten Zeitfenster Die dritte Schwelle unterscheidet sich von der ersten Schwelle.
Das System nach einem der Ansprüche 1 bis 4, wobei die ersten entspricht Ereignistyp einer ersten Ereignisattribut, und die Anweisungen durch den Prozessor ausführbar sind , um ein Ereignis zu bestimmen , wie bei der ersten Ereignistyp in Reaktion zugeordnet ist zu das Ereignis hat das erste Ereignisattribut.
System nach Anspruch 5, wobei das erste Ereignisattribut umfasst eine Paarung eines ersten Ereignisattributtyps und eines ersten Ereignisattributwerts für den ersten Ereignisattributtyp, wobei der erste Ereignisattributwert einer von mehreren möglichen Werten für den ersten Ereignisattributtyp ist; und die Instruktionen ausführbar sind durch den Prozessor , um festzustellen , dass das Ereignis hat das erste Ereignisattribut , wenn für den Fall, wird ein Wert für den ersten Attributtyp Ereignis des erste Ereignis Attributwert ist.
System nach Anspruch 6, wobei der erste Ereignis Attributtyp ist eine von: ein Gerät, von dem ein Ereignis ausgeht, wobei die Vielzahl von möglichen Werten für das Gerät einen ersten Server und einen ersten Switch umfasst, eine Komponente des Geräts, auf das sich das Ereignis bezieht, wobei die Vielzahl möglicher Werte für die Komponente des Geräts einen Baseboard Management Controller (BMC) des ersten Servers und einen ersten Port des ersten Switches umfasst, und eine Ereignisbedeutung des Ereignisses, wobei die Vielzahl von möglichen Werten für die Ereignisbedeutung Information und Lebenszyklus umfasst.
Das System nach einem der Ansprüche 1 bis 7, wobei, in Reaktion auf das Erkennen , dass die Ereignisse mit dem ersten Ereignistyp in dem ersten Zeitfenster Teil eines Ereignissturms sind, die Anweisungen von dem Prozessor empfangenen zugehörigen ausführbar sind um jedes Ereignis der ersten Anzahl von Ereignissen zu unterdrücken .
Das System nach einem der Ansprüche 1 bis 8, wobei jedes Ereignis mit einer Rechenumgebung assoziiert ist.
Das System nach einem der Ansprüche 1 bis 9, bei der Ressource , die von jedem Ereignis verbraucht einem der Prozessorressourcen und Speicherressource ist.
Verfahren, das Folgendes umfasst: Empfangen, durch eine Verarbeitungsressource, ein erstes Zeitfenster und ein ersten Schwellenwert, der mit einem ersten Ereignistyp und dem ersten Zeitfenster zugeordnet ist, wobei der erste entspricht Ereignistyp zu einem ersten Satz von Ereignisattributen, wobei der ersten Ereignistyp ist einer von mehreren Ereignistypen, und wobei wherein jeder Ereignistyp einer Menge an Ressource entspricht, die von einem Ereignis verbraucht wird, das dem Ereignistyp zugeordnet ist ; Durchführen, durch die Verarbeitungsressource, eine erste Bestimmung, ob eine erste Anzahl von Ereignissen mit dem ersten Ereignistyp in dem ersten Zeitfenster überschreitet den ersten Schwellwert empfing zugeordnet ist, wobei ein Ereignis als die mit dem ersten Ereignistyp bestimmt wird , als Reaktion darauf, dass das Ereignis jedes Ereignisattribut des ersten Satzes von Ereignisattributen aufweist having ; und Erfassen, durch die Verarbeitungsressource, ob mit dem ersten Ereignistyp zugeordnet Ereignisse im ersten Zeitfenster sind Teil eines Ereignissturms auf der Grundlage der ersten Bestimmung empfangenen .
Verfahren nach Anspruch 11, Folgendes umfassend: Empfangen eines zweiten Zeitfensters und eines zweiten Schwellenwerts, der dem ersten Ereignistyp zugeordnet ist; Durchführen einer zweiten Bestimmung, ob eine zweite Anzahl von Ereignissen, die dem im zweiten Zeitfenster empfangenen ersten Ereignistyp zugeordnet sind, den zweiten Schwellenwert überschreitet; und Erfassen, ob Ereignisse, die mit dem im zweiten Zeitfenster empfangenen ersten Ereignistyp assoziiert sind, Teil eines Ereignissturms sind, basierend auf der zweiten Bestimmung .
Verfahren nach Anspruch 12, wobei das zweite Zeitfenster größer ist als und überlappt mit dem ersten Zeitfenster.
