一种事件的搜索方法和设备的制造方法
【技术领域】
[0001] 本发明涉及计算机技术领域，尤其涉及一种事件的搜索方法和设备。
【背景技术】
[0002] 随着科学技术的发展，机器在运行中将产生大量数据，例如：日志信息，通常将机 器在运行中产生的数据被称为事件。一个事件由一条或多条日志信息组成。
[0003] 在基于事件对机器进行故障定位时，往往依据对事件建立的索引。针对建立的索 弓丨，执行基于关键字的布尔查询操作，搜索到包含关键字的事件，但是在搜索到的事件中包 含了不希望获取的事件（即无效事件），增加了定位故障的难度。
[0004] 为了提供搜索精度，目前提出借助事件抽取模板对事件进行分析。具体地，在得到 搜索结果后，利用事件抽取模板类型，获取搜索到的事件对应的抽取事件，进一步地获取事 件对应的字段抽取信息，然后比较搜索关键字中的字段抽取信息与获取事件对应的字段抽 取信息是否匹配，若匹配，则确定获取的事件符合条件；否则，获取的事件不符合条件。
[0005] 由此可见，借助事件抽取模板对事件进行分析无法避免的搜索到无效事件，但可 以对搜索到的事件进行识别，最终筛选出搜索到的无效事件。
[0006] 但是，在实际应用中出现了接收到的搜索关键字属于无效事件的情形，按照上述 方式依然会进行搜索与事件抽取，这样将导致大量无效事件被搜索到，同时发生不必要的 事件抽取过程，使得搜索效率比较低、计算量比较大，进一步浪费计算资源。
【发明内容】
[0007] 有鉴于此，本发明实施例提供了一种事件的搜索方法和设备，用于解决目前在搜 索领域存在的搜索效率比较低、计算量比较大、导致浪费计算资源的问题。
[0008] 本发明的第一方面，提供了一种事件的搜索方法，包括：
[0009] 接收输入的搜索条件，并从所述搜索条件中获取字段信息；
[0010] 在根据获取到的所述字段信息和配置的字段索引信息确定所述搜索条件符合设 定规则时，从所述搜索条件中获取与所述字段信息匹配的字段模板；
[0011] 利用所述字段模板生成新的搜索条件，并搜索出符合所述新的搜索条件的事件。
[0012] 结合第一方面可能的实施方式，在第一种可能的实施方式中，所述方法还包括：
[0013] 在根据获取到的所述字段信息和配置的字段索引信息确定所述搜索条件不符合 设定规则时，返回搜索条件错误信息；或，
[0014] 提示搜索条件不正确，将按照模糊查询方式进行搜索。
[0015] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，在 第二种可能的实施方式中，所述从所述搜索条件中获取与所述字段信息匹配的字段模板， 包括：
[0016] 根据配置的字段名与事件模板类型之间的对应关系，得到所述字段信息中包含的 字段名对应的事件模板类型；并
[0017] 根据配置的事件模板类型与字段模板之间的对应关系，查找出与得到的所述事件 模板类型匹配的字段模板。
[0018] 结合第一方面的第二种可能的实施方式，在第三种可能的实施方式中，所述查找 出与得到的所述事件模板类型匹配的字段模板，包括：
[0019] 当依据字段信息查找出与得到的所述事件模板类型匹配的字段模板为嵌套字段 模板时，根据字段模板与字段模板的内容格式之间的对应关系，确定所述嵌套字段模板中 包含的每一个字段模板对应的所述字段模板的内容格式，其中，所述嵌套字段模板中包含 了至少两个字段模板；
[0020] 将所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 每一个字段模板的内容格式进行比较；
[0021] 当所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 其中一个字段模板的内容格式一致时，将内容格式一致的所述字段模板作为从所述搜索条 件中获取与所述字段信息匹配的字段模板。
[0022] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 在第四种可能的实施方式中，所述利用所述字段模板生成新的搜索条件，包括：
[0023] 将所述字段信息以及所述字段模板进行组合，得到包含了所述字段模板的新的搜 索条件，其中，所述字段模板用于缩小搜索范围。
[0024] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 或者结合第一方面的第四种可能的实施方式，在第五种可能的实施方式中，在利用所述字 段模板生成新的搜索条件之前，所述方法还包括：
[0025] 根据字段名与事件数据来源之间的对应关系，得到抽取到的所述字段信息中包含 的字段名所对应的事件数据来源；
[0026] 所述利用所述字段模板生成新的搜索条件，包括：
[0027] 将所述字段信息、所述字段模板以及所述事件数据来源进行组合，得到包含了所 述字段模板和所述事件数据来源的新的搜索条件，其中，所述字段模板和所述事件数据来 源用于缩小搜索范围。
[0028] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 或者结合第一方面的第四种可能的实施方式，或者结合第一方面的第五种可能的实施方 式，在第六种可能的实施方式中，在利用所述字段模板生成新的搜索条件之前，所述方法还 包括：
[0029] 根据字段名与产生包含所述字段名的事件的设备标识之间的对应关系，得到抽取 到的所述字段信息中包含的字段名对应的设备标识；
