CN113821491A - 用于生成网络设备日志模板的方法、装置、服务器和介质 - Google Patents

Abstract

本公开的实施例公开了用于生成网络设备日志模板的方法、装置、服务器和介质。该方法的一具体实施方式包括：获取基于网络设备日志生成的日志信息集合，其中，该日志信息集合中的日志信息包括按词频降序排列的词；根据该日志信息集合，生成树结构，其中，该树结构的节点包括该日志信息集合中的词，该节点形成的路径与该日志信息中的日志信息所指示的词的顺序一致；基于该树结构中的路径，生成至少一个网络设备日志模板。该实施方式实现了不依赖人工标注的网络设备日志模板的自动生成，提升了模板生成效率。

Description

用于生成网络设备日志模板的方法、装置、服务器和介质

技术领域

本公开的实施例涉及计算机技术领域，具体涉及用于生成网络设备日志模板的方法、装置、服务器和介质。

背景技术

网络设备日志可以用于记录用户操作、系统运行状态等，是一个系统的重要组成部分。随着网络系统规模的增长，日志的规模也越来越大，如何对大规模日志进行分析成为需要解决的问题。

现有技术中，通常是由运维工程师根据经验设定关键字或编写正则表达式来对网络设备日志进行分类，以实现对网络设备日志的处理。但现有技术往往依赖以往的标注经验，难以较为全面地涵盖网络设备日志的类型，而且不便于实时匹配。

发明内容

本公开的实施例提出了用于生成网络设备日志模板的方法、装置、服务器和介质。

第一方面，本公开的实施例提供了一种用于生成网络设备日志模板的方法，该方法包括：获取基于网络设备日志生成的日志信息集合，其中，日志信息集合中的日志信息包括按词频降序排列的词；根据日志信息集合，生成树结构，其中，树结构的节点包括日志信息集合中的词，节点形成的路径与日志信息中的日志信息所指示的词的顺序一致；基于树结构中的路径，生成至少一个网络设备日志模板。

在一些实施例中，上述根据日志信息集合，生成树结构，包括：对于日志信息集合中的日志信息，提取该日志信息中的消息类型；将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构。

在一些实施例中，上述将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构，包括：确定切词得到的词集合中的词对应的条件概率，其中，条件概率用于表征属于同一条网络设备日志的词之间的共现关系；对于日志信息集合中的日志信息，根据该日志信息中词的顺序生成树结构的路径，其中，树结构的路径所指示的词对应的条件概率大于预设阈值，树结构的根节点与所提取的消息类型一致。

在一些实施例中，上述基于树结构中的路径，生成至少一个网络设备日志模板，包括：基于树结构的节点的数量对树结构进行剪枝；根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

在一些实施例中，上述根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板，包括：从剪枝后的树结构中剔除用于表征变量的节点；根据剔除节点后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板，其中，网络设备日志模板中的词的顺序与网络设备日志中词的顺序一致。

在一些实施例中，上述获取基于网络设备日志生成的日志信息集合，包括：获取初始网络设备日志集合；对初始网络设备日志集合进行过滤，生成目标网络设备日志集合；对目标网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合中的词的词频；将目标网络设备日志集合中的网络设备日志对应的切词后得到的词按照所确定的词频的降序排列，生成日志信息集合。

在一些实施例中，该方法还包括：从所生成的至少一个网络设备日志模板中选取异常预警模板，其中，异常预警模板用于指示匹配的日志属于异常日志；对至少一个网络设备日志模板中的非异常预警模板进行聚类；为聚类后的网络设备日志模板生成相应的类别标签。

在一些实施例中，上述从所生成的至少一个网络设备日志模板中选取异常预警模板，包括：从所生成的至少一个网络设备日志模板中选取与预设的异常预警词典相匹配的网络设备日志模板作为异常预警模板。

第二方面，本公开的实施例提供了一种用于生成网络设备日志模板的装置，该装置包括：获取单元，被配置成获取基于网络设备日志生成的日志信息集合，其中，日志信息集合中的日志信息包括按词频降序排列的词；第一生成单元，被配置成根据日志信息集合，生成树结构，其中，树结构的节点包括日志信息集合中的词，节点形成的路径与日志信息中的日志信息所指示的词的顺序一致；第二生成单元，被配置成基于树结构中的路径，生成至少一个网络设备日志模板。

