4.2 資料探勘模組
4.2.2 有限制的關聯式規則探勘
我們使用有限制的關聯規則探勘(Constraint Association Rule Discovery)，來挖掘出我 們所需要的知識樣版(Knowledge Pattern)。我們將探勘的知識樣板分成三種類別，如圖 4.5 所示，第一種為情境相關的事件分類與辨別探勘，探勘在何種情境下，常發生哪種 的事件，例如得到的知識樣板為情境為使用者部門為“RD Dept.”時，常發生的事件描述 為“mailbox quota exceed”的事件。第二種為情境相關的解決方案探勘，探勘事件發生時 的情境，與解決方案之間的關係，例如得到的知識樣板為情境為使用者部門為“RD Dept.”
所發生的事件描述為“mailbox quota exceed”的事件，所採取的解決方案描述為“remove mail from mailbox ”的解決方案。第三種則為情境相關的事件相依關係探勘，探勘事件發 生時，根據當時的情境，是否跟其他的事件有相依的關係，藉此可以將多件事件同時處 理，或者是根據這樣的預測關係，採取預先處理的動作。例如得到的知識樣板為事件描 述“PC performance Low”與事件描述“PC Crash”具有事件相依的關係，當服務台辨別事件 為“PC Performance Low”的事件時，根據這樣的相依性，得知與事件“PC Crash”有相依
性，此時，服務台可以根據這樣的相依性，考慮針對此事件，採取預先處理的解決方案，
也就是針對“PC Crash”的事件描述，採取對應的解決方案，避免未來發生事件描述為“PC Crash”的事件。或者是得到的知識樣板為事件描述為“can’t send email”與事件描述
“MailServer crash”具有相依性的關係，當服務台辨別事件為“can’t send email”的事件時，
依據這樣的相依性，得知與事件“MailServer crash”有相依性，此時，服務台可以根據這 樣的相依性，找到目前也有事件描述為“MailServer crash”的事件，服務台就可以針對這 兩個事件同時做處理。下面，我們說明如何進行資料探勘。
圖 4.5 限制式規則形式
4.2.2.1 Context Relevant Incident Classification Knowledge Pattern
為了探勘情境資訊與事件分類與事件描述類資訊之間的關係，我們限制規則的格 式，訂定 Meta-Rule 格式如下所示：
[Context(C, X)]*∧[User_Inc(N, Y)]* ÆStaff_Inc (I, P)
[Support = s%, Confidence = c%] (4.1)
根據前面的資料分類，在 Meta-Rule 格式中，規則的左手邊為情境類的資料以及使 用者事件資訊類的資料，右手邊則為管理者事件分類類別中的資料，其中 C,N,I 代表該 類別中的資料屬性名稱，而 X,Y,P 則是代表該資料屬性的值，符號“ ＂代表 AND 的 意思。此外，符號“*”表示可能包含一個或多個資料屬性，因此在一條規則中，可能會 出現一個或多個情境類別中的資料及使用者事件資訊類別的資料。如此一來，符合這樣 限制的規則將會被找出來，如下所示：
∧
Context(C_Dept., “RD”)∧Context(System, “System_A1”)∧ User_Inc(User_Desc, “Host not Found”)
Æ Staff_Inc (Inc_Desc, “ DNS Server Not Work”) [Support = 2%, Confidence = 18%]
代表當情境為使用者部門為“研發部門”，使用系統為“System_A1”以及使用者描述 為“未連到伺服器”，則有可能發生“DNS 伺服器不運作”的事件，可信度為 18%，支持度 為 2%。
4.2.2.1 Context Relevant Incident Resolution Knowledge Pattern
為了探勘情境資訊與事件類資訊及解決方案之間的關係，我們限制規則的格式，訂 定 Meta-Rule 格式如下所示：
[Context(C, X)]*∧[Staff_Inc (I, P)] Æ Resolution(R, Q) [Support = s%, Confidence = c%] (4.2)
根據前面的資料分類，在 Meta-Rule 格式中，規則的左手邊為情境類的資料以及管 理者事件分類類別的資料，右手邊則為解決方案類的資料，其中 C,I ,R 代表該類別中的 資料屬性名稱，而 X,P,Q 則是代表該資料屬性的值，符號“∧＂代表 AND 的意思。此 外，符號”*”表示可能包含一個或多個資料屬性，因此在一條規則中，可能會出現一個 或多個情境類別中的資料及使用者事件資訊類別的資料。如此一來，符合這樣限制的規 則將會被找出來，如下所示：
Context(C_Dept, “RD”) ∧ Staff_Inc (Inc_Desc, “mailbox quota exceed ”) ÆResolution(Resolution_Desc, “remove mail from mailbox ”)
[Support = 2%, Confidence = 16%]
代表當情境為使用者部門為“RD 部門”，且事件描述為“信箱爆炸”，常採用的解決 方案為“移除使用者的信件”，可信度為 16%，支持度為 2%。
4.2.2.2 Context Relevant Incident Dependency Knowledge Pattern Discovery
為了探勘事件間的關係於某種情境下的關係，我們限制規則的格式，訂定 Meta-Rule 格式如下所示：
[Context(C, X)]*∧ [Staff_Inc (Ii, Pi)] Æ [Staff_Inc (Ij, Pj)]
