[发明专利]一种日志异常检测的方法和装置

权利要求书

1.一种日志异常检测的方法，其特征在于，包括：

对获取的实时集群日志进行聚类分析，生成对应的标签树；

将所述标签树与日志模板库进行匹配，确定与所述标签树匹配的日志模板以及对应的日志异常类别，并将所述实时集群日志按所述日志异常类别保存至对应的日志模板，其中，所述日志模板库包括多个日志模板，每个日志模板具有对应的日志异常类别；

基于不同日志异常类别的实时集群日志进行异常检测，确定检测结果。

2.根据权利要求1所述的日志异常检测的方法，其特征在于，所述日志模板库的生成方法包括：

获取历史集群日志；

基于所述历史集群日志生成初始标签树；

搭建初始模板树，基于初始标签树对所述初始模板树进行训练，生成模板，并将所述模板生成日志模板库；

对所述模板进行二次聚类，对每类所述模板标注对应的日志异常类别。

3.根据权利要求2所述的日志异常检测的方法，其特征在于，所述方法还包括：

在所述标签树与日志模板库未匹配的情况下，基于未匹配的实时集群日志与已存的每个日志异常类别对应的历史集群日志进行相似度计算，确定所述未匹配的实时集群日志对应的日志异常类别；

基于所述未匹配的实时集群日志及其对应的日志异常类别，对所述日志模板库进行增量训练任务，得到更新后的日志模板库。

4.根据权利要求1所述的日志异常检测的方法，其特征在于，基于不同日志异常类别的实时集群日志进行异常检测，确定检测结果，包括：

将每个日志异常类别对应的实时集群日志以及历史集群日志转换成时序指标；

将所述时序指标输入至基线监控模型，输出每个日志异常类别对应的异常预测值；

其中，所述异常预测值包括：时序指标的均值变化、抖动频率变化、检测尖峰和深谷以及跌落比例值。

5.根据权利要求1所述的日志异常检测的方法，其特征在于，基于不同日志异常类别的实时集群日志进行异常检测，确定检测结果，包括：

确定不同日志异常类别的实时集群日志的占比，根据所述占比确定第一检测结果。

6.根据权利要求1所述的日志异常检测的方法，其特征在于，基于不同日志异常类别的实时集群日志进行异常检测，确定检测结果，包括：

将不同日志异常类别的实时集群日志输入至顺序检测模型，输出第二检测结果。

7.根据权利要求1所述的日志异常检测的方法，其特征在于，在确定检测结果后，所述方法还包括：

根据不同集群日志对应的时序指标生成每个集群的日志指标时间序列曲线以及总日志指标时间序列曲线；

将每个集群的日志指标时间序列曲线的变化趋势与所述总日志指标时间序列曲线的变化趋势进行对比；

若变化趋势一致，基于该集群的实时集群日志在不同日志异常类别中的占比，确定占比较大的日志异常类别作为主要日志异常类别，并基于所述主要日志异常类别进行根因定位，确定所述集群中存在异常的机器标识。

8.一种日志异常检测的装置，其特征在于，包括：

聚类模块，用于对获取的实时集群日志进行聚类分析，生成对应的标签树；

匹配模块，用于将所述标签树与日志模板库进行匹配，确定与所述标签树匹配的日志模板以及对应的日志异常类别，并将所述实时集群日志按所述日志异常类别保存至对应的日志模板，其中，所述日志模板库包括多个日志模板，每个日志模板具有对应的日志异常类别；

检测模块，用于基于不同日志异常类别的实时集群日志进行异常检测，确定检测结果。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述的日志异常检测的方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至7任一项所述的日志异常检测的方法的步骤。