CN104050289A - 一种异常事件检测方法及*** - Google Patents

Abstract

本发明提供一种异常事件检测方法及***，该方法包括：根据调度时间表读取事件信息；对事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；对各个事件集合进行字段采集，生成采集结果；对采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；根据基线数据从均方差计算结果中筛选出均方差计算结果小于基线数据的事件集合；根据报警阈值判断筛选出的事件集合中的事件是否为非偶发性事件；如果是，提取非偶发性事件的集中发生时间区间，并将非偶发性事件进行封装。通过本发明，能够快速、高效地对异常事件进行检测，提高了对数据中心的异常事件检测的效率及准确性，提高了数据中心***运行的稳定性。

Description

一种异常事件检测方法及***

技术领域

本发明是关于数据中心数据处理技术，具体地，是关于一种异常事件检测方法及***。

背景技术

在数据中心的日常生产、维护过程中，经常出现各类异常事件，这些事件会严重影响数据中心各个***的稳定运行，使得数据中心无法对各类事件加以预测。在数据中心运行过程中出现的大量异常事件之间，利用统计原理和方法数据进行分析，所得出的数据结果有时带有一定的规律性。在分析时，由于数据量庞大，一般可能只是通过样本进行分析。一个总体可以抽取出多个样本，所抽取的样本越多，其样本均值就越接近总体数据的平均值，也就是说样本量越大越能反映真实的情况。因此，要得到比较精确的数据，需要统计的异常事件数量非常多。但是，目前一般采用的人工统计异常事件的方式，效率低下，不能进行较大数据的处理，不能及时的监控异常事件。往往当***故障发生，严重影响了***的稳定性，会造成了重大损失。因此，如何提高对数据中心异常事件检测的效率及准确性，是亟待解决的问题。

发明内容

本发明实施例的主要目的在于提供一种异常事件检测方法及***，以提高对数据中心的异常事件进行检测的效率及准确性。

为了实现上述目的，本发明实施例提供一种异常事件检测方法，所述异常事件检测方法包括：根据调度时间表读取事件信息；对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；对各个所述的事件集合进行字段采集，生成采集结果；对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；根据预先存储的基线数据从所述均方差计算结果中筛选出均方差计算结果小于所述基线数据的事件集合；根据一报警阈值判断筛选出的所述事件集合中的事件是否为非偶发性事件；如果是，提取所述非偶发性事件的集中发生时间区间，并将所述非偶发性事件进行封装。

在一实施例中，上述的异常事件检测方法还包括：根据历史数据判断筛选出的所述事件集合是否为第一次出现；如果是，则将筛选出的所述事件集合的均方差计算结果设置为筛选出的事件集合对应的基线数据，否则根据筛选出的所述事件集合的均方差计算结果更新筛选出的所述事件集合对应的基线数据。

在一实施例中，上述的异常事件检测方法还包括：如果筛选出的所述事件集合中的事件是偶发性事件，则将所述偶发性事件存储到历史数据中。

在一实施例中，上述的异常事件检测方法还包括：判断所述采集结果是否符合预先存储的事件指标信息所规定的表达式；如果是，对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果，否则存储所述采集结果至异常作业列表。

具体地，上述的采集结果包括：所述事件集合对应的IP地址、对象名称、对象位置及发生时间点；上述的事件指标信息为所述IP地址、对象名称、对象位置及发生时间点分别对应的标准表达式。

在一实施例中，上述的对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合，包括：获取所述事件信息中的事件标记，所述事件标记包括：所述事件对应的IP地址、主机名，所述事件标记用于标记不同类型的事件；根据所述事件标记对所述事件进行汇总分类，将所述事件标记相同的事件汇总成一个所述事件集合。

在一实施例中，上述的时间断点处理包括：判断所述事件集合中的事件发生的时间点是否大于12点；如果是，用24点减去所述时间点所得的差值替换所述时间点，否则保留所述时间点。

进一步地，上述的换算处理包括：将经过所述时间断点处理的事件发生的时间点进行单位换算，生成单位统一的时间数据。

进一步地，上述的均方差计算处理包括：根据所述时间数据进行均方差计算，生成所述均方差结果。

在一实施例中，上述的根据一报警阈值判断所述事件集合中的事件是否为非偶发性事件，包括：判断所述事件集合的均方差计算结果是否小于所述报警阈值；如果是，所述事件集合中的事件为非偶发性事件；否则所述事件集合中的事件为偶发性事件。

