[发明专利]一种检测事件日志突发漂移变化的方法及装置

说明书

本发明实施例提供一种检测事件日志突发漂移变化的方法及装置，所述方法包括：分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；通过所述检测窗口检测所有日志轨迹的突发漂移特征；所述突发漂移特征包括新的直接后继关系和消失的直接后继关系；其中，新的直接后继关系是在所述参照窗口中没有出现过、且在所述检测窗口中出现的直接后继关系；消失的直接后继关系是在所述参照窗口中出现过、且在所述检测窗口中没有出现的直接后继关系；若检测到存在新的直接后继关系和消失的直接后继关系中的至少其一，则确定事件日志发生突发漂移变化。所述装置执行上述方法。该方法及装置，能够准确、高效地检测突发漂移变化。

技术领域

本发明涉及日志处理技术领域，尤其涉及一种检测事件日志突发漂移变化的方法及装置。

背景技术

随着信息技术的发展，业务模型(例如贷款申请业务的流程模型)涉及较多的事件日志，需要准确地检测这些事件日志突发漂移变化的时间点，从而尽早发现事件日志中是否存在某些异常状况。

现有技术利用假设检验的方法来检测事件日志中突发漂移变化。该技术的步骤是：首先，人为设定两个窗口的大小；然后，分别读取两个窗口中的日志轨迹、并抽取出Run特征；最后，利用假设检验的方法判定两个窗口中Run特征的分布是否发生了变化。如果是，则两个窗口的交叉点就是突发漂移变化的变化点(两个窗口是前后紧挨着的)。如果不是，则两个窗口同时往后移动一步(在日志中，用一条轨迹的距离代表一步)。该方法的缺陷是：1、耗时，由于要连续抽取轨迹的Run特征，并且计算特征的分布，所以耗时较多；2、准确率不高，由于Run特征是需要提取轨迹中的四种变化量，因此容易导致特征过于冗余，不敏感。

因此，如何避免上述缺陷，准确、高效地检测事件日志突发漂移变化，成为亟须解决的问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种检测事件日志突发漂移变化的方法及装置。

本发明实施例提供一种检测事件日志突发漂移变化的方法，包括：

分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；

通过所述检测窗口检测所有日志轨迹的突发漂移特征；所述突发漂移特征包括新的直接后继关系和消失的直接后继关系；其中，新的直接后继关系是在所述参照窗口中没有出现过、且在所述检测窗口中出现的直接后继关系；消失的直接后继关系是在所述参照窗口中出现过、且在所述检测窗口中没有出现的直接后继关系；

若检测到存在新的直接后继关系和消失的直接后继关系中的至少其一，则确定所述事件日志发生突发漂移变化。

本发明实施例提供一种检测事件日志突发漂移变化的装置，包括：

获取单元，用于分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；

检测单元，用于通过所述检测窗口检测所有日志轨迹的突发漂移特征；所述突发漂移特征包括新的直接后继关系和消失的直接后继关系；其中，新的直接后继关系是在所述参照窗口中没有出现过、且在所述检测窗口中出现的直接后继关系；消失的直接后继关系是在所述参照窗口中出现过、且在所述检测窗口中没有出现的直接后继关系；

确定单元，用于若检测到存在新的直接后继关系和消失的直接后继关系中的至少其一，则确定所述事件日志发生突发漂移变化。

本发明实施例提供一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，

所述处理器执行所述程序时实现如下方法步骤：

分别获取检测事件日志的参照窗口和检测窗口；所述参照窗口包含有预设数量的日志轨迹；