[0030] 所述利用所述字段模板生成新的搜索条件，包括：
[0031] 将所述字段信息、所述字段模板以及所述设备标识进行组合，得到包含了所述字 段模板和所述设备标识的新的搜索条件，其中，所述字段模板和所述设备标识用于缩小搜 索范围。
[0032] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 或者结合第一方面的第四种可能的实施方式，或者结合第一方面的第五种可能的实施方 式，或者结合第一方面的第六种可能的实施方式，在第七种可能的实施方式中，所述利用所 述字段模板生成新的搜索条件，包括：
[0033] 当从所述搜索条件中获取与所述字段信息匹配的字段模板的个数为多个时，确定 获取的字段模板的属性，并根据所述字段模板的属性，将获取的字段模板进行排序；
[0034] 根据排序结果，从获取的多个字段模板中选择至少一个字段模板生成新的搜索条 件。
[0035] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 或者结合第一方面的第四种可能的实施方式，或者结合第一方面的第五种可能的实施方 式，或者结合第一方面的第六种可能的实施方式，或者结合第一方面的第七种可能的实施 方式，在第八种可能的实施方式中，所述字段索引信息中包含了字段名和事件模板类型，且 每一个字段名对应至少一个事件模板类型；
[0036] 所述根据获取到的所述字段信息和配置的字段索引信息确定所述搜索条件符合 设定规则，包括：
[0037] 从配置的字段索引信息中搜索获取到的所述字段信息中包含的字段名，并在搜索 到获取到的所述字段信息中包含的字段名时，确定所述字段信息中包含的字段名对应的事 件模板类型，并根据配置的事件模板类型与字段模板之间的对应关系，查找出与确定的所 述事件模板类型对应的字段模板；
[0038] 将获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式进行比较；
[0039] 当获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式一致时，确定所述搜索条件符合设定规则。
[0040] 结合第一方面的第八种可能的实施方式，在第九种可能的实施方式中，所述方法 还包括：
[0041] 若从配置的字段索引信息中查找不到与获取到的所述字段信息中包含的字段名 一致的字段名，和/或若从配置的字段索引信息中查找到与获取到的所述字段信息中包含 的字段名一致的字段名、但获取到的字段信息中包含的字段名对应的内容格式与查找的所 述字段模板的内容格式不一致时，确定所述搜索条件不符合设定规则。
[0042] 结合第一方面可能的实施方式，或者结合第一方面的第一种可能的实施方式，或 者结合第一方面的第二种可能的实施方式，或者结合第一方面的第三种可能的实施方式， 或者结合第一方面的第四种可能的实施方式，或者结合第一方面的第五种可能的实施方 式，或者结合第一方面的第六种可能的实施方式，或者结合第一方面的第七种可能的实施 方式，或者结合第一方面的第八种可能的实施方式，或者结合第一方面的第九种可能的实 施方式，在第十种可能的实施方式中，所述从所述搜索条件中获取字段信息，包括：
[0043] 解析接收到的搜索条件，并确定所述搜索条件中包含的至少一个字段信息，其中， 所述字段信息包含了字段名以及所述字段名对应的内容格式。
[0044] 本发明的第二方面，提供了一种事件的搜索设备，包括：
[0045] 接收模块，用于接收输入的搜索条件，并从所述搜索条件中获取字段信息；
[0046] 匹配模块，用于在根据所述接收模块获取到的所述字段信息和配置的字段索引信 息确定所述搜索条件符合设定规则时，从所述搜索条件中获取与所述字段信息匹配的字段 模板；
[0047] 搜索模块，用于利用所述匹配模块获取的所述字段模板生成新的搜索条件，并搜 索出符合所述新的搜索条件的事件。
[0048] 结合第二方面可能的实施方式，在第一种可能的实施方式中，所述设备还包括：
[0049] 错误返回模块，用于在根据获取到的所述字段信息和配置的字段索引信息确定所 述搜索条件不符合设定规则时，返回搜索条件错误信息；或，
[0050] 提示搜索条件不正确，将按照模糊查询方式进行搜索。
[0051] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，在 第二种可能的实施方式中，所述匹配模块，具体用于根据配置的字段名与事件模板类型之 间的对应关系，得到所述字段信息中包含的字段名对应的事件模板类型；并
[0052] 根据配置的事件模板类型与字段模板之间的对应关系，查找出与得到的所述事件 模板类型匹配的字段模板。
[0053] 结合第二方面的第二种可能的实施方式，在第三种可能的实施方式中，所述匹配 模块，具体用于当依据字段信息查找出与得到的所述事件模板类型匹配的字段模板为嵌套 字段模板时，根据字段模板与字段模板的内容格式之间的对应关系，确定所述嵌套字段模 板中包含的每一个字段模板对应的所述字段模板的内容格式，其中，所述嵌套字段模板中 包含了至少两个字段模板；
[0054] 将所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 每一个字段模板的内容格式进行比较；
[0055] 当所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 其中一个字段模板的内容格式一致时