本发明实施例还提供一种异常事件检测***，所述异常事件检测***包括：事件信息读取单元，用于根据调度时间表读取事件信息；事件集合生成单元，用于对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；采集结果生成单元，用于对各个所述的事件集合进行字段采集，生成采集结果；均方差计算单元，用于对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；筛选单元，用于根据预先存储的基线数据从所述均方差计算结果中筛选出均方差计算结果小于所述基线数据的事件集合；非偶发性事件判断单元，根据一报警阈值判断筛选出的所述事件集合中的事件是否为非偶发性事件；非偶发性事件封装单元，用于提取所述非偶发性事件的集中发生时间区间，并将所述非偶发性事件进行封装。

在一实施例中，上述的异常事件检测***还包括：事件判断单元，用于根据历史数据判断筛选出的所述事件集合是否为第一次出现；基线数据设置单元，用于将筛选出的所述事件集合的均方差计算结果设置为筛选出的事件集合对应的基线数据；基线数据更新单元，用于根据筛选出的所述事件集合的均方差计算结果更新筛选出的所述事件集合对应的基线数据。

在一实施例中，上述的异常事件检测***还包括：历史数据存储单元，如果筛选出的所述事件集合中的事件是偶发性事件，所述历史数据存储单元用于将所述偶发性事件存储到历史数据中。

在一实施例中，上述的异常事件检测***还包括：采集结果判断单元，用于判断所述采集结果是否符合预先存储的事件指标信息所规定的表达式；异常结果存储单元，用于将所述采集结果存储至异常作业列表。

具体地，上述的采集结果包括：所述事件集合对应的IP地址、对象名称、对象位置及发生时间点；事件指标信息为所述IP地址、对象名称、对象位置及发生时间点分别对应的标准表达式。

在一实施例中，上述的事件集合生成单元包括：事件标记获取模块，用于获取所述事件信息中的事件标记，所述事件标记包括：所述事件对应的IP地址、主机名，所述事件标记分别标记对应不同类型的事件；事件分类模块，用于根据所述事件标记对所述事件进行汇总分类，将所述事件标记相同的事件汇总成一个所述事件集合。

在一实施例中，上述的均方差计算单元包括：时间断点处理模块、换算处理模块及均方差计算处理模块，其中，所述时间断点处理模块具体用于：判断所述事件集合中的事件发生的时间点是否大于12点；如果是，用24点减去所述时间点所得的差值替换所述时间点，否则保留所述时间点。

进一步地，上述的换算处理模块具体用于：将经过所述时间断点处理的事件发生的时间点进行单位换算，生成单位统一的时间数据。

进一步地，上述的均方差计算处理模块具体用于：根据所述时间数据进行均方差计算，生成所述均方差结果。

在一实施例中，上述的非偶发性事件判断单元具体用于：判断所述事件集合的均方差计算结果是否小于所述报警阈值；如果是，所述事件集合中的事件为非偶发性事件；否则所述事件集合中的事件为偶发性事件。

本发明的有益效果在于，能够快速、高效地对较大数据的事件进行处理，提高了对数据中心的异常事件检测的效率及准确性，能够及时对异常事件进行监控并进行报警，提示相关工作人员进行处理，从而提高数据中心***运行的稳定性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明实施例的异常事件检测方法的流程图；

图2为根据本发明实施例的异常事件检测方法的另一流程图；

图3为根据本发明实施例的表盘刻度示意图；

图4为根据本发明实施例的异常事件检测***的结构示意图；

图5为据本发明实施例的事件集合生成单元2的结构示意图；

图6为据本发明实施例的异常事件检测***的另一结构示意图；

图7为据本发明实施例的均方差计算单元4的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供一种异常事件检测方法和***。以下结合附图对本发明进行详细说明。

本发明实施例提供一种异常事件检测方法，如图1所示，该异常事件检测方法主要包括以下几个步骤：

步骤101：根据调度时间表读取事件信息；

步骤102：对事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；

步骤103：对各个上述的事件集合进行字段采集，生成采集结果；

步骤104：对上述的采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；

步骤105：根据预先存储的基线数据从上述均方差计算结果中筛选出均方差计算结果小于该基线数据的事件集合；

步骤106：根据一报警阈值判断筛选出的上述的事件集合中的事件是否为非偶发性事件；

步骤107：如果上述事件集合中的事件为非偶发性事件，提取该非偶发性事件的集中发生时间区间，并将该非偶发性事件进行封装。

由图1所示的流程可知，本申请根据调度时间表读取事件信息并采集事件的集合；然后对采集的结果通过时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；进一步根据基线数据筛选出均方差计算结果小于该基线数据的事件集合；最后根据一报警阈值判断筛选出的上述的事件集合中的事件是否为非偶发性事件，如果上述事件集合中的事件为非偶发性事件，提取该非偶发性事件的集中发生时间区间，并将该非偶发性事件进行封装。由此可知，利用本发明实施例的异常事件的检测方法，能够快速、高效地对较大数据的事件进行处理，提高了对数据中心的异常事件检测的效率及准确性，能够及时对异常事件进行监控并进行报警，提示相关工作人员进行处理，从而提高数据中心***运行的稳定性。

