-
Ein
Teil der Offenbarung dieser Patentschrift enthält Material, das copyrightgeschützt ist.
Der Copyrighteigentümer
hat nichts gegen die Faxwiedergabe irgendeines des Patentdokuments
oder der Patentoffenbarung, wie sie in den Patent- und Warenzeichenamt-Patendateien
oder -aufzeichnungen erscheint, behält sich jedoch ansonsten alle
Copyrightrechte vor.
-
ALLGEMEINER
STAND DER TECHNIK
-
Die
hier offenbarte Erfindung betrifft das Computernetzwerkfehlermanagement.
Insbesondere betrifft die vorliegende Erfindung verbesserte Techniken
zum Reduzieren von Falschalarmen in solchen Systemen durch eine
feinere Korrelation von Variablen.
-
Das
Ausmaß an
Betriebsausfallszeit, die geringe Zahl an Netzwerkingenieuren und
der starke Wettbewerb des heutigen Markts haben Service-Provider
dazu gezwungen, sich immer mehr auf Softwaretools zu verlassen,
um ihre Netzwerke in spitzeneffizientem Betriebszustand zu halten
und vertragliche Dienstniveaus für
eine wachsende Kundenbasis bereitzustellen. Es ist daher lebenswichtig
geworden, dass diese Softwaretools in der Lage sind, ein Netzwerk
so effizient wie möglich
zu verwalten, überwachen
und in ihm Fehler zu suchen und zu beheben. Ein wichtiger Aspekt
einer solchen Fehlersuche und -beseitigung sind das Erfassen und
die Analyse von Netzwerkfehlern und ihrer Ursachen.
-
Eine
Vielzahl von Softwareprogrammen ist derzeit zum Verbessern des Netzwerkmanagements
anhand automatisierter Fehleranalyse verfügbar. Zum Beispiel beurteilt
die Netcool®/VisionaryTM-Software,
die von Mircomuse Inc. erhältlich
ist, den guten Zustand eines Netzwerkes durch Korrelieren von Daten,
die aus verschiedenen Netzwerkgeräten in Übereinstimmung mit einem Satz
von Expertensystemregeln gesammelt werden. Jede Regel definiert,
welche Datenelemente oder Indikatoren, wenn sie gemeinsam erfasst
werden, die Gegenwart oder Wahrscheinlichkeit eines Fehlers anzeigen.
Zum Beispiel korreliert die Software beim Formulieren einer Diagnose,
dass die CPU eines Routers übermäßig benutzt
wird, relevante Daten, die das Problem verursacht haben können, wie
zum Beispiel Instabilität
von einem bestimmten Routing-Partner, mangelhafte Zugangslistenkonfiguration
und eine übersehene
Fehlersucheinstellung.
-
System-
oder Gerätedaten
können
in verschiedenen Arten korreliert werden. Bei der Software Netcool®/VisionaryTM wird zum Beispiel ein Zeitfenster in Zeitscheiben
unterteilt und eine Korrelation, die auf Regeln beruht, wird für jede Zeitscheibe
ausgeführt.
In jeder Zeitscheibe bestimmt die Software, welche der Indikatoren,
die überwacht
werden, einen Schwerezustand erreicht haben und berechnet einen
Prozentsatz, der die Anzahl solcher schwerwiegenden Indikatorzustände über die
Gesamtanzahl der Indikatoren, die von der Regel überwacht werden, wiedergibt.
Ist das Ergebnis der Korrelation größer als ein vorbestimmter Schwellenprozentsatz,
kennzeichnet die Software die Zeitscheibe als ein positives Ergebnis
für den
Fehler, eine Aktivität,
die hierin manchmal Feuern genannt wird. Wenn die Regel für mehr als
einen Schwellenprozentsatz von Zeitscheiben während des Zeitfensters feuert,
wird eine Warnung oder ein Alarm zu einer Netzwerkmanagementplattform
mit der Meldung gesendet, dass der Fehler wahrscheinlich auftritt.
Eine Regel mit einem Schwellenprozentsatz von 50 % und einer Fenstergröße von 60
Sekunden unterteilt in zwölf
5-Sekunden-Zeitscheiben formuliert eine Problemdiagnose, wenn die
Regel während
des Fensters 6 Mal oder öfter
gefeuert hat.
-
Die
Fähigkeit
von Software, wie zum Beispiel das Netcool®/VisionaryTM-Programms,
Probleme vorauszusagen und sie zu verhindern, bevor sie die Betriebszeit
beeinträchtigen,
beruhen weitgehend auf der Präzision
der multivariablen Korrelation. Daher ist man sehr um die Formulierung
der Regeln und die Auswahl eines passenden Satzes von Indikatoren
in Zusammenhang mit jedem Fehlertyp, der analysiert wird, bemüht. Aber
auch die besten auf Regeln beruhenden Erfassungssysteme weisen inhärente Probleme
auf, die sich aus der verallgemeinerten Assoziation von Ereignissen
und Fehlern und der komplexen Beschaffenheit großer Netzwerke oder anderer
Systeme ergeben, in welchen viele miteinander verbundene und nicht
miteinander verbundene Ereignisse mit großer Häufigkeit auftreten.
-
Die
auf Regeln beruhende Korrelation tendiert daher dazu, Falschalarme
zu ergeben. Zum Beispiel können
beim Gebrauch der oben besprochenen Korrelationstechniken, während das
intermittierende positive Erfassen eines schwerwiegenden Zustands
in den drei Indikatoren, die eine Regel berücksichtigt, zum Feuern der
Regel und Senden eines Alarms führen
kann, die Bedingungen in Wirklichkeit nicht miteinander verbunden und
zufällig
sein und können
in der Tat gar keinen Fehler verursachen oder nicht mit dem Fehler,
zu welchem der Alarm gesendet wird, verbunden sein. Falschalarme
erfordern die Aufmerksamkeit der Administratoren der Service-Provider
und entfremden die Ressourcen, die zur Betreuung tatsächlicher
Fehler erforderlich sind.
-
US 6 205 563 offenbart ein
Multidomänen-Alarmkorrelationsverfahren
und -gerät,
in dem Intradomänenalarme
korreliert werden, um Intradomänenalarme
bereitzustellen und eine effizientere Benutzerverständigung
und behebende Aktion zu erleichtern. Viele der oben beschriebenen
Bedingungen, die zu Falschalarmen führen, würden gemäß dem beschriebenen Verfahren
und Gerät
jedoch weiter vorherrschen.
-
Es
besteht daher ein Bedarf an verbesserten Techniken zum Einschränken der
Anzahl von Falschalarmen, die während
der Fehlerdetektionskorrelation auftreten.
-
KURZDARSTELLUNG
DER ERFINDUNG
-
Es
ist eine Aufgabe der vorliegenden Erfindung, die oben beschriebenen
Probleme bei existierenden Fehlerkorrelationssystemen zu lösen.
-
Es
ist eine weitere Aufgabe der vorliegenden Erfindung, die Anzahl
von Falschalarmen, die von Fehlerdetektionssystemen erzeugt werden,
zu verringern.