在一些实施例中，上述第一生成单元包括：提取模块，被配置成对于日志信息集合中的日志信息，提取该日志信息中的消息类型；第一生成模块，被配置成将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构。

在一些实施例中，上述生成模块被进一步配置成：确定切词得到的词集合中的词对应的条件概率，其中，条件概率用于表征属于同一条网络设备日志的词之间的共现关系；对于日志信息集合中的日志信息，根据该日志信息中词的顺序生成树结构的路径，其中，树结构的路径所指示的词对应的条件概率大于预设阈值，树结构的根节点与所提取的消息类型一致。

在一些实施例中，上述第二生成单元包括：剪枝模块，被配置成基于树结构的节点的数量对树结构进行剪枝；第二生成模块，被配置成根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

在一些实施例中，上述第二生成模块被进一步配置成：从剪枝后的树结构中剔除用于表征变量的节点；根据剔除节点后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板，其中，网络设备日志模板中的词的顺序与网络设备日志中词的顺序一致。

在一些实施例中，上述获取单元被进一步配置成：获取初始网络设备日志集合；对初始网络设备日志集合进行过滤，生成目标网络设备日志集合；对目标网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合中的词的词频；将目标网络设备日志集合中的网络设备日志对应的切词后得到的词按照所确定的词频的降序排列，生成日志信息集合。

在一些实施例中，该装置还包括：选取单元，被配置成从所生成的至少一个网络设备日志模板中选取异常预警模板，其中，异常预警模板用于指示匹配的日志属于异常日志；聚类单元，被配置成对至少一个网络设备日志模板中的非异常预警模板进行聚类；第三生成单元，被配置成为聚类后的网络设备日志模板生成相应的类别标签。

在一些实施例中，上述选取单元被进一步配置成：从所生成的至少一个网络设备日志模板中选取与预设的异常预警词典相匹配的网络设备日志模板作为异常预警模板。

第三方面，本公开的实施例提供了一种服务器，该服务器包括：一个或多个处理器；存储装置，其上存储有一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如第一方面中任一实现方式描述的方法。

第四方面，本公开的实施例提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面中任一实现方式描述的方法。

本公开的实施例提供的用于生成网络设备日志模板的方法、装置、服务器和介质，通过包括按词频降序排列的词的日志信息集合生成树结构，并基于树结构中的路径生成网络设备日志模板，从而实现了不依赖人工标注的网络设备日志模板的自动生成，提升了模板生成效率。而且，由于直接从原始日志数据中提取模板，从而可以更为全面地覆盖日志消息类型，有效提升大规模网络设备日志的匹配率。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开的一个实施例可以应用于其中的示例性系统架构图；

图2是根据本公开的用于生成网络设备日志模板的方法的一个实施例的流程图；

图3是根据本公开的实施例的用于生成网络设备日志模板的方法的一个应用场景的示意图；

图4是根据本公开的用于生成网络设备日志模板的方法的又一个实施例的流程图；

图5是根据本公开的用于生成网络设备日志模板的装置的一个实施例的结构示意图；

图6是适于用来实现本公开的实施例的电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。

图1示出了可以应用本公开的用于生成网络设备日志模板的方法或用于生成网络设备日志模板的装置的示例性架构100。

如图1所示，系统架构100可以包括服务器101、102、103，网络104和服务器105。网络104用以在服务器备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

服务器101、102、103通过网络104与服务器105交互，以接收或发送消息等。服务器101、102、103可以包括为终端设备上安装的通讯客户端应用提供支持的服务器。其中，上述通讯客户端应用例如可以包括网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端等。

服务器105可以是提供各种服务的服务器，例如为服务器101、102、103所生成的网络设备日志进行分析的后台服务器。后台服务器可以对获取的网络设备日志进行分析处理，从而生成处理结果(如网络设备日志模板)。

需要说明的是，服务器可以是硬件，也可以是软件。当服务器为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务的软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。