在经过上述步骤103生成采集结果后，本发明实施例的异常事件检测方法还可包括对该采集结果进行筛选处理的步骤，如图2所示，具体的筛选步骤如下；

步骤111：判断采集结果是否符合预先存储的事件指标信息所规定的表达式；

步骤112：如果采集结果符合预先存储的事件指标信息所规定的表达式，则可执行步骤104，否则存储不符合预先存储的事件指标信息所规定的表达式的采集结果至异常作业列表。

以下结合具体的示例，对上述的异常事件检测方法的各个步骤进行详细说明。

上述步骤101中，调度时间表中存储有针对数据中心运行过程中发生的各个事件所对应的运行时间，结合该运行时间来获取在数据中心运行过程中发生的事件的事件信息，该事件信息中主要包括的信息例如是发生该事件的服务器的IP地址、主机名等信息。通过步骤101，将上述的事件信息与事件发生的时间点相结合。

本发明实施例的异常事件检测方法，主要是针对同一类事件进行的检测，因此，需要执行上述的步骤102，对发生的各种事件进行分类，具体地，可根据事件的标记来进行归类。例如，可根据多个事件所对应的IP地址、主机名称来划分事件的类别，由此对各个事件进行汇总分类，从而将同一类的事件汇总成一个事件集合。

在对各种事件进行汇总分类后，可执行上述步骤103，对各个事件集合进行字段采集，从而获得采集结果。具体地，该采集结果包括：采集该事件集合所对应的IP地址、对象名称、对象特征(如对象位置、事件发生的时间点等)等信息。并且，在具体实施时，可加入对采集的上述信息进行初步筛选的过程(即上述步骤110～步骤111)。首先明确对采集到的结果进行初步筛选的标准，该标准又称为事件指标信息，该事件指标信息中包含了与事件相对应的IP地址、对象名称、对象位置及发生时间点等信息的一个标准表达式，举例来说，IP地址一般分为四个字段(如192.168.0.XXX)，在事件指标信息中即为一标准的四个字段的IP地址格式表达式，从而根据该事件指标信息中的IP地址格式表达式来判断所采集到的IP地址是否是符合标准的信息。由此，基于事件指标信息即可对采集到的结果进行初步筛选，如果采集结果符合事件指标信息所规定的表达式(标准)，则根据该采集结果执行步骤104，对上述的采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；如果采集结果不符合事件指标信息所规定的表达式(标准)，则将采集结果存储到异常作业列表。

在经过上述步骤103获取采集结果后，为得到更加准确的检测结果，需执行上述步骤104，对采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果。以下对执行步骤104的必要性和具体过程进行详细说明。

在表一中，列出了四组样本事件的时间数据，每组时间数据对应事件发生的各个时间点：

表一

如果直观的根据各组样本事件的时间数据进行观察是不可靠的，尤其是在样本数量非常多的情况下，通过直接观察无法准确判断一组数据的离散程度，因而无法判断出事件是否集中发生在某个时间段。因此，在本发明实施例中，是借鉴了均方差计算结果对事件的事件数据进行处理和分析。均方差是反映一组数据离散程度最常用的一种量化形式，是表示精确度的重要指标。

然而，如果直接将上述表一中的四组数据代入到常用的均方差计算公式，算出的结果如表二所示：

表二

根据上述表二中的均方差计算结果可以看出，以小时为单位的各组样本事件的时间数据的统计结果(均方差)之间的差距非常小，不足以提供判断依据。

而仅仅对上述各组的时间数据进行单位换算，例如，将时间点的单位均转换为分钟进行计算，即可得到如表三所示的结果：

表三

根据上述表三中的均方差计算结果可知，第一组数据的均方差变得非常大，这是不合理的，出现这样的结果的原因是时间上的断点问题导致的，即从23:59到00:00点的断点问题。假设采集的是23:00、01:00和02:00三个样本，如图3所示，这三个样本明显集中在0点(即24点)附近分布，如果简单地把23:00转换成分钟进行计算，就相当于把23:00到0点的距离计为从0点顺时针转向23:00的距离，也就是图3中的时钟刻度盘上23格的距离，但实际上应该是从23:00点顺时针转向0点的距离，也就是图3中的时钟刻度盘上1格的距离。因此，基于时间的这种分布特性，为使均方差计算结果更加准确，本发明实施例的异常事件检测方法中，提出对时间数据进行时间断点处理，即：对于大于12点的时刻，应该用24点减去该时刻，再将得到的差值进行均方差计算，也就是说要用每一个时刻值到0点的最短距离进行均方差计算，才能得到正确的统计结果。

