[发明专利]抑制日志风暴的方法及装置

权利要求书

1.一种抑制日志风暴的方法，其特征在于，包括：

按照时间间隔粒度对日志进行归并，获得归并日志；

从所述归并日志中读取日志命中次数以及时间间隔粒度，所述日志命中次数为所述归并日志归并的日志个数；

根据所述日志命中次数与所述时间间隔粒度的比值，计算得到单位时间日志数量；

根据所述单位时间日志数量的变化生成反馈信息，所述反馈信息用于反映系统中单位时间日志数量的增减变化，所述单位时间日志数量的变化为本次日志归并时计算得到的单位时间日志数量与前一次日志归并时计算得到的单位时间日志数量相比产生的数量变化；

根据所述反馈信息调整所述时间间隔粒度，得到调节时间间隔粒度，包括：若所述单位时间日志数量增加，则通过增加归并策略中的归并维度的方式将归并维度变为归并维度组合；若所述单位时间日志数量减少，则减少归并策略中的归并维度，作为所述归并维度的日志属性信息包括源端口号、目的端口号、源IP地址、目的IP地址；

按照所述调节时间间隔粒度进行下一次日志归并。

2.根据权利要求1所述的方法，其特征在于，在所述按照时间间隔粒度对日志进行归并之后，在从所述归并日志中读取日志命中次数以及时间间隔粒度之前，所述方法进一步包括：

在所述归并日志中增加时间间隔粒度字段；

将所述时间间隔粒度写入到所述时间间隔粒度字段中。

3.根据权利要求2所述的方法，其特征在于，所述根据所述反馈信息调整所述时间间隔粒度，得到调节时间间隔粒度，包括：

若所述单位时间日志数量增加，则提高所述时间间隔粒度；

若所述单位时间日志数量减少，则降低所述时间间隔粒度。

4.根据权利要求3所述的方法，其特征在于，根据所述反馈信息调整所述时间间隔粒度，得到调节时间间隔粒度，包括：

将所述单位时间日志数量作为自变量输入到预设函数中，计算得到作为因变量的调节时间间隔粒度，其中，所述预设函数为增函数。

5.根据权利要求1所述的方法，其特征在于，在所述根据所述反馈信息调整所述时间间隔粒度，得到调节时间间隔粒度之后，所述方法进一步包括：

判断所述调节时间间隔粒度是否属于预设的粒度区间内；

若所述调节时间间隔粒度小于所述粒度区间的下限值，则将所述粒度区间的下限值确定为调节时间间隔粒度；

若所述调节时间间隔粒度大于所述粒度区间的上限值，则将所述粒度区间的上限值确定为调节时间间隔粒度。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述方法进一步包括：

设定统计周期，所述统计周期大于所述时间间隔粒度；

按照所述统计周期生成所述反馈信息。

7.一种抑制日志风暴的装置，其特征在于，包括：

归并单元，用于按照时间间隔粒度对日志进行归并，获得归并日志；

反馈单元，用于从所述归并日志中读取日志命中次数以及时间间隔粒度，并根据所述日志命中次数与所述时间间隔粒度的比值，计算得到单位时间日志数量，所述日志命中次数为所述归并日志归并的日志个数；

所述反馈单元，还用于根据所述单位时间日志数量的变化生成反馈信息，所述反馈信息用于反映系统中单位时间日志数量的增减变化，所述单位时间日志数量的变化为本次日志归并时计算得到的单位时间日志数量与前一次日志归并时计算得到的单位时间日志数量相比产生的数量变化；

粒度调整单元，用于根据所述反馈单元生成的所述反馈信息调整所述时间间隔粒度，得到调节时间间隔粒度；

所述归并单元还用于按照所述粒度调整单元调整后的所述调节时间间隔粒度进行下一次日志归并；

维度调整单元，用于当所述单位时间日志数量增加时，则通过增加归并策略中的归并维度的方式将归并维度变为归并维度组合，当所述单位时间日志数量减少时，减少归并策略中的归并维度，作为所述归并维度的日志属性信息包括源端口号、目的端口号、源IP地址、目的IP地址。