需要说明的是，本公开的实施例所提供的用于生成网络设备日志模板的方法一般由服务器105执行，相应地，用于生成网络设备日志模板的装置一般设置于服务器105中。

应该理解，图1中的网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的网络和服务器。

继续参考图2，示出了根据本公开的用于生成网络设备日志模板的方法的一个实施例的流程200。该用于生成网络设备日志模板的方法包括以下步骤：

步骤201，获取基于网络设备日志生成的日志信息集合。

在本实施例中，用于生成网络设备日志模板的方法的执行主体(如图1所示的服务器105)可以通过有线连接方式或者无线连接方式获取基于网络设备日志生成的日志信息集合。其中，上述日志信息集合中的日志信息可以包括按词频降序排列的词。作为示例，上述执行主体可以获取预先存储于本地的日志信息集合，也可以获取与之通信连接的电子设备(例如对网络设备日志进行预处理的服务器)发送的日志信息集合。可选地，上述网络设备日志通常可以是在预设时段内的网络设备日志。

在本实施例中，上述词频可以是上述网络设备日志中的词在现有的数据集中出现的词频，也可以是在预设时间段内(例如10秒)所获取的网络设备日志所形成的文本集合中出现的词频。

需要说明的是，上述网络设备日志通常可以包括设备标识(例如ID)、用于表征事件记录时间的时间信息(例如时间戳)、消息类型和用于描述所记录的事件的消息详情。

在本实施例的一些可选的实现方式中，上述执行主体可以按照如下步骤获取基于网络设备日志生成的日志信息集合：

第一步，获取初始网络设备日志集合。

在这些实现方式中，上述执行主体可以通过有线连接方式或者无线连接方式获取初始网络设备日志集合。作为示例，上述执行主体可以获取预先存储于本地的初始网络设备日志集合，也可以获取与之通信连接的电子设备(例如图1所示的服务器101、102、103)发送的初始网络设备日志集合。

在这些实现方式中，上述初始网络设备日志例如可以包括预设时间段(例如时间戳指示日志生成时间为最近10秒内)的网络设备日志，也可以包括针对指定网络设备的日志，在此不做限定。

第二步，对初始网络设备日志集合进行过滤，生成目标网络设备日志集合。

在这些实现方式中，上述执行主体可以通过各种方式对上述第一步所获取的初始网络设备日志集合进行过滤。作为示例，上述执行主体可以首先获取过滤词典，从而将包含上述过滤词典中词的网络设备日志从上述初始网络设备日志集合中过滤出去，将其他的网络设备日志组成上述目标网络设备日志集合。作为又一示例，上述执行主体可以利用正则表达式提取待过滤内容所在的字段(例如消息类型)。之后，上述执行主体可以根据所提取的字段对应的值之间的文本距离过滤相似的网络设备日志。其中，上述文本距离例如可以是编辑距离。

第三步，对目标网络设备日志集合中的网络设备日志进行切词。

在这些实现方式中，上述执行主体可以利用各种方式对目标网络设备日志集合中的网络设备日志进行切词。作为示例，上述执行主体可以利用语义识别方法进行切词。作为又一示例，当网络设备日志采用拼音文字时，上述执行主体可以利用空格作为分隔符将网络设备日志中的文本进行切词。从而可以结合网络设备日志的文本特点，高效地进行分词。

第四步，确定切词得到的词集合中的词的词频。

在这些实现方式中，上述执行主体可以通过各种方式确定上述第三步切词得到的词集合的词频。作为示例，上述执行主体可以首先确定切词得到的词集合中各词的出现次数。之后，上述执行主体可以将各词的出现次数确定为各词的词频。

第五步，将目标网络设备日志集合中的网络设备日志对应的切词后得到的词按照所确定的词频的降序排列，生成日志信息集合。

在这些实现方式中，上述执行主体可以将目标网络设备日志集合中的网络设备日志中的词按照词频的降序排列，从而生成各网络设备日志对应的日志信息，形成上述日志信息集合。

步骤202，根据日志信息集合，生成树结构。

在本实施例中，根据步骤201所获取的基于网络设备日志生成的日志信息集合，上述执行主体可以通过各种方式生成树结构。其中，上述树结构的节点可以包括上述日志信息集合中的词。上述节点形成的路径可以与上述日志信息中的日志信息所指示的词的顺序一致。

