[发明专利]基于注意力机制的LSTM网络的容器异常行为检测方法

权利要求书

1.基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：包括以下步骤：

步骤一：监控数据的获取，从代理服务接收监视容器运行时的日志数据；

步骤二：对容器日志进行解析；

步骤三：提取用于异常分类模型的特征；

步骤四：将步骤三中提取的数据作为输入构造带注意力机制的长短期记忆性网络的异常分类模型；

步骤五：对容器进行异常检测。

2.根据权利要求1所述的基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：所述步骤一的具体过程为：使用代理服务作为监视日志收集，代理服务用于从基于Docker的容器收集监视日志，还可用于监视给定容器的所有事件，也可根据需求设置自定义规则来定义容器中发生的特定事件，有助于后续容器的特定异常行为的智能检测。

3.根据权利要求1所述的基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：所述步骤二的具体过程为：获取容器的日志数据后进行日志解析，即将日志中的日志序列键和日志参数，将两者分离开，将日志解析成结构化；当读取新的日志条目之后，遍历日志对象列表，寻找该日志与所有日志对象的最大公共子序列，如果子序列的长度大于日志序列长度的一半，则认为该日志与日志序列键匹配。

4.根据权利要求1所述的基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：所述步骤三的具体过程为：将步骤二中解析完成后得到的结构化日志特征化为数字形式的特征向量，特征提取的过程就是字符串中转换为可量化的数字，从而构造矩阵作为特征向量，首先提取容器日志所有的参数列表进行参数预处理，由于标点符号和特殊字符不作为参数异常的评判标准，会影响字符的准确性，去除所有的标点符号和特殊字符；然后将所有的参数字符串进行去重，使用深度学习库的text.Tokenizer模块对字符串进行处理，使用分词器方法fit_on_texts方法学习出文本的字典，即对应的单词和数字的映射关系，统计参数值的词频等信息；再使用text.Tokenizer模块的texts_to_sequences函数将参数文本转化为数字，将不同长度的序列使用0补齐为同样长度。

5.根据权利要求1所述的基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：所述步骤四的具体过程为：在正常的日志信息特征提取后，输入神经网络模型进行训练，构建一个神经网络预测模型，并在LSTM块中加入注意力机制，重复的Attention-LSTM模块组成整个架构，即每一个Attention-LSTM模块都会记录一个状态，作为一个固定维度的向量，来自上一个时间步的Attention-LSTM模块的状态和其外部输入会一起作为下一个Attention-LSTM模块的输入，用来计算新的状态和输出，这种方式保证了日志序列中日志信息能够传递到下一个Attention-LSTM模块中，每个模块的注意力机制根据通过长短时记忆网络编码器对输入序列每一步的中间输出结果，将权重进行加权求和得到注意力权重，使序列的最终输出产生所需的标签，并随训练数据集中的输入一起输出。

6.根据权利要求5所述的基于注意力机制的LSTM网络的容器异常行为检测方法，其特征在于：所述步骤四中引入注意力机制的具体算法为：先将编码器生成的源文本的隐层序列(h₁，...，h_n)和上一时间步的解码器隐层向量s_t-1进行匹配，计算隐层序列的权重分布(a_t1，...，a_tn)；之后将隐层序列h_i和对应的权重分布a_ti进行加权求和得到带注意力的语义向量c_t；解码器在每个时间步根据动态变化的语义向量逐个生成预测序列，输出为

其中，是解码器在t时刻真正的隐层的输出，也是下一个时刻t+1时刻的隐层输入之一，h_t是t时刻初始隐层输出，c_t是t时刻带注意力的语义向量，W_c是状态c时的参数矩阵。