CN114301768A - 网络功能虚拟化nfv设备的异常检测方法及装置 - Google Patents

Abstract

本申请公开了一种网络功能虚拟化NFV设备的异常检测方法、装置及电子设备，以至少解决现有的异常检测方法对NFV设备进行异常检测得到的检测结果不准确的问题。所述方法包括：获取NFV设备在指定时间段的运行日志集合；基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

Description

网络功能虚拟化NFV设备的异常检测方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种网络功能虚拟化NFV设备的异常检测方法及装置。

背景技术

异常检测技术被广泛应用到各个应用领域之中，例如包括智能运维检测、金融检测等。现有的异常检测方法，主要是通过机器学习相关算法对被测对象的日志数据测试样本进行训练，得到相应的异常检测模型，进而基于异常检测模型对待识别对象的日志数据进行识别，得到待识别对象的异常检测结果。

然而，由于NFV(Network Function Virtualization，网络功能虚拟化)设备的类型众多，同一类型的NFV设备在运行过程中也会产生不同类型的日志数据，而不同类型的NFV设备产生的不同类型的日志数据又无规则、无标准而言，因而依据现有的异常检测方法对NFV设备进行异常检测得到的检测结果不准确。

发明内容

本申请实施例提供一种网络功能虚拟化NFV设备的异常检测方法，以至少解决现有的异常检测方法对NFV设备进行异常检测得到的检测结果不准确的问题。

为了解决上述技术问题，本申请实施例采用下述技术方案：

第一方面，本申请实施例提供一种网络功能虚拟化NFV设备的异常检测方法，包括：

获取NFV设备在指定时间段的运行日志集合；

基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

可选地，基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据，包括：

对于每个运行日志子集合，基于与所述运行日志子集合匹配的预设关键字段提取策略，提取所述运行日志子集合中各运行日志的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息，包括：

对于每个运行日志子集合，基于所述时间序列异常检测算法和所述运行日志子集合中各运行日志的关键字段数据，生成所述运行日志子集合对应的时间序列，以及基于与所述运行日志子集合匹配的基线数据生成基线时间序列；

获取所述时间序列与所述基线时间序列对应于各个指定时刻的偏差；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据；

基于各个所述运行日志子集合中的异常关键字段数据，确定所述NFV设备的异常信息。

可选地，在基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据之前，所述方法还包括：

对于所述时间序列的每一指定时刻，基于所述时间序列与所述基线时间序列对应于与所述指定时刻相邻的多个目标时刻的偏差，确定所述指定时刻对应的偏差阈值；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据，包括：

对于所述时间序列的每一指定时刻，若所述指定时刻的偏差大于或等于所述指定时刻对应的偏差阈值，则确定所述时间序列在所述指定时刻的关键字段数据为异常关键字段数据。

可选地，基于各个所述运行日志子集合中存在异常的关键字段数据，确定所述NFV设备的异常信息，包括：

按照出现次数及出现时间对各个所述运行日志子集合中的异常关键字段数据进行统计；

将在设定时长内连续出现预设次数的异常关键字段数据进行合并；

基于合并后的异常关键字段数据确定所述NFV设备的异常信息。

可选地，在获取NFV设备在指定时间段的运行日志集合之前，所述方法还包括：

将当前时刻之前第一预定时长对应的时刻作为本次异常检测的起始时刻；

若上一次异常检测的指定时间段的结束时刻晚于所述本次异常检测的起始时刻，则将所述上一次异常检测的指定时间段的结束时刻与所述当前时刻之间的时间段，作为本次异常检测的指定时间段。

可选地，在获取NFV设备在指定时间段的运行日志集合之前，所述方法还包括：

确定所述NFV设备在所述指定时间段内的运行日志的数量大于或等于设定数量。

可选地，在基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合之前，所述方法还包括：

若所述指定时间段包含预设的工程操作时间段，则从所述运行日志集合筛除所述NFV设备在所述工程操作时间段的运行日志，得到新的运行日志集合；

基于日志类型对所述运行日志集合进行划分，包括：

基于日志类型对所述新的运行日志集合进行划分。

第二方面，本申请实施例提供一种网络功能虚拟化NFV设备的异常检测装置，包括：

运行日志获取模块，用于获取NFV设备在指定时间段的运行日志集合；

划分模块，用于基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

数据提取模块，用于基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

异常检测模块，用于基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

可选地，所述数据提取模块具体用于：

对于每个运行日志子集合，基于与所述运行日志子集合匹配的预设关键字段提取策略，提取所述运行日志子集合中各运行日志的关键字段数据；

所述异常检测模块具体用于：

对于每个运行日志子集合，基于所述时间序列异常检测算法和所述运行日志子集合中各运行日志的关键字段数据，生成所述运行日志子集合对应的时间序列，以及基于与所述运行日志子集合匹配的基线数据生成基线时间序列；

