CN112948341B - 用于识别异常的网络设备日志的方法和装置 - Google Patents

Abstract

本公开的实施例公开了用于识别异常的网络设备日志的方法和装置。该方法的一具体实施方式包括：获取待识别的网络设备日志集合；利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；根据该数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，该历史日志数目分布基于前一预设时间段内的网络设备日志集合与该预设的至少一类网络设备日志模板的匹配生成。该实施方式提升了异常的网络设备日志的识别效率和识别准确性。

Description

用于识别异常的网络设备日志的方法和装置

技术领域

本公开的实施例涉及计算机技术领域，具体涉及用于识别异常的网络设备日志的方法和装置。

背景技术

网络设备日志可以用于记录用户操作、系统运行状态等，是一个系统的重要组成部分。随着网络系统规模的增长，日志的规模也越来越大，如何对大规模日志进行分析、识别异常的网络设备日志成为需要解决的问题。

现有技术中，通常是在网络故障发生后，利用规则、经验的手段对关联的网络设备日志逐一排查，导致人工成本高，并且排查问题被动。而且，由于网络设备日志的规模日益增加，逐一排查的方式难以实现，导致排查故障的周期长，故障不易发现等问题。

发明内容

本公开的实施例提出了用于识别异常的网络设备日志的方法和装置。

第一方面，本公开的实施例提供了一种用于识别异常的网络设备日志的方法，该方法包括：获取待识别的网络设备日志集合；利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，历史日志数目分布基于前一预设时间段内的网络设备日志集合与预设的至少一类网络设备日志模板的匹配生成。

在一些实施例中，该方法还包括：确定待识别的网络设备日志集合中是否存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志；响应于确定存在，将未匹配的网络设备日志进行聚类；根据聚类的结果，向对应的目标设备发送提示信息。

在一些实施例中，上述根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，包括：确定数目与对应的历史日志数目的分布是否一致；响应于确定数目与对应的历史日志数目的分布不一致，生成用于指示存在异常网络设备日志的提示信息。

在一些实施例中，上述确定数目与对应的历史日志数目的分布是否一致，包括：响应于确定预设时间段内匹配的网络设备日志的数目与历史日志数目分布所指示的对应于同一类网络设备日志模板的数目的差值大于预设阈值，确定数目与对应的历史日志数目的分布不一致。

在一些实施例中，上述确定数目与对应的历史日志数目的分布是否一致，包括：根据数目和历史日志数目分布的序列，生成预设的至少一类网络设备日志模板中每一类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目的时序特征；基于时序特征是否指示存在异常数据，确定数目与对应的历史日志数目的分布是否一致。

在一些实施例中，上述预设的至少一类网络设备日志模板包括树结构，其中，树结构的节点包括对网络设备日志切词后所得到的词，树结构的节点形成的路径与按照词频降序排列的词序列一致；以及上述利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目，包括：对待识别的网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合的词频；将待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列；将待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在一些实施例中，该方法还包括：利用待识别的网络设备日志，更新预设的至少一类网络设备日志模板。

第二方面，本公开的实施例提供了一种用于识别异常的网络设备日志的装置，该装置包括：获取单元，被配置成获取待识别的网络设备日志集合；第一生成单元，被配置成利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；第二生成单元，被配置成根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，历史日志数目分布基于前一预设时间段内的网络设备日志集合与预设的至少一类网络设备日志模板的匹配生成。

在一些实施例中，该装置还包括：确定单元，被配置成确定待识别的网络设备日志集合中是否存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志；聚类单元，被配置成响应于确定存在，将未匹配的网络设备日志进行聚类；发送单元，被配置成根据聚类的结果，向对应的目标设备发送提示信息。

在一些实施例中，上述第二生成单元包括：确定模块，被配置成确定数目与对应的历史日志数目的分布是否一致；生成模块，被配置成响应于确定数目与对应的历史日志数目的分布不一致，生成用于指示存在异常网络设备日志的提示信息。

在一些实施例中，上述确定模块被进一步被配置成：响应于确定预设时间段内匹配的网络设备日志的数目与历史日志数目分布所指示的对应于同一类网络设备日志模板的数目的差值大于预设阈值，确定数目与对应的历史日志数目的分布不一致。

