Ein Event Log ist eine strukturierte Sammlung von Ereignissen, die bei der Ausführung eines Systems oder Prozesses aufgezeichnet wurden. Für klassisches Process Mining sind häufig eine Vorgangskennung, eine Aktivitätsbezeichnung und ein Zeitstempel besonders wichtig.
Wie funktioniert Event Log?
Weitere Daten können ausführende Organisationseinheiten, Ressourcen, Ereignistypen oder betroffene Objekte beschreiben. Für zuverlässige Auswertungen müssen Zeitzonen, Dubletten, fehlende Ereignisse und die Zuordnung zu Fällen geprüft werden.
Abgrenzung und Grenzen
Ein IT-Protokoll ist nicht automatisch ein für Process Mining geeignetes Event Log. Technische Meldungen müssen gegebenenfalls zu fachlich sinnvollen Aktivitäten aggregiert werden. Bei Prozessen mit mehreren gleichzeitig betroffenen Objekten kann ein objektzentriertes Datenmodell geeigneter sein als eine einzige Fallkennung.
Beispiel aus der Unternehmenspraxis
Ein ERP-System kann für jede Bestellung erfassen, wann sie angelegt, geprüft, freigegeben und abgeschlossen wurde. Diese Daten können Varianten und Durchlaufzeiten sichtbar machen.
Worauf Unternehmen achten sollten
Ereignisprotokolle können personenbezogene oder vertrauliche Informationen enthalten. Zugriff, Aufbewahrung und Auswertung müssen entsprechend geregelt werden.
Grundstruktur und Bedeutung eines Ereignisses
Ein Ereignis beschreibt, dass eine bestimmte Aktivität oder Zustandsänderung zu einem identifizierbaren Zeitpunkt stattgefunden hat. Für klassisches Process Mining muss typischerweise erkennbar sein, zu welchem Fall das Ereignis gehört. Ein Zeitstempel allein beschreibt dabei noch keine fachliche Reihenfolge, wenn Systeme Ereignisse verspätet oder mit ungleichen Uhren schreiben. Attribute können Bearbeitungsart, Ressource, Standort oder weitere Kontextinformationen enthalten. Wichtig ist eine nachvollziehbare Definition der Aktivität: Technische Klicks oder Datenbankänderungen entsprechen nicht immer einer abgeschlossenen fachlichen Aufgabe.
Aufbereitung aus ERP-, CRM- und Workflow-Systemen
In Fachsystemen liegen Prozessinformationen häufig auf verschiedene Tabellen oder Protokolle verteilt. Aus dem Speichern einer Rechnung, ihrer Freigabe und späteren Zahlung müssen daher passende Ereignisse mit konsistenten Kennungen gewonnen werden. Bei Datenexporten sind Zeitzonen, Mehrfacheinträge, unvollständige Zeitpunkte und nachträgliche Korrekturen zu beachten. Unterschiedliche Systemversionen können auch dieselbe Aktivität anders benennen. Ein Datenkatalog und dokumentierte Extraktionsregeln helfen dabei, Analysen reproduzierbar zu machen. Erst auf dieser Grundlage sind Aussagen über Prozessvarianten und Durchlaufzeiten sinnvoll.
Fallzentrierte und objektzentrierte Ereignisprotokolle
Ein klassisches Event Log ordnet Ereignisse meist einer Fallperspektive zu, etwa einer Bestellung. Komplexe Wertschöpfungsprozesse verknüpfen jedoch häufig mehrere Objekte. Eine Rechnung kann mehrere Bestellungen betreffen, und eine Bestellung kann mehrere Lieferungen auslösen. Wird alles auf eine einzige Fallkennung reduziert, entstehen unter Umständen künstliche Verdopplungen oder fehlende Beziehungen. Objektzentrierte Logs wie OCEL 2.0 erlauben, Ereignisse mit mehreren Objekten und deren Beziehungen zu verknüpfen. Die Wahl des Formats sollte deshalb die fachliche Struktur des untersuchten Prozesses berücksichtigen.
