CN103425568B - 日志信息处理方法及装置 - Google Patents

Abstract

本发明公开了一种日志信息处理方法及装置，所述方法包括：获取云环境中的各虚拟机或宿主机的日志信息进行缓存；并在设定的处理周期U到达时，将本次处理周期内缓存的日志信息进行合并处理：对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率，且M>N。由于该方法将连续缓存的多条同类型的日志信息合并为一条日志信息后进行存储，从而节约了存储空间，节约了网络带宽，并降低了保存大量日志信息的原始数据的成本。

Description

日志信息处理方法及装置

技术领域

本发明涉及计算机领域，尤其涉及一种日志信息处理方法及装置。

背景技术

云计算(Cloud computing)是一种基于互联网的计算方式，通过这种方式，共享的软硬件资源和信息可以按需提供给计算机和其它设备。

目前，云计算中监控功能通常是通过日志信息采集的方法来实现的。日志信息采集的方法分为被动接收和主动采集两种。主动采集方法是由日志信息处理装置主动获取云环境中的虚拟机或宿主机的日志信息，并将其保存到存储空间中供后续分析使用；被动接收方式是由现有的云计算组件或者云环境中的虚拟机或宿主机的日志采集组件主动推送日志信息到日志信息处理装置，由日志信息处理装置接收日志信息，并将其保存到存储空间中供后续分析使用。

通常，日志信息采集的对象可以包括云环境中的虚拟机或宿主机的CPU(Central Processing Unit，中央处理器)使用率信息、内存使用率信息、磁盘使用率信息，磁盘IＯ(Input Output，输入输出)流量信息、网络流量信息，以及系统登录信息、访问信息、故障告警信息、端口连接信息等。

通过对虚拟机或宿主机的日志信息进行分析，可以从中获取虚拟机或宿主机的运行状况、访问状况、负载状况等信息，从而为企业对突发事件、网络攻击等事件的发生和应对提供数据参考；同时，可以根据日志信息中提供的数据进行用户行为研究、负载规律研究、安全基线研究、突发事件规律研究等行为研究，为企业的未来产品发展提供数据依据。因此，日志信息的采集、处理和分析对企业和产品的运营意义重大。

现有技术中，对于获取或采集的日志信息，一般采用完全保存的方式进行存储，即不管日志信息是否具有使用价值，一概保存日志信息的所有原始数据。然而，这种方式会导致形成不必要的冗余数据，浪费磁盘存储空间，降低查询速度，并最终影响用户体验；而且，由于智能手机、平板电脑和其他互联网设备的普及，以及云计算技术的发展，互联网带宽资源和云端内网资源在不久的将来都将面临带宽极限的问题，现有技术中将日志信息的所有原始数据上传至存储空间的方式，浪费了大量的网络带宽，使其存在局限性。

因此，有必要提供一种可以节约存储空间、节约网络带宽的日志信息处理方法。

发明内容

针对上述现有技术存在的缺陷，本发明提供了一种日志信息处理方法及装置，用以节约存储空间，并节约网络带宽。

根据本发明的一个方面，提供了一种日志信息处理方法，包括：

获取云环境中的各虚拟机或宿主机的日志信息进行缓存；并在设定的处理周期U到达时，将本次处理周期内缓存的日志信息进行合并处理：

对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率，且M>N。

较佳地，所述将连续缓存的每W条该类型的日志信息合并为一条日志信息，具体为：

若日志信息的类型为CPU使用率、或内存使用率、或磁盘使用率信息，则对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息。

进一步，在所述对于连续缓存的每W条该类型的日志信息计算平均值后，还包括：

对于连续缓存的每W条该类型的日志信息，统计出最大值、最小值，将统计出的最大值、最小值与计算得到的平均值一并进行存储。

或者，所述将连续缓存的每W条该类型的日志信息合并为1条日志信息，具体为：

若日志信息的类型为磁盘IＯ流量、或网络流量信息，则对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息。

进一步，在所述对于连续缓存的每W条该类型的日志信息统计出最大值后，还包括：

对于连续缓存的每W条该类型的日志信息计算合计值S；其中，S=X_W-X₁；X_W为所述W条该类型的日志信息中最后一条日志信息的值，X₁为所述W条该类型的日志信息中第一条日志信息的值；