在一些实施例中，上述确定模块被进一步被配置成：根据数目和历史日志数目分布的序列，生成预设的至少一类网络设备日志模板中每一类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目的时序特征；基于时序特征是否指示存在异常数据，确定数目与对应的历史日志数目的分布是否一致。

在一些实施例中，上述预设的至少一类网络设备日志模板包括树结构，其中，上述树结构的节点包括对网络设备日志切词后所得到的词，上述树结构的节点形成的路径与按照词频降序排列的词序列一致。上述第二生成单元被配置成：对待识别的网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合的词频；将待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列；将待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在一些实施例中，该装置还包括：更新单元，被配置成利用待识别的网络设备日志，更新预设的至少一类网络设备日志模板。

第三方面，本公开的实施例提供了一种服务器，该服务器包括：一个或多个处理器；存储装置，其上存储有一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如第一方面中任一实现方式描述的方法。

第四方面，本公开的实施例提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面中任一实现方式描述的方法。

本公开的实施例提供的用于识别异常的网络设备日志的方法、装置、服务器和介质，通过预设的多类网络设备日志模板与待识别的网络设备日志集合进行匹配，并基于预设时间段内的数目与对应的历史日志数目分布之间的匹配生成用于指示是否存在异常网络设备日志的提示信息，实现了利用与不同类别的日志模板匹配的数目对日志进行指标化转换，无需对网络设备日志进行重复拉取，从而提升异常的网络设备日志的识别效率。而且，还可以通过对预设的至少一类网络设备日志模板进行动态更新，尽可能覆盖更多的异常场景，进而可以提升对异常的网络设备日志进行识别的准确率。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开的一个实施例可以应用于其中的示例性系统架构图；

图2是根据本公开的用于识别异常的网络设备日志的方法的一个实施例的流程图；

图3是根据本公开的实施例的用于识别异常的网络设备日志的方法的一个应用场景的示意图；

图4是根据本公开的用于识别异常的网络设备日志的方法的又一个实施例的流程图；

图5是根据本公开的用于识别异常的网络设备日志的装置的一个实施例的结构示意图；

图6是适于用来实现本公开的实施例的电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。

图1示出了可以应用本公开的用于识别异常的网络设备日志的方法或用于识别异常的网络设备日志的装置的示例性架构100。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端等。

终端设备101、102、103可以是硬件，也可以是软件。当终端设备101、102、103为硬件时，可以是具有显示屏并且支持人机交互的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。当终端设备101、102、103为软件时，可以安装在上述所列举的电子设备中。其可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103所生成的网络设备日志进行异常识别的后台服务器。后台服务器可以对接收到的网络设备日志进行分析处理，并生成处理结果(如用于指示是否存在异常网络设备日志的提示信息)。可选地，上述后台服务器还可以将上述处理结果反馈给终端设备。

需要说明的是，服务器可以是硬件，也可以是软件。当服务器为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

需要说明的是，本公开的实施例所提供的用于识别异常的网络设备日志的方法一般由服务器105执行，相应地，用于识别异常的网络设备日志的装置一般设置于服务器105中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

继续参考图2，示出了根据本公开的用于识别异常的网络设备日志的方法的一个实施例的流程200。该用于识别异常的网络设备日志的方法包括以下步骤：

步骤201，获取待识别的网络设备日志集合。

在本实施例中，用于识别异常的网络设备日志的方法的执行主体(如图1所示的服务器105)可以通过有线连接方式或者无线连接方式获取待识别的网络设备日志集合。其中，上述待识别的网络设备日志集合中的网络设备日志例如可以包括预设时间段(例如时间戳指示日志生成时间为最近10秒内)的网络设备日志，也可以包括针对指定网络设备的日志，在此不做限定。

在本实施例中，上述执行主体可以通过有线连接方式或者无线连接方式获取待识别的网络设备日志集合。作为示例，上述执行主体可以获取预先存储于本地的待识别的网络设备日志集合，也可以获取与之通信连接的电子设备(例如图1所示的终端设备101、102、103)发送的待识别的网络设备日志集合。