作为示例，上述执行主体可以从上述步骤201所获取的日志信息集合中选取一条日志信息。之后，将选取的日志信息所指示的词序列作为上述树结构的一条路径。从而，词频较低的词可以作为词频较高的词的分支。而后，上述执行主体可以重新从上述日志信息集合中选取未选取过的日志信息，当重新选取的日志信息中包括的词序列与上述树结构中已经存在的路径相匹配，上述执行主体可以共享已存在的路径；响应于确定重新选取的日志信息中包括的词序列与上述树结构中已经存在的路径不匹配，上述执行主体可以进行分枝，以形成新的路径，以此类推。

作为又一示例，上述执行主体还可以采用FP(Frequent Pattern，频繁模式)-Growth算法生成频繁模式树作为上述树结构。

可选地，上述执行主体还可以从上述树结构中选取与之连接的子节点的数目大于预设阈值的节点，将上述子节点对应的词替换为表征变量的符号。实践中，对于日志中频繁变换的词，则更有可能属于变量。通过上述方式，可以避免变量对日志模板生成产生干扰。

在本实施例的一些可选的实现方式中，根据上述日志信息集合，上述执行主体可以按照如下步骤生成树结构：

第一步，对于日志信息集合中的日志信息，提取该日志信息中的消息类型。

在这些实现方式中，上述执行主体可以通过各种方式提取上述日志信息集合中的日志信息中的消息类型。作为示例，上述执行主体可以通过正则表达式提取“消息类型”字段对应的值。作为又一示例，上述执行主体可以根据预设的消息类型进行匹配。

第二步，将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构。

在这些实现方式中，上述执行主体可以将上述第一步所提取的消息类型作为上述树结构的根节点，从而生成与消息类型匹配的至少一个树结构。

基于上述可选的实现方式，本方案可以针对每个消息类型生成对应的树结构，有效地控制了树结构本身的数据量。从而节约了树结构的存储量，提升了匹配速率。

可选地，基于上述可选的实现方式，上述执行主体还可以按照如下步骤将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构：

S1、确定切词得到的词集合中的词对应的条件概率。

在这些实现方式中，上述执行主体可以通过各种方式确定切词得到的词集合中的词对应的条件概率。其中，上述条件概率可以用于表征属于同一条网络设备日志的词之间的共现关系。作为示例，日志信息集合中的一条日志信息可以为“开启接口186”。则，词“开启”对应的条件概率可以包括“开启”和“接口”共同出现的次数与“开启”出现的次数的比值、“开启”和“186”共同出现的次数与“开启”出现的次数的比值。

S2、对于日志信息集合中的日志信息，根据该日志信息中词的顺序生成树结构的路径。

在这些实现方式中，对于日志信息集合中的日志信息，上述执行主体可以通过各种方式根据该日志信息中词的顺序生成上述树结构的路径。其中，上述树结构的路径所指示的词对应的条件概率通常大于预设阈值。上述树结构的根节点可以与所提取的消息类型一致。

作为示例，上述执行主体可以在对已有树结构进行分枝前确定日志信息中包括的词序列对应的条件概率是否大于预设阈值(例如5％)。当小于等于上述预设阈值时，上述执行主体可以舍弃该词序列构成的路径；当大于上述预设阈值时，上述执行主体可以将该词序列构成上述树结构的路径。

步骤203，基于树结构中的路径，生成至少一个网络设备日志模板。

在本实施例中，基于步骤202所生成的树结构中的路径，上述执行主体可以通过各种生成至少一个网络设备日志模板。作为示例，上述执行主体可以通过各种剪枝策略对上述步骤202所生成的树结构进行剪枝。之后，上述执行主体可以通过各种方式从剪枝后保留的树结构中提取路径作为上述至少一个网络设备日志模板。