-
Es
ist eine weitere Aufgabe der vorliegenden Erfindung, die Präzision von
Fehlererfassungssystemen zu verbessern und das Rauschen zu verringern.
-
Gemäß der vorliegenden
Erfindung wird daher ein Verfahren zum Verbessern der Diagnose in
einem Fehlerkorrelationssystem wie in Anspruch 1 definiert bereitgestellt.
-
Die
oben genannten und weitere Aufgaben werden durch verbesserte Techniken
zum Koreelieren einer Anzahl von Variablen oder Indikatoren in einem
Korrelationssystem auf Regelbasis verwirklicht. Die Techniken umfassen
das Korrelieren über
Zeit der Kanten oder Übergänge von
Indikatoren, so dass Indikatoren, die sich nicht gleichzeitig ändern, weniger
wahrscheinlich von einer Regel korreliert werden. Software, die
die verbesserten Techniken verwendet, erfasst daher nicht nur, ob
multiple Variablen eine gegebene Schwere während jeder Zeitscheibe eines
Fensters aufweisen, sondern auch, ob und wie die Variablen die Schwere
seit der vorhergehenden Zeitspanne geändert haben. Wenn zum Beispiel
zwei oder mehrere Indikatoren, die von einer Regel überwacht
werden, während
einer Zeitscheibe den Zustand wechseln, aber einer von einem positiven
Zustand zu einem negativen Zustand und der andere Indikator von
einem negativen zu einem positiven Zustand übergeht, wird ein Kanten- oder Übergangsfaktor
erzeugt, der es weniger wahrscheinlich macht, dass die Regel die
zwei Indikatoren korreliert.
-
Diese
verbesserten Techniken heben die Präzision durch Rauschverringerung
an, steigern jedoch nicht notwendigerweise die Fehlererfassungsrate.
Mit anderen Worten macht die Gegenwart korrelierter Kanten eine
Regel nicht strikter als sie wäre,
wenn die Kantenkorrelation nicht betrachtet würde, aber das Fehlen von Kanten
mit Korrelation soll bewirken, dass die Regel weniger wahrscheinlich
feuert. Ebenso sollte die Kantenkorrelation sie nicht veranlassen
zu feuern, wenn die Indikatoren einer Regel die Regel nicht zum
Feuern veranlassen würden.
In einer Situation, wo die Indikatoren gemeinsam auf einen positiven
Schwerezustand gewechselt haben, in dem laufenden Fenster jedoch
keine Kanten sind, sollte die Regel nicht weniger wahrscheinlich
feuern. Das komplette Fehlen von Kanten in einem Fenster sollte
in Bezug auf die Regel nicht zählen.
-
Bei
bestimmten Ausführungsformen
ist die Kantenkorrelation ein indikatorspezifisches Attribut und wird
auf einer Basis pro Indikator spezifiziert. Bestimmte Regeln benutzen
zum Beispiel die Gegenwart eines Indikators als einen Teil der Regel,
und dieser Indikator geht nicht über.
Daher würde
der Indikator vom Feuern der Regel abhalten, wenn die Kantenkorrelation
an sie angewandt wird, weil andere Indikatoren zum Übergehen
in der Lage sind. Bei diesen Ausführungsformen wird Indikatoren
eine Kantenrelevanz zugewiesen, um ihren Gebrauch in der Kantenkorrelation
einzuschränken
oder zu verhindern.
-
Die
oben genannten und weitere Aufgaben der vorliegenden Erfindung werden
auch anhand eines Verfahrens zum Verbessern der Diagnose eines komplexen
Problems verwirklicht, wie zum Beispiel ein Problem, das in einem
Computernetzwerk oder einer anderen Umgebung erfasst wird, wobei
die Symptome multivariat sind und sich schnell ändern, wobei eine Vielzahl
von Indikatoren, von welchen man erwartet, dass sie mit dem Netzwerkproblem
verbunden sind, über
ein Zeitfenster korreliert werden. Das Zeitfenster besteht aus einer
Vielzahl sequenzieller Zeitscheiben, wobei in jeder ein Zustand
jedes Indikators zum Beispiel durch Abtasten oder Abfragen bestimmt
wird. Das Verfahren umfasst das Bestimmen, welcher Indikator oder
welche Indikatoren während
einer ersten Zeitscheibe den Zustand geändert haben und welcher Indikator
oder welche Indikatoren ihren Zustand während der ersten Zeitscheibe
nicht geändert
haben. Dieser Vergleich kann für eine
Anzahl von Zeitscheiben oder vorzugsweise alle Zeitscheiben in dem
Fenster vorgenommen werden. Bei bestimmten Ausführungsformen wird ein Übergang
durch häufiges
Abrufen des Zustands der Indikatoren bestimmt. Bei anderen Ausführungsformen
wird der Übergang
durch Vergleichen des Zustands jedes der Indikatoren in der ersten
Zeitscheibe in dem Fenster, wie zum Beispiel an dem Ende der Zeitscheibe,
mit dem Zustand der jeweiligen Indikatoren in einer zweiten Zeitscheibe,
die der ersten Zeitscheibe unmittelbar vorausgeht, gefunden.
-
Das
Verfahren umfasst ferner das Berechnen eines Zeitscheibenübergangs-
oder Kantenfaktors auf der Grundlage der Anzahl von Indikatoren,
deren Zustand sich geändert
hat, und einer Anzahl von Indikatoren, deren Zustand sich während der
ersten Zeitscheibe nicht geändert
hat. Der Übergangsfaktor
wird dann verwendet, um die Korrelation der Indikatoren über das
Zeitfenster einzustellen. Bei bestimmten Ausführungsformen, bei welchen Indikatoren
auf der Grundlage ihrer Zustände
in jeder Zeitscheibe korreliert werden, wird der Zeitscheibenübergangsfaktor
verwendet, um die Korrelation einzustellen, indem er an die spezifische
Korrelation für
die erste Zeitscheibe angewandt wird. Wenn die Übergangsbestimmung für mehrere
oder alle Zeitscheiben erfolgt, werden mehrere Übergangsfaktoren erzeugt, einer
pro Zeitscheibe, und jeder wird an die Korrelation für die jeweilige
Zeitscheibe angewandt.
-
Bei
bestimmten Ausführungsformen
haben die Indikatoren eine Vielzahl möglicher Zustände, darunter einen
niedrigen Zustand und einen hohen Zustand, und das Bestimmen von Änderungen
in den Zuständen der
Indikatoren umfasst das Bestimmen, welcher Indikator oder welche
Indikatoren vom niedrigen zum hohen Zustand übergegangen sind, und welcher
Indikator oder welche Indikatoren vom hohen zum niedrigen Zustand übergegangen
sind. Dieses Bestimmen kann dann die Grundlage für das Berechnen des Zeitscheibenübergangsfaktors
zum Beispiel durch Identifizieren eines Maximums unter der Anzahl
von Indikatoren, deren Zustand sich nicht geändert hat, der Anzahl von Indikatoren
deren Zustand von niedrig nach hoch übergegangen ist und der Anzahl
von Indikatoren, deren Zustand von hoch nach niedrig übergegangen
ist, bilden, und Teilen des Maximums durch die Gesamtanzahl der
Indikatoren. Das ergibt ein Verhältnis
korrelierter Übergänge über sämtliche
Indikatoren. Das Verhältnis
hat einen Wert, der notwendigerweise nicht größer ist als Eins, und unterstützt daher
das oben erklärte
Ergebnis, dass der Gebrauch der Kanten- oder Übergangskorrelation die Wahrscheinlichkeit,
dass Indikatoren korreliert werden, verringert und nicht erhöht.