还利用上述表一中的四组样本时间数据，对该四组数据进行时间断点处理，对于大于12点的时间数据，用24点减去该时间数据对应的时刻得到差值，并将该差值进行单位换算处理，统一换算为以分钟为单位的数据(例如21:00，用24点减去21的差值为3(小时)，再经过单位换算为180(分钟))；而对于小于12点的时间数据，则直接进行单位换算处理，生成以分钟为单位的数据(例如0:01，即为1(分钟))，然后即可利用均方差公式计算出统一换算为以分钟为单位的上述差值及小于12点的事件数据的均方差，所得到的结果如表四所示：

表四

从第一组数据可以清楚地看到，调整后的均方差算法得出的统计结果是79.25066，而未对样本数据进行时间断点处理和换算处理的均方差统计结果是707.61647，两者存在很大的差别，很明显地，对样本数据进行时间断点处理及单位换算处理后，在进行均方差算法得出的统计结果符合数据的实际分布情况。

得到均方差计算结果后，即可执行上述步骤105，针对各个事件集合的均方差计算结果进行筛选。此次筛选则是针对同一类事件的基线数据进行的。实际应用中，该基线数据可以是先对数据中心的***预运行一段时间，例如是60天，在这段时间中，对发生的各类事件对应的发生时间点进行均方差计算，并存储均方差计算结果，以作为后续的异常事件检测过程中的基线数据。

而在结合基线数据进行筛选时，用当前的事件集合对应的发生时间点所得均方差计算结果与该类事件的基线数据进行比较，筛选出均方差计算结果小于该基线数据的事件集合，然后执行上述步骤106。

上述步骤106，针对均方差计算结果小于基线数据的事件集合，根据一报警阈值来判断该事件集合中的事件是否为非偶发性事件。通过该报警阈值即可确定一个是否将所发生的事件划分为非偶发性事件的标准，当该事件的均方差计算结果小于该报警阈值时即可判断该事件属于非偶发性事件。实际应用中，可根据数据中心***的实际要求来设定该报警阈值的具体数值，举例说明，可将该报警阈值设定为100，此时，上文所提及的四组样本数据中，经过时间断点处理、换算处理以及均方差计算处理后可知，有三组样本数据的均方差结果均小于100，即，该三组样本数据对应的事件均为非偶发性事件。

而对于判断为非偶发性事件的事件集合，可结合时间调度表中对应的发生时间点提取该类事件发生的时间区间，并结合该事件中的具体IP信息、主机名、应用名称等信息对该事件进行封装，由此生成便于让分析人员直接获取的结果，提供给分析人员进行分析处理，并可将该检测结果作为量化指标。

此外，为提高对事件集合进行筛选和检测的准确性，本发明实施例的异常事件检测方法进一步包括以下几个步骤：

步骤108：根据历史数据判断筛选出的事件集合是否为第一次出现。其中，该历史数据是指：先对数据中心的***预运行一段时间(例如是60天)，在这段时间中，将***中发生的各类事件的事件集合进行存储，以作为后续的异常事件检测过程中的历史数据。

步骤109：如果判断该事件集合为第一次出现，则根据该事件集合的均方差计算结果设置为该事件集合的基线数据，以作为该事件集合对应的同类事件再次发生时，在上述步骤105中进行筛选的基线数据。而如果该事件集合不是第一次出现，则可根据该事件集合对应的均方差计算结果以及其基线数据对该类事件集合所对应的基线数据进行更新，以作为该事件集合对应的同类事件再次发生时，在上述步骤105中进行筛选的基线数据。通过上述步骤，能够根据具体的事件集合对各类事件的基线数据进行实时更新，使得后续对各类事件的筛选的标准随事件的不同而进行相应的调整，以使检测结果更加准确。

而对于上述的历史数据，也可根据以下步骤对其进行更新和替换：

步骤110：如果经过步骤106判断筛选出的上述事件集合中的事件是偶发性事件，则将该偶发性事件存储到历史数据中，以作为后续的异常事件检测过程中的历史数据。需要说明的是，该偶发性事件仅为历史数据的一部分，经过步骤106判断出的非偶发性事件也存储至历史数据中，在下次的异常事件检测过程中，作为在步骤109中判断该次发生的事件的事件集合是否为第一次出现的依据。通过上述步骤，对历史数据进行实时调整，以适应各种不同类的事件集合的判断标准，从而提高对异常事件进行检测的准确度。