在本实施例的一些可选的实现方式中，基于树结构中的路径，上述执行主体可以按照如下步骤生成至少一个网络设备日志模板：

第一步，基于树结构的节点的数量对树结构进行剪枝。

在这些实现方式中，上述执行主体可以基于树结构的节点的数量对树结构进行剪枝。作为示例，上述执行主体可以对子节点数目大于预设子节点数目阈值的节点进行相应的剪枝。

第二步，根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

在这些实现方式中，根据剪枝后的树结构的节点所形成的至少一个路径，上述执行主体可以通过各种方式生成至少一个网络设备日志模板。作为示例，上述执行主体可以将上述剪枝后的树结构的节点所形成的至少一个路径确定为对应的至少一个网络设备日志模板。作为又一示例，上述执行主体可以选取包括的节点数大于预设节点数目阈值(例如5)的路径作为网络设备日志模板。从而，由于限定了最少节点数目，可以使得所生成的网络设备日志模板能够反映更为具体的日志内容，进而可以提升网络日志的处理速度。

可选地，基于上述可选的实现方式，根据剪枝后的树结构的节点所形成的至少一个路径，上述执行主体还可以按照如下步骤生成至少一个网络设备日志模板：

S1、从剪枝后的树结构中剔除用于表征变量的节点。

在这些实现方式中，上述执行主体可以从剪枝后的树结构中剔除用于表征变量的节点。其中，用于表征变量的节点可以与前述描述一致，此处不再赘述。

S2、根据剔除节点后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

在这些实现方式中，根据步骤S1剔除节点后的树结构的节点所形成的至少一个路径，上述执行主体可以通过各种方式生成至少一个网络设备日志模板。其中，上述网络设备日志模板中的词的顺序可以与网络设备日志中词的顺序一致。作为示例，上述执行主体可以将上述节点所形成的路径中的词序列按照与网络设备日志中词的顺序一致的顺序进行调整，从而生成符合语义的网络设备日志模板，进而便于后续运维工程师发现日志模板所指示的系统问题。

在本实施例的一些可选的实现方式中，上述执行主体还可以利用所生成的至少一个网络设备日志模板进行在线网络设备日志的匹配。从而，可以提升大规模网络设备日志的分析效率。

继续参见图3，图3是根据本公开的实施例的用于生成网络设备日志模板的方法的应用场景的一个示意图。在图3的应用场景中，服务器301和服务器302可以分别将本机的网络设备日志303和304发送至用于生成日志模板的服务器305。而后，服务器305可以获取基于上述网络设备日志生成的日志信息集合306。接下来，服务器305可以生成树结构307。最后，服务器305可以基于树结构307中的路径生成网络设备日志模板308。

目前，现有技术之一通常是由运维工程师根据经验设定关键字或编写正则表达式来对网络设备日志进行分类，导致难以较为全面地涵盖网络设备日志的类型，而且不便于实时匹配。而本公开的上述实施例提供的方法，通过包括按词频降序排列的词的日志信息集合生成树结构，并基于树结构中的路径生成网络设备日志模板，从而实现了不依赖人工标注的网络设备日志模板的自动生成，提升了模板生成效率。而且，由于直接从原始日志数据中提取模板，从而可以更为全面地覆盖日志消息类型，有效提升大规模网络设备日志的匹配率。

进一步参考图4，其示出了用于生成网络设备日志模板的方法的又一个实施例的流程400。该用于生成网络设备日志模板的方法的流程400，包括以下步骤：

步骤401，获取基于网络设备日志生成的日志信息集合。

步骤402，根据日志信息集合，生成树结构。

步骤403，基于树结构中的路径，生成至少一个网络设备日志模板。

上述步骤401、步骤402、步骤403分别与前述实施例中的步骤201、步骤202、步骤203及其可选的实现方式一致，上文针对步骤201、步骤202、步骤203及其可选的实现方式的描述也适用于步骤401、步骤402和步骤403，此处不再赘述。