-
Der
Einsatz willkürlicher
Grenzen für
die Zeitscheiben und potenzieller Verzögerungen beim Messen der Zustände von
Indikatoren kann zu zwei oder mehr Indikatoren führen, die tatsächlich ihren
Zustand zeitlich sehr nahe geändert
haben, um als Indikatoren betrachtet zu werden, die ihren Zustand
in unterschiedlichen Zeitscheiben geändert haben. Bei bestimmten
Ausführungsformen
wird dieses Problem des Jiggers gelöst, indem die erste Zeitscheibe
eingestellt wird, um potenzielle Verzögerungen beim Bestimmen von
Zuständen
der Indikatoren zu berücksichtigen.
Diese Einstellung kann durch Verwenden verschiedener Längen von
Zeitscheiben verwirklicht werden, die die Messverzögerungen
wiedergeben. Alternativ kann dieses Einstellen durch Bestimmen,
welcher Indikator, wenn überhaupt,
den Zustand zuletzt in der Zeit während der ersten Zeitscheibe geändert hat,
Bestimmen ob irgendwelche andere Indikatoren den Zustand während einer
vorbestimmten Zeitspanne vor der Zeit des letzten Indikatorzustandwechsels
gewechselt haben und Betrachten solcher anderer Indikatoren, deren
Zustand sich während
der vordefinierten Zeitspanne geändert
hat, als ob er während
der ersten Zeitscheibe aufgetreten wäre, erfolgen. Die vordefinierte
Zeitspanne kann das gleiche Intervall sein wie das Intervall der
Zeitscheiben.
-
Aufgaben
der vorliegenden Erfindung werden ferner durch ein Verfahren zum
Reduzieren von Falschalarmen in einem System zum Analysieren von
Fehlern in Geräten
verwirklicht. Das System korreliert eine Vielzahl von Indikatoren über ein
Zeitfenster und erzeugt Alarme auf der Grundlage der Korrelation,
wobei das Zeitfenster sequenzielle Zeitscheiben hat, in welchen
jeweils ein Zustand jedes Indikators abgetastet wird. Das Verfahren
umfasst das Erfassen ob und wie Übergänge in den
Zuständen
der Indikatoren während
einer ersten Zeitscheibe aufgetreten sind. Ein Zeitscheibenübergangsfaktor
wird berechnet, der die Anzahl der Indikatoren, deren Zustand sich
während
der ersten Zeitscheibe ähnlich
geändert
hat oder nicht geändert
hat, mit der Gesamtanzahl von Indikatoren verbindet, und dieser Übergangsfaktor
wird verwendet, um die Korrelation der Indikatoren über das
Zeitfenster einzustellen. Wenn der Faktor einen Mangel an voller
Korrelation in den Übergängen während der
ersten Zeitscheibe wiedergibt, wird die Korrelation der Indikatoren
verringert, so dass die Wahrscheinlichkeit verringert wird, dass
ein Falschalarm erzeugt wird.
-
KURZE BESCHREIBUNG
DER ZEICHNUNGEN
-
Die
Erfindung wird in den Figuren der anliegenden Zeichnungen veranschaulicht,
die beispielhaft und nicht einschränkend sind, in welchen gleiche
Bezugszeichen gleiche oder ähnliche
entsprechende Teile bezeichnen, und in welchen:
-
1 ein
Blockschaltbild ist, das ein Netzwerkmanagementsystem zeigt, das
eine Kantenkorrelationskomponente gemäß den Ausführungsformen der vorliegenden
Erfindung aufweist,
-
2 ein
Timingdiagramm ist, das Konzepte veranschaulicht, auf welchen die
vorliegenden Erfindung beruht,
-
3 ein
Flussdiagramm ist, das einen Prozess des Verwendens von Kantenkorrelation
zum Reduzieren von Fehlalarmen gemäß Ausführungsformen der vorliegenden
Erfindung zeigt,
-
4A–4B ein
Flussdiagramm enthalten, das den Prozess der 3 ausführlicher
gemäß den Ausführungsformen
der vorliegenden Erfindung zeigt,
-
5 ein
Flussdiagramm ist, das einen Prozess des Korrelierens von Kanten
von Gruppen von Indikatoren gemäß Ausführungsformen
der vorliegenden Erfindung zeigt, und
-
6–11 beispielhafte
Datenstrukturen von Indikatorzuständen im Laufe der Zeit sind,
die Korrelationsfaktoren entsprechen, die Anwendungen der Ausführungsformen
der vorliegenden Erfindung veranschaulichen.
-
DETAILLIERTE
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORMEN
-
Bevorzugte
Ausführungsformen
der vorliegenden Erfindung werden unten unter Bezugnahme auf die Zeichnungen
1–11 beschrieben.
Unter Bezugnahme auf 1 ist ein System zum Erfassen
des Auftretens von Fehlern in einem Netzwerk gemäß der vorliegenden Erfindung
gezeigt. Das System umfasst eine Netzwerkmanagementplattform 10,
die Ereignisinformationen in Zusammenhang mit einem Netzwerk 12 für Netzwerkadministratoren
konsolidiert, verwaltet und präsentiert.
Eine beispielhafte Netzwerkmanagementplattform 10 ist die
NETCOOL®-Suite
von Programmen erhältlich
bei Micromuse Inc. Das System weist ferner einen Satz von Zustandsmonitoren 14 auf,
die Geräte 16 abrufen,
und Softwareanwendungen 18, die über das Netzwerk 12 angeschlossen
sind oder über
dieses funktionieren. Die Vorrichtungen 16 enthalten viele
Arten von Material, wie zum Beispiel CPUs, Router, Drucker, Netzwerkschnittstellenkarten
usw., und die Anwendungen enthalten viele Typen von Programmen,
wie zum Beispiel Betriebssysteme, Serverprogramme, Browser, Sicherheitssysteme
usw.