对于连续缓存的每W条该类型的日志信息计算差值平均值P：

$P=\underset{i=2}{\overset{W}{\mathrm{\Σ}}}(X_i-X_{i-1})/(W-1)$ (公式1)

其中，i为自然数，X_i-1为所述W条该类型的日志信息中第i-1条日志信息的值，X_i为所述W条该类型的日志信息中第i条日志信息的值；

对于连续缓存的每W条该类型的日志信息统计出最小值；

将统计出的最小值、计算出的合计值和计算出的差值平均值，与所述最大值一并进行存储。

或者，所述将连续缓存的每W条该类型的日志信息合并为一条日志信息，具体为：

若日志信息的类型为系统登录信息、或访问信息、或故障告警、或端口连接信息，则对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存后，将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中；

之后，将该临时日志或内存中的内容作为合并后的该类型的一条日志信息。

根据本发明的另一个方面，还提供了一种日志信息处理装置，包括：

日志缓存模块，用于获取云环境中的各虚拟机或宿主机的日志信息进行缓存；

合并处理模块，用于在设定的处理周期U到达时，将本次处理周期内所述日志缓存模块缓存的日志信息进行合并处理：对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率。

其中，所述合并处理模块包括：

类型确认单元，用于在设定的处理周期U到达时，获取所述日志缓存模块本次处理周期内缓存的日志信息，并确认每个获取的日志信息的信息类型；若确认当前获取的日志信息的类型为CPU使用率、或内存使用率、或磁盘使用率信息，则将当前获取的日志信息输出；

第一合并单元，用于接收所述类型确认单元输出的CPU使用率、或内存使用率、或磁盘使用率信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

进一步，所述合并处理模块还包括：第二合并单元；

所述类型确认单元还用于若确认当前获取的日志信息的类型为磁盘IＯ流量、或网络流量信息，则将当前获取的日志信息输出至第二合并单元；

第二合并单元用于接收所述类型确认单元输出的磁盘IＯ流量、或网络流量信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

进一步，所述合并处理模块还包括：第三合并单元；

所述类型确认单元还用于若确认当前获取的日志信息的类型为系统登录信息、或访问信息、或故障告警、或端口连接信息，则将当前获取的日志信息输出至第三合并单元；

第三合并单元用于接收所述类型确认单元输出的系统登录信息、或访问信息、或故障告警、或端口连接信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存后，将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中；之后，第三合并单元将该临时日志或内存中的内容作为合并后的该类型的一条日志信息，并将合并得到的日志信息进行存储。

本发明的技术方案中，日志信息处理装置获取云环境中的各虚拟机或宿主机的日志信息进行缓存后，在设定的处理周期U到达时，将本次处理周期内缓存的日志信息进行合并处理，即日志信息处理装置对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的多条该类型的日志信息合并为一条日志信息后进行存储；这样，节约了存储空间，节约了网络带宽，并降低了保存大量日志信息的原始数据的成本。

进一步，若用户需要查询或统计一段时间内的日志信息，仅在根据本发明的方法存储的、进行合并处理后的日志信息中查询或统计即可，提高了查询或统计速度。

附图说明

图1为本发明实施例的日志信息处理方法的流程图；

图2为本发明实施例的日志信息处理装置的内部结构框图。

具体实施方式

以下将结合附图对本发明的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施例，都属于本发明所保护的范围。

本申请使用的“模块”、“系统”等术语旨在包括与计算机相关的实体，例如但不限于硬件、固件、软硬件组合、软件或者执行中的软件。例如，模块可以是，但并不仅限于：处理器上运行的进程、处理器、对象、可执行程序、执行的线程、程序和/或计算机。举例来说，计算设备上运行的应用程序和此计算设备都可以是模块。一个或多个模块可以位于执行中的一个进程和/或线程内，一个模块也可以位于一台计算机上和/或分布于两台或更多台计算机之间。

本发明的发明人考虑到，当日志信息的采集频率较高，而日志信息的统计分析频率较低时，也就是日志信息的采集频率高于统计分析频率时，可以将一个处理周期内，从同一虚拟机或宿主机获取的多条日志信息进行合并，仅将合并后的日志信息存储到存储空间内，而不需要缓存或者保存日志信息的所有原始数据；从而，节约存储空间，并节约网络带宽。

下面结合附图详细说明本发明的技术方案。本发明实施例提供了一种可以对获取的日志信息进行合并处理后存储的日志信息处理装置，其中，日志信息处理装置进行日志信息处理的方法流程，如图1所示，具体包括如下步骤：

