[发明专利]一种基于nLSTM-self attention的日志序列异常检测框架

权利要求书

1.一种基于nLSTM-self attention的日志序列异常检测框架，其特征在于，包括：训练模型和异常检测模型；训练模型包括：假设一个日志文件中包含k个日志模板E＝{e₁,e₂Le_k}，训练模型的输入为日志模板的序列，一个长度为h的日志序列l_t-h,…l_t-2,l_t-1中包含的日志模板l_i∈E,t-h≤i≤t-1，且一个序列中的日志模板数|l_t-h,...l_t-2,l_t-1|＝m≤h，把每个日志模板对应一个模板号，并生成日志模板词典，然后把正常的日志模板序列生成输入序列和目标数据喂入异常检测模型进行训练；检测阶段包括：数据输入的方法同训练阶段，用训练阶段生成的模型进行异常检测，模型输出为一个概率向量P＝(p₁,p₂L p_k)，p_i表示目标日志模板为e_i的概率，如果实际目标数据在预测值内，判定为该日志序列正常，否则判定为异常。

2.如权利要求1所述的基于nLSTM-self attention的日志序列异常检测框架，其特征在于，训练的损失函数是交叉熵，对损失函数的优化采用是自适应梯度下降方法。

3.如权利要求1所述的基于nLSTM-self attention的日志序列异常检测框架，其特征在于，一个日志文件包含多个事件类型，每个事件类型包含若干条日志，属于同一个事件类型的日志有共同的模板，把一个日志序列作为发生的一系列事件，即原始日志序列对应的日志模板的序列。对原始日志序列对应的日志模板序列的异常进行检测。

4.如权利要求1所述的基于nLSTM-self attention的日志序列异常检测框架，其特征在于，异常检测模型共包含：词嵌入层、n层长短时记忆神经网络层以及自注意力层；词嵌入层是把日志模板序列作为输入，用于异常检测框架的前端输入，把序列中的每个日志模板序号映射成密集的词嵌入；nLSTM层是把词嵌入层得到的每个日志模板的分布式词嵌入作为输入；自注意力层首先计算一个序列中日志之间的依赖关系，自注意力层是以顶层所有长短时记忆神经网络单元的隐藏状态作为其输入，进行相似性计算后，然后进行归一化处理，作为自注意力值概率权重：对n层长短时记忆神经网络层输出进行加权求和就是自注意力值的结果。