-
Die
Zustandsmonitoren 14 sammeln viele Rohdatenwerte aus Industriestandard-SNMP-Managementinformationsdatenbanken
innerhalb jedes verwalteten oder überwachten Netzwerkelements
auf einer im Wesentlichen ununterbrochenen Basis, zum Beispiel jede
Sekunde oder alle paar Sekunden. Die Zustandsmonitoren 14 normalisieren
die Rohdatenwerte wie unten beschrieben und speisen die gesammelten,
normalisierten Daten in einen Satz von Ereignisfiltern 20,
die manchmal als Broker bezeichnet sind oder Teil von ihnen sind,
die den Austausch von Daten, die von den Zustandsmonitoren gesammelt
werden, zu anderen Komponenten des Systems verwalten. Jeder Zustandsmonitor
verwendet eine Konfigurationsdatei, die angibt, welche SNMP-Objekte
er überwachen
soll, wie oft er diese Objekte abrufen und wie er die Ergebnisse
auslegen soll. Die überwachten
Objekte oder Instanzen dieser Objekte werden hier manchmal Indikatoren
genannt, obwohl Indikatoren weitere Information enthalten können, wie
zum Beispiel Daten oder wie der Wert eines Objekts auszulegen ist.
Die Ereignisfilter 20 verringern die Gesamtanzahl der Ereignisse,
die von den Zustandsmonitoren 14 erfasst werden, indem
sie nur Ereignisse isolieren und senden, die einen Wechsel in dem
Schwereniveau in dem überwachten
Gerät oder
in der überwachten
Anwendung anzeigen.
-
Die
von den Ereignisfiltern 20 gefilterten und übertragenen
Ereignisdaten werden von einer oder mehreren Korrelationsmaschinen 22 empfangen
und verarbeitet. Die Korrelationsmaschine 22 empfängt die
normalisierten, gefilterten Ereignisdaten entweder von den Ereignisfiltern 20 oder
direkt von den Zustandsmonitoren 14 über einen Abonnementmechanismus
und für
Hochgeschwindigkeitskonsolidation, -korrelation und -analyse der
Information aus, um zu identifizieren, ob Probleme auftreten oder
eventuell in dem Netzwerk auftreten werden. Diese Analyse erfolgt
durch Holen einer oder mehrerer Regeln aus einer Regeldatenbank 24. Die
Regeln schreiben vor, welche Indikatoren oder Eigenschaften der
Geräte 16 oder
Anwendungen 18, die von den Zustandsmonitoren 14 überwacht
werden, wenn sie gemeinsam auftretend gefunden werden, auf ein gegebenes
definiertes Problem oder einen Fehler hinweisen. Die Regeln werden
typisch auf der Grundlage historischer Erfahrung oder anderer substanzieller
Fachkenntnisse entwickelt.
-
Die
Regeln werden von der Korrelationsmaschine 22 verwendet,
um zu bestimmen, ob eine Warnung oder ein Alarm zu einem Netzwerkadministrator
gesendet werden soll, um ihn oder sie über das Erfassen des Problems
zu informieren. Wenn die Korrelationsmaschine 22 die Konfigurationsdateien
von den Ereignisfiltern 20 empfängt und die Regeln, welche
die Daten benutzen, findet, bestimmt die Maschine 22, für welche
Indikatoren sie Daten braucht, um sich auf die Regeln zu berufen,
und ruft die Zustandsmonitoren 14 ab, um die Ereignisdaten
für diese
Indikatoren zu abonnieren. Die Korrelationsmaschine 22 kann
auch bestimmte Ereignisdaten als Teil der Konfigurationsdateien
empfangen. Bei bestimmten Ausführungsformen
können
die Ereignisfilter 20 auch die Regeln einsehen, um zu bestimmen,
welche Ereignisdaten, die von den Zustandsmonitoren 14 empfangen
werden, zu filtern sind, und welche an die Korrelationsmaschine 22 weiterzugeben
sind.
-
Erfindungsgemäß weist
die Korrelationsmaschine 22 auch ein Kantenkorrelationshilfsprogramm 26 auf,
das die Präzision
der Korrelation auf der Basis der Regeln verbessert, das von der
Korrelationsmaschine 22 ausgeführt wird, und die Anzahl von
Falschalarmen, die die Korrelationsmaschine 22 erzeugt,
verringert. Das Kantenkorrelationshilfsprogramm 26, das
im Rest dieser Spezifikation ausführlicher beschrieben ist, analysiert
Tendenzen oder Übergänge in den
Zuständen
der Indikatoren, die gemäß der Regel
untersucht werden, um zu bestimmen, wie nahe die verschiedenen Indikatoren
aufeinander folgen. Während
die Korrelationsmaschine 22 daher jede bekannte Technik
zum Korrelieren von Ereignisdaten in Zusammenhang mit einer Anzahl von
Geräten
oder Anwendungen verwenden kann, berechnet das Kantenkorrelationshilfsprogramm 26 einen Kanten-
oder Übergangsfaktor,
der an die Korrelation angewandt wird, die von der Korrelationsmaschine
erzeugt wird.
-
Ein
Konfigurationstool 28 wird in dem System bereitgestellt,
um es Administratoren zu erlauben, das System zu manipulieren und
Verwaltungsfunktionen auszuführen,
wie zum Beispiel Hinzufügen
oder Löschen von
Filtern, Geräten
oder Anwendungen und Starten und Stoppen der Korrelationsmaschine.
Das Konfigurationstool 28 erlaubt es den Administratoren
auch, Ergebnisse anzusehen und Einstellungen zu ändern, die den Betrieb der
Systemkomponenten steuern, wie zum Beispiel die Schwereniveaus,
die beim Filtern von Daten verwendet werden, oder der Schwellenwerte,
die zum Erzeugen von Alarmen verwendet werden. Das Konfigurationstool 28 kann
direkt mit der Korrelationsmaschine 22 gekoppelt werden
und sie steuern, oder kann Teil eines systemweiten Konfigurationssystems,
das mit der Netzwerkmanagementplattform 10 gekoppelt ist,
und beim Steuern nicht nur der Korrelationsmaschine, sondern auch
anderer Produkte, die Teil der Netzwerkmanagementplattform 10,
verwendet wird.
-
Jeder
der Bauteile, die in 1 gezeigt sind, kann als Computerhardware,
Software oder eine Kombination dieser zwei umgesetzt werden. Für einen
Bauteil, der als ein Softwareprogramm implementiert ist, ist das
Programm in einer Speichervorrichtung gespeichert, die von einem
Computer gelesen werden kann, um den Computer zu veranlassen, die
Funktionen und Verfahren auszuführen,
die hier beschrieben sind. Zwei oder mehrere der Bauteile können Teil
eines einzelnen Gesamtsystems sein oder dezentral liegen und miteinander über ein
Telekommunikationsnetzwerk oder -system kommunizieren und jedes
beliebige Protokoll verwenden, darunter Kommunikation über das
Internet, drahtlose Technologie, Satellit, Kabelsysteme usw.
