CN114500326B - 异常检测方法、装置、电子设备以及存储介质 - Google Patents

Abstract

本公开提供了一种异常检测方法、装置、电子设备以及存储介质，涉及计算机技术领域，尤其涉及云计算、云服务领域。具体实现方案为：响应于检测到第一检测请求，确定第一检测信息，第一检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识，第一目标源服务标识表征正在变更服务的标识，第一目标目的服务标识表征非正在变更服务的标识，第一目标源实例标识表征变更实例的标识；根据第一检测信息，确定与至少一个第一目标评估标识对应的至少一个第一聚合评估值；根据至少一个第一聚合评估值和至少一个参考聚合评估值，确定与第一目标源实例标识对应的实例的异常检测结果。

Description

异常检测方法、装置、电子设备以及存储介质

技术领域

本公开涉及计算机技术领域，尤其涉及云服务、云计算和云原生技术领域。具体地，涉及一种异常检测方法、装置、电子设备以及存储介质。

背景技术

随着业务的不断发展，应用所提供的功能日趋复杂化和多样化，由此，应用版本升级越来越频繁。应用版本升级伴随着变更。变更可以包括代码变更和数据变更中的至少一项。应用所提供的功能可以基于多个服务实现，每个服务可以具有与该服务对应的多个实例。

可以利用分级变更方式实现变更。即，针对服务，可以先将新版本部署于与服务对应的部分实例。在确定实例的运行结果满足预定条件的情况下，再将新版本部署于与服务对应的其他实例。

发明内容

本公开提供了一种异常检测方法、装置、电子设备以及存储介质。

根据本公开的一方面，提供了一种异常检测方法，包括：响应于检测到第一检测请求，确定第一检测信息，其中，上述第一检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识，上述第一目标源服务标识表征正在变更服务的标识，上述第一目标目的服务标识表征非正在变更服务的标识，上述第一目标源实例标识表征变更实例的标识；根据上述第一检测信息，确定与上述至少一个第一目标评估标识对应的至少一个第一聚合评估值；以及，根据上述至少一个第一聚合评估值和与上述至少一个第一目标评估标识对应的至少一个预期聚合评估值，确定与上述第一目标源实例标识对应的实例的异常检测结果。

根据本公开的另一方面，提供了一种异常检测装置，包括：第一确定模块，用于响应于检测到第一检测请求，确定第一检测信息，其中，上述第一检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识，上述第一目标源服务标识表征正在变更服务的标识，上述第一目标目的服务标识表征非正在变更服务的标识，上述第一目标源实例标识表征变更实例的标识；第二确定模块，用于根据上述第一检测信息，确定与上述至少一个第一目标评估标识对应的至少一个第一聚合评估值；以及，第三确定模块，用于根据上述至少一个第一聚合评估值和与上述至少一个第一目标评估标识对应的至少一个参考聚合评估值，确定与上述第一目标源实例标识对应的实例的异常检测结果。

根据本公开的另一方面，提供了一种电子设备，包括：至少一个处理器；以及与上述至少一个处理器通信连接的存储器；其中，上述存储器存储有可被上述至少一个处理器执行的指令，上述指令被上述至少一个处理器执行，以使上述至少一个处理器能够执行本公开所述的方法。

根据本公开的另一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，上述计算机指令用于使上述计算机执行本公开所述的方法。

根据本公开的另一方面，提供了一种计算机程序产品，包括计算机程序，上述计算机程序在被处理器执行时实现本公开所述的方法。

根据本公开的实施例，由于针对每个第一目标评估标识，确定与第一目标评估标识对应的第一聚合评估值，第一聚合评估值是经由源服务的变更实例(即第一目标源实例)的访问流量经由目的服务的聚合评估值。根据第一聚合评估值和参考聚合评估值，确定未变更实例的异常检测结果。第一目标源服务的变更异常可以在第一目标目的服务上反映出来，实现了对异常进行准确感知。由此，提高了异常检测的准确性。在此基础上，能够在第一目标源服务的变更实例阶段反映出异常，有效避免了异常蔓延到后续的未变更实例阶段，因此，能够降低变更损失。此外，访问流量不隔离，因此，可以同时对第一目标源服务的变更实例进行重启，有效保证了变更速度。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本公开的限定。其中：

