12.1 Entendendo o horário no Sentinel

O Sentinel é um sistema distribuído que consiste em vários processos que podem ocorrer em partes diferentes da rede. Além disso, pode haver algum atraso introduzido pelo dispositivo. Para lidar com essa situação, os processos do Sentinel reordenam os eventos em um fluxo classificado por horário antes de realizar o processamento.

A ilustração a seguir explica como o Sentinel faz isso:

Figura 12-1 Horário do Sentinel

  1. Por padrão, o horário do evento é definido para o horário do Gerenciador de Coletor. O horário ideal é o horário da aplicação. Portanto, convém definir o horário do evento como o horário da aplicação se ele estiver disponível, for exato e tiver sido adequadamente analisado pelo Coletor.

  2. Eventos são classificados em intervalos de 30 segundos para que possam ser visualizados em Active Views. Por padrão, os eventos que têm uma marcação de horário dentro de um intervalo de 5 minutos do horário do servidor (no passado ou no futuro) são processados normalmente. Os eventos que têm marcações de horário mais de 5 minutos no futuro não são exibidos nas Telas Ativas, mas são inseridos no armazenamento de eventos. Eventos que têm marcações de horário de mais de 5 minutos e menos de 24 horas no passado ainda são exibidos nos gráficos, mas não são exibidos nos dados de evento para aquele gráfico. Uma operação de detalhamento é necessária para recuperar esses eventos do armazenamento de eventos.

  3. Se o horário do evento for maior que 30 segundos anterior ao horário do servidor, o Mecanismo de Correlação não processará os eventos.

  4. Se o horário do evento for anterior a 5 minutos do horário do Gerenciador de Coletor (horário correto), os eventos serão diretamente encaminhados para o armazenamento de eventos.