[发明专利]基于IT基础架构的多源运行数据中多模块日志的行为感知方法

摘要

本发明公开了一种基于IT基础架构的多源运行数据中多模块日志的行为感知方法，其步骤包括：1、序列化运行日志条目，对冗余特征进行筛选和剔除,降低日志规模；2、初始化日志模块的质量和产生时间集合；3、将规模优化后的运行日志条目分配给日志模块，更新模块行为集合；4、根据模块行为集合结果，预测模块行为，贴上标签。本发明能有效地发现日志的模块行为，从而为产生该类型日志的基础架构的拓扑发现工作提供可靠的信息，提高系统的工作有效性。

主权项

1.一种基于IT基础架构的多源运行数据中多模块日志的行为感知方法，所述日志是由n条有时序关系的日志条目组成，并将n条日志条目按照时序先后顺序所组成的集合记为I＝{I₁,I₂...,I_i,...,I_n}，其中，I_i表示日志中第i条日志条目，且第i条日志I_i有K个特征，1≤i≤n；定义日志中所含的多模块为N＝{N₁,N₂...,N_j,...,N_m}；N_j表示日志中第j个模块，且每个模块均对应一个模块名称，1≤j≤m；定义第j个模块N_j的行为集合是由若干个条日志条目组成，并记为A_j，且其特征是，所述行为感知方法是按如下步骤进行：步骤1、从第i条日志条目I_i的K个特征中抽取d个特征，记为其中，表示第i条日志I_i的第k个特征，令表示第i条日志I_i的时间特征，表示第i条日志I_i的行为描述特征；从而完成n条日志条目的d个特征的抽取，1≤k≤d＜K；步骤2、初始化i＝1；步骤3、利用式(1)得到相邻两条日志条目的余弦相似度sim_i,i+1：式(1)中，Similarity(·)为余弦相似度函数；步骤4、判断sim_i,i+1＞MAX是否成立，若成立，则删除第i+1条日志条目I_i+1；否则，保留相应的两条日志条目，其中MAX为所设定的阈值；步骤5、将i+1赋值给i后，判断i＞n是否成立，若成立，则执行步骤6；否则返回步骤2，从而得到规模优化后的日志条目集合其中表示第a条规模优化后的日志条目，1≤a≤s≤n；步骤6、从所述规模优化后的日志条目集合中，提取m个模块的名称得到集合Q＝{Q₁,Q₂...,Q_j,...,Q_m}，Q_j表示第j个模块的名称，1≤j≤m；步骤7、初始化j＝1；步骤8、遍历规模优化后的日志条目集合提取包含第j个模块的名称Q_j的日志条目集合其中，表示模块名称为Q_j的起始日志条目；表示模块名称为Q_j的终止日志条目；令为起始日志条目的第k个特征，为第j个模块模块N_j的产生时间t_j；利用式(2)得到第j个模块N_j的初始化质量m_j；步骤9、将j+1赋值给j后，判断j＞m是否成立，若成立，则执行步骤10；否则返回步骤8，从而得到m个模块的产生时间集合T＝{t₁,t₂...,t_j,...,t_m}和初始质量集合M＝{m₁,m₂...,m_j,...,m_m}；步骤10、初始化a＝1；步骤11、初始化j＝1；步骤12、利用式(3)获得第j个模块N_j与第a条规模优化后的日志条目之间的引力常数式(3)中，INF表示无穷大的数，G表示引力阈值，p表示常量；Δt_ja表示第j个模块N_j与第a条规模优化后的日志条目之间的时间差，且表示第a条规模优化后的日志条目的时间特征；步骤13、若第j个模块N_j分配日志条目e，则利用式(4)获得日志条目e对第a条规模优化后的日志条目的斥力式(4)中，表示日志条目e的行为描述特征；步骤14、若第j个模块N_j分配日志条目e，利用式(5)获得分配日志条目e对第a条规模优化后的日志条目的吸引力式(5)中，μ表示相似度阈值，其值为常量；步骤15、利用式(6)获得第j个模块模块N_j对第a条规模优化后的日志条目的总吸引力F_ja：步骤15、将j+1赋值给j后，判断j＞m是否成立，若成立，则执行步骤16，否则返回步骤12；从而得到总吸引力集合{F_ja|j＝1,2,…,m}；步骤16、从总吸引力集合{F_ja|j＝1,2,…,m}中获取最大总吸引力所对应的模块记为N_max，并将第a条规模优化后的日志条目分配给第max个模块N_max的行为集合A_max，max∈[1,m]；步骤17、将a+1赋值给a后，判断a＞s是否成立，若成立，则得到m个模块的总行为集合A＝{A₁,A₂...,A_j,...,A_m}；否则，返回步骤11。