获取所述时间序列与所述基线时间序列对应于各个指定时刻的偏差；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据；

基于各个所述运行日志子集合中的异常关键字段数据，确定所述NFV设备的异常信息。

可选地，所述装置还包括：

偏差阈值确定模块，用于对于所述时间序列的每一指定时刻，基于所述时间序列与所述基线时间序列对应于与所述指定时刻相邻的多个目标时刻的偏差，确定所述指定时刻对应的偏差阈值，以及在确定所述指定时刻对应的偏差阈值之后，触发所述异常检测模块；

所述异常检测模块具体用于：

对于所述时间序列的每一指定时刻，若所述指定时刻的偏差大于或等于所述指定时刻对应的偏差阈值，则确定所述时间序列在所述指定时刻的关键字段数据为异常关键字段数据。

可选地，所述异常检测模块具体用于：

按照出现次数及出现时间对各个所述运行日志子集合中的异常关键字段数据进行统计；

将在设定时长内连续出现预设次数的异常关键字段数据进行合并；

基于合并后的异常关键字段数据确定所述NFV设备的异常信息。

可选地，所述装置还包括：

第一筛选模块，用于将当前时刻之前第一预定时长对应的时刻作为本次异常检测的起始时刻，若上一次异常检测的指定时间段的结束时刻晚于所述本次异常检测的起始时刻，则将所述上一次异常检测的指定时间段的结束时刻与所述当前时刻之间的时间段，作为本次异常检测的指定时间段，以及在确定所述本次异常检测的指定时间段之后，触发所述运行日志获取模块。

可选地，所述第一筛选模块还用于：

在触发所述运行日志获取模块之前，确定所述NFV设备在所述指定时间段内的运行日志的数量大于或等于设定数量。

可选地，所述装置还包括：

第二筛选模块，用于在所述指定时间段包含预设的工程操作时间段的情况下，从所述运行日志集合筛除所述NFV设备在所述工程操作时间段的运行日志，得到新的运行日志集合，以及在得到所述新的运行日志集合之后，触发所述运行日志获取模块；

所述划分模块具体用于：

基于日志类型对所述新的运行日志集合进行划分。

第三方面，本申请实施例提供一种电子设备，包括：

处理器；

用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述指令，以实现如第一方面所述的方法。

第四方面，本申请实施例提供一种计算机可读存储介质，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行如第一方面所述的方法。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

通过按照日志类型，对NFV设备在指定时间段的运行日志集合划分为多个运行日志子集合，基于与多个运行日志子集合匹配的预设关键字段提取策略，提取多个运行日志子集合中的关键字段数据，并基于与多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对提取出的关键字段数据进行异常检测，以确定NFV设备的异常信息，整个异常检测过程中考虑了不同日志类型的运行日志之间的字段差异及异常情况差异，针对不同日志类型的运行日志采用相应的异常检测方式，可以避免不同类型的运行日志之间的差异对NFV设备的异常检测结果带来的影响；同时，由于NFV设备的运行日志具有时间上的序列性，通过预先设置的时间序列异常检测算法对多个运行日志子集合中的关键字段数据进行异常检测，可以准确获取运行日志子集合中的异常关键字段数据，进而可以准确识别NFV设备的异常信息。因此，本申请实施例提供的方法，相较于现有技术中的异常检测方法，有效性和准确率更高。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种网络功能虚拟化NFV设备的异常检测方法的流程图；

图2为本申请实施例提供的另一种网络功能虚拟化NFV设备的异常检测方法的流程图；

图3为本申请实施例提供的一种网络功能虚拟化NFV设备的异常检测装置的结构示意图；

图4为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

实施例1

请参见图1，本申请实施例提供一种网络功能虚拟化NFV设备的异常检测方法，该方法可由电子设备执行，例如，电子设备可以为服务器(称为“检测服务器”)。如图1所示，该方法包括以下步骤：

