[发明专利]基于IT基础架构的多源运行数据中多模块日志的行为感知方法

权利要求书

1.一种基于IT基础架构的多源运行数据中多模块日志的行为感知方法，所述日志是由n条有时序关系的日志条目组成，并将n条日志条目按照时序先后顺序所组成的集合记为I＝{I₁,I₂,...,I_i,...,I_n}，其中，I_i表示日志中第i条日志条目，且第i条日志I_i有K个特征，1≤i≤n；定义日志中所含的多模块为N＝{N₁,N₂,...,N_j,...,N_m}；N_j表示日志中第j个模块，且每个模块均对应一个模块名称，1≤j≤m；定义第j个模块N_j的行为集合是由若干个条日志条目组成，并记为A_j，且其特征是，所述行为感知方法是按如下步骤进行：

步骤1、从第i条日志条目I_i的K个特征中抽取d个特征，记为其中，表示第i条日志I_i的第k个特征，令表示第i条日志I_i的时间特征，表示第i条日志I_i的行为描述特征；从而完成n条日志条目的d个特征的抽取，1≤k≤d＜K；

步骤2、初始化i＝1；

步骤3、利用式(1)得到相邻两条日志条目的余弦相似度sim_i,i+1：

式(1)中，Similarity(·)为余弦相似度函数；

步骤4、判断sim_i,i+1＞MAX是否成立，若成立，则删除第i+1条日志条目I_i+1；否则，保留相应的两条日志条目，其中MAX为所设定的阈值；

步骤5、将i+1赋值给i后，判断i＞n是否成立，若成立，则执行步骤6；否则返回步骤2，从而得到规模优化后的日志条目集合其中表示第a条规模优化后的日志条目，1≤a≤s≤n；

步骤6、从所述规模优化后的日志条目集合中，提取m个模块的名称得到集合Q＝{Q₁,Q₂,...,Q_j,...,Q_m}，Q_j表示第j个模块的名称，1≤j≤m；

步骤7、初始化j＝1；

步骤8、遍历规模优化后的日志条目集合提取包含第j个模块的名称Q_j的日志条目集合其中，表示模块名称为Q_j的起始日志条目；表示模块名称为Q_j的终止日志条目；令为起始日志条目的第k个特征，为第j个模块的名称为Q_j的产生时间t_j；为第j个模块的名称为Q_j的终止时间；利用式(2)得到第j个模块N_j的初始化质量m_j；

步骤9、将j+1赋值给j后，判断j＞m是否成立，若成立，则执行步骤10；否则返回步骤8，从而得到m个模块的产生时间集合T＝{t₁,t₂,...,t_j,...,t_m}和初始质量集合M＝{m₁,m₂,...,m_j,...,m_m}；

步骤10、初始化a＝1；

步骤11、初始化j＝1；

步骤12、利用式(3)获得第j个模块N_j与第a条规模优化后的日志条目之间的引力常数

式(3)中，INF表示无穷大的数，G表示引力阈值，p表示常量；Δt_ja表示第j个模块N_j与第a条规模优化后的日志条目之间的时间差，且表示第a条规模优化后的日志条目的时间特征；

步骤13、若第j个模块N_j分配日志条目e，则利用式(4)获得日志条目e对第a条规模优化后的日志条目的斥力e∈A_j：

式(4)中，表示日志条目e的行为描述特征；为第a条规模优化后的日志条目的行为描述特征；

步骤14、若第j个模块N_j分配日志条目e，利用式(5)获得分配日志条目e对第a条规模优化后的日志条目的吸引力

式(5)中，μ表示相似度阈值，其值为常量；

步骤15、利用式(6)获得第j个模块N_j对第a条规模优化后的日志条目的总吸引力F_ja：

步骤16、将j+1赋值给j后，判断j＞m是否成立，若成立，则执行步骤17，否则返回步骤12；从而得到总吸引力集合{F_ja|j＝1,2,…,m}；

步骤17、从总吸引力集合{F_ja|j＝1,2,…,m}中获取最大总吸引力所对应的模块记为N_max，并将第a条规模优化后的日志条目分配给第max个模块N_max的行为集合A_max，max∈[1,m]；

步骤18、将a+1赋值给a后，判断a＞s是否成立，若成立，则得到m个模块的总行为集合A＝{A₁,A₂,...,A_j,...,A_m}；否则，返回步骤11。