图1示意性示出了根据本公开实施例的可以应用异常检测方法及装置的示例性系统架构；

图2示意性示出了根据本公开实施例的异常检测方法的流程图；

图3示意性示出了根据本公开实施例的访问流量的经由路径的示例示意图；

图4示意性示出了根据本公开实施例的异常检测过程的示例示意图；

图5示意性示出了根据本公开实施例的异常检测装置的框图；以及

图6示意性示出了根据本公开实施例的适于实现异常检测方法的电子设备的框图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

应用可以基于分布式的业务系统实现。分布式的业务系统可以包括多个服务。由此，需要调用多个服务来获得针对应用的访问请求的反馈结果，即，访问请求涉及多个服务。访问请求可以称为访问流量。多个服务之间可以具有层级关系。可以基于访问流量访问服务的先后顺序，将服务分为入口服务、中间服务和出口服务。入口服务可以指访问流量最先访问的服务。出口服务可以指访问流量最后访问的服务。根据服务是否正在变更，可以将服务分为正在变更服务和非正在变更服务。如果服务正在变更，则可以称服务是正在变更服务。如果服务已完成变更或待变更，则可以称服务是非正在变更服务。

每个服务可以具有与该服务对应的多个实例。实例可以是具有相同配置，并用于支持分组功能的多个资源分配单位。与同一服务对应的多个实例之间可以是同构的。与同一服务对应的多个实例可以用于承担访问流量。根据实例是否部署当前版本，则可以将实例分为变更(即Canary)实例和未变更(即Base)实例。如果在实例上部署当前版本，则可以称实例是变更实例。如果在实例上未部署当前版本(即部署在前版本)，则可以称实例是未变更实例。当前版本可以指当前的最新版本。在前版本可以指当前版本之前的版本。

在故障引起的损失中，变更是原因之一，需要及时发现变更过程中出现的异常，以减少损失。可以利用对变更过程进行异常检测的方式来实现。例如，可以基于评估值来确定变更过程是否存在异常。可以利用如下方式实现基于评估值来确定变更过程是否存在异常。

一种方式在于，服务粒度的异常检测。即，确定与服务包括的全部实例对应的评估值。根据与服务包括的全部实例对应的评估值确定变更过程是否存在异常。

另一种方式在于，隔离访问流量实现变更实例粒度的异常检测。即，可以将服务分为变更单元和未变更单元。变更单元可以包括至少一个变更实例。未变更单元可以包括至少一个未变更实例。经由变更单元的访问流量和经由未变更单元的访问流量是被隔离的，即，经由变更单元的访问流量不能经由未变更单元。由于经由变更单元的访问流量和经由未变更单元的访问流量是被隔离的，因此，可以确定与服务包括的全部变更实例对应的评估值。根据与服务包括的全部变更实例对应的评估值确定变更过程是否存在异常。

另一种方式在于，不隔离访问流量实现变更实例粒度的异常检测。即，确定与正在变更服务包括的全部变更实例对应的评估值。根据与正在变更服务包括的全部变更实例对应的评估值确定变更过程是否存在异常。

针对服务粒度的异常检测方式，如果异常出现在变更实例中，则变更实例的数目较少，因此，异常所体现的评估值将淹没在与服务包括的全部实例对应的评估值中，即，根据与服务包括的全部实例对应的评估值确定变更过程不存在异常，而实际是存在异常的，由此，导致的变更损失较大。

针对隔离访问流量实现变更实例粒度的异常检测方式，变更单元和未变更单元的访问流量是隔离的，因此，不能同时重启同一服务对应的变更单元包括的全部变更实例，如果同时重启全部变更实例，则将导致来自上游服务的访问流量访问失败。在上述情况下，至少需要两个重启周期才能完成变更实例的重启。由此，使得变更速度降低。