S12，获取NFV设备在指定时间段的运行日志集合。

指定时间段可以是当前时刻之前的任意历史时间段。在实际应用中，指定时间段可以是当前时刻之前的某一天，如8月10日、周一等；或者，指定时间段也可以是当前时刻之前的某一段时间，如上午、13：00-14:00等；或者，指定时间段也可以是当前时刻之前的某一月，如1月、2月等；或者，指定时间段还可以是当前时刻之前的某一年，如2019年。需要说明的是，指定时间段的粒度可以根据实际需要自定义设置。

其中，NFV设备在运行过程中，通常会生成运行日志。NFV设备在指定时间段的运行日志集合可通过多种方式获取。

在一种可选的实施方式中，可在NFV设备上安装探针(Agent)，通过该探针将NFV设备的运行日志推送到检测服务器上。

在另一种可选的实施方式中，对于不支持探针的设备，可以通过FTP(FileTransfer Protocol，文件传输协议)，由检测服务器主动登录到NFV设备下载NFV设备的运行日志。

在其他一些可选的实施方式中，也可以在虚拟化网元上配置运行日志主动推送，通过syslog的方式将NFV设备的运行日志推送到检测服务器上。

需要说明的是，在获取NFV设备的运行日志集合时，可以在需要对NFV设备进行异常检测时获取NFV设备在指定时间段的运行日志集合；或者，也可以按照设定的时间间隔获取NFV设备在指定时间段的运行日志集合，由此可以实现对NFV设备的周期性异常检测。

S14，基于日志类型对运行日志集合进行划分，得到多个运行日志子集合。

其中，运行日志的日志类型可以包括操作类运行日志、安全类运行日志以及系统类运行日志等，本申请实施例对日志类型不作具体限定。

由于不同日志类型的运行日志在NFV设备异常时呈现的数据内容不同，为了提高对NFV设备的异常检测结果的准确率，可通过对运行日志集合中的运行日志按照日志类型进行划分，可以得到多个运行日志子集合，每个运行日志子集合对应一个日志类型，以便后续按照每个运行日志子集合对应的日志类型对每个运行日志子集合进行分析。

S16，基于与多个运行日志子集合匹配的预设关键字段提取策略，提取多个运行日志子集合中的关键字段数据。

其中，运行日志包括一个或多个字段，关键字段可以是运行日志中的所有字段，或者，关键字段也可以是运行日志中具有代表性的部分字段。实际应用中，关键字段可以是不同日志类型的运行日志的关键字段可根据专家经验预先设置。

具体实施时，预设关键字段提取策略可以以正则表达式的形式存储在上述用于检测服务器中，进而该检测服务器可基于与多个运行日志子集合匹配的正则表达式对多个运行日志子集合中的运行日志进行关键字段数据的提取。

S18，基于与多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对多个运行日志子集合中的关键字段数据进行异常检测，以确定NFV设备的异常信息。

其中，基线数据是指作为检测NFV设备的运行日志是否异常的基线的数据。考虑到不同日志类型的运行日志包含的数据内容存在差异，因此，可针对不同日志类型的运行日志子集合设置不同的基线数据，进而针对每个运行日志子集合，基于与该运行日志子集合匹配的基线数据，对该运行日志子集合中的关键字段数据进行异常检测，以识别该运行日志子集合中的异常关键字段数据，进一步可根据各个运行日志子集合中的异常关键字段数据，确定NFV设备的异常信息，其中，NFV设备的异常信息可以例如包括但不限于：异常原因、异常类型、出现异常的时间等。

此外，由于NFV设备的运行日志具有时间上的序列性，通过预先设置的时间序列异常检测算法对多个运行日志子集合中的关键字段数据进行异常检测，可以准确获取运行日志子集合中的异常关键字段数据。