步骤404，从所生成的至少一个网络设备日志模板中选取异常预警模板。

在本实施例中，用于生成网络设备日志模板的方法的执行主体(例如图1所示的服务器105)可以通过各种方式从步骤403所生成的至少一个网络设备日志模板中选取异常预警模板。其中，上述异常预警模板可以用于指示匹配的日志属于异常日志。作为示例，上述执行主体可以将所生成的至少一个网络设备日志模板发送至运维工程师所使用的终端设备。之后，上述执行主体可以接收上述终端设备反馈的与至少一个网络设备日志模板对应的标注信息。而后，上述执行主体可以选取用于表征异常预警的标注信息对应的网络设备日志模板作为上述异常预警模板。

在本实施例的一些可选的实现方式中，上述执行主体可以从所生成的至少一个网络设备日志模板中选取与预设的异常预警词典相匹配的网络设备日志模板作为上述异常预警模板。作为示例，上述异常预警词典中可以包括但不限于以下至少一项：超时，告警，风险。

步骤405，对至少一个网络设备日志模板中的非异常预警模板进行聚类。

在本实施例中，上述执行主体可以通过各种文本聚类方式对至少一个网络设备日志模板中的非异常预警模板进行聚类。作为示例，上述执行主体可以首先从上述步骤403所生成的至少一个网络设备日志模板中将步骤404所选取的异常预警模板排除。之后，上述执行主体可以通过各种方式对剩余的网络设备日志模板进行聚类。

步骤406，为聚类后的网络设备日志模板生成相应的类别标签。

在本实施例中，上述执行主体通过各种方式可以为步骤405聚类后的网络设备日志模板生成相应的类别标签。作为示例，上述执行主体可以从聚类后各类别中选取目标数目(例如1或10％)的网络设备日志模板发送至运维工程师所使用的终端设备。之后，上述执行主体可以接收上述终端设备反馈的与网络设备日志模板对应的标注信息。而后，上述执行主体可以将上述标注信息确定为对应的类别标签。作为又一示例，上述执行主体可以从聚类后各类别中选取目标数目(例如1或10％)的网络设备日志模板。而后将选取的网络设备日志模板与预设的类别对应关系表进行匹配，从而生成类别标签。其中，上述类别对应关系表可以用于表征类别标签与日志模板之间的对应关系。

从图4中可以看出，本实施例中的用于生成网络设备日志模板的方法的流程400体现了生成异常预警模板以及对非异常预警目标进行聚类的步骤。由此，本实施例描述的方案可以对所生成的网络设备日志模板进行分类，从而一方面增强了网络设备日志模板的可理解性，另一方面有助于提升对网络设备日志进行在线分类分析的效率。

进一步参考图5，作为对上述各图所示方法的实现，本公开提供了用于生成网络设备日志模板的装置的一个实施例，该装置实施例与图2或图4所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图5所示，本实施例提供的用于生成网络设备日志模板的装置500包括获取单元501、第一生成单元502和第二生成单元503。其中，获取单元501，被配置成获取基于网络设备日志生成的日志信息集合，其中，日志信息集合中的日志信息包括按词频降序排列的词；第一生成单元502，被配置成根据日志信息集合，生成树结构，其中，树结构的节点包括日志信息集合中的词，节点形成的路径与日志信息中的日志信息所指示的词的顺序一致；第二生成单元503，被配置成基于树结构中的路径，生成至少一个网络设备日志模板。

在本实施例中，用于生成网络设备日志模板的装置500中：获取单元501、第一生成单元502和第二生成单元50的具体处理及其所带来的技术效果可分别参考图2对应实施例中的步骤201、步骤202和步骤203的相关说明，在此不再赘述。

在本实施例的一些可选的实现方式中，上述第一生成单元502可以包括提取模块(图中未示出)，被配置成对于日志信息集合中的日志信息，提取该日志信息中的消息类型；第一生成模块(图中未示出)，被配置成将所提取的消息类型作为树结构的根节点，生成与消息类型匹配的至少一个树结构。

在本实施例的一些可选的实现方式中，上述生成模块可以被进一步配置成：确定切词得到的词集合中的词对应的条件概率，其中，条件概率可以用于表征属于同一条网络设备日志的词之间的共现关系；对于日志信息集合中的日志信息，根据该日志信息中词的顺序生成树结构的路径，其中，树结构的路径所指示的词对应的条件概率可以大于预设阈值，树结构的根节点可以与所提取的消息类型一致。