针对不隔离访问流量实现变更实例粒度的异常检测方式，虽然可以获得与正在变更服务对应的评估值，但是如果在正在变更服务的评估值不能直接反映该正在变更服务的异常，而是可以在其上游服务的评估值反映该正在变更服务的异常，这样就难以对异常进行准确感知。由此，使得异常检测的准确性不高。

为此，本公开实施例提出了一种异常检测方案。可以针对每个第一目标评估标识，确定与第一目标评估标识对应的第一聚合评估值，第一聚合评估值是经由源服务的变更实例(即与第一目标源实例标识对应的第一目标实例标识)的访问流量经由目的服务的聚合评估值。根据第一聚合评估值和参考聚合评估值，确定未变更实例的异常检测结果。

根据本公开的实施例，第一目标源服务的变更异常可以在第一目标目的服务上反映出来，实现了对异常进行准确感知。由此，提高了异常检测的准确性。在此基础上，能够在第一目标源服务的变更实例阶段反映出异常，有效避免了异常蔓延到后续的未变更实例阶段，因此，能够降低变更损失。此外，由于不隔离访问流量，可以同时对第一目标源服务的变更实例进行重启，因此，有效保证了变更速度。

图1示意性示出了根据本公开实施例的可以应用异常检测方法及装置的示例性系统架构。

需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括业务系统101、网络102和异常检测系统103。网络102用以在业务系统101和异常检测系统103之间提供通信链路的介质。网络102可以包括各种连接类型，例如有线和/或无线通信链路等。

业务系统101可以是分布式系统。业务系统101可以包括N个服务。即，服务101_1、服务101_2、......、服务101_i、......、服务101_N-1和服务101_N。服务101_i可以具有与该服务101_i对应的M个实例。即，实例101_i_1、实例101_i_2、......、实例101_i_j、......、实例101_i_M-1和实例101_i_M。N和M均可以是大于1的整数。实例101_i_j可以运行于电子设备。电子设备可以包括终端设备和服务器中的至少一项。终端设备可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等。服务器可以是提供各种服务的各种类型的服务器。例如，服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务(Virtual Private Server，VPS)中，存在的管理难度大，业务扩展性弱的缺陷。服务器也可以是结合了区块链的服务器。

业务系统101中的实例101_i_j可以响应于接收到访问流量，根据访问流量生成总调度信息。

异常检测系统103可以是分布式系统。异常检测系统103可以包括路由服务(即Proxy-Writer服务)103_1、指标确定服务(即Metrics-Server)103_2和接口服务(即Proxy-Reader服务)103_3。路由服务(即Proxy-Writer服务)103_1、指标确定服务(即Metrics-Server)103_2和接口服务103_3均可以包括多个实例。接口服务103_3可以是无状态的服务。

异常检测系统103可以响应于检测到第一检测请求，确定第一检测信息。根据第一检测信息，确定与至少一个第一目标评估标识对应的至少一个第一聚合评估值。根据至少一个第一聚合评估值和与至少一个第一目标评估标识对应的至少一个参考聚合评估值，确定与第一目标源实例标识对应的实例的异常检测结果。

需要说明的是，本公开实施例所提供的异常检测方法一般可以由异常检测系统103执行。相应地，本公开实施例所提供的异常检测装置也可以设置于异常检测系统103中。

应该理解，图1中的业务系统、网络和异常检测系统的数目仅仅是示意性的。根据实现需要，可以具有任意数目的业务系统、网络和异常检测系统。

应注意，以下方法中各个操作的序号仅作为该操作的表示以便描述，而不应被看作表示该各个操作的执行顺序。除非明确指出，否则该方法不需要完全按照所示顺序来执行。

图2示意性示出了根据本公开实施例的异常检测方法的流程图。

如图2所示，该方法200包括操作S210～S230。

在操作S210，响应于检测到第一检测请求，确定第一检测信息。第一检测信息可以包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。第一目标源服务标识可以表征正在变更服务的标识。第一目标目的服务标识可以表征非正在变更服务的标识。第一目标源实例标识可以表征变更实例的标识。