通过本申请实施例提供的网络功能虚拟化NFV设备的异常检测方法，通过按照日志类型，对NFV设备在指定时间段的运行日志集合划分为多个运行日志子集合，基于与多个运行日志子集合匹配的预设关键字段提取策略，提取多个运行日志子集合中的关键字段数据，并基于与多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对提取出的关键字段数据进行异常检测，以确定NFV设备的异常信息，整个异常检测过程中考虑了不同日志类型的运行日志之间的字段差异及异常情况差异，针对不同日志类型的运行日志采用相应的异常检测方式，可以避免不同类型的运行日志之间的差异对NFV设备的异常检测结果带来的影响；同时，由于NFV设备的运行日志具有时间上的序列性，通过预先设置的时间序列异常检测算法对多个运行日志子集合中的关键字段数据进行异常检测，可以准确获取运行日志子集合中的异常关键字段数据，进而可以准确识别NFV设备的异常信息。因此，本申请实施例提供的方法，相较于现有技术中的异常检测方法，有效性和准确率更高。

下面结合具体的例子来描述本申请实施例提供的技术方案的实现过程。

在上述步骤S16，由于不同日志类型的运行日志包含的字段存在差异，为了进一步提高对NFV设备的异常检测结果的准确率，在可选的方案中，如图2所示，上述步骤S16可以包括：针对不同日志类型的运行日志设置相匹配的关键字段提取策略，进而可针对每个运行日志子集合，基于与该运行日志子集合匹配的预设关键字段提取策略，提取该运行日志子集合中各运行日志的关键字段数据。

例如，系统类运行日志的关键字段可以包括告警发生时间(dataTime)、告警名称(AlarmName)、发生告警的模块(Module)、发生告警的子模块(Zmodule)、定位信息(AllocationMessage)以及其他描述信息(OtherDesMess)等。相应地，与该日志类型的运行日志匹配的预设关键字段提取策略可采用以下正则表达式：

^(？:[^\n]*\n){1}(？:[^

\n]*){13}(？<dataTime:Datetime>[^\n]+)(？:[^\n]*\n){1}(？:[^

\n]*){17}(？<AlarmName>[^\n]+)(？:[^\n]*\n){1}(？:[^

\n]*){21}(？<Module>[^\n]+)(？:[^\n]*\n){1}(？:[^

\n]*){15}(？<Zmodule>[^\n]+)(？:[^\n]*\n){1}(？:[^

\n]*){17}(？<AllocationMessage>[^\n]+)(？:[^\n]*\n){1}(？:[^

\n]*){13}(？<OtherDesMess>[^\n]+)

在上述步骤S18中，考虑到同一运行日志子集合中的各运行日志是NFV设备在指定时间段内的不同时间产生的，因而这些运行日志的关键字段数据在时间上具有一定的序列性，因此，可通过这些运行日志的关键字段数据在时间上的分布规律，识别出存在异常的关键字段数据。具体来说，如图2所示，上述步骤S18可以包括：

S181，对每个运行日志子集合，基于预先设置的时间序列异常检测算法和该运行日志子集合中各运行日志的关键字段数据，生成运行日志子集合对应的时间序列。

其中，时间序列异常检测算法可以为EGADS(Extensible Generic AnomalyDynamic System，大规模时间序列异常检测)算法。具体来说，对于每个运行日志子集合中个而言，可以将该运行日志子集合中各个关键字段数据按照所属的关键字段进行分类，得到各个关键字段在指定时间段的关键字段数据，并将这些关键字段数据按照生成时间的先后顺序进行排序，得到各个关键字段对应的关键字段数据序列。进一步地，对于每个关键字段对应的关键字段序列，可通过EGADS算法学习该关键字段数据序列的特征，并重新构建一个和原序列(即构建前的关键字段数据序列)尽量接近的时间序列，由此可将该运行日志子集合中所有关键字段对应的所述时间序列，作为该运行日志子集合对应的时间序列。

S182，基于与该运行日志子集合匹配的基线数据生成基线时间序列。

实际应用中，对于每一运行日志子集合而言，可以获取与待检测的NFV设备类型相同的其他正常的NFV设备作为基线NFV设备，将基线NFV设备上述同一指定时间段生成的、该运行日志子集合对应的日志类型的运行日志集合，作为基线运行日志子集合，并基于与该基线运行日志子集合匹配的预设关键字段提取策略，提取该基线运行日志子集合中的关键字段数据，进而将提取出的关键字段数据作为该与运行日志子集合匹配的基线数据。