[Support = s%, Confidence = c%] (4.3)
根據前面的資料分類，在Meta-Rule格式中，規則的左手邊為情境類的資料以及管理 者事件分類類別的資料，右手邊則為管理者事件分類類別的資料，其中C,Ii
,I
j代表該類 別中的資料屬性名稱，而 X,Pi,P
j則是代表該資料屬性的值。此外，符號”*”表示可能包 含一個或多個資料屬性，因此在一條規則中，可能會出現一個或多個情境類別中的資料 及使用者事件分類類別的資料。如此一來，符合這樣限制的規則將會被找出來，如下所 示：Context(C_Dept, “Acconting”) ∧ Staff_Inc (Inc_Desc, “PC Performance Low ”) Æ Staff_Inc (Inc_Desc, “PC Crash”) [Support = 1%, Confidence = 30%]
表示當情境為“會計部門”，發生的事件描述為“PC 效能低”，常常跟事件描述為“PC 當機”的事件具有相依性，可信度為 30%，支持度為 1%。下表 4.6 為完整的知識樣版例 子。
表 4.6 知識樣板範例
Context Relevant Incident Classification Knowledge Pattern
Example Interpretation
Context(User_Dept.,” DepartmentSale”) Æ Incident(Inc_Desc.,”Virus Affected”) [support = 2 %, confidence = 30 %]
當情境為銷售部門時，常發出個人電腦中 毒的事件。
Context(Service,” ProcurementService”) Æ Incident(Inc_Desc.,”Program No Response”) [support = 2 %, confidence = 30 %]
當情境為採購服務時，常發生程式執行無 回應的事件。
Context(User_Department,” DepartmentRD”) Context(Service,” E-mail Service”)
Æ Incident(Inc_Desc.,”Server Performance Low”) ∧ [support = 2 %, confidence = 30 %]
當情境為研發部門使用 E-mail 服務時，常 發出伺服器效能太低的 E-mail 服務事件。
Context(System,” (System_A”) Context(Status,”
Server Problem”)
∧Context(Service,” E-mail Service”) ∧ Æ Incident(Inc_Desc.,”DNS Server Not Work”) [support = 2 %, confidence = 30 %]
當情境為使用電子郵件服務，且系統 A 狀 態為伺服器有問題時，常發生 DNS 伺服 器不運作的事件。
Context(Location,” Taipei”) Context(Service,”
AccountingService”)
∧
Æ Incident(Inc_Desc.,”Unable to Login”) [support = 2 %, confidence = 30 %]
當情境為，使用會計服務，且地點在台北 的辦公室，常常發生無法登入系統的事 件。
Context Relevant Incident Resolution Knowledge Pattern
Example Interpretation
Incident(Inc_Desc., “Server Performance Low”) Context (Location, “Taipei”)
Æ Resolution(Resolution_desc.,”Restart the Server”) ∧ [support = 2 %, confidence = 30 %]
症狀為伺服器效率太低的事件，當情境狀 況為地點在台北辦公室，採取的解決方法 是把伺服器重新啟動。
Incident(Inc_Desc., “Unable to send EMail”) ∧Context (C_Dept., “RD”)
Æ Resolution(Resolution_desc.,”add User＇s Mailbox Space”)
[support = 2 %, confidence = 18 %]
症狀為無法寄信，當情境狀況為 RD 部門 員工時，採取的解決方法是把使用者的信 箱加大。
Context Relevant Incident Dependency Knowledge Pattern
Example Interpretation
Incident(Inc_Desc., “PC Performance Low”) ∧Context (System, “PC_04”)
ÆIncident (Inc_Desc., “PC Crash”) [support = 2 %, confidence = 28 %]
當情境為系統是”PC_04”，發生事件描述 為”電腦效能低”，常常與事件描述為”電腦 當機”的事件有相依關係。
Incident(Inc_Desc., “Mailbox Quota exceed”) ∧Context (Service, “EMailService”)
ÆIncident (Inc_Desc., “Unable to send email”) [support = 2 %, confidence = 28 %]
當情境為使用 Email Service，發生事件描 述為信箱爆炸，常常與事件描述為無法寄 信的事件具有相依關係。