综上所述，本发明实施例的异常事件检测方法，对事件的发生时间点数据进行了优化处理，有效地克服了时间上的断点问题，能够对事件的时间分布进行更加准确地统计分析，判断出同类事件是否为非偶发性事件，可以给数据中心的事件管理提供有效的量化指标。值得一提的是，该方法还可以同理推广到星期、日、月等具有相似的断点分布特征的数据统计分析中，为各领域的事件统计提供了一种更加高效、精确的检测方法。

本发明实施例提供一种异常事件检测***，如图4所示，该异常事件检测***主要包括：事件信息读取单元1，事件集合生成单元2，采集结果生成单元3，均方差计算单元4，筛选单元5，非偶发性事件判断单元6及非偶发性事件封装单元7，其中：

事件信息读取单元1用于根据调度时间表读取事件信息。调度时间表中存储有针对数据中心运行过程中发生的各个事件所对应的运行时间，结合该运行时间来获取在数据中心运行过程中发生的事件的事件信息，该事件信息中主要包括的信息例如是发生该事件的服务器的IP地址、主机名等信息。通过步骤101，将上述的事件信息与事件发生的时间点相结合。

事件集合生成单元2用于对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合。本发明实施例的异常事件检测***，主要是针对同一类事件进行异常事件的检测，因此，需要通过上述的事件集合生成单元2，对发生的各种事件进行分类，该事件集合生成单元2可根据事件的标记对各类事件进行归类。具体地，如图5所示，该事件集合生成单元2包括：事件标记获取模块21及事件分类模块22，该事件标记获取模块21用于获取事件信息中的事件标记，事件标记可例如是包括：各类事件对应的IP地址、主机名，并且该事件标记分别标记对应不同类型的事件；事件分类模块22则可根据事件标记获取模块21获取的事件标记对各类事件进行汇总分类，将事件标记相同的事件汇总成一个事件集合。

由事件集合生成单元2对各种事件进行汇总分类后，可通过采集结果生成单元3对各个所述的事件集合进行字段采集，从而生成采集结果，该采集结果一般包括：该事件集合所对应的IP地址、对象名称、对象特征(如对象位置、事件发生的时间点等)等信息。具体实施时，如图6所示，本发明实施例的异常事件检测***还可包括：采集结果判断单元8及异常结果存储单元9，其中，

采集结果判断单元8用于判断采集结果是否符合预先存储的事件指标信息所规定的表达式。实际上，该采集结果判断单元8所执行的是对采集结果生成单元3的采集结果进行初步筛选的过程。首先明确对采集到的结果进行初步筛选的标准，该标准又称为事件指标信息，是在本发明实施例的异常检测***中预先存储好的信息。具体地，该事件指标信息中包含了与事件相对应的IP地址、对象名称、对象位置及发生时间点等信息的一个标准表达式，举例来说，IP地址一般分为四个字段(如192.168.0.XXX)，在事件指标信息中即为一标准的四个字段的IP地址格式表达式，从而根据该事件指标信息中的IP地址格式表达式来判断所采集到的IP地址是否是符合标准的信息。因此，可通过采集结果判断单元8基于事件指标信息对采集结果进行初步筛选，结合事件指标信息判断采集结果是否符合所述事件指标信息所规定的表达式。

如果采集结果符合事件指标信息所规定的表达式(标准)，则可通过均方差计算单元4，对采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果。

如果采集结果不符合事件指标信息所规定的标准，则通过上述的异常结果存储单元9将采集结果存储到异常作业列表。

实际应用中，为得到更加准确的检测结果，需对采集结果生成单元3生成的采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果，以下对需进行时间断点处理、换算处理及均方差计算处理的必要性和具体过程进行详细说明。

在表五中，列出了四组样本事件的时间数据，每组时间数据对应事件发生的各个时间点：

表五

如果直观的根据各组样本事件的时间数据进行观察是不可靠的，尤其是在样本数量非常多的情况下，通过直接观察无法准确判断一组数据的离散程度，因而无法判断出事件是否集中发生在某个时间段。因此，在本发明实施例中，是借鉴了均方差计算结果对事件的事件数据进行处理和分析。均方差是反映一组数据离散程度最常用的一种量化形式，是表示精确度的重要指标。