在本实施例的一些可选的实现方式中，上述第二生成单元503可以包括剪枝模块(图中未示出)，被配置成基于树结构的节点的数量对树结构进行剪枝；第二生成模块(图中未示出)，被配置成根据剪枝后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板。

在本实施例的一些可选的实现方式中，上述第二生成模块可以被进一步配置成：从剪枝后的树结构中剔除用于表征变量的节点；根据剔除节点后的树结构的节点所形成的至少一个路径，生成至少一个网络设备日志模板，其中，网络设备日志模板中的词的顺序可以与网络设备日志中词的顺序一致。

在本实施例的一些可选的实现方式中，上述获取单元501可以被进一步配置成：获取初始网络设备日志集合；对初始网络设备日志集合进行过滤，生成目标网络设备日志集合；对目标网络设备日志集合中的网络设备日志进行切词；确定切词得到的词集合中的词的词频；将目标网络设备日志集合中的网络设备日志对应的切词后得到的词按照所确定的词频的降序排列，生成日志信息集合。

在本实施例的一些可选的实现方式中，用于生成网络设备日志模板的装置还可以包括：选取单元，被配置成从所生成的至少一个网络设备日志模板中选取异常预警模板，其中，异常预警模板可以用于指示匹配的日志属于异常日志；聚类单元，被配置成对至少一个网络设备日志模板中的非异常预警模板进行聚类；第三生成单元，被配置成为聚类后的网络设备日志模板生成相应的类别标签。

在本实施例的一些可选的实现方式中，上述选取单元可以被进一步配置成：从所生成的至少一个网络设备日志模板中选取与预设的异常预警词典相匹配的网络设备日志模板作为异常预警模板。

本公开的上述实施例提供的装置，通过第一生成单元502根据获取单元501获取的包括按词频降序排列的词的日志信息集合生成树结构，以及第二生成单元503基于树结构中的路径生成网络设备日志模板，从而实现了不依赖人工标注的网络设备日志模板的自动生成，提升了模板生成效率。而且，由于直接从原始日志数据中提取模板，从而可以更为全面地覆盖日志消息类型，有效提升大规模网络设备日志的匹配率。

下面参考图6，其示出了适于用来实现本申请实施例的电子设备(例如图1中的服务器)600的结构示意图。本申请实施例中的终端设备可以包括但不限于诸如移动电话、笔记本电脑、数字广播接收器、PDA(个人数字助理)、PAD(平板电脑)、PMP(便携式多媒体播放器)、车载终端(例如车载导航终端)等等的移动终端以及诸如数字TV、台式计算机等等的固定终端。图6示出的服务器仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600可以包括处理装置(例如中央处理器、图形处理器等)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储装置608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有电子设备600操作所需的各种程序和数据。处理装置601、ROM 602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

通常，以下装置可以连接至I/O接口605：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置606；包括例如液晶显示器(LCD，LiquidCrystal Display)、扬声器、振动器等的输出装置607；包括例如磁带、硬盘等的存储装置608；以及通信装置609。通信装置609可以允许电子设备600与其他设备进行无线或有线通信以交换数据。虽然图6示出了具有各种装置的电子设备600，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图6中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

特别地，根据本申请的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置609从网络上被下载和安装，或者从存储装置608被安装，或者从ROM 602被安装。在该计算机程序被处理装置601执行时，执行本申请的实施例的方法中限定的上述功能。

需要说明的是，本公开的实施例所述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(Radio Frequency，射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述服务器中所包含的；也可以是单独存在，而未装配入该服务器中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该服务器执行时，使得该服务器：获取基于网络设备日志生成的日志信息集合，其中，日志信息集合中的日志信息包括按词频降序排列的词；根据日志信息集合，生成树结构，其中，树结构的节点包括日志信息集合中的词，节点形成的路径与日志信息中的日志信息所指示的词的顺序一致；基于树结构中的路径，生成至少一个网络设备日志模板。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”、Python语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开的各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器，包括获取单元、第一生成单元、第二生成单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，获取单元还可以被描述为“获取基于网络设备日志生成的日志信息集合的单元，其中，日志信息集合中的日志信息包括按词频降序排列的词”。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开的实施例中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开的实施例中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (11)