或者，对于每一运行日志子集合而言，也可以获取该待检测的NFV设备在与该指定时间段匹配的历史时间段生成的、该运行日志子集合对应的日志类型的运行日志集合，作为基线运行日志子集合，并基于与该基线运行日志子集合匹配的预设关键字段提取策略，提取该基线运行日志子集合中的关键字段数据，进而将提取出的关键字段数据作为该与运行日志子集合匹配的基线数据。

与上述生成运行日志子集合对应的时间序列的方法类似，基于与运行日志子集合匹配的基线数据可生成基线时间序列。

S183，获取与该运行日志子集合对于的时间序列与基线时间序列对应于各个指定时刻的偏差。

其中，指定时刻可以是该运行日志子集合中各运行日志的生成时刻。

如前文所述，对于每个运行日志子集合而言，该运行日志子集合对应的时间序列包括不同关键字段对应的时间序列，因此，对于该运行日志子集合中的每个关键字段而言，可获取该关键字段对应的时间序列与该关键字段匹配的基线时间序列对应于各个指定时刻的偏差。

S184，基于各个指定时刻的偏差和预设阈值，确定该运行日志子集合中的异常关键字段数据。

对于该运行日志子集合中的每个关键字段而言，在获取到该关键字段对应的时间序列与该关键字段匹配的基线时间序列对应于各个指定时刻的偏差后，可将各个指定时刻的偏差与预设的偏差阈值进行比较，若某一指定时刻的偏差大于或等于该偏差阈值，则可确定关键字段在该指定时刻的关键字段数据存在异常。

实际应用中，偏差阈值可根据实际需要自定义设置。具体地，各个指定时刻的偏差阈值可以设置为一相同的固定值，或者也可以设置为不同的固定值。当然，在更为优选的方案中，考虑到NFV设备在不同时段的运行日志中的关键字段数据可能存在较大差异，进而得到的各个关键字段对应的时间序列与相匹配的基线时间序列在部分或全部指定时刻之间的偏差存在较大差异，如果针对各个指定时刻的偏差阈值设置为相同的固定值，可能会导致对异常关键字段数据的误判或者漏判。

有鉴于此，可基于超低密度模型算法来确定各个指定时刻对应的偏差阈值。具体来说，针对每个指定时刻，可根据各个关键字段对应的时间序列与匹配的基线时间序列在该指定时刻相邻的多个目标时刻的偏差，确定该指定时刻对应的偏差阈值。例如，对于每个指定时刻，可将时间序列与其匹配的基线时间序列在上述多个目标时刻的偏差的平均值，作为该指定时刻对应的偏差阈值。

S185，基于各个运行日志子集合中的异常关键字段数据，确定NFV设备的异常信息。

在确定出各个运行日志子集合中的异常关键字段数据后，可根据异常关键字段数据确定NFV设备的异常部件或异常功能模块，进而可以获知NFV设备的异常类型等信息。

可以理解，在上述方案中，通过对每个运行日志子集合，基于时间序列异常检测算法生成该运行日志子集合对应的时间序列及匹配的基线时间序列，通过比较时间序列与基线时间序列在各个指定时刻的偏差，可以准确获知运行日志子集合中存在异常的关键字段数据，进而根据存在异常的关键字段数据可以准确定位NFV设备的异常信息，由此，进一步提高了NFV设备的异常检测结果的准确率。

由于NFV设备的运行日志中时常出现临时业务波动引起的异常运行日志，进而基于异常运行日志会得到异常关键字段数据可能属于干扰数据。当NFV设备的运行日志波动较大时，就会产生大量的干扰数据，这些干扰数据会影响NFV设备的异常检测结果的准确率和有效性。有鉴于此，在更为优选的方案中，在执行上述步骤S185之前，可对将在时间上连续的异常关键字段数据进行合并，以将其作为一个异常点。

具体来说，可将在设定时长内连续出现预设次数的异常关键字段数据进行合并。相应地，在上述步骤S185中，可基于合并后的异常关键字段数据确定NFV设备的异常信息。

实际应用中，对于每个关键字段，可将该关键字段第一次出现异常的时刻作为异常开始时刻，若该关键字段在自该异常开始时刻其在预定时长内连续出现预设次数的异常，则可将该关键字段在该预定时长内最后一次出现异常时的关键字段数据标记为异常关键字段数据；否则，则将该预定时长内出现异常的关键字段数据均标记为正常关键字段数据。