-
Die
grundlegende Methodik des Reduzierens von Falschalarmen durch Kantenkorrelation
wird unten unter Bezugnahme auf die Veranschaulichung in 2 und
das Flussdiagramm in 3 beschrieben. Wie in 2 gezeigt,
enthält
eine beispielhafte Regel, die zur Diagnose eines gegebenen Problems
verwendet wird, die Analyse von drei Identifikatoren, identifiziert
als Indikatoren 1, 2 und 3. Bei dieser vereinfachten Veranschaulichung
kann jeder Indikator zwei mögliche
Zustände
0 und 1 haben, wobei einer der Zustände einen Schwerezustand und
der andere einen normalen Betriebszustand darstellt. Wie in der
Veranschaulichung gezeigt, bleibt der Indikator 1 auf dem Zustand
1, während
die Indikatoren 2 und 3 den Zustand im Laufe der Zeit ändern. Wenn
die Regel besagt, dass die drei Indikatoren während der Hälfte der Zeit gemeinsam auf
einem Zustand 1 sein müssen,
würde die
Korrelationsmaschine ausgehend von dieser Veranschaulichung bestimmen,
dass die Regel erfüllt
ist und dass daher eine Warnung erzeugt werden sollte.
-
Eine
genauere Prüfung
der 2 zeigt jedoch auf, dass die Zustände der
Indikatoren eigentlich nicht ausreichend verbunden sein können, um
zu folgern, dass das von der Regel definierte Problem auftritt.
Der Indikator 1 hat zum Beispiel immer den Zustand 1 und geht nicht
wie die anderen Indikatoren über.
Ferner gehen die Indikatoren 2 und 3, während sie in den Zeiten 1 und
2 gemeinsam übergehen,
in anderer Art in den Zeiten 3, 4 und 5 über. Dieser Mangel an Koinzidenz
in den Übergängen der
drei Indikatoren im Laufe der Zeit zeigt, obwohl allgemein wie von
der Regel definiert die Gegenwart dieser drei Indikatoren auf ein
Problem hinweist, ihr Auftreten in diesem Fall in der Tat nicht
verbunden oder durch getrennte nicht verbundene Bedingungen verursacht
werden kann. Die Indikatoren sollten daher nicht notwendigerweise
korreliert werden und es sollte kein Alarm gesendet werden.
-
Unter
Bezugnahme auf 3 weist ein erfindungsgemäßes Verfahren Überwachungsgeräte auf,
um die Indikatorenzustände
in Schritt 40 zu bestimmen. Die Korrelationsmaschine berechnet
einen Korrelationsfaktor auf der Grundlage der Zustände der
Indikatoren und der gespeicherten Regel in Schritt 42.
Das Kantenkorrelationshilfsprogramm vergleicht die Übergänge der
Indikatorzustände über mehrere
getrennte Zeitperioden für
die überwachten
Indikatoren in Schritt 44. Die Analyse zeigt das Ausmaß an Koinzidenz
der Übergänge der
Indikatoren während
jeder Zeitperiode auf und wird verwendet, um einen Übergangskorrelationsfaktor
in Schritt 46 zu berechnen. Wie unten ausführlicher
beschrieben, stellt der Übergangskorrelationsfaktor
bei bestimmten Ausführungen
das Verhältnis
zwischen der Anzahl gemeinsamer Übergänge der
Indikatoren im Vergleich zu der Gesamtanzahl von Indikatoren dar.
Andere mathematische Faktoren können
jedoch verwendet werden, die das Ausmaß der Korrelation zwischen
den Übergängen in
Indikatorzuständen
erfassen, wie der Fachmann erkennt.
-
Der Übergangsfaktor
wird an den Korrelationsfaktor angelegt, um einen neuen Korrelationsfaktor
in Schritt 48 zu erzeugen. Überschreitet der neue Korrelationsfaktor
einen Schwellenwert in Schritt 50, was anzeigt, dass die
Korrelation immer noch ausreichend nahe ist, um die Gegenwart des
Problems gemäß der Regel
anzuzeigen, erzeugt die Korrelationsmaschine eine Warnmeldung und
sendet sie an die Netzwerkmanagementplattform in Schritt 52,
so dass der Administrator über
das potenzielle Problem in Kenntnis gesetzt wird. Dieser Schwellenwert
kann aus früherer
Erfahrung vorbestimmt und in der Regel festgelegt werden, oder er kann
ausgehend von einem vordefinierten Wert, der auf Werten beruht,
die in dem hier beschriebenen Übergangskorrelationsprozess
vorkommen, erzeugt und angepasst werden. Ein vordefinierter Schwellenwert
kann zum Beispiel eingestellt werden, um einen etwas niedrigeren
erwarteten Wert des Korrelationsfaktors auf der Grundlage der Anzahl
von Indikatoren, die für
diese Übergangsanalyse
relevant sind, die Anzahl der Zeitscheiben in dem Fenster, die Anzahl
der Übergänge oder
andere Werte zu berücksichtigen. Überschreitet
der neue Korrelationsfaktor den Schwellenwert nicht, wird in Schritt 54 keine
solche Warnmeldung gesendet.
-
4A–4B enthalten
ein Flussdiagramm, das eine Ausführungsform
dieses Prozesses gemeinsam mit einer spezifischen Korrelationstechnik
verwendet zeigt. Bei dieser Technik wird ein betreffendes Fenster
zum Bestimmen, ob ein Problem auftritt, in eine Anzahl getrennter
Zeitscheiben geteilt, und ein Korrelationsfaktor für die Indikatoren
in der Regel wird für
jede Zeitscheibe erzeugt. Die Korrelationsfaktoren werden dann über das
ganze Fenster kombiniert, wie zum Beispiel durch Berechnen eines
mittleren Korrelationsfaktors oder eines Verhältnisses wie oft ein Korrelationsfaktor
einen Schwellenwert erreicht, geteilt durch die Gesamtanzahl der
Zeitscheiben. Diese Technik wird zum Beispiel in dem Programm Netcool®/Visionary
von Mircromuse Inc. verwendet.
-
Unter
Bezugnahme auf 4 rufen die Zustandsmonitoren
die überwachten
Netzwerkgeräte
oder -anwendungen in Schritt 60 ab. Die Filter bestimmen
in Schritt 62, ob irgendeines der überwachten Objekte ein vordefiniertes
Schwereniveau erreicht hat und erlauben den überwachten Ereignisdaten nur,
zu der Korrelationsmaschine weiterzugehen, wenn ein solches Niveau
erreicht ist, um ein Überlasten
der Maschine mit Daten zu vermeiden. Die Korrelationsmaschine holt
die eine oder mehrere Regeln in Zusammenhang mit dem Objekt, für das eine
Schwerebedingung erreicht wurde, in Schritt 64 und holt
ferner die Zustandsdaten in Zusammenhang mit den anderen in der
Regel referenzierten Objekten in Schritt 66.
-
Da
die von den Zustandsmonitoren gesammelten Rohdaten in getrennten
Einheiten, die für
die Vorrichtung oder Anwendung, die überwacht wird, sind, zum Beispiel
die Anzahl der Anweisungen pro Sekunde für eine CPU, Meldungen, die
für einen
Router geroutet werden, Anforderungen oder Treffer für einen
Server usw., ist es erforderlich, die Rohdaten zu normalisieren,
so dass ein effektiver Vergleich gemäß der Regel erfolgen kann.