Verfahren nach einem der Ansprüche 11 bis 13, umfassend: Empfangen eines dritten Zeitfensters und einer dritten Schwelle, die einem zweiten Ereignistyp zugeordnet sind; Durchführen einer dritten Bestimmung, ob eine dritte Anzahl von Ereignissen, die dem im dritten Zeitfenster empfangenen zweiten Ereignistyp zugeordnet sind, den dritten Schwellenwert überschreitet; und Erfassungs ob mit dem zweiten Ereignistyp zugeordnet Ereignisse im dritten Zeitfenster sind Teil eines Ereignissturms empfangen auf der dritten Bestimmung basiert, wobei Der Ressourcenverbrauch von Ereignissen, die dem zweiten Ereignistyp zugeordnet sind, unterscheidet sich vom Ressourcenverbrauch von Ereignissen, die dem ersten Ereignistyp zugeordnet sind. der dritte Schwellenwert ist dem zweiten Ereignistyp und dem dritten Zeitfenster zugeordnet, Das dritte Zeitfenster unterscheidet sich vom ersten Zeitfenster Die dritte Schwelle unterscheidet sich von der ersten Schwelle.
Verfahren nach einem der Ansprüche 11 bis 14, bei der jedes Ereignis von einem Datenzentrum empfangen wird.
Nichtflüchtiges computerlesbares Medium , das Anweisungen für Detektion von Ereignisstürme, die Instruktionen durch eine Verarbeitungsressource ausführbar zu: unter einer Vielzahl von in einem ersten Zeitfenster empfangenen Ereignissen eine erste Anzahl von Ereignissen bestimmen, die einem ersten Ereignistyp einer Vielzahl von Ereignistypen zugeordnet sind, basierend auf Ereignisattributen jedes Ereignisses und basierend auf einem ersten Satz von Ereignisattributen, die zugeordnet sind das erste Ereignistyp, wobei entsprechen jeweils Ereignistyp zu einem Ressourcenmenge durch ein Ereignis verbrauchten mit dem Ereignistyp zugeordnet; und Ermitteln , ob Ereignisse, die dem ersten im ersten Zeitfenster empfangenen Ereignistyp zugeordnet sind, Teil eines Ereignissturms sind, basierend auf der ersten Anzahl von Ereignissen und einem ersten Schwellenwert, der dem ersten Ereignistyp zugeordnet ist.
Nichtflüchtiges computerlesbares Medium nach Anspruch 16, wobei die Anweisungen von der Verarbeitungsressource ausführbar sind, um: Bestimmen einer zweiten Anzahl von Ereignissen, die dem ersten Ereignistyp zugeordnet sind, aus einer Vielzahl von Ereignissen, die in einem zweiten Zeitfenster empfangen wurden, das größer ist als das erste Zeitfenster und sich mit diesem überlappt; und Ermitteln , ob Ereignisse, die dem ersten Ereignistyp zugeordnet sind, in dem zweiten Zeitfenster empfangen wurden, basierend auf der zweiten Anzahl von Ereignissen und einem zweiten Schwellenwert, der dem ersten Ereignistyp zugeordnet ist.
Nichtflüchtiges computerlesbares Medium nach einem der Ansprüche 16 oder 17, wobei die Anweisungen von der Verarbeitungsressource ausführbar sind, um als Reaktion auf das Ereignis mit jedem Ereignisattribut zu bestimmen, dass ein Ereignis dem ersten Ereignistyp zugeordnet ist des ersten Satzes von Ereignisattributen.
Nichtflüchtiges computerlesbares Medium nach einem der Ansprüche 16 bis 18, wobei die Vielzahl von Ereignistypen umfasst einen zweiten Ereignistyp, Der Ressourcenverbrauch von Ereignissen, die dem zweiten Ereignistyp zugeordnet sind, unterscheidet sich vom Ressourcenverbrauch von Ereignissen, die dem ersten Ereignistyp zugeordnet sind. Das erste Zeitfenster, das zweite Zeitfenster, der erste Schwellenwert und der zweite Schwellenwert unterscheiden sich von dem dritten Zeitfenster, dem vierten Zeitfenster, dem dritten Schwellenwert bzw. dem vierten Schwellenwert, die dem zweiten Ereignistyp zugeordnet sind.
Nichtflüchtiges computerlesbares Medium nach Anspruch 19, wobei das zweite Zeitfenster größer ist als das erste Zeitfenster und sich mit diesem überlappt und wobei das vierte Zeitfenster größer ist als das dritte Zeitfenster und sich mit diesem überlappt.