然而，如果直接将上述表一中的四组数据代入到常用的均方差计算公式，算出的结果如表六所示：

表六

根据上述表二中的均方差计算结果可以看出，以小时为单位的各组样本事件的事件数据的统计结果(均方差)之间的差距非常小，不足以提供判断依据。

而仅仅对上述各组的时间数据进行单位换算，例如，将时间点的单位均转换为分钟进行计算，即可得到如表七所示的结果：

表七

根据上述表三中的均方差计算结果可知，第一组数据的均方差变得非常大，这是不合理的，出现这样的结果的原因是时间上的断点问题导致的，即从23:59到00:00点的断点问题。假设采集的是23:00、01:00和02:00三个样本，如图3所示，这三个样本明显集中在0点(即24点)附近分布，如果简单地把23:00转换成分钟进行计算，就相当于把23:00到0点的距离计为从0点顺时针转向23:00的距离，也就是图3中的时钟刻度盘上23格的距离，但实际上应该是从23:00点顺时针转向0点的距离，也就是图3中的时钟刻度盘上1格的距离。因此，基于时间的这种分布特性，为使均方差计算结果更加准确，本发明实施例的异常事件检测方法中，提出对时间数据进行时间断点处理，即：对于大于12点的时刻，应该用24点减去该时刻，再将得到的差值进行均方差计算，也就是说要用每一个时刻值到0点的最短距离进行均方差计算，才能得到正确的统计结果。

还利用上述表一中的四组样本时间数据，对该四组数据进行时间断点处理，对于大于12点的时间数据，用24点减去该时间数据对应的时刻得到差值，并将该差值进行单位换算处理，统一换算为以分钟为单位的数据(例如21:00，用24点减去21的差值为3(小时)，再经过单位换算为180(分钟))；而对于小于12点的时间数据，则直接进行单位换算处理，生成以分钟为单位的数据(例如0:01，经过断点处理和单位换算处理后的数据即为1(分钟))，然后即可利用均方差公式计算出统一换算为以分钟为单位的上述差值及小于12点的事件数据的均方差，所得到的结果如表八所示：

表八

从第一组数据可以清楚地看到，调整后的均方差算法得出的统计结果是79.25066，而未对样本数据进行时间断点处理和换算处理的均方差统计结果是707.61647，两者存在很大的差别，很明显地，对样本数据进行时间断点处理及单位换算处理后，在进行均方差算法得出的统计结果符合数据的实际分布情况。

由此可见，需对采集结果生成单元3生成的采集结果进行数据处理(即时间断点处理、换算处理后在进行均方差计算)的必要性。在本发明实施例的异常事件监测***中，是通过均方差计算单元4来完成上述的进行时间断点处理、换算处理及均方差计算处理过程，从而生成均方差计算结果。具体地，如图7所示，该均方差计算单元4包括：时间断点处理模块41、换算处理模块42及均方差计算处理模块43，其中，

通过时间断点处理模块41对事件发生的时间点进行时间断点处理，即：对于大于12点的时刻，应该用24点减去该时刻，再将得到的差值进行均方差计算，也就是说要用每一个时刻值到0点的最短距离进行均方差计算。

通过换算处理模块42对经过时间断点处理的时间点进行单位换算，在一较佳实施例中，是将各时间点转换为统一以分钟为单位的数据，但本发明并不以此为限，转换的统一单位可根据实际需要改变。

均方差计算处理模块43则用于对进行时间断点处理及单位换算处理后的时间点进行均方差计算，从而生成所需的均方差结果。通过均方差计算单元4得出的统计结果符合数据的实际分布情况。

得到均方差计算结果后，即可通过上述的筛选单元5针对各个事件集合的均方差计算结果进行筛选。此次筛选则是针对同一类事件的基线数据进行的。实际应用中，该基线数据可以是先对数据中心的***预运行一段时间，例如是60天，在这段时间中，对发生的各类事件对应的发生时间点进行均方差计算，并存储均方差计算结果，以作为后续的异常事件检测过程中的基线数据。

而在结合基线数据进行筛选时，用当前的事件集合对应的发生时间点所得均方差计算结果与该类事件的基线数据进行比较，筛选出均方差计算结果小于该基线数据的事件集合，然后通过上述的非偶发性事件判断单元6根据一报警阈值判断上述均方差计算结果小于所述基线数据的事件集合中的事件是否为非偶发性事件。

通过该报警阈值即可确定一个是否将所发生的事件划分为非偶发性事件的标准，当该事件的均方差计算结果小于该报警阈值时即可判断该事件属于非偶发性事件。实际应用中，可根据数据中心***的实际要求来设定该报警阈值的具体数值，举例说明，可将该报警阈值设定为100，此时，上文所提及的四组样本数据中，经过时间断点处理、换算处理以及均方差计算处理后可知，有三组样本数据的均方差结果均小于100，即，该三组样本数据对应的事件均为非偶发性事件。

而对于判断为非偶发性事件的事件集合，可通过上述的非偶发性事件封装单元7结合时间调度表中对应的发生时间点提取所述非偶发性事件的集中发生时间区间，并结合该事件中的具体IP信息、主机名、应用名称等信息对该事件进行封装，由此便生成便于让分析人员直接获取的结果，提供给分析人员进行分析处理，并可将该检测结果作为量化指标。