步骤202，利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在本实施例中，上述执行主体可以利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在本实施例中，上述执行主体可以首先获取预设的至少一类网络设备日志模板。其中，上述网络设备日志模板可以用于指示网络设备日志模板所属的类别。作为示例，上述网络设备日志模板可以包括用于表征端口状态切换的模板。例如，网络设备日志模板中可以包括以下至少一种关键字：“开启”，“关闭”，“change…to”。作为又一示例，上述网络设备日志模板可以包括用于表征设备告警的模板。例如，网络设备日志模板中可以包括以下至少一种关键字：“过载”，“过热”，“warning”。而后，上述执行主体可以利用上述预先获取的至少一类网络设备日志模板对上述步骤201所获取的待识别的网络设备日志集合中的网络设备日志进行匹配，确定各网络设备日志所对应的网络设备日志模板。接下来，上述执行主体可以通过各种方式统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。作为示例，以预设时间段为5分钟为例，上述执行主体可以统计端口状态改变模板在11:00:00-11:04:59、11:05:00-11:09:59、11:10:00-11:14:59时段中的数目，例如分别为3000、2785、3262。作为又一示例，以预设时间段为5分钟为例，上述执行主体可以统计网络连接模板在11:00:00-11:04:59、11:05:00-11:09:59、11:10:00-11:14:59时段中的数目，例如分别为292、273、96。

步骤203，根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息。

在本实施例中，根据数目与对应的历史日志数目分布之间的匹配，上述执行主体可以通过各种方式生成用于指示是否存在异常网络设备日志的提示信息。其中，上述历史日志数目分布可以基于前一预设时间段内的网络设备日志集合与上述预设的至少一类网络设备日志模板的匹配生成。上述历史日志数目分布可以包括各种形式，例如图表(例如曲线图、柱状图等)、平均值、方差等、

在本实施例中，上述执行主体可以预先获取与上述待识别的网络设备日志对应的历史日志数目分布。而后，上述执行主体可以确定上述步骤202所生成的预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目与对应的历史日志数目分布是否匹配，响应于确定匹配，上述执行主体可以生成用于指示不存在异常网络设备日志的提示信息；响应于确定不匹配，上述执行主体可以生成用于指示存在异常网络设备日志的提示信息。

在本实施例中，上述用于指示存在异常网络设备日志的提示信息还可以包括用于指示异常的网络设备日志的信息。例如，上述用于指示异常的网络设备日志的信息可以包括与对应的历史日志数目分布不匹配的数目所对应的网络设备日志。

在本实施例的一些可选的实现方式中，上述执行主体还可以继续执行以下步骤：

第一步，确定待识别的网络设备日志集合中是否存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志。

在这些实现方式中，上述执行主体可以通过各种方式确定待识别的网络设备日志集合中是否存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志。作为示例，响应于确定上述待识别的网络设备日志集合中的网络设备日志与上述预设的至少一类网络设备日志模板均不匹配，上述执行主体可以确定存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志。

第二步，响应于确定存在，将未匹配的网络设备日志进行聚类。

在这些实现方式中，响应于确定存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志，上述执行主体可以通过各种方式将未匹配的网络设备日志进行聚类。作为示例，上述执行主体可以利用各种文本聚类方法对上述第一步所确定出的、与预设的至少一类网络设备日志模板均未匹配的网络设备日志进行聚类，形成多个聚类结果。其中，聚类结果中的每个聚类类别可以包括至少一份网络设备日志。

第三步，根据聚类的结果，向对应的目标设备发送提示信息。

在这些实现方式中，根据上述第二步进行聚类的结果，上述执行主体可以通过各种方式向对应的目标设备发送提示信息。其中，上述对应的目标设备例如可以是运维工程师所使用的终端设备，也可以是设置在设备监控中心的显示设备。作为示例，上述执行主体可以根据上述聚类结果中的聚类类别的数目和/或聚类类别中包括的网络设备日志的数目向对应的目标设备发送提示信息。

