，将内容格式一致的所述字段模板作为从所述搜索条 件中获取与所述字段信息匹配的字段模板。
[0056] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 在第四种可能的实施方式中，所述搜索模块，具体用于将所述字段信息以及所述字段模板 进行组合，得到包含了所述字段模板的新的搜索条件，其中，所述字段模板用于缩小搜索范 围。
[0057] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 或者结合第二方面的第四种可能的实施方式，在第五种可能的实施方式中，所述搜索设备 还包括：
[0058] 事件数据来源确定模块，用于在利用所述字段模板生成新的搜索条件之前，根据 字段名与事件数据来源之间的对应关系，得到抽取到的所述字段信息中包含的字段名所对 应的事件数据来源；
[0059] 所述搜索模块，具体用于将所述字段信息、所述字段模板以及所述事件数据来源 进行组合，得到包含了所述字段模板和所述事件数据来源的新的搜索条件，其中，所述字段 模板和所述事件数据来源用于缩小搜索范围。
[0060] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 或者结合第二方面的第四种可能的实施方式，或者结合第二方面的第五种可能的实施方 式，在第六种可能的实施方式中，所述搜索设备还包括：
[0061] 设备标识确定模块，用于在利用所述字段模板生成新的搜索条件之前，根据字段 名与产生包含所述字段名的事件的设备标识之间的对应关系，得到抽取到的所述字段信息 中包含的字段名对应的设备标识；
[0062] 所述搜索模块，具体用于将所述字段信息、所述字段模板以及所述设备标识进行 组合，得到包含了所述字段模板和所述设备标识的新的搜索条件，其中，所述字段模板和所 述设备标识用于缩小搜索范围。
[0063] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 或者结合第二方面的第四种可能的实施方式，或者结合第二方面的第五种可能的实施方 式，或者结合第二方面的第六种可能的实施方式，在第七种可能的实施方式中，所述搜索模 块，具体用于当从所述搜索条件中获取与所述字段信息匹配的字段模板的个数为多个时， 确定获取的字段模板的属性，并根据所述字段模板的属性，将获取的字段模板进行排序； [0064] 根据排序结果，从获取的多个字段模板中选择至少一个字段模板生成新的搜索条 件。
[0065] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 或者结合第二方面的第四种可能的实施方式，或者结合第二方面的第五种可能的实施方 式，或者结合第二方面的第六种可能的实施方式，或者结合第二方面的第七种可能的实施 方式，在第八种可能的实施方式中，所述字段索引信息中包含了字段名和事件模板类型，且 每一个字段名对应至少一个事件模板类型；
[0066] 所述匹配模块，具体用于从配置的字段索引信息中搜索获取到的所述字段信息中 包含的字段名，并在搜索到获取到的所述字段信息中包含的字段名时，确定所述字段信息 中包含的字段名对应的事件模板类型，并根据配置的事件模板类型与字段模板之间的对应 关系，查找出与确定的所述事件模板类型对应的字段模板；
[0067] 将获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式进行比较；
[0068] 当获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式一致时，确定所述搜索条件符合设定规则。
[0069] 结合第二方面的第八种可能的实施方式，在第九种可能的实施方式中，所述匹配 模块，还用于若从配置的字段索引信息中查找不到与获取到的所述字段信息中包含的字段 名一致的字段名，和/或若从配置的字段索引信息中查找到与获取到的所述字段信息中包 含的字段名一致的字段名、但获取到的字段信息中包含的字段名对应的内容格式与查找的 所述字段模板的内容格式不一致时，确定所述搜索条件不符合设定规则。
[0070] 结合第二方面可能的实施方式，或者结合第二方面的第一种可能的实施方式，或 者结合第二方面的第二种可能的实施方式，或者结合第二方面的第三种可能的实施方式， 或者结合第二方面的第四种可能的实施方式，或者结合第二方面的第五种可能的实施方 式，或者结合第二方面的第六种可能的实施方式，或者结合第二方面的第七种可能的实施 方式，或者结合第二方面的第八种可能的实施方式，或者结合第二方面的第九种可能的实 施方式，在第十种可能的实施方式中，所述接收模块，具体用于解析接收到的搜索条件，并 确定所述搜索条件中包含的至少一个字段信息，其中，所述字段信息包含了字段名以及所 述字段名对应的内容格式。
[0071] 本发明的第三方面，提供了一种事件的搜索设备，包括：
[0072] 信号接收器，用于接收输入的搜索条件，并从所述搜索条件中获取字段信息；
[0073] 处理器，用于在根据获取到的所述字段信息和配置的字段索引信息确定所述搜索 条件符合设定规则时，从所述搜索条件中获取与所述字段信息匹配的字段模板；利用获取 的所述字段模板生成新的搜索条件，并搜索出符合所述新的搜索条件的事件。
[0074] 结合第三方面可能的实施方式，在第一种可能的实施方式中，
[0075] 所述处理器，还用于在根据获取到的所述字段信息和配置的字段索引信息确定所 述搜索条件不符合设定规则时，返回搜索条件错误信息；或，
[0076] 提示搜索条件不正确，将按照模糊查询方式进行搜索。
