[发明专利]一种基于日志语义挖掘的系统故障诊断方法及装置

权利要求书

1.一种基于日志语义挖掘的系统故障诊断方法，其特征在于，包括：

对原始日志消息中的消息变量进行替换并对日志事件进行标识；

基于PV-DM语言模型，通过三层神经网络训练，得到日志事件的语义特征表达向量；

以日志事件的语义相似性作为度量标准，采用改进的K均值聚类算法对日志事件进行聚类，得到聚类结果，聚类结果包括聚类中心和聚类，其中改进的K均值聚类算法根据聚类代价函数，计算不同K值下的数据点距离平方和，当不同K值下的数据点距离平方和S(K)的下降速度小于某一阈值的时，选定K值，其中，D(x_i)表示第i个数据点到最近的聚类中心的距离，N为数据点的总数；

且在聚类过程中，如果两个类别的聚类中心小于某一阈值时，对这两个类别进行合并；根据日志事件与聚类中心的聚类，提取出各聚类中具有代表性的日志事件，形成特征日志序列，并对形成的特征日志序列进行检查，判断是否出现故障；

其中，在以日志事件的语义相似性作为度量标准，采用改进的K均值聚类算法对日志事件进行聚类，得到聚类结果之后，所述方法还包括：

结合TF-IDF方法，生成各类型日志事件的主题，并根据对聚类结果的日志事件中包含的关键词是否出现在生成的主题内，对各个聚类中的日志事件进行过滤。

2.如权利要求1所述的方法，其特征在于，对原始日志消息中的消息变量进行替换并对日志事件进行标识，具体包括：

对原始日志消息中的消息变量进行替换，原始日志消息还包括日志常量和日志消息行号，其中，消息变量为日志消息中随系统执行过程产生变化的信息，消息常量为日志消息中保持不变的信息；

提取日志消息中的消息常量和日志消息行号，形成日志事件的标识。

3.如权利要求1所述的方法，其特征在于，基于PV-DM语言模型，通过三层神经网络训练，得到日志事件的语义特征表达向量，具体包括：

将每个日志事件和窗口内的词初始化为随机K维向量作为输入，根据公式(1)计算隐藏层的输入h，C为上下文单词个数，x为输入向量，W为输入层到隐藏层的权重矩阵：

根据公式(2)计算输出层每个结点的输入u_j，其中，为隐藏层到输出层的权重矩阵W′的第j列：

根据公式(3)计算输出层的输出，其中，y_c,j表示输出层第c个上下文单词的神经元组合上第j个神经元节点的输出值：

在模型训练过程中，对模型的参数进行更新，参数包括隐藏层到输出层的权重矩阵W′和对应的矩阵向量，权重矩阵W′的更新方式为公式(4)，矩阵向量的更新方式为公式(5)，

w′_ij:＝w′_ij-η·e_j·h 公式(4)

其中，e_j为输出层的预测误差，η为梯度下降算法的学习率，V′_w是单词w的一种表示方式，V′_w表示矩阵W’的一列，是由隐藏层到输出层的权值矩阵的向量；

当模型训练完毕后，将输入层的输入向量作为日志事件的语义特征表达向量。

4.如权利要求1所述的方法，其特征在于，对各个聚类中的日志事件进行过滤，包括：

找到日志事件向量平均距离超过预设值的簇，并根据每一个日志事件向量标识查找原始日志消息，根据原始日志消息中包含的所有词构成这个簇的语料库；

采用TF-IDF方法对日志事件进行关键词提取，具体为：根据公式(6)计算日志消息中每个词的IDF值，即IDF(x)，其中，N代表语料库中词总数，N(x)代表语料库中包含词x的文本总数，得到IDF(x)后，根据公式(7)，计算TF-IDF(x)：

TF-IDF(x)＝TF(x)·IDF(x) 公式(7)

然后对日志消息中的每个词的TF-IDF值进行排序，选出每条日志消息中具有最大TF-IDF值的词作为当前日志消息的关键词；

截取前K个关键词作为当前簇的主题词集合，通过检查每条日志事件的关键词是否在当前簇的主题词集合内对日志事件进行过滤，其中，K的值大小与聚类个数相同。