基于上述可选的实现方式，本方案可以对网络日志模板未覆盖的日志进行异常识别，提升了方法的泛化性。

在本实施例的一些可选的实现方式中，根据数目与对应的历史日志数目分布之间的匹配，上述执行主体可以按照如下步骤生成用于指示是否存在异常网络设备日志的提示信息：

第一步，确定数目与对应的历史日志数目的分布是否一致。

在这些实现方式中，上述执行主体可以通过各种方式确定上述步骤202所生成的数目与对应的历史日志数目的分布是否一致。

作为示例，上述执行主体可以利用卡方检验来确定预设时间段内与各类网络设备日志模板匹配的网络设备日志的数目的分布与对应的历史日志数目的分布是否一致。

可选地，响应于确定预设时间段内匹配的网络设备日志的数目与历史日志数目分布所指示的对应于同一类网络设备日志模板的数目的差值大于预设阈值，上述执行主体可以确定上述数目与对应的历史日志数目的分布不一致。作为示例，当前日期在10:00:00-10:04:59时段内与预设第一网络设备日志模板、预设第二网络设备日志模板、预设第三网络设备日志模板匹配的网络设备日志的数目分别为2000,1000,500。前一日在10:00:00-10:04:59时段内与预设第一网络设备日志模板、预设第二网络设备日志模板、预设第三网络设备日志模板匹配的网络设备日志的数目分别为2036,1280,487。若预设阈值为100，则上述执行主体可以确定上述数目与对应的历史日志数目的分布不一致。

可选地，上述执行主体可以通过如下步骤确定数目与对应的历史日志数目的分布是否一致：

S1、根据数目和历史日志数目分布的序列，生成预设的至少一类网络设备日志模板中每一类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目的时序特征。

在这些实现方式中，上述时序特征可以用于表征周期内(例如一日)各时段的数据变化。作为示例，上述时序特征可以是由该类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目组成的向量，例如(238,732,754,358)。其中，上述238,732,754,358可以是此前4个预设时间段中与该类网络设备日志模板匹配的网络设备日志的数目。

S2、基于时序特征是否指示存在异常数据，确定数目与对应的历史日志数目的分布是否一致。

在这些实现方式中，基于上述步骤S1所生成的时序特征是否指示存在异常数据，上述执行主体可以确定数目与对应的历史日志数目的分布是否一致。具体地，响应于确定上述时序特征指示存在异常数据，上述执行主体可以确定数目与对应的历史日志数目的分布不一致。响应于确定上述时序特征指示不存在异常数据，上述执行主体可以确定数目与对应的历史日志数目的分布一致。

基于上述可选的实现方式，本方案可以将日志本身的数据转换为序列化指标，从而减少了对数据的重复读取和处理，能够实时对网络设备日志进行监控。

第二步，响应于确定数目与对应的历史日志数目的分布不一致，生成用于指示存在异常网络设备日志的提示信息。

在这些实现方式中，响应于确定上述步骤202所生成的数目与对应的历史日志数目的分布不一致，上述执行主体可以生成用于指示存在异常网络设备日志的提示信息。

继续参见图3，图3是根据本公开的实施例的用于识别异常的网络设备日志的方法的应用场景的一个示意图。在图3的应用场景中，用户301使用终端设备302上安装的应用程序。应用程序的后台服务器3031、3032、3033在运行时可以生成网络设备日志集合304。监控服务器305可以获取上述网络设备日志集合304作为待识别的网络设备日志集合。监控服务器305可以利用预设的至少一类网络设备日志模板(例如模板A、模板B、模板C)进行匹配，生成预设时间段内(例如时段1、时段2)分别与各类网络设备日志模板匹配的网络设备日志的数目(如图306所示)。根据上述数目与对应的历史日志数目分布(如图307所示)之间的匹配，监控服务器305可以生成用于指示存在异常网络设备日志的提示信息。

目前，现有技术之一通常是在网络故障发生后，利用规则、经验的手段对关联的网络设备日志逐一排查，导致人工成本高、排查故障的周期长等。而本公开的上述实施例提供的方法，通过预设的多类网络设备日志模板与待识别的网络设备日志集合进行匹配，并基于预设时间段内的数目与对应的历史日志数目分布之间的匹配生成用于指示是否存在异常网络设备日志的提示信息，实现了利用与不同类别的日志模板匹配的数目对日志进行指标化转换，无需对网络设备日志进行重复拉取，从而提升异常的网络设备日志的识别效率。而且，还可以通过对预设的至少一类网络设备日志模板进行动态更新，尽可能覆盖更多的异常场景，进而可以提升对异常的网络设备日志进行识别的准确率。

进一步参考图4，其示出了用于识别异常的网络设备日志的方法的又一个实施例的流程400。该用于识别异常的网络设备日志的方法的流程400，包括以下步骤：

步骤401，获取待识别的网络设备日志集合。

步骤402，对待识别的网络设备日志集合中的网络设备日志进行切词。

在本实施例中，用于识别异常的网络设备日志的方法的执行主体(例如图1所示的服务器105)可以利用各种方式对步骤401所获取的待识别的网络设备日志集合中的网络设备日志进行切词。