需要说明的是，预定时长和预设次数可以根据实际需求自定义设置，例如，预定时长可以设置为5分钟，预设次数可以设置为3次等，本申请实施例对预定时长和预设次数的数值均不做具体限定。

考虑到相邻两次异常检测的间隔时间过短，可能导致每次异常检测的指定时间段之间出现重复，进而也就导致本次异常检测获取到的运行日志集合中包含了上次异常检测的部分运行日志，这样，在后续进行异常分析时，一方面，会对这部分运行日志进行重复分析，势必增加不必要的工作量；另一方面，这部分运行日志中被标记为异常的关键字段数据还可能会对本次异常检测的结果产生干扰，进而影响本次异常检测结果的准确率和有效性。有鉴于此，在本申请的另一个实施例中，在每次对NFV设备进行异常检测时，在执行上述步骤S12之前，可确定本次异常检测的指定时间段，以使得本次异常检测时，获取的NFV设备在该指定时间段的运行日志集合与上一次异常检测获取的运行日志集合之间无重复。

具体来说，在上述步骤S12之前，本申请实施例提供的方法还可以包括：将当前时刻之前第一预定时长对应的时刻作为本次异常检测的起始时刻，并将该起始时刻与上一次异常检测的指定时间段的结束时刻进行比较；若上一次异常检测的指定时间段的结束时刻晚于本次异常检测的起始时刻，则可将上一次异常检测的指定时间段的结束时刻与当前时刻之前的时间段，作为本次异常检测的指定时间段。

其中，第一预定时长是指默认的时间粒度，也就是说，每次异常检测都默认获取NFV设备在当前时刻之前第一预定时长内的运行日志集合。第一预定时长可以根据实际需求自定义设置，例如，第一预定时长可以为24小时，本申请实施例对第一预定时长的数值不作具体限定。

例如，当前时刻为2号晚上10:00，第一预定时长为24小时，基于当前时刻和第一预定时长可确定本次异常检测的默认起始时刻为前一天(即1号)晚上的10:00。然而，通过查询得到上一次异常检测的指定时间段的结束时刻为2号早上8:00，该结束时刻晚于本次异常检测的默认起始时刻，因此，可将2号早上8:00-晚上10:00这一时间段作为本次异常检测的指定时间段。

进一步考虑到若每次异常检测的指定时间段过短，将可能出现获取到的NFV设备的运行日志的数量过少，而过少的运行日志将影响后续对NFV设备进行异常检测的准确率。有鉴于此，在更为优选的方案中，在上述步骤S12之前，本申请实施例提供的上述方法还可以包括：确定NFV设备在指定时间段内的运行日志的数量大于或等于设定数量。其中，预定数量可根据实际需要自定义设置，例如，预定数量可以设置为1000，本申请实施例对预定数量的数值不作具体限定。

当然，需要说的是，若NFV设备在指定时间段的运行日志的数量小于设定数量，则可获取NFV设备在该指定时间段之前的运行日志并将获取到的运行日志补充到NFV设备在指定时间段的运行日志集合中，以形成新的运行日志集合，以避免获取的运行日志的数据量过小而影响后续NFV设备的异常检测的准确率。

考虑到在处理NFV设备的运行日志时，时常会出现干扰的运行日志偏离与其而影响NFV设备的异常检测结果，如果把这些干扰运行日志和正常运行日志一起进行异常检测的处理，将会影响NFV设备的异常检测结果的准确率；但是，如果把这些异常运行日志进行简单地剔除，又可能忽略这些异常运行日志中的一些重要字段数据。有鉴于此，在本申请的另一个实施例中，本申请实施例提供的技术方案，还对获取到的NFV设备的运行日志进行筛选。

考虑到NFV设备在进行维护和升级期间内会产生大量的异常运行日志，因此，在本申请的另一个实施例中，在执行上述步骤S14之前，还可对NFV设备在维护和升级期间内产生的运行日志进行筛除。

