[发明专利]拓扑图生成方法、异常检测方法、装置、设备及存储介质

权利要求书

1.一种拓扑图生成方法，其特征在于，包括：

获取预设事件流，其中，所述预设事件流对应于正常的日志执行路径；

确定所述预设事件流中的依赖事件对；

确定所述依赖事件对对应的转移间隔范围，其中，所述转移间隔表示所述依赖事件对中的两个事件相邻发生的时间差；

根据所述依赖事件对对应的转移概率和转移间隔范围生成事件拓扑图，其中，所述转移概率表示所述依赖事件对中的两个事件之间的条件概率。

2.根据权利要求1所述的方法，其特征在于，所述事件拓扑图中包含多个节点，所述多个节点中的节点表示所述依赖事件对中的事件，所述多个节点中的两个节点之间的连接关系中包含所述两个节点所代表的依赖事件对对应的转移概率和转移间隔范围。

3.根据权利要求2所述的方法，其特征在于，所述根据所述依赖事件对对应转移概率和转移间隔范围生成事件拓扑图，包括：

以所述依赖事件对中包含的事件为节点，以所述依赖事件对对应的转移概率为节点之间的边的权重，生成最大生成树；

在所述最大生成树中的边上添加对应的转移间隔范围，得到事件拓扑图。

4.根据权利要求1所述的方法，其特征在于，所述获取预设事件流，包括：

获取预设日志流，其中，所述预设日志流对应于正常的日志执行路径；

利用预设日志解析算法对所述预设日志流中的日志进行解析，得到多个日志模板，其中，每个日志模板对应一个事件；

依据所述多个日志模板将所述预设日志流转化为对应的预设事件流。

5.根据权利要求1所述的方法，其特征在于，所述确定所述预设事件流中的依赖事件对，包括：

对于所述预设事件流中出现的每个事件，确定当前事件对应的候选后继事件集合，并判断所述当前事件与所对应的候选后继事件集合中的各候选后继事件之间是否满足第一预设依赖关系，将满足所述第一预设依赖关系的候选后继事件确定为后继事件并加入后继事件集合，其中，所述当前事件与所述后继事件形成依赖事件对。

6.根据权利要求5所述的方法，其特征在于，所述确定当前事件对应的候选后继事件集合，包括：

将在所述预设事件流中所述当前事件每两次相邻出现之间存在的第一事件加入初始候选后继事件集合；

计算所述当前事件和每个所述第一事件的条件概率；

将第二事件从所述初始候选后继事件集合中去除，得到所述当前事件对应的候选后继事件集合，其中，所述当前事件和所述第二事件的条件概率小于预设条件概率阈值。

7.根据权利要求5所述的方法，其特征在于，所述判断所述当前事件与所对应的候选后继事件集合中的各候选后继事件之间是否满足第一预设依赖关系，包括：

对于与所述当前事件对应的候选后继事件集合中的每个候选后继事件，计算当前候选后继事件的等待时间的无条件分布，计算所述当前候选后继事件相对于所述当前事件的等待时间的条件分布，根据所述无条件分布和所述条件分布确定所述当前事件与所述当前候选后继事件之间是否满足第一预设依赖关系，其中，所述等待时间表示所述当前事件的发生时间与所述当前候选后继事件的发生时间的时间差。

8.根据权利要求7所述的方法，其特征在于，所述根据所述无条件分布和所述条件分布确定所述当前事件与所述当前候选后继事件之间是否满足第一预设依赖关系，包括：

当所述无条件分布和所述条件分布符合正态分布的情况下，确定所述当前事件与所述当前候选后继事件之间满足第一预设依赖关系。

9.根据权利要求1所述的方法，其特征在于，所述确定所述依赖事件对对应的转移间隔范围，包括：

针对每个依赖事件对，获取在所述预设事件流中当前依赖事件对对应的时间差序列，对所述时间差序列进行聚类，根据簇类中的时间分布确定所述当前依赖事件对对应的转移间隔范围，其中，所述时间差序列中包含所述依赖事件对中的两个事件相邻发生的时间差。