作为示例，上述执行主体可以利用各种NLP(Natural Langunge Possns,自然语言处理)方法对步骤401所获取的待识别的网络设备日志集合中的网络设备日志进行切词。作为又一示例，上述执行主体可以利用根据网络设备日志的特点，以预设符号(例如空格)作为切词的标志进行切词。

步骤403，确定切词得到的词集合的词频。

在本实施例中，上述执行主体可以通过各种方式确定切词得到的词集合的词频。作为示例，上述执行主体可以统计切词得到的词集合中各词的出现次数。作为又一示例，上述执行主体还可以仅保留出现次数大于预设词频阈值的词的词频。

步骤404，将待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列。

在本实施例中，上述执行主体可以将步骤402中待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所步骤403所确定的词频的降序排列。

步骤405，将待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在本实施例中，上述执行主体可以将步骤404所得到的待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配。其中，上述预设的至少一类网络设备日志模板可以包括树结构。上述树结构的节点可以包括对网络设备日志切词后所得到的词。上述树结构的节点形成的路径可以与按照词频降序排列的词序列一致。

在本实施例的一些可选的实现方式中，上述树结构还可以包括利用历史网络设备日志集合、采用FP(Frequent Pattern，频繁模式)-Growth算法生成的频繁模式树。

可选地，上述树结构可以按照如下步骤生成：

S1、确定切词得到的词集合中的词对应的条件概率。

在这些实现方式中，用于生成上述树结构的执行主体可以通过各种方式确定切词得到的词集合中的词对应的条件概率。其中，上述条件概率可以用于表征属于同一条网络设备日志的词之间的共现关系。作为示例，历史网络设备日志集合中的一条网络设备日志可以为“接口186开启”。则，词“开启”对应的条件概率可以包括“开启”和“接口”共同出现的次数与“开启”出现的次数的比值、“开启”和“186”共同出现的次数与“开启”出现的次数的比值。

S2、对于历史网络设备日志集合中的网络设备日志，根据该网络设备日志中词的词频降序顺序生成树结构的路径。

在这些实现方式中，上述执行主体可以首先生成与上述历史网络设备日志集合中各网络设备日志对应的词序列。其中，上述词序列中的词按照词频降序排列。之后，上述执行主体可以生成上述树结构的路径。其中，上述树结构的路径所指示的词对应的条件概率通常大于预设阈值。上述树结构的根节点可以与从历史网络设备日志集合所提取的消息类型一致。

作为示例，上述执行主体可以在对已有树结构进行分枝前确定日志信息中包括的词序列对应的条件概率是否大于预设阈值(例如5％)。当小于等于上述预设阈值时，上述执行主体可以舍弃该词序列构成的路径；当大于上述预设阈值时，上述执行主体可以将该词序列构成上述树结构的路径。

可选地，上述执行主体可以通过各种方式基于上述生成的树结构生成至少一个网络设备日志模板。作为示例，上述执行主体可以基于树结构的节点的数量对树结构进行剪枝。而后，根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

步骤406，根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息。

上述步骤401、步骤406分别与前述实施例中的步骤201、步骤203一致，上文针对步骤201、步骤203及其可选的实现方式的描述也适用于步骤401、步骤406，此处不再赘述。

在本实施例的一些可选的实现方式中，上述执行主体还可以继续执行以下步骤：

步骤407，利用待识别的网络设备日志，更新预设的至少一类网络设备日志模板。

在这些实现方式中，上述执行主体可以利用上述步骤401所获取的待识别的网络设备日志，更新预设的至少一类网络设备日志模板。从而，可以利用现有的日志数据对网络设备日志模板进行动态更新，以更好地适应日志数据的动态发展。

从图4中可以看出，本实施例中的用于识别异常的网络设备日志的方法的流程400体现了利用包括树结构的网络设备日志模板进行匹配的步骤。由此，本实施例描述的方案可以通过对待识别的网络设备日志集合中的网络设备日志进行切词、词频降序排列等处理以及与包括树结构的网络设备日志模板进行匹配，以生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目，从而提供了一种新的网络设备日志异常告警的实现方案，丰富了对异常的网络设备日志进行识别的方式。

