事件类规则

概述

• 指标类（含可用性类）与事件类告警规则在数据特性上存在本质差异：指标为持续性上报的时序数据，反映系统或服务的状态趋势；事件则为瞬时触发的离散数据，记录特定时间点发生的异常或动作。这种数据性质的根本不同，决定了两类规则在检测逻辑、配置方法与响应机制上需采用完全独立的设计体系。
• 本文重点介绍指标和事件类规则在配置时的差异。

事件类型

• 是指具体的事件的类型，比如进程启动、主机重启等，和事件中心列表的事件类型一致。
• 可有针对性地选择事件类型进行规则配置。

过滤条件

• 支持标准属性、扩展属性和实体属性过滤。。
• 标准属性包含事件等级、事件异常类别、描述内容、事件状态、数据来源、来源详情。
• 扩展属性是事件元数据中的扩展属性，便于用户基于事件相关属性进行快捷过滤。
• 实体属性过滤支持全部的实体属性筛选，但要注意所选的实体类型必须和事件类型的主实体相符，否则过滤条件无法生效。

告警等级

• 若选择【原始等级】，直接使用原始事件的等级作为生成的检测事件和告警的等级；若选择【自定义等级】，需要从等级的5个指定其中一个等级，事件规则生成的检测事件和告警按用户配置的等级取值。
• 特殊注意，若为多事件，会直接使用多个原始事件中的最高等级作为检测事件和告警的等级。

多事件

• 多事件是指多个事件共同配置，最多支持添加5个事件检测条件，多个事件之间的关系为或。
• 每个检测条件中事件类型和过滤条件是独立的，互不影响，只要有1个触发条件就会产生告警。