S101：日志信息处理装置获取云环境中的各虚拟机或宿主机的日志信息进行缓存。

具体地，日志信息处理装置获取云环境中的各虚拟机或宿主机的日志信息后，将获取的日志信息进行缓存，而不将获取的日志信息直接存储到数据库中，并等待设定的处理周期U到达后，进行如下步骤的处理。其中，设定的处理周期U可以由本领域技术人员进行设定，具体可以设定为1秒、1分钟、1小时、或1天等等。

S102：在设定的处理周期U到达时，日志信息处理装置获取本次处理周期内缓存的日志信息，将同一虚拟机或宿主机的同类型的日志信息划分到一个集合中。

具体地，在设定的处理周期U到达时，日志信息处理装置将本次处理周期内缓存的日志信息进行如下步骤的合并处理；比如，可以将同类型的内容为“PIDA crashed”的日志信息和内容为“PID B crashed”的日志信息，合并为内容为“PIDA，B crashed”的一条日志信息。

S103：日志信息处理装置对于划分的每个集合，判断该集合中日志信息的类型；若日志信息的类型为CPU使用率、或内存使用率、或磁盘使用率信息，则执行步骤S114；若日志信息的类型为磁盘IＯ流量、或网络流量信息，则执行步骤S124；若日志信息的类型为系统登录信息、或访问信息、或故障告警、或端口连接信息，则执行步骤S134。

具体地，日志信息处理装置对于划分的每个集合，判断该集合中的同一虚拟机或宿主机的同类型的日志信息的类型后，通过如下步骤的处理，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，其单位具体可以为次/分钟等，N为日志信息的统计分析频率，与该类型的日志信息的采集频率的单位相同，具体可以为次/分钟等，且M>N。

S114：日志信息处理装置对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息。

具体地，若日志信息的类型为CPU使用率、或内存使用率、或磁盘使用率信息，日志信息处理装置计算出连续缓存的每W条该类型的日志信息的平均值后，将该平均值作为合并后的该类型的一条日志信息。由于将W条日志信息合并为一条日志信息，从而，在后续进行日志信息的存储时，将大大节约用于存储日志信息的存储空间，并节约上传日志信息所需的网络带宽。

S115：日志信息处理装置对于连续缓存的每W条该类型的日志信息，统计出最大值、最小值。

具体地，日志信息处理装置对于CPU使用率、或内存使用率、或磁盘使用率信息类型的日志信息，在上述步骤S114中计算出连续缓存的每W条该类型的日志信息的平均值后，还可以进一步在本步骤中统计出连续缓存的每W条该类型的日志信息中的最大值和最小值。

S116：日志信息处理装置将统计出的最大值、最小值与计算得到的平均值一并进行存储，并跳转到S140。

S124：日志信息处理装置对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息。

具体地，若日志信息的类型为磁盘IＯ流量、或网络流量信息，日志信息处理装置对于连续缓存的每W条该类型的日志信息统计出最大值后，将统计出的最大值作为合并后的该类型的一条日志信息。

S125：日志信息处理装置对于连续缓存的每W条该类型的日志信息，计算合计值S、差值平均值P，并统计出最小值。

具体地，日志信息处理装置对于磁盘IＯ流量、或网络流量信息类型的日志信息，在上述步骤S124中统计出连续缓存的每W条该类型的日志信息中的最大值后，还可以在本步骤中计算出连续缓存的每W条该类型的日志信息的合计值S和差值平均值P，并统计出连续缓存的每W条该类型的日志信息中的最小值；

例如，若每次采集到的磁盘IＯ流量、或网络流量均是自虚拟机宿主机开机以来的磁盘IＯ流量、或网络流量之和，则可以通过如下方法来计算出连续缓存的每W条该类型的日志信息的合计值S和差值平均值P：

对于连续缓存的每W条该类型的日志信息计算合计值S；其中，S=X_W-X₁；X_W为W条该类型的日志信息中最后一条日志信息的值，X₁为W条该类型的日志信息中第一条日志信息的值；且计算出的合计值S表示本次处理周期内的磁盘IＯ流量、或网络流量；

日志信息处理装置对于连续缓存的每W条该类型的日志信息计算差值平均值P：

$P=\underset{i=2}{\overset{W}{\mathrm{\Σ}}}(X_i-X_{i-1})/(W-1)$ (公式1)