具体来说，在上述步骤S14之前，本申请实施例提供的方法还可以包括：判断指定时间段是否包含预设的工程操作时间段，若指定时间段包含该工程操作时间段，则在执行上述步骤S12之后，从获取的运行日志集合中筛除NFV设备在该工程操作时间段的运行日志，以得到新的运行日志集合。相应地，在上述步骤S14中，则基于日志类型对新的运行日志集合进行划分。

其中，工程操作时间段是指NFV设备进行维护和升级的时间段，其可以根据实际需求自定义设置。例如，工程操作时间段可以是夜间的23:30至凌晨06:30等。

需要说明的是，实施例1所提供方法的各步骤的执行主体均可以是同一设备，或者，该方法也由不同设备作为执行主体。比如，步骤12和步骤14的执行主体可以为设备1，步骤16和步骤S18的执行主体可以为设备2；又比如，步骤12的执行主体可以为设备1，步骤14至步骤18的执行主体可以为设备2；等等。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

实施例2

请参见图3，本申请实施例还提供一种网络功能虚拟化NFV设备的异常检测装置300。如图3所示，所述装置300包括：运行日志获取模块310、划分模块320、数据提取模块330以及异常检测模块340。

其中，运行日志获取模块310用于获取NFV设备在指定时间段的运行日志集合。

划分模块320用于基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合。

数据提取模块330用于基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据。

异常检测模块340用于基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

可选地，所述数据提取模块330具体用于：

对于每个运行日志子集合，基于与所述运行日志子集合匹配的预设关键字段提取策略，提取所述运行日志子集合中各运行日志的关键字段数据。

所述异常检测模块340具体用于：

对于每个运行日志子集合，基于所述时间序列异常检测算法和所述运行日志子集合中各运行日志的关键字段数据，生成所述运行日志子集合对应的时间序列，以及基于与所述运行日志子集合匹配的基线数据生成基线时间序列；

获取所述时间序列与所述基线时间序列对应于各个指定时刻的偏差；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据；

基于各个所述运行日志子集合中的异常关键字段数据，确定所述NFV设备的异常信息。

可选地，所述装置300还包括：

偏差阈值确定模块，用于对于所述时间序列的每一指定时刻，基于所述时间序列与所述基线时间序列对应于与所述指定时刻相邻的多个目标时刻的偏差，确定所述指定时刻对应的偏差阈值，以及在确定所述指定时刻对应的偏差阈值之后，触发所述异常检测模块340。

所述异常检测模块340具体用于：

对于所述时间序列的每一指定时刻，若所述指定时刻的偏差大于或等于所述指定时刻对应的偏差阈值，则确定所述时间序列在所述指定时刻的关键字段数据为异常关键字段数据。

可选地，所述异常检测模块340具体用于：

按照出现次数及出现时间对各个所述运行日志子集合中的异常关键字段数据进行统计；

将在设定时长内连续出现预设次数的异常关键字段数据进行合并；

基于合并后的异常关键字段数据确定所述NFV设备的异常信息。

可选地，所述装置300还包括：

第一筛选模块，用于将当前时刻之前第一预定时长对应的时刻作为本次异常检测的起始时刻，若上一次异常检测的指定时间段的结束时刻晚于所述本次异常检测的起始时刻，则将所述上一次异常检测的指定时间段的结束时刻与所述当前时刻之间的时间段，作为本次异常检测的指定时间段，以及在确定所述本次异常检测的指定时间段之后，触发所述运行日志获取模块310。

可选地，所述第一筛选模块还用于：

在触发所述运行日志获取模块310之前，确定所述NFV设备在所述指定时间段内的运行日志的数量大于或等于设定数量。

可选地，所述装置300还包括：

第二筛选模块，用于在所述指定时间段包含预设的工程操作时间段的情况下，从所述运行日志集合筛除所述NFV设备在所述工程操作时间段的运行日志，得到新的运行日志集合，以及在得到所述新的运行日志集合之后，触发所述运行日志获取模块310。

所述划分模块320具体用于：

基于日志类型对所述新的运行日志集合进行划分。

实施例3

图4是本申请的一个实施例电子设备的结构示意图。请参考图4，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。

处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成网络功能虚拟化NFV设备的异常检测装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：

获取NFV设备在指定时间段的运行日志集合；

基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

上述如本申请图1所示实施例揭示的网络功能虚拟化NFV设备的异常检测装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application SpecificIntegrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