1.一种用于生成网络设备日志模板的方法，包括：

获取基于网络设备日志生成的日志信息集合，其中，所述日志信息集合中的日志信息包括按词频降序排列的词；

根据所述日志信息集合，生成树结构，其中，所述树结构的节点包括所述日志信息集合中的词，所述节点形成的路径与所述日志信息中的日志信息所指示的词的顺序一致；

基于所述树结构中的路径，生成至少一个网络设备日志模板。

2.根据权利要求1所述的方法，其中，所述根据所述日志信息集合，生成树结构，包括：

对于所述日志信息集合中的日志信息，提取该日志信息中的消息类型；

将所提取的消息类型作为所述树结构的根节点，生成与消息类型匹配的至少一个树结构。

3.根据权利要求2所述的方法，其中，所述将所提取的消息类型作为所述树结构的根节点，生成与消息类型匹配的至少一个树结构，包括：

确定切词得到的词集合中的词对应的条件概率，其中，所述条件概率用于表征属于同一条网络设备日志的词之间的共现关系；

对于所述日志信息集合中的日志信息，根据该日志信息中词的顺序生成所述树结构的路径，其中，所述树结构的路径所指示的词对应的条件概率大于预设阈值，所述树结构的根节点与所提取的消息类型一致。

4.根据权利要求1所述的方法，其中，所述基于所述树结构中的路径，生成至少一个网络设备日志模板，包括：

基于所述树结构的节点的数量对所述树结构进行剪枝；

根据剪枝后的树结构的节点所形成的至少一个路径，生成所述至少一个网络设备日志模板。

5.根据权利要求4所述的方法，其中，所述根据剪枝后的树结构的节点所形成的至少一个路径，生成所述至少一个网络设备日志模板，包括：

从所述剪枝后的树结构中剔除用于表征变量的节点；

根据所述剔除节点后的树结构的节点所形成的至少一个路径，生成所述至少一个网络设备日志模板，其中，所述网络设备日志模板中的词的顺序与网络设备日志中词的顺序一致。

6.根据权利要求1所述的方法，其中，所述获取基于网络设备日志生成的日志信息集合，包括：

获取初始网络设备日志集合；

对所述初始网络设备日志集合进行过滤，生成目标网络设备日志集合；

对所述目标网络设备日志集合中的网络设备日志进行切词；

确定切词得到的词集合中的词的词频；

将所述目标网络设备日志集合中的网络设备日志对应的切词后得到的词按照所确定的词频的降序排列，生成所述日志信息集合。

7.根据权利要求1-6之一所述的方法，其中，所述方法还包括：

从所生成的至少一个网络设备日志模板中选取异常预警模板，其中，所述异常预警模板用于指示匹配的日志属于异常日志；

对所述至少一个网络设备日志模板中的非异常预警模板进行聚类；

为聚类后的网络设备日志模板生成相应的类别标签。

8.根据权利要求7所述的方法，其中，所述从所生成的至少一个网络设备日志模板中选取异常预警模板，包括：

从所生成的至少一个网络设备日志模板中选取与预设的异常预警词典相匹配的网络设备日志模板作为所述异常预警模板。

9.一种用于生成网络设备日志模板的装置，包括：

获取单元，被配置成获取基于网络设备日志生成的日志信息集合，其中，所述日志信息集合中的日志信息包括按词频降序排列的词；

第一生成单元，被配置成根据所述日志信息集合，生成树结构，其中，所述树结构的节点包括所述日志信息集合中的词，所述节点形成的路径与所述日志信息中的日志信息所指示的词的顺序一致；

第二生成单元，被配置成基于所述树结构中的路径，生成至少一个网络设备日志模板。

10.一种服务器，包括：

一个或多个处理器；

存储装置，其上存储有一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-8中任一所述的方法。

11.一种计算机可读介质，其上存储有计算机程序，其中，该程序被处理器执行时实现如权利要求1-8中任一所述的方法。

Images