其中，i为自然数，X_i-1为W条该类型的日志信息中第i-1条日志信息的值，X_i为W条该类型的日志信息中第i条日志信息的值；且计算出的差值平均值P表示本次处理周期内每隔U/(W-1)的时间，磁盘IＯ流量、或网络流量的增量的平均值；

日志信息处理装置对于连续缓存的每W条该类型的日志信息统计出最小值。

S126：日志信息处理装置将统计出的最小值、计算出的合计值和计算出的差值平均值，与所述最大值一并进行存储，并跳转到S140。

S134：日志信息处理装置对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存。

具体地，内存中还可设置有一个用于记录系统登录信息、或访问信息、或故障告警、或端口连接信息类型的日志信息的临时日志；

若日志信息的类型为系统登录信息、或访问信息、或故障告警、或端口连接信息，日志信息处理装置对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志，或者，将其中第一条该类型的日志信息的内容写入到内存。

S135：日志信息处理装置将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中。

在本步骤中，对于后续的、类型为系统登录信息、或访问信息、或故障告警、或端口连接信息类型的W-1条日志信息中的每一条，日志信息处理装置将该条日志信息的内容与临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录该条日志信息的内容，则将该条日志信息的内容增加到临时日志或内存中。

S136：日志信息处理装置将该临时日志或内存中的内容作为合并后的该类型的一条日志信息，并将合并得到的日志信息进行存储后，跳转到S140。

S140：对于划分的每个集合，完成该集合中日志信息的合并处理后，结束本次处理周期内缓存的日志信息的处理，并跳转到S102。

基于上述的日志信息处理方法，本发明实施例提供的日志信息处理装置的内部结构框图如图2所示，包括：日志缓存模块201和合并处理模块202。

日志缓存模块201用于获取云环境中的各虚拟机或宿主机的日志信息进行缓存。

合并处理模块202用于在设定的处理周期U到达时，将本次处理周期内日志缓存模块201缓存的日志信息进行合并处理：对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率，且M>N。

上述的合并处理模块202具体包括：类型确认单元221、第一合并单元222、第二合并单元223和第三合并单元224。

类型确认单元221用于在设定的处理周期U到达时，获取日志缓存模块201本次处理周期内缓存的日志信息，并确认每个获取的日志信息的信息类型；若确认当前获取的日志信息的类型为CPU使用率、或内存使用率、或磁盘使用率信息，则将当前获取的日志信息输出至第一合并单元222；

进一步，类型确认单元221还用于若确认当前获取的日志信息的类型为磁盘IＯ流量、或网络流量信息，则将当前获取的日志信息输出至第二合并单元223；

进一步，类型确认单元221还用于若确认当前获取的日志信息的类型为系统登录信息、或访问信息、或故障告警、或端口连接信息，则将当前获取的日志信息输出至第三合并单元224。

第一合并单元222用于接收类型确认单元221输出的CPU使用率、或内存使用率、或磁盘使用率信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

第二合并单元223用于接收类型确认单元221输出的磁盘IO流量、或网络流量信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

第三合并单元224用于接收类型确认单元221输出的系统登录信息、或访问信息、或故障告警、或端口连接信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存后，将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中；之后，第三合并单元224将该临时日志或内存中的内容作为合并后的该类型的一条日志信息，并将合并得到的日志信息进行存储。

本发明的技术方案中，日志信息处理装置获取云环境中的各虚拟机或宿主机的日志信息进行缓存后，在设定的处理周期U到达时，将本次处理周期内缓存的日志信息进行合并处理，即日志信息处理装置对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的多条该类型的日志信息合并为一条日志信息后进行存储；这样，节约了存储空间，节约了网络带宽，并降低了保存大量日志信息的原始数据的成本。

进一步，若用户需要查询或统计一段时间内的日志信息，仅在根据本发明的方法存储的、进行合并处理后的日志信息中查询或统计即可，提高了查询或统计速度。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种日志信息处理方法，其特征在于，包括：

获取云环境中的各虚拟机或宿主机的日志信息进行缓存；并在设定的处理周期U到达时，将本次处理周期内缓存的日志信息进行合并处理：

对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率，且M>N。

2.如权利要求1所述的方法，其特征在于，所述将连续缓存的每W条该类型的日志信息合并为一条日志信息，具体为：

若日志信息的类型为CPU使用率信息、或内存使用率信息、或磁盘使用率信息，则对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息。