Prüfung von Qualität und Schutzbedarf
Vor einer Auswertung sollte geprüft werden, welcher Anteil relevanter Vorgänge erfasst wurde, ob Zeitpunkte plausibel sind und ob Ereignisse tatsächlich dem richtigen Geschäftsfall zugeordnet wurden. Eine nachträgliche Korrektur muss nachvollziehbar bleiben. Enthält das Log Benutzerkennungen oder andere personenbezogene Merkmale, sind geeignete Zugriffsrechte, Zweckbindungen und Löschregeln erforderlich. Auch Geschäftsgeheimnisse können betroffen sein, etwa bei Auftragswerten und Kundenbeziehungen. Für die Analyse sollten nur die Informationen verarbeitet werden, die zur konkreten Fragestellung benötigt werden.
Häufige Fragen
Ist ein Systemprotokoll automatisch ein Event Log?
Nicht unbedingt. Technische Protokolle können fachliche Ereignisse unvollständig oder in zu grober beziehungsweise zu feiner Granularität erfassen.
Warum sind eindeutige Kennungen so wichtig?
Sie verbinden Ereignisse mit dem richtigen Vorgang oder Objekt. Fehlt diese Zuordnung, können Prozesswege und Kennzahlen erheblich verfälscht werden.
Praktische Prüffragen
- Legen Sie fest, was eine fachliche Aktivität bedeutet; eine technische Datenbankänderung ist nicht automatisch ein abgeschlossener Prozessschritt.
- Unterscheiden Sie Ereigniszeit, Speicherzeit und Übertragungszeit, um unterschiedliche Systemuhren und verzögerte Meldungen korrekt zu berücksichtigen.
- Verknüpfen Sie Ereignisse mit eindeutigen Vorgangs- oder Objektkennungen, damit Aktivitäten nicht versehentlich einem falschen Geschäftsfall zugeordnet werden.
- Dokumentieren Sie, wie Dubletten, rückwirkende Korrekturen und fehlende Zeitstempel behandelt werden, damit Analysen reproduzierbar bleiben.
- Beschränken Sie den Zugriff auf personenbezogene und vertrauliche Logdaten und legen Sie Aufbewahrungsdauer sowie konkrete Auswertungszwecke fest.
Ein fachlich brauchbares Ereignisprotokoll gestalten
Ein Event Log kann Informationen aus ERP-, CRM-, Workflow- oder anderen Fachsystemen enthalten. Für Process Mining müssen Ereignisse auf eine nachvollziehbare Fall- oder Objektidentität zurückgeführt werden. Eine einzelne Statusänderung reicht oft nicht aus, um den fachlichen Vorgang zu verstehen. Es sollte geprüft werden, ob Aktivität, Zeitpunkt und zugehöriges Geschäftsobjekt einheitlich bezeichnet sind. Auch nachträglich geänderte Stammdaten können die historische Interpretation beeinflussen. Ein guter Extraktionsprozess hält daher fest, aus welchen Quellfeldern eine Aktivität abgeleitet wurde und wie Korrekturen behandelt werden. Das ermöglicht eine spätere Überprüfung von Kennzahlen und Prozessmodellen.
Welche Ereignisdaten verzerrte Analysen erzeugen
Besonders problematisch sind unvollständige Zeitstempel oder technische Meldungen, die denselben Arbeitsschritt mehrfach abbilden. Wenn ein System eine Bestellung bei jedem Speichern erneut protokolliert, kann daraus irrtümlich eine lange Kette fachlicher Aktivitäten entstehen. Ebenso dürfen Ereignisse verschiedener Objekte nicht allein wegen ähnlicher Bezeichnungen zusammengemischt werden. Eine datenbasierte Prozessanalyse sollte deshalb vorab Stichproben gegen die tatsächliche Fallhistorie prüfen. Bei mehreren verbundenen Geschäftsobjekten ist ein objektzentriertes Ereignisformat möglicherweise geeigneter als eine einzige Fallnummer. Die Verarbeitung personenbezogener Protokolle erfordert zusätzlich klare Zugriffs- und Löschregeln.
Verwandte Wiki-Begriffe
Weiterführende Erklärungen: Process Mining, Object Centric Process Mining, Conformance Checking.
Fachliche Quellen
OCEL – Objektzentrierte Ereignisprotokolle. Anwendungsbeispiele sind ausdrücklich als exemplarische Szenarien zu verstehen.