Das Mapping der Schwere wird daher auf den gesammelten Zustandsdaten
in Schritt 68 ausgeführt,
indem die Rohdaten auf vordefinierte Zustände gemäß einer Nachschlagtabelle oder
einem ähnlichen Mechanismus
für das
Gerät oder
die Anwendung umgewandelt werden. Das Mapping der Schwere kann einfach
die Rohdaten auf einen der zwei Zustände umwandeln, zum Beispiel
einen hohen/niedrigen Zustand oder einen Zustand funktioniert/funktioniert
nicht, oder kann zusätzliche
Abstufungen, die Schichen von Schwere wiedergeben, enthalten.
-
Ein
Zeitfenster, während
welchem die Indikatoren in der Regel korreliert werden, wird definiert,
und dieses Fenster wird in sequenzielle Zeitscheiben in Schritt 70 geteilt.
Die Länge
jedes Zeitfensters und der Zeitscheiben kann als eine festgelegte
Menge für
alle Indikatoren eingestellt werden, oder kann in einer bestimmten
Regel eingestellt werden, zum Beispiel in der Regel, die definiert,
wie viele Indikatoren korrelieren müssen, bevor eine Korrelation
festgestellt wird. Wie unten erklärt, beruht die Kantenkorrelation
auf einem Konzept von Kanten, die in den gleichen Zeitscheiben übergehen.
Kanten gehen jedoch angesichts variierender Abrufintervalle, Antwortzeiten
von Zielen usw. nicht immer in der gleichen Zeitscheibe über. Die
Maschine stellt daher im Schritt 70 das Timing der Zeitscheibe,
die verwendet wird, ein, um diese Messfristen zu berücksichtigen.
-
Diese
Einstellung kann auf verschiedene Arten ausgeführt werden. Eine mögliche Art
besteht darin, die Größe der Zeitscheibe
zu vergrößern, zum
Beispiel sechs Sekunden, und ein Zeitscheibeninkrement von drei
Sekunden beim Durchführen
der Zeitscheibenanalyse zu verwenden. Eine andere Einstelllösung besteht darin,
dass die Korrelationsmaschine für
jede Zeitscheibe alle der Indikatoren prüft, die sich während dieser Zeitscheibe
geändert
haben. Unter allen, die sich geändert
haben, beginnt die Korrelationsmaschine mit dem Indikator, der sich
zuletzt geändert
hat und sieht sich die Zeit der letzten Änderung der anderen Indikatoren
an. Haben sie sich in die gleiche Richtung in den vergangenen 5
Sekunden von dem Zeitstempel des zuletzt geänderten Indikators geändert, werden
sie für
das Berechnen des Kantenfaktors als korreliert betrachtet. Diese Lösungen befassen
sich mit Kanten, die in verschiedene Zeitscheiben fallen.
-
Um
diesen Punkt besser zu veranschaulichen, werden die Optionen nacheinander
geprüft.
Für alle Optionen
werden die folgenden Daten verwendet:
- • Objekt
1: Übergänge HOCH
in Zeit 2, NIEDRIG in Zeit 11, HOCH in Zeit 18, NIEDRIG in Zeit
23
- • Objekt
2: Übergänge HOCH
in Zeit 4, NIEDRIG in Zeit 11, HOCH in Zeit 16, NIEDRIG in Zeit
27
-
Wenn
kein Timingeinstellmechanismus verwendet wird, wären von den oben genannten
Objekten und Zeitscheiben, die bei t = 1 starten, zwei Zeitscheiben
betroffen, die Zeitscheibe (20-24), wenn das Objekt 1 auf niedrig übergeht,
und die Zeitscheibe 25–29,
wenn das Objekt 2 auf niedrig übergeht.
Würden
die Zeitscheiben bei der Zeitscheibe 2 starten, wären drei
Zeitscheiben von einem Mangel an Kantenkorrelation betroffen. Die Daten
für den
Gebrauch ohne Timingeinstellmechanismus sind in der unten stehenden
Tabelle 1 zusammengefasst:
-
-
Wenn
fraktionale Scheibeninkremente verwendet werden, wäre die erste
Zeitscheibe 0–5
und würde zwei
Kanten haben, die auf hoch übergehen.
Die nächste
Scheibe wäre
3–8 und
hätte das
Objekt 2, das auf hoch übergeht,
während
das Objekt 1 hoch bleibt. Das wäre
ein Kantenfaktor von 0,5 gemäß den unten
bereitgestellten Formeln. Die nächste
Scheibe wäre
6–11 und
hätte beide
Kanten, die auf niedrig gehen. Die nächste Scheibe 9–14 hätte beide
Kanten, die auf niedrig gehen. Die nächste Scheibe 12–17 hätte das
Objekt 2, das auf hoch geht und das Objekt 1, das niedrig bleibt.
Die nächste
Scheibe wäre
15–20
und hätte
beide Kanten, die auf hoch gehen. Die nächste Scheibe 18–23 hätte das
Objekt 1, das auf niedrig geht, und das Objekt 2, das auf hoch bleibt.
Die nächste
Scheibe 21–26
hat eine Kante, die auf niedrig geht. Die nächste Scheibe 24–29 hat
das Objekt 2 auf niedrig, das Objekt 1 auf gerade.
-
Es
ergeben sich 9 Scheiben, von welchen 5 keine Korrelation zeigten.
Diese Anzahl scheint zu hoch zu sein, so dass sie ein Ergebnis von
55 % von Scheiben ohne Korrelation zeigt, was anscheinend nicht
den tatsächlichen
Umständen
entspricht. Wenn die Zeitscheiben bei t = 1 starten an Stelle von
t = 0, bleiben nur 3 Scheiben von 9, die keine Korrelation zeigen.
Startet man bei t = 3, ergeben sich 5 Scheiben ohne Korrelation, was
eine zu hohe und weite Varianz von anderen Startpunktkonfigurationen
darstellt. Daten zu bestimmten Ergebnissen sind in der folgenden
Tabelle 2 zusammengefasst.
-
-
Gemäß dem Verfahren „letzte
Ereigniszeit" und
wenn die Zeitscheiben bei der Zeit = 0 starten und Zeitscheiben
haben in T = 5, 10, 15, 20, 25, 30, gibt es nur eine Zeitscheibe
(T = 20–24),
bei der eine Kante überging
und als nicht korreliert betrachtet wurde. In dieser Zeitscheibe
geht das Objekt 1 auf niedrig, aber das Objekt 2 ist immer noch
auf hoch. In t = 25–29
geht das Objekt 2 auf niedrig, aber das Objekt 1 scheint nur 4 Sekunden
früher
auf niedrig übergegangen
zu sein. Es kann daher als ein Übergang
auf niedrig zum Berechnen des Kantenfaktors dieser Zeitscheibe berücksichtigt
werden.
-
Wenn
die Zeitscheiben bei t = 2 starten, sind die zusätzlichen Zeitscheiben bei t
= 7, 12, 17, 22, 27, 32. In der ersten Zeitscheibe (2–6) gingen
beide Kanten auf hoch. In der zweiten Zeitscheibe (7–11) gingen beide
Kanten nach niedrig. In der dritten Zeitscheibe (12–16), ging
das Objekt 2 auf hoch und das Objekt 1 zeigte einen Übergang
auf niedrig 5 Sekunden früher.
