Eventcorrelatie

Wat is eventcorrelatie?

Eventcorrelatie is het koppelen van gebeurtenissen die tot dezelfde procesinstantie of dezelfde bedrijfsobjecten behoren. Het resultaat bepaalt welke events samen een trace of objectlevenscyclus vormen.

Een expliciete case-ID maakt correlatie eenvoudig wanneer ieder bronevent dezelfde stabiele sleutel bevat. In veel systemen zijn events echter verdeeld over tabellen, berichten en applicaties met verschillende identifiers.

Correlatie gebruikt dan sleutels, relaties, tijd en domeinregels. De gekozen regels zijn een modelleerbeslissing, geen neutrale technische stap.

Directe sleutelcorrelatie

Een ordernummer in ieder event kan als case-ID dienen. Events Order ontvangen, Betaling geregistreerd en Order verzonden worden op dat nummer gegroepeerd.

Controleer uniciteit, hergebruik en levensduur van de sleutel. Een ticketnummer dat ieder jaar opnieuw begint is zonder jaartal niet wereldwijd uniek.

Normaliseer formaten zorgvuldig. Voorloopnullen verwijderen kan twee broncodes gelijk maken die functioneel verschillend zijn.

Correlatie via relaties

Een factuurevent bevat mogelijk alleen factuur-ID, terwijl een bestelevent order-ID heeft. Een relationele koppeltabel kan factuur en order verbinden.

Bij één-op-veelrelaties ontstaat een keuze. Eén order kan meerdere leveringen hebben en één factuur kan meerdere orders dekken.

Een klassiek eventlog dwingt vaak één case notion af. Object-centric event data bewaart meerdere objectrelaties en stelt de keuze uit tot analyse.

Tijd- en attribuutgebaseerde correlatie

Zonder gedeelde sleutel kan een regel events koppelen op klant, bedrag en tijdsvenster. Dat is probabilistischer en kan meerdere kandidaten geven.

Een betaling van hetzelfde bedrag binnen twee dagen hoeft niet bij de verwachte factuur te horen. Gebruik score, tolerantie en een expliciete ambiguous-status.

Forceer geen match alleen om iedere event in een trace te krijgen. Ongecorreleerde events zijn beter zichtbaar dan overtuigend maar fout gekoppelde data.

Voorbeeld: serviceticket

De servicedesk heeft ticket-ID's. Telefoonsysteem en monitoringplatform kennen die ID niet altijd.

Een integratie koppelt gesprekken wanneer de agent tijdens het gesprek het ticket selecteert. Monitoringalerts worden via configuratie-item en een beperkt tijdsvenster als kandidaatrelatie toegevoegd.

De eventlog onderscheidt bewezen relaties van afgeleide matches. Analyses kunnen gevoeligheid testen door onzekere links uit te sluiten.

Convergentie en divergentie

Convergentie ontstaat wanneer hetzelfde event naar meerdere cases wordt gekopieerd, bijvoorbeeld één betaling naar iedere orderregel. Frequenties en doorlooptijden kunnen dan worden opgeblazen.

Divergentie ontstaat wanneer events van meerdere objecten in één case samenkomen en een kunstmatige volgorde vormen, bijvoorbeeld parallelle leveringen binnen één order.

Herken deze problemen bij case-notionkeuze. Een object-centric model kan geschikter zijn dan meer kopieerregels.

Volgorde en timestamps

Na correlatie moeten events worden geordend. Gelijke of onnauwkeurige timestamps geven geen betrouwbare totale volgorde.

Gebruik aanvullende sequence-ID's, bronsysteemvolgorde of lifecycle-informatie waar beschikbaar. Verzin geen milliseconden om ties cosmetisch te breken.

Leg tie-breaking vast, want een Directly-Follows Graph en discoveryalgoritme kunnen door een andere volgorde veranderen.

Kwaliteitscontrole

Meet ongecorreleerde events, cases zonder start of einde, onwaarschijnlijke cardinaliteit en conflicterende matches.

Neem steekproeven van gewone en extreme traces en vergelijk met bronsystemen. Domeinexperts kunnen aangeven welke relaties bedrijfsmatig mogelijk zijn.

Versioneer correlatieregels en bewaar lineage. Wanneer een regel verandert, moet duidelijk zijn welke eventlogversie opnieuw is opgebouwd.

Privacy

Correlatie kan losse, onschuldige datasets samenbrengen tot een gedetailleerd persoons- of klantbeeld. Een pseudoniem dat over bronnen heen stabiel is blijft een quasi-identifier.

Beperk de koppeling tot de analysevraag, bescherm mappingtabellen en verwijder directe identifiers waar mogelijk.

Beoordeel doel, grondslag, toegang en retentie vóór bronkoppeling. Technische mogelijkheid is geen toestemming.