该电子设备还可执行图1的方法，并实现网络功能虚拟化NFV设备的异常检测装置在图1、图2所示实施例的功能，本申请实施例在此不再赘述。

当然，除了软件实现方式之外，本申请的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

本申请实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图1所示实施例的方法，并具体用于执行以下操作：

获取NFV设备在指定时间段的运行日志集合；

基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

总之，以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

Claims (10)

1.一种网络功能虚拟化NFV设备的异常检测方法，其特征在于，包括：

获取NFV设备在指定时间段的运行日志集合；

基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

2.根据权利要求1所述的方法，其特征在于，基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据，包括：

对于每个运行日志子集合，基于与所述运行日志子集合匹配的预设关键字段提取策略，提取所述运行日志子集合中各运行日志的关键字段数据；

基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息，包括：

对于每个运行日志子集合，基于所述时间序列异常检测算法和所述运行日志子集合中各运行日志的关键字段数据，生成所述运行日志子集合对应的时间序列，以及基于与所述运行日志子集合匹配的基线数据生成基线时间序列；

获取所述时间序列与所述基线时间序列对应于各个指定时刻的偏差；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据；

基于各个所述运行日志子集合中的异常关键字段数据，确定所述NFV设备的异常信息。

3.根据权利要求2所述的方法，其特征在于，在基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据之前，所述方法还包括：

对于所述时间序列的每一指定时刻，基于所述时间序列与所述基线时间序列对应于与所述指定时刻相邻的多个目标时刻的偏差，确定所述指定时刻对应的偏差阈值；

基于所述各个指定时刻的偏差和预设的偏差阈值，确定所述运行日志子集合中的异常关键字段数据，包括：

对于所述时间序列的每一指定时刻，若所述指定时刻的偏差大于或等于所述指定时刻对应的偏差阈值，则确定所述时间序列在所述指定时刻的关键字段数据为异常关键字段数据。

4.根据权利要求2所述的方法，其特征在于，基于各个所述运行日志子集合中存在异常的关键字段数据，确定所述NFV设备的异常信息，包括：

按照出现次数及出现时间对各个所述运行日志子集合中的异常关键字段数据进行统计；

将在设定时长内连续出现预设次数的异常关键字段数据进行合并；

基于合并后的异常关键字段数据确定所述NFV设备的异常信息。

5.根据权利要求1所述的方法，其特征在于，在获取NFV设备在指定时间段的运行日志集合之前，所述方法还包括：

将当前时刻之前第一预定时长对应的时刻作为本次异常检测的起始时刻；

若上一次异常检测的指定时间段的结束时刻晚于所述本次异常检测的起始时刻，则将所述上一次异常检测的指定时间段的结束时刻与所述当前时刻之间的时间段，作为本次异常检测的指定时间段。

6.根据权利要求5所述的方法，其特征在于，在获取NFV设备在指定时间段的运行日志集合之前，所述方法还包括：

确定所述NFV设备在所述指定时间段内的运行日志的数量大于或等于设定数量。

7.根据权利要求1所述的方法，其特征在于，在基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合之前，所述方法还包括：

若所述指定时间段包含预设的工程操作时间段，则从所述运行日志集合筛除所述NFV设备在所述工程操作时间段的运行日志，得到新的运行日志集合；

基于日志类型对所述运行日志集合进行划分，包括：

基于日志类型对所述新的运行日志集合进行划分。

8.一种网络功能虚拟化NFV设备的异常检测装置，其特征在于，包括：

运行日志获取模块，用于获取NFV设备在指定时间段的运行日志集合；

划分模块，用于基于日志类型对所述运行日志集合进行划分，得到多个运行日志子集合；

数据提取模块，用于基于与所述多个运行日志子集合匹配的预设关键字段提取策略，提取所述多个运行日志子集合中的关键字段数据；

异常检测模块，用于基于与所述多个运行日志子集合匹配的基线数据和预先设置的时间序列异常检测算法，对所述多个运行日志子集合中的关键字段数据进行异常检测，以确定所述NFV设备的异常信息。

9.一种电子设备，其特征在于，包括：

处理器；

用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述指令，以实现如权利要求1至7中任一项所述的方法。

10.一种计算机可读存储介质，当所述存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行如权利要求1至7中任一项所述的方法。

Images