[0077] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，在 第二种可能的实施方式中，所述处理器，具体用于根据配置的字段名与事件模板类型之间 的对应关系，得到所述字段信息中包含的字段名对应的事件模板类型；并根据配置的事件 模板类型与字段模板之间的对应关系，查找出与得到的所述事件模板类型匹配的字段模 板。
[0078] 结合第三方面的第二种可能的实施方式，在第三种可能的实施方式中，所述处理 器，具体用于当依据字段信息查找出与得到的所述事件模板类型匹配的字段模板为嵌套字 段模板时，根据字段模板与字段模板的内容格式之间的对应关系，确定所述嵌套字段模板 中包含的每一个字段模板对应的所述字段模板的内容格式，其中，所述嵌套字段模板中包 含了至少两个字段模板；
[0079] 将所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 每一个字段模板的内容格式进行比较；
[0080] 当所述字段信息中包含的字段名对应的内容格式与所述嵌套字段模板中包含的 其中一个字段模板的内容格式一致时，将内容格式一致的所述字段模板作为从所述搜索条 件中获取与所述字段信息匹配的字段模板。
[0081] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，或 者结合第三方面的第二种可能的实施方式，或者结合第三方面的第三种可能的实施方式， 在第四种可能的实施方式中，所述处理器，具体用于将所述字段信息以及所述字段模板进 行组合，得到包含了所述字段模板的新的搜索条件，其中，所述字段模板用于缩小搜索范 围。
[0082] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，或 者结合第三方面的第二种可能的实施方式，或者结合第三方面的第三种可能的实施方式， 或者结合第三方面的第四种可能的实施方式，在第五种可能的实施方式中，所述处理器，具 体用于在利用所述字段模板生成新的搜索条件之前，根据字段名与事件数据来源之间的对 应关系，得到抽取到的所述字段信息中包含的字段名所对应的事件数据来源；将所述字段 信息、所述字段模板以及所述事件数据来源进行组合，得到包含了所述字段模板和所述事 件数据来源的新的搜索条件，其中，所述字段模板和所述事件数据来源用于缩小搜索范围。
[0083] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，或 者结合第三方面的第二种可能的实施方式，或者结合第三方面的第三种可能的实施方式， 或者结合第三方面的第四种可能的实施方式，或者结合第三方面的第五种可能的实施方 式，在第六种可能的实施方式中，所述处理器，具体用于在利用所述字段模板生成新的搜索 条件之前，根据字段名与产生包含所述字段名的事件的设备标识之间的对应关系，得到抽 取到的所述字段信息中包含的字段名对应的设备标识；将所述字段信息、所述字段模板以 及所述设备标识进行组合，得到包含了所述字段模板和所述设备标识的新的搜索条件，其 中，所述字段模板和所述设备标识用于缩小搜索范围。
[0084] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，或 者结合第三方面的第二种可能的实施方式，或者结合第三方面的第三种可能的实施方式， 或者结合第三方面的第四种可能的实施方式，或者结合第三方面的第五种可能的实施方 式，或者结合第三方面的第六种可能的实施方式，在第七种可能的实施方式中，所述处理 器，具体用于当从所述搜索条件中获取与所述字段信息匹配的字段模板的个数为多个时， 确定获取的字段模板的属性，并根据所述字段模板的属性，将获取的字段模板进行排序；
[0085] 根据排序结果，从获取的多个字段模板中选择至少一个字段模板生成新的搜索条 件。
[0086] 结合第三方面可能的实施方式，或者结合第三方面的第一种可能的实施方式，或 者结合第三方面的第二种可能的实施方式，或者结合第三方面的第三种可能的实施方式， 或者结合第三方面的第四种可能的实施方式，或者结合第三方面的第五种可能的实施方 式，或者结合第三方面的第六种可能的实施方式，或者结合第三方面的第七种可能的实施 方式，在第八种可能的实施方式中，所述字段索引信息中包含了字段名和事件模板类型，且 每一个字段名对应至少一个事件模板类型；
[0087] 所述处理器，具体用于从配置的字段索引信息中搜索获取到的所述字段信息中包 含的字段名，并在搜索到获取到的所述字段信息中包含的字段名时，确定所述字段信息中 包含的字段名对应的事件模板类型，并根据配置的事件模板类型与字段模板之间的对应关 系，查找出与确定的所述事件模板类型对应的字段模板；
[0088] 将获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式进行比较；
[0089] 当获取到的所述字段信息中包含的字段名对应的内容格式与查找的所述字段模 板的内容格式一致时，确定所述搜索条件符合设定规则。
[0090] 结合第三方面的第八种可能的实施方式，在第九种可能的实施方式中，所述处理 器，还用于若从配置的字段索引信息中查找不到与获取到的所述字段信息中包含的字段名 一致的字段名，和/或若从配置的字段索引信息中查找到与获取到的所述字段信息中包含 的字段名一致的字段名、但获取到的字段信息中包含的字段名对应的内容格式与查找的所 述字段模板的内容格式不一致时，确定所述搜索条件不符合设定规则。
[0091] 结合第三方面可能的实施方式，或者结合第三方面