[发明专利]一种基于对比对抗训练的日志序列异常检测方法

说明书

本发明提供一种基于对比对抗训练的日志序列异常检测方法，包括训练和检测两个阶段。训练阶段包括对日志数据进行解析；获取日志序列并提取出一个负样本日志序列集合；判断检测模型的损失是否趋于稳定，如果趋于稳定，则使用FGM进行对抗训练扰动BERT的嵌入层；将正、负样本日志序列输入到模型中，生成被扰动的语义向量后取消对嵌入层的扰动，再次生成未被扰动的语义向量；使用对比学习并且继续保持原本的有监督训练任务来对模型进行训练；判断训练集中是否已经没有日志序列，如果判断没有需要训练的日志序列则停止训练。检测阶段包括将待检测的日志序列输入到训练后的日志序列异常检测模型，查看模型的输出，根据输出结果判断日志序列是否异常。

技术领域

本发明涉及日志序列异常检测领域，具体而言，尤其涉及一种基于对比对抗训练的日志序列异常检测方法。

背景技术

日志是非结构化的，其中包含多种形式的文本。这种非结构化的日志不便于直接使用，需要进行解析以获取结构化的日志模板。现有的日志序列异常检测方法通常采用自然语言处理中的模型对从日志中提取的日志模板进行语义向量上的转换，以此实现从单词到句子再到序列层面的语义特征的分析与提取。目前主流的日志序列异常检测方法可分为基于机器学习的方法和基于深度学习的方法。

基于机器学习的日志序列异常检测方法通常采用支持向量机(Support VectorMachines,SVM)、不变挖掘(Invariant Mining,IM)以及主要成分分析(PrincipalComponent Analysis,PCA)等方法对日志序列进行异常检测。这类方法虽然相比人工检测提高了效率，但是无法充分提取日志文本中所包含的信息，也不能对提取出的信息进行充分的分析与利用，而且无法应对日志消息模板的更新而导致缺乏健壮性，因此影响了异常检测的准确率。例如，有学者使用SVM算法对日志序列进行异常检测，该方法根据日志序列或指定大小的滑动窗口内日志的危险等级类型构建向量，使用SVM对向量和标签进行有监督训练，异常检测时如果被检测的日志序列位于超平面上方则被视为异常。但是该方法无法应对日志消息模板的更新，因此缺乏健壮性，而且该方法没有利用日志消息中所包含的结构化文本消息，影响了异常检测的准确率。还有学者使用IM算法对日志序列进行异常检测，该方法使用日志解析器将非结构化日志转换为结构化日志，然后，根据日志参数之间的关系，将结构化日志消息进一步分组为日志消息组，挖掘出的不变量可以揭示日志消息所包含的固有线性特征。有了这些学习到的不变量，即可对新产生的日志进行判断，判断结果中包含这些不变量的即为正常日志，否则将被视为异常，但是该方法由于没有考虑到日志模板更新会使得不变量发生相应的更新，导致检测结果出错，因此同样缺乏健壮性，而且无法充分提取日志消息所包含的信息，影响了异常检测的准确率。另一批学者使用PCA算法对日志序列进行异常检测，该方法通过选择合适的变量并对相关消息进行分组，从提取的信息中构造状态比向量和消息计数向量，然后使用PCA这种无监督方法对特征向量进行挖掘，将每个特征向量标记为正常或异常，但是这种方法无法应对日志模板的更新，因此缺乏健壮性，并且该方法只关注文本本身，缺少对文本语义的分析与利用，影响了异常检测的准确率。