[发明专利]异常日志告警方法和装置

权利要求书

1.一种异常日志告警方法，其特征在于，所述方法包括以下步骤：

日志公共模式集合生成步骤：针对日志库中的多个正常日志，确定各个正常日志所属的日志模式，并基于各个日志模式的正常日志生成日志公共模式集合；该日志公共模式集合生成步骤包括：

提取日志库中的正常日志，确定建立的日志模式集合中是否含有提取的日志所匹配的日志模式，以在确定日志模式集合中不含有与提取的日志匹配的日志模式的情况下，将提取的日志加入日志模式集合；

基于日志模式对提取的正常日志进行聚类，获得按照日志模式聚类的一个或多个日志模式的日志集合；以及

基于每一日志模式的日志集合中各日志的共有模式生成每一日志模式对应的日志公共模式，并基于各个日志模式对应的公共模式生成日志公共模式集合；

接收新日志；

确定接收的新日志是否与所述日志公共模式集合中的日志公共模式相匹配，基于匹配结果确定接收的新日志是否为异常日志；

在确定接收的新日志为异常日志的情况下，生成告警信息。

2.根据权利要求1所述的方法，其特征在于，所述确定建立的日志模式集合中是否含有提取的日志所匹配的日志模式，在确定日志模式集合中不含有提取的日志所匹配的日志模式的情况下，将提取的日志加入日志模式集合，包括：

确定日志模式集合是否为空，在确定日志模式集合为空的情况下，将提取的日志加入日志模式集合；

在确定日志模式集合不为空的情况下，根据提取的日志与日志模式集合中的日志的距离与预定距离阈值的比较来确定日志模式集合中是否含有提取的日志所匹配的日志模式，并在确定不含有提取的日志所匹配的日志模式的情况下，将提取的日志加入日志模式集合。

3.根据权利要求2所述的方法，其特征在于，所述根据提取的日志与日志模式集合中的日志的距离与预定距离阈值的比较来确定日志模式集合中是否含有提取的日志所匹配的日志模式，包括：

按照预定顺序从日志模式集合中逐个选择日志，基于单词个数确定提取的日志和当前选择的日志的长度；

确定提取的日志和当前选择的日志中相同的单词个数；

基于提取的日志和当前选择的日志中相同的单词个数和这两个日志的长度中较大的长度的比值来计算两个日志之间的距离；

基于计算出的距离与预定距离阈值的比较来确定日志模式集合中是否含有提取的日志所匹配的日志模式。

4.根据权利要求3所述的方法，其特征在于，基于如下公式计算所述两个日志之间的距离：

score(logi,logj)＝1-match(logi,logj)/max(len(logi),len(logj))；

其中，logi和logj分别表示两个日志，score(logi,logj)表示两个日志之间的距离，match(logi,logj)表示两个日志中相同的单词个数，max(len(logi),len(logj))表示两个日志的长度中较大的长度。

5.根据权利要求1所述的方法，其特征在于，基于每一日志模式的日志集合中各日志的共有模式生成每一日志模式对应的日志公共模式，并基于各个日志模式对应的公共模式生成日志公共模式集合，包括：

针对每一日志模式的日志集合，在日志集合中的日志数为一个的情况下，将该日志本身作为当前日志集合对应的日志公共模式；在当前日志模式的日志集合中存在两个以上日志的情况下，通过如下方式生成每一日志模式对应的日志公共模式：按照顺序比较每一日志模式中相邻的两个日志，将比较后得到的共有模式作为当前日志公共模式，并依次按顺序将当前日志公共模式与下一日志进行比较，将获得的共有模式更新当前日志公共模式，将遍历所有日志后得到的当前日志公共模式作为当前日志模式对应的日志公共模式。