[发明专利]一种检测事件日志突发漂移变化的方法及装置

权利要求书

1.一种检测事件日志突发漂移变化的方法，其特征在于，包括：

分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；

通过所述检测窗口检测所有日志轨迹的突发漂移特征；所述突发漂移特征包括新的直接后继关系和消失的直接后继关系；其中，新的直接后继关系是在所述参照窗口中没有出现过、且在所述检测窗口中出现的直接后继关系；消失的直接后继关系是在所述参照窗口中出现过、且在所述检测窗口中没有出现的直接后继关系；

若检测到存在新的直接后继关系和消失的直接后继关系中的至少其一，则确定所述事件日志发生突发漂移变化；

所述分别获取检测事件日志的参照窗口和检测窗口的步骤之前，所述方法还包括：

确定用于估计事件日志的指标参数；

根据所述指标参数的数值、所述事件日志在满足局部完备性需要的最小下界对应的所述指标参数的目标数值，确定所述预设数量；

所述指标参数包括第一指标参数FL；所述FL用于估计事件日志至少需要多少条日志轨迹才能满足局部完备性；

所述指标参数还包括第二指标参数PL；所述PL用于估计事件日志在当前已经出现的所有直接后继关系与业务模型中所有直接后继关系的占比；所述第二指标参数PL通过如下公式获取：

其中，n表示日志轨迹的数量，K表示置信度。

2.根据权利要求1所述的检测事件日志突发漂移变化的方法，其特征在于，所述确定所述事件日志发生突发漂移变化的步骤之后，所述方法还包括：

获取确定发生突发漂移变化时的变化点，抛弃所述变化点之前的所有存储信息，并跳跃式移动所述参照窗口至所述变化点。

3.根据权利要求2所述的检测事件日志突发漂移变化的方法，其特征在于，所述获取确定发生突发漂移变化时的变化点，包括：

若判断获知发生突发漂移变化为存在新的直接后继关系，则将所述检测窗口中发生新的直接后继关系对应的日志轨迹的时间点作为所述变化点；

若判断获知发生突发漂移变化为存在消失的直接后继关系，则将所述检测窗口中的第一条日志轨迹的时间点作为所述变化点。

4.一种检测事件日志突发漂移变化的装置，其特征在于，包括：

获取单元，用于分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；

检测单元，用于通过所述检测窗口检测所有日志轨迹的突发漂移特征；所述突发漂移特征包括新的直接后继关系和消失的直接后继关系；其中，新的直接后继关系是在所述参照窗口中没有出现过、且在所述检测窗口中出现的直接后继关系；消失的直接后继关系是在所述参照窗口中出现过、且在所述检测窗口中没有出现的直接后继关系；

确定单元，用于若检测到存在新的直接后继关系和消失的直接后继关系中的至少其一，则确定所述事件日志发生突发漂移变化；

分别获取检测事件日志的参照窗口和检测窗口之前，还包括：

确定用于估计事件日志的指标参数；

根据所述指标参数的数值、所述事件日志在满足局部完备性需要的最小下界对应的所述指标参数的目标数值，确定所述预设数量；

所述指标参数包括第一指标参数FL；所述FL用于估计事件日志至少需要多少条日志轨迹才能满足局部完备性；

所述指标参数还包括第二指标参数PL；所述PL用于估计事件日志在当前已经出现的所有直接后继关系与业务模型中所有直接后继关系的占比；

所述第二指标参数PL通过如下公式获取：

其中，n表示日志轨迹的数量，K表示置信度。

5.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至3任一项所述方法的步骤。

6.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至3任一项所述方法的步骤。