3.如权利要求2所述的方法，其特征在于，在所述对于连续缓存的每W条该类型的日志信息计算平均值后，还包括：

对于连续缓存的每W条该类型的日志信息，统计出最大值、最小值，将统计出的最大值、最小值与计算得到的平均值一并进行存储。

4.如权利要求1所述的方法，其特征在于，所述将连续缓存的每W条该类型的日志信息合并为1条日志信息，具体为：

若日志信息的类型为磁盘IO流量信息、或网络流量信息，则对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息。

5.如权利要求4所述的方法，其特征在于，在所述对于连续缓存的每W条该类型的日志信息统计出最大值后，还包括：

对于连续缓存的每W条该类型的日志信息计算合计值S；其中，S＝X_W-X₁；X_W为所述W条该类型的日志信息中最后一条日志信息的值，X₁为所述W条该类型的日志信息中第一条日志信息的值；

对于连续缓存的每W条该类型的日志信息计算差值平均值P：

其中，i为自然数，X_i-1为所述W条该类型的日志信息中第i-1条日志信息的值，X_i为所述W条该类型的日志信息中第i条日志信息的值；

对于连续缓存的每W条该类型的日志信息统计出最小值；

将统计出的最小值、计算出的合计值和计算出的差值平均值，与所述最大值一并进行存储。

6.如权利要求1所述的方法，其特征在于，所述将连续缓存的每W条该类型的日志信息合并为一条日志信息，具体为：

若日志信息的类型为系统登录信息、或访问信息、或故障告警信息、或端口连接信息，则对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存后，将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中；

之后，将该临时日志或内存中的内容作为合并后的该类型的一条日志信息。

7.一种日志信息处理装置，其特征在于，包括：

日志缓存模块，用于获取云环境中的各虚拟机或宿主机的日志信息进行缓存；

合并处理模块，用于在设定的处理周期U到达时，将本次处理周期内所述日志缓存模块缓存的日志信息进行合并处理：对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息合并为一条日志信息后进行存储；其中，W等于U×M/N，M为该类型的日志信息的采集频率，N为日志信息的统计分析频率。

8.如权利要求7所述的装置，其特征在于，所述合并处理模块包括：

类型确认单元，用于在设定的处理周期U到达时，获取所述日志缓存模块本次处理周期内缓存的日志信息，并确认每个获取的日志信息的信息类型；若确认当前获取的日志信息的类型为CPU使用率信息、或内存使用率信息、或磁盘使用率信息，则将当前获取的日志信息输出；

第一合并单元，用于接收所述类型确认单元输出的CPU使用率信息、或内存使用率信息、或磁盘使用率信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息计算平均值，将计算得到的平均值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

9.如权利要求8所述的装置，其特征在于，所述合并处理模块还包括：第二合并单元；

所述类型确认单元还用于若确认当前获取的日志信息的类型为磁盘IO流量信息、或网络流量信息，则将当前获取的日志信息输出至第二合并单元；

第二合并单元用于接收所述类型确认单元输出的磁盘IO流量信息、或网络流量信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息统计出最大值，将统计出的最大值作为合并后的该类型的一条日志信息；之后，将合并得到的日志信息进行存储。

10.如权利要求8或9所述的装置，其特征在于，所述合并处理模块还包括：第三合并单元；

所述类型确认单元还用于若确认当前获取的日志信息的类型为系统登录信息、或访问信息、或故障告警信息、或端口连接信息，则将当前获取的日志信息输出至第三合并单元；

第三合并单元用于接收所述类型确认单元输出的系统登录信息、或访问信息、或故障告警信息、或端口连接信息类型的日志信息，并对于从同一虚拟机或宿主机获取的同类型的日志信息，将连续缓存的每W条该类型的日志信息进行合并处理：对于连续缓存的每W条该类型的日志信息，将其中第一条该类型的日志信息的内容写入到一个临时日志或内存后，将后续的W-1条该类型的日志信息的内容依次与该临时日志或内存中记录的内容进行比较；若该临时日志或内存中没有记录当前比较的日志信息的内容，则将当前比较的日志信息的内容增加到该临时日志或内存中；之后，第三合并单元将该临时日志或内存中的内容作为合并后的该类型的一条日志信息，并将合并得到的日志信息进行存储。