Das würde
einen Kantenfaktor von 0,5 für
diese Zeitscheibe schaffen. In der vierten Zeitscheibe (17–21) gab
es keine Kanten. In der vierten Zeitscheibe (22–26) ging das Objekt 1 auf
niedrig über,
und das Objekt 2 blieb auf hoch. Ein Kantenfaktor von 0,5 wird für diese Zeitscheibe
berechnet. In der nächsten
Zeitscheibe (27–31)
ging das Objekt 2 auf niedrig und das Objekt 1 war 4 Sekunden früher auf
niedrig übergegangen.
Beide sind daher in Korrelation, und der Kantenfaktor für diese Zeitscheibe
ist 1.
-
Der
Einsatz der Timingeinstelltechnik „letzte Ereigniszeit" stellt die in Tabelle
III unten gezeigten Ergebnisse bereit.
-
-
Die
richtige Handhabung der Zeiteinstellung wahrt die Vorteile der Rauschverringerung
der Kantenkorrelation und vermeidet gleichzeitig Ungenauigkeiten
willkürlicher
Zeitscheibengrenzen. Der Einsatz des Mechanismus „letzte
Ereigniszeit" scheint
am vorteilhaftesten mit der geringsten Varianz aufgrund der Lage
der Zeitscheibengrenze.
-
Wieder
unter Bezugnahme auf 4A beginnt das Kantenkorrelationshilfsprogramm
den Prozess des Korrelierens von Objekten auf der Grundlage ihrer Übergänge. Es
wählt die
der Objekte in der Regel aus, welchen Kantenrelevanz zugewiesen
wurde, Schritt 74. Das heißt, es wird jedem Objekt ein
Faktor in der Regel zugewiesen, der einstellt, ob seine Übergänge relevant
sind und in einer Kantenkorrelationsanalyse enthalten sein sollten.
Es gibt zum Beispiel bestimmte geschriebene Regeln, die die Gegenwart
eines Indikators als Teil der Regel verwenden, aber dieser Indikator
geht nicht über
und würde
daher vom Feuern der Regel abhalten, wenn die Kantenkorrelation
an ihn angewandt wird. Die Kantenrelevanz für jedes Objekt wird in der
Regel gespeichert.
-
Die
folgende Analyse wird dann für
jede Zeitscheibe in dem Fenster in Schritt 76 ausgeführt. Die
Korrelationsmaschine berechnet einen Korrelationsfaktor auf der
Grundlage der Zustandswerte relevanter oder ausgewählter Objekte,
Schritt 78. Dieser Korrelationsfaktor kann ein Durchschnitt
der Zustandswerte, ein gewichtetes Mittel oder jede erwünschenswerte
Berechnung, die in der Regel festgelegt ist, sein. Für jedes
ausgewählte
Objekt wird in Schritt 80 (4B) der
Zustand des Gegenstands in der laufenden Zeitscheibe analysiert,
um zu bestimmen, ob der Zustand des Objekts gleich geblieben ist,
auf hoch überging
oder auf niedrig überging,
Schritt 84, da diese Zeitscheiben eventuell wie oben beschrieben
eingestellt wurden. Die Analyse kann unter Einsatz bekannter Techniken
zum Erfassen von Übergängen in
dem Zustand eines Objekts ausgeführt
werden, wie zum Beispiel die, die auf häufigem Abrufen oder Messen
von Gebrauchsdaten beruhen, wie dies in der gemeinsamen Patentanmeldung
Serien-Nr. 09/724 025, Attorney Docket Nr. 3882/3 mit dem Titel „METHOD
AND SYSTEM FOR PREDICTING CAUSES OF NETWORK SERVICE OUTAGES USING
TIME DOMAIN CORRELATION" beschrieben
ist.
-
Alternativ
kann das Auftreten von Übergängen bestimmt
werden, indem der Zustand des Objekts während oder am Ende der laufenden
Zeitscheibe mit seinem Zustand am Ende der unmittelbar vorhergehenden Zeitscheibe
verglichen wird, und indem ein Übergang
erfasst wird, wenn diese zwei Zustände unterschiedlich sind. Wenn
die Schwereskala mehr als zwei Zustände erlaubt, erlaubt dieses
Bestimmen eine größere Anzahl möglicher
Zustandswechsel. Für
jeden Typ von Zustandswechselbestimmung wird eine Zählung geführt, Schritt 86,
und das nächste
ausgewählte
Objekt wird betrachtet, Schritt 88, bis alle relevanten
Objekte betrachtet wurden.
-
Das
Kantenkorrelationshilfsprogramm berechnet dann einen Kantenkorrelationsfaktor,
in Schritt 90, anhand der folgenden Formel:
Kante
cf = Max (Zählung Übergang
auf hoch, Zählung Übergang
auf niedrig, Zählung
gleich geblieben)/(Gesamtanzahl der relevanten Objekte)
-
Diese
Formel legt fest, dass der Kantenkorrelationsfaktor den Prozentsatz
des stärksten
Trends an Objektübergängen gegenüber der
Gesamtanzahl von Objekten darstellt. Der Kantenkorrelationsfaktor
wird dann mit dem Korrelationsfaktor für die Zeitscheibe in Schritt 92 multipliziert,
um einen neuen Korrelationsfaktor zu ergeben, der von dem alten
Korrelationsfaktor abgezogen wird, um weniger als die volle Korrelation
im Übergang
von Objekten während
der Zeitscheibe zu berücksichtigen.
Dieser Prozess wird für
alle Zeitscheiben in dem Fenster in Schritt 94 wiederholt,
bis alle solchen Zeitscheiben verarbeitet wurden.
-
Das
ergibt einen Satz neuer berechneter Korrelationsfaktoren, einen
für jede
Zeitscheibe. Ein Gesamtkorrelationsfaktor wird dann in Schritt 96 berechnet.
Dieser neue Gesamtkorrelationsfaktor kann als der Durchschnitt der
einzelnen neuen Korrelationsfaktoren für die Zeitscheiben berechnet
werden. Alternativ findet man den Gesamtfaktor, indem man in jeder
Zeitscheibe bestimmt, ob der Faktor der Zeitscheibe einen vorbestimmten
Schwellenwert überschreitet
und die Regel daher gilt oder „feuert" und man dann addiert,
wie oft die Regel während
des Zeitfensters feuerte. In beiden Fällen wird der Gesamtkorrelationsfaktor
mit einem entsprechenden Schwellenwert in Schritt 98 verglichen,
um zu bestimmen, ob in Schritt 100 eine Warnung zu senden
ist, oder ob keine Warnung zu senden ist, Schritt 102.
-
Erfindungsgemäß kann es
logische Gruppierungen von Indikatoren geben, in welchen erwartet
wird, dass sich die Komponenten gemeinsam bewegen, aber es wird
nicht erwartet, dass sich die Gruppen selbst notwendigerweise gemeinsam
bewegen. Das führt
zu Ausführungsformen
der vorliegenden Erfindung, die Kantenkorrelationsgruppen berücksichtigen.