利用上述的异常事件的检测***，能够快速、高效地对较大数据的事件进行处理，提高了对数据中心的异常事件检测的效率及准确性，能够及时对异常事件进行监控并进行报警，提示相关工作人员进行处理，从而提高数据中心***运行的稳定性。

具体实施时，如图6所示，上述的异常事件检测***还可包括：事件判断单元11，基线数据设置单元12及基线数据更新单元13，其中：

当筛选出发生时间点的均方差计算结果小于所对应的基线数据的事件集合后，通过事件判断单元11根据历史数据判断筛选出的所述事件集合是否为第一次出现。其中，该历史数据是先对数据中心的***预运行一段时间(例如是60天)，在这段时间中，将发生的各类事件的事件集合进行存储，以作为后续的异常事件检测过程中的历史数据，并可根据该历史数据来判断该事件集合中的事件是否为第一次出现。

如果事件判断单元11判断该事件为第一次出现，则由基线数据设置单元12根据该事件集合的均方差计算结果设置为该类事件的基线数据，以作为该类事件再次发生时，进行筛选的依据。

如果该事件不是第一次出现，则可由基线数据更新单元13根据该事件集合对应的均方差计算结果以及其基线数据对该类事件所对应的基线数据进行更新，以作为该类事件再次发生时，进行筛选的依据，以使检测结果更加准确。

此外，为提高对事件集合进行筛选和检测的准确性，本发明实施例的异常事件检测***还包括：历史数据存储单元10，如果通过非偶发性事件判断单元6判断上述事件集合中的事件是偶发性事件，则由历史数据存储单元10将该偶发性事件存储到历史数据中。并且，该偶发性事件仅为历史数据的一部分，该历史数据存储单元10也将非偶发性事件判断单元6判断出的非偶发性事件存储到历史数据中。因此，该历史数据中既包含上述的偶发性事件，也包含非偶发性事件，通过历史数据存储单元10对历史数据进行实时存储调整，以适应各种不同类的事件集合的判断标准，从而提高对异常事件进行检测的准确度。

综上所述，本发明实施例的异常事件检测***，对事件的发生时间点数据进行了优化处理，有效地克服了时间上的断点问题，能够对事件的时间分布进行更加准确地统计分析，判断出同类事件是否为非偶发性事件，可以数据中心的事件管理提供有效的量化指标。值得一提的是，该方法还可以同理推广到星期、日、月等具有相似的断点分布特征的数据统计分析中，为各领域的事件统计提供了一种更加高效、精确的检测方法。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，比如ROM/RAM、磁碟、光盘等。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (20)

1.一种异常事件检测方法，其特征在于，所述异常事件检测方法包括：

根据调度时间表读取事件信息；

对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；

对各个所述的事件集合进行字段采集，生成采集结果；

对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；

根据预先存储的基线数据从所述均方差计算结果中筛选出均方差计算结果小于所述基线数据的事件集合；

根据一报警阈值判断筛选出的所述事件集合中的事件是否为非偶发性事件；

如果是，提取所述非偶发性事件的集中发生时间区间，并将所述非偶发性事件进行封装。

2.根据权利要求1所述的异常事件检测方法，其特征在于，所述异常事件检测方法还包括：

根据历史数据判断筛选出的所述事件集合是否为第一次出现；

如果是，则将筛选出的所述事件集合的均方差计算结果设置为筛选出的事件集合对应的基线数据，否则根据筛选出的所述事件集合的均方差计算结果更新筛选出的所述事件集合对应的基线数据。

3.根据权利要求2所述的异常事件检测方法，其特征在于，所述异常事件检测方法还包括：

如果筛选出的所述事件集合中的事件是偶发性事件，则将所述偶发性事件存储到所述历史数据中。

4.根据权利要求3所述的异常事件检测方法，其特征在于，所述异常事件检测方法还包括：

判断所述采集结果是否符合预先存储的事件指标信息所规定的表达式；

如果是，对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果，否则存储所述采集结果至异常作业列表。

5.根据权利要求4所述的异常事件检测方法，其特征在于，所述的采集结果包括：所述事件集合对应的IP地址、对象名称、对象位置及发生时间点；所述的事件指标信息为所述IP地址、对象名称、对象位置及发生时间点分别对应的标准表达式。

6.根据权利要求5所述的异常事件检测方法，其特征在于，对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合，包括：