进一步参考图5，作为对上述各图所示方法的实现，本公开提供了用于识别异常的网络设备日志的装置的一个实施例，该装置实施例与图2或图4所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图5所示，本实施例提供的用于识别异常的网络设备日志的装置500包括获取单元501、第一生成单元502和第二生成单元503。其中，获取单元501，被配置成获取待识别的网络设备日志集合；第一生成单元502，被配置成利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；第二生成单元503，被配置成根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，历史日志数目分布基于前一预设时间段内的网络设备日志集合与预设的至少一类网络设备日志模板的匹配生成。

在本实施例中，用于识别异常的网络设备日志的装置500中：获取单元501、第一生成单元502和第二生成单元503的具体处理及其所带来的技术效果可分别参考图2对应实施例中的步骤201、步骤202和步骤203的相关说明，在此不再赘述。

在本实施例的一些可选的实现方式中，上述用于识别异常的网络设备日志的装置500还包括：确定单元(图中未示出)，被配置成确定待识别的网络设备日志集合中是否存在与预设的至少一类网络设备日志模板均未匹配的网络设备日志；聚类单元(图中未示出)，被配置成响应于确定存在，将未匹配的网络设备日志进行聚类；发送单元(图中未示出)，被配置成根据聚类的结果，向对应的目标设备发送提示信息。

在本实施例的一些可选的实现方式中，上述第二生成单元503可以包括确定模块(图中未示出)、生成模块(图中未示出)。其中，上述确定模块可以被配置成：确定数目与对应的历史日志数目的分布是否一致。上述生成模块可以被配置成：响应于确定数目与对应的历史日志数目的分布不一致，生成用于指示存在异常网络设备日志的提示信息。

在本实施例的一些可选的实现方式中，上述确定模块可以被进一步被配置成：响应于确定预设时间段内匹配的网络设备日志的数目与历史日志数目分布所指示的对应于同一类网络设备日志模板的数目的差值大于预设阈值，确定数目与对应的历史日志数目的分布不一致。

在本实施例的一些可选的实现方式中，上述确定模块可以被进一步被配置成：根据数目和历史日志数目分布的序列，生成预设的至少一类网络设备日志模板中每一类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目的时序特征；基于时序特征是否指示存在异常数据，确定数目与对应的历史日志数目的分布是否一致。

在本实施例的一些可选的实现方式中，上述预设的至少一类网络设备日志模板可以包括树结构。其中，上述树结构的节点可以包括对网络设备日志切词后所得到的词。上述树结构的节点形成的路径可以与按照词频降序排列的词序列一致。上述第二生成单元可以被配置成：对待识别的网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合的词频；将待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列；将待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目。

在本实施例的一些可选的实现方式中，上述用于识别异常的网络设备日志的装置500还包括：更新单元(图中未示出)，被配置成利用待识别的网络设备日志，更新预设的至少一类网络设备日志模板。

本公开的上述实施例提供的装置，通过第一生成单元502利用预设的多类网络设备日志模板与待识别的网络设备日志集合进行匹配，并通过第二生成单元503基于预设时间段内的数目与对应的历史日志数目分布之间的匹配生成用于指示是否存在异常网络设备日志的提示信息，实现了利用与不同类别的日志模板匹配的数目对日志进行指标化转换，无需对网络设备日志进行重复拉取，从而提升异常的网络设备日志的识别效率。而且，还可以通过对预设的至少一类网络设备日志模板进行动态更新，尽可能覆盖更多的异常场景，进而可以提升对异常的网络设备日志进行识别的准确率。

下面参考图6，其示出了适于用来实现本申请实施例的电子设备(例如图1中的服务器)600的结构示意图。本申请实施例中的终端设备可以包括但不限于诸如移动电话、笔记本电脑、数字广播接收器、PDA(个人数字助理)、PAD(平板电脑)、PMP(便携式多媒体播放器)、车载终端(例如车载导航终端)等等的移动终端以及诸如数字TV、台式计算机等等的固定终端。图6示出的服务器仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600可以包括处理装置(例如中央处理器、图形处理器等)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储装置608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有电子设备600操作所需的各种程序和数据。处理装置601、ROM 602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