Das Feld in der Regel, das verwendet wird um anzuzeigen, ob ein Indikator
kantenkorreliert werden soll, kann auch verwendet werden, um die
Kantenkorrelationsgruppe anzugeben, zu der der Indikator gehört. In dem
in Tabelle IV gezeigten Beispiel gehören zum Beispiel die Indikatoren
1–3 zu
der Gruppe A, die Indikatoren 4–5
zu der Gruppe B und die Indikatoren 6–7 haben keine Kantenrelevanz.
Der Kantenkorrelationsfaktor würde
getrennt für
die Gruppe „A" und die Gruppe „B" berechnet, und für die Indikatoren
6 und 7 wird keine Kantenkorrelation ausgeführt. Wenn daher 2/3 der Gruppe
A korrelieren und 1/2 der Gruppe B korrelieren, wäre der Kantenfaktor
gleich 2/3·1/2
= 0,333 an Stelle von 3/5 = 0,600, wenn ohne Gruppierungen berechnet
wird.
-
-
Unter
Bezugnahme auf 5 ist ein Verfahren zum Korrelieren
von Kanten für
Indikatorengruppen gezeigt. Wie oben ausführlicher beschrieben, werden
die Indikatorwerte und Schwereniveaus in Schritt 110 empfangen,
wie die entsprechende Regel(n) in Schritt 112. Ausgehend
von den Regeln werden die Gruppe oder Gruppen von Indikatoren, wenn überhaupt,
in Schritt 114 bestimmt. Der Gebrauch von Gruppen unterstützt verschiedene
logische Operationen unter Mitgliedern einer Gruppe, berücksichtigt
Unterschiede in der Verarbeitung von Indikatoren über die
Gruppen während
der Kantenkorrelation. Diese logischen Operationen werden in Schritt 116 angewandt,
um Übergangskorrelationsfaktoren
für jede
Gruppe zu berechnen.
-
Die
Korrelationsmaschine führt
gemeinsam mit dem Kantenkorrelationshilfsprogramm multivariable Korrelation
für jede
Zeitscheibe aus, darunter Berücksichtigen
von Übergängen durch
Anlegen von Übergangskorrelationsfaktoren,
die auf einer Gruppenbasis in Schritt 118 gefunden wurden.
Wenn nur eine Gruppe in einer gegebenen Zeitscheibe in Schritt 120 gegenwärtig ist,
wird der neue Korrelationsfaktor, der für diese Gruppe gefunden wurde,
der Faktor, der für
diese Zeitscheibe verwendet wird. Ist mehr als eine Gruppe gegenwärtig, werden
die neuen Korrelationsfaktoren, die für jede Gruppe gefunden wurden,
multipliziert, um den Faktor zu ergeben, der für die Zeitscheibe zu verwenden
ist, Schritt 122. Das Kombinieren dieser Faktoren geht
dann wie oben beschrieben weiter.
-
6–11 veranschaulichen
verschiedene Beispiele des Einsatzes der Kantenkorrelation zum Reduzieren
der Wahrscheinlichkeit von Falschalarmen. Die in diesen Beispielen
verwendete Formel ist im Wesentlichen die gleiche wie oben:
newcf
= (max(Indikatorenhoch, Indikatorenniedrig, gleicheIndikatoren)/AnzahlIndikatoren)A·[max(Indikatorenhoch,
Indikatorenniedrig, gleiche Indikatoren)/AnzahlIndikatoren)B]·cf
wobei
newcf den neuen Korrelationsfaktor darstellt, zum Beispiel
für eine
gegebene Zeitscheibe, nach dem Anwenden der hier beschriebenen Kantenkorrelationsmethodik.
-
Indikatorenhoch,
Indikatorenniedrig und gleicheIndikatoren die Anzahl von Zustandswechseln
des Typs auf hoch auf niedrig oder gleichbleibend (kein Wechsel)
für Indikatoren
mit Kantenrelevanz in einer Regel darstellen, zum Beispiel in einer
gegebenen Zeitscheibe, AnzahlIndikatoren die Gesamtanzahl der Indikatoren mit
Kantenrelevanz in einer Regel darstellt, zum Beispiel in einer gegebenen
Zeitscheibe, und cf den Basiskorrelationsfaktor darstellt, der anhand
multivariabler Korrelationstechniken wie den hier beschriebenen
gefunden wurde.
-
Für diese
Beispiele überwacht
die Regel 3 Indikatoren, wobei jeder Indikator einen Kantenrelevanzfaktor
(rf) von 1 hat. Diese Indikatoren haben entweder das Schwereniveau
(sev) 1 oder sev 0, und das Sev Skalenmapping markiert einen sev
1 auf einen Wert von 1 und einen sev 0 auf einen Wert von 0. Die
Berechnung, die von dem Kantenkorrelationshilfsprogramm ausgeführt wird,
beginnt mit der Zeitscheibe 0, um die Übergänge auf die Zeitscheibe zu
sehen und den mittleren cf auf den Zeitscheiben 1–10 zu berechnen.
-
6 veranschaulicht,
dass eine Regel, die mit 100 % ohne Kanten feuert, von der Kantenkorrelationsberechnung
nicht beeinflusst wird.
-
7 veranschaulicht,
dass eine Regel mit allen Indikatoren aufeinander folgend von der
Kantenkorrelation nicht beeinflusst wird.
-
8 veranschaulicht,
dass die Regel aufgrund eines Mangels an kompletter Übergangskorrelation in
den Zeitscheiben 3, 7 und 10 geschwächt ist, aber immer noch feuert,
wenn die Indikatoren aufeinander folgen und nicht viele Kanten vorhanden
sind.
-
9 zeigt,
dass in einer Situation, in der ein Indikator auf hoch bleibt, ein
anderer zwischen hoch und niedrig alterniert und der dritte alterniert
(meistens OFF), die Regel ohne Kantenkorrelation gefeuert hätte, aber der
Einsatz von Kantenkorrelationstechniken wie sie hier beschrieben
sind, hat cf unter dem Feuerschwellenwert verringert.
-
10 zeigt
an, dass Kanten erforderlich sind, damit eine Kantenkorrelation
die stärkste
Auswirkung hat. Die Regel würde
bei 66,66 % ohne Kantenkorrelation feuern (da 2/3 der Indikatoren
immer auf hoch stehen), aber nur mit 62,22 % mit Kantenkorrelation.
Das Beispiel veranschaulicht, dass Kantenkorrelation am effektivsten
ist, wenn die Indikatoren häufiger übergehen.
-
11 veranschaulicht
die Effektivität
der Kantenkorrelation gut. Bei Simulation einer lauten Umgebung
sieht man, dass die Regel anderenfalls mit einem mittlerem cf von
80 gefeuert hätte,
aber die Kantenkorrelation verringert den Wert auf einen Newmean
cf von 51,11. Wäre
das Fenster größer und
wären mehr
Kanten vorhanden, wäre
dieser Newmean cf sogar noch niedriger.