获取所述事件信息中的事件标记，所述事件标记包括：所述事件对应的IP地址、主机名，所述事件标记用于标记不同类型的事件；

根据所述事件标记对所述事件进行汇总分类，将所述事件标记相同的事件汇总成一个所述事件集合。

7.根据权利要求5所述的异常事件检测方法，其特征在于，所述时间断点处理包括：

判断所述事件集合中的事件发生的时间点是否大于12点；

如果是，用24点减去所述时间点所得的差值替换所述时间点，否则保留所述时间点。

8.根据权利要求7所述的异常事件检测方法，其特征在于，所述换算处理包括：

将经过所述时间断点处理的事件发生的时间点进行单位换算，生成单位统一的时间数据。

9.根据权利要求8所述的异常事件检测方法，其特征在于，所述均方差计算处理包括：

根据所述时间数据进行均方差计算，生成所述均方差结果。

10.根据权利要求5所述的异常事件检测方法，其特征在于，根据一报警阈值判断所述事件集合中的事件是否为非偶发性事件，包括：

判断所述事件集合的均方差计算结果是否小于所述报警阈值；

如果是，所述事件集合中的事件为非偶发性事件；否则所述事件集合中的事件为偶发性事件。

11.一种异常事件检测***，其特征在于，所述异常事件检测***包括：

事件信息读取单元，用于根据调度时间表读取事件信息；

事件集合生成单元，用于对所述事件信息对应的事件进行汇总分类，将同一类事件汇总成一个事件集合；

采集结果生成单元，用于对各个所述的事件集合进行字段采集，生成采集结果；

均方差计算单元，用于对所述采集结果依次进行时间断点处理、换算处理及均方差计算处理，生成均方差计算结果；

筛选单元，用于根据预先存储的基线数据从所述均方差计算结果中筛选出均方差计算结果小于所述基线数据的事件集合；

非偶发性事件判断单元，根据一报警阈值判断筛选出的所述事件集合中的事件是否为非偶发性事件；

非偶发性事件封装单元，用于提取所述非偶发性事件的集中发生时间区间，并将所述非偶发性事件进行封装。

12.根据权利要求11所述的异常事件检测***，其特征在于，所述异常事件检测***还包括：

事件判断单元，用于根据历史数据判断筛选出的所述事件集合是否为第一次出现；

基线数据设置单元，用于将筛选出的所述事件集合的均方差计算结果设置为筛选出的事件集合对应的基线数据；

基线数据更新单元，用于根据筛选出的所述事件集合的均方差计算结果更新筛选出的所述事件集合对应的基线数据。

13.根据权利要求12所述的异常事件检测***，其特征在于，所述异常事件检测***还包括：

历史数据存储单元，如果筛选出的所述事件集合中的事件是偶发性事件，所述历史数据存储单元用于将所述偶发性事件存储到所述历史数据中。

14.根据权利要求13所述的异常事件检测***，其特征在于，所述的异常事件检测***还包括：

采集结果判断单元，用于判断所述采集结果是否符合预先存储的事件指标信息所规定的表达式；

异常结果存储单元，用于将所述采集结果存储至异常作业列表。

15.根据权利要求14所述的异常事件检测***，其特征在于，所述的采集结果包括：所述事件集合对应的IP地址、对象名称、对象位置及发生时间点；所述的事件指标信息为所述IP地址、对象名称、对象位置及发生时间点分别对应的标准表达式。

16.根据权利要求15所述的异常事件检测***，其特征在于，所述事件集合生成单元包括：

事件标记获取模块，用于获取所述事件信息中的事件标记，所述事件标记包括：所述事件对应的IP地址、主机名，所述事件标记分别标记对应不同类型的事件；

事件分类模块，用于根据所述事件标记对所述事件进行汇总分类，将所述事件标记相同的事件汇总成一个所述事件集合。

17.根据权利要求15所述的异常事件检测***，其特征在于，所述均方差计算单元包括：时间断点处理模块、换算处理模块及均方差计算处理模块，其中，所述时间断点处理模块具体用于：

判断所述事件集合中的事件发生的时间点是否大于12点；

如果是，用24点减去所述时间点所得的差值替换所述时间点，否则保留所述时间点。

18.根据权利要求17所述的异常事件检测***，其特征在于，所述换算处理模块具体用于：

将经过所述时间断点处理的事件发生的时间点进行单位换算，生成单位统一的时间数据。

19.根据权利要求18所述的异常事件检测***，其特征在于，所述均方差计算处理模块具体用于：

根据所述时间数据进行均方差计算，生成所述均方差结果。

20.根据权利要求15所述的异常事件检测***，其特征在于，所述非偶发性事件判断单元具体用于：

判断所述事件集合的均方差计算结果是否小于所述报警阈值；

如果是，所述事件集合中的事件为非偶发性事件；否则所述事件集合中的事件为偶发性事件。