通常，以下装置可以连接至I/O接口605：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置606；包括例如液晶显示器(LCD，LiquidCrystal Display)、扬声器、振动器等的输出装置607；包括例如磁带、硬盘等的存储装置608；以及通信装置609。通信装置609可以允许电子设备600与其他设备进行无线或有线通信以交换数据。虽然图6示出了具有各种装置的电子设备600，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图6中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

特别地，根据本申请的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置609从网络上被下载和安装，或者从存储装置608被安装，或者从ROM 602被安装。在该计算机程序被处理装置601执行时，执行本申请的实施例的方法中限定的上述功能。

需要说明的是，本公开的实施例的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(Radio Frequency，射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该服务器中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该服务器执行时，使得该服务器：获取待识别的网络设备日志集合；利用预设的至少一类网络设备日志模板进行匹配，生成预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；根据数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，历史日志数目分布基于前一预设时间段内的网络设备日志集合与预设的至少一类网络设备日志模板的匹配生成。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”、Python语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开的各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器，包括获取单元、第一生成单元、第二生成单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，获取单元还可以被描述为“获取待识别的网络设备日志集合的单元”。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开的实施例中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开的实施例中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种用于识别异常的网络设备日志的方法，包括：

获取待识别的网络设备日志集合；

对所述待识别的网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合的词频；将所述待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列；将所述待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；

根据所述数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，所述历史日志数目分布基于前一预设时间段内的网络设备日志集合与所述预设的至少一类网络设备日志模板的匹配生成。

2.根据权利要求1所述的方法，其中，所述方法还包括：

确定所述待识别的网络设备日志集合中是否存在与所述预设的至少一类网络设备日志模板均未匹配的网络设备日志；

响应于确定存在，将未匹配的网络设备日志进行聚类；

根据所述聚类的结果，向对应的目标设备发送提示信息。

3.根据权利要求1所述的方法，其中，所述根据所述数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，包括：

确定所述数目与所述对应的历史日志数目的分布是否一致；

响应于确定所述数目与所述对应的历史日志数目的分布不一致，生成用于指示存在异常网络设备日志的提示信息。

4.根据权利要求3所述的方法，其中，所述确定所述数目与所述对应的历史日志数目的分布是否一致，包括：

响应于确定所述预设时间段内匹配的网络设备日志的数目与所述历史日志数目分布所指示的对应于同一类网络设备日志模板的数目的差值大于预设阈值，确定所述数目与所述对应的历史日志数目的分布不一致。

5.根据权利要求3所述的方法，其中，所述确定所述数目与所述对应的历史日志数目的分布是否一致，包括：

根据所述数目和所述历史日志数目分布的序列，生成所述预设的至少一类网络设备日志模板中每一类网络设备日志模板在此前多个预设时间段中匹配的网络设备日志的数目的时序特征；

基于所述时序特征是否指示存在异常数据，确定所述数目与所述对应的历史日志数目的分布是否一致。

6.根据权利要求1-5之一所述的方法，其中，所述预设的至少一类网络设备日志模板包括树结构，其中，所述树结构的节点包括对网络设备日志切词后所得到的词，所述树结构的节点形成的路径与按照词频降序排列的词序列一致。

7.根据权利要求6所述的方法，其中，所述方法还包括：

利用所述待识别的网络设备日志，更新所述预设的至少一类网络设备日志模板。

8.一种用于识别异常的网络设备日志的装置，包括：

获取单元，被配置成获取待识别的网络设备日志集合；

第一生成单元，被配置成对所述待识别的网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合的词频；将所述待识别的网络设备日志集合中的网络设备日志切词后得到的词按照所确定的词频的降序排列；将所述待识别的网络设备日志集合中的网络设备日志对应的按照所确定的词频的降序排列的词序列与预设的至少一类网络设备日志模板进行匹配，统计预设时间段内分别与各类网络设备日志模板匹配的网络设备日志的数目；

第二生成单元，被配置成根据所述数目与对应的历史日志数目分布之间的匹配，生成用于指示是否存在异常网络设备日志的提示信息，其中，所述历史日志数目分布基于前一预设时间段内的网络设备日志集合与所述预设的至少一类网络设备日志模板的匹配生成。

9.一种服务器，包括：

一个或多个处理器；

存储装置，其上存储有一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的方法。

10.一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现如权利要求1-7中任一所述的方法。