在操作S220，根据第一检测信息，确定与至少一个第一目标评估标识对应的至少一个第一聚合评估值。

在操作S230，根据至少一个第一聚合评估值和与至少一个目标评估标识对应的至少一个参考聚合评估值，确定与第一目标源实例标识对应的实例的异常检测结果。

根据本公开的实施例，检测请求可以指用于对变更过程是否存在异常进行检测的请求。服务标识可以用于表征服务。不同服务的服务标识不同。服务可以包括正在变更服务或非正在变更服务。非正在变更服务可以是正在变更服务的上游服务。服务标识可以包括正在变更服务标识或非正在变更服务标识。源服务可以指正在变更服务。目的服务可以指非正在变更服务。经由源服务的访问流量可以经由目的服务。源服务标识(即Source_Module)可以用于表征源服务。目的服务标识(即Dest_Module)可以用于表征目的服务。

根据本公开的实施例，实例标识可以用于表征实例。不同实例的实例标识不同。实例可以包括变更实例或未变更实例。实例标识可以包括变更实例标识或未变更实例标识。源实例可以指需要分析的实例。源实例可以包括变更实例或未变更实例。源实例标识(即Source_Tag)可以用于表征源实例。

根据本公开的实施例，评估标识可以用于表征评估指标。不同评估指标的评估标识不同。评估指标可以用于评估变更实例的稳定性。评估指标可以包括以下至少一项：处理时延、访问成功率、访问失败率和访问失败码等。针对每个类别的评估指标，还可以包括一个或多个评估子指标。例如，处理时延可以包括以下至少一项：最大处理时延、最小处理时延、平均处理时延、总处理时延和时延次数等。评估指标值可以指评估指标的数值。可以根据与同一评估指标对应的多个评估指标值确定与评估指标对应的聚合评估指标值。可以将聚合评估指标值称为聚合评估值(即Value)。

根据本公开的实施例，第一检测信息可以包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。

根据本公开的实施例，可以响应于接收到第一检测请求，对第一检测请求进行解析，得到第一检测信息。例如，可以响应于接收到经由预定应用程序接口的第一检测请求，对第一检测请求进行解析，得到第一检测信息。

根据本公开的实施例，在确定第一检测信息之后，可以在针对至少一个第一目标目的服务标识中的每个第一目标目的服务标识的情况下，针对至少一个第一目标评估标识中的每个第一目标评估标识，根据第一检测信息包括的第一目标源服务标识、第一目标源实例标识和该第一目标目的服务标识，确定与该第一目标评估标识对应的第一聚合评估值。根据与该第一目标评估标识对应的第一聚合评估值和参考聚合评估值，确定第一目标源实例针对该第一目标评估标识所表征的第一目标评估指标的异常检测结果。异常检测结果可以包括检测正常或检测异常。参考聚合评估值可以用于作为评估第一聚合评估值是否异常的依据。

根据本公开的实施例，参考聚合评估值可以根据实际业务需求进行配置，在此不作限定。例如，参考聚合评估值可以根据在与第一目标目的服务标识对应的第一目标目的服务的第一目标源实例上线时刻之前的预定时段内的与第一目标评估标识对应的平均聚合评估值确定的。

根据本公开的实施例，可以确定与该第一目标评估标识对应的第一聚合评估值和参考聚合评估值之间的差值的绝对值是否小于或等于第二预定阈值。在确定与该第一目标评估标识对应的第一聚合评估值和参考聚合评估值之间的差值的绝对值小于或等于第二预定阈值的情况下，确定第一目标源实例针对第一目标评估指标的异常检测结果是检测正常。在确定与该第一目标评估标识对应的第一聚合评估值和参考聚合评估值之间的差值的绝对值大于第二预定阈值的情况下，确定第一目标源实例针对第一目标评估指标的异常检测结果是检测异常。

根据本公开的实施例，可以利用上述方式得到与第一目标源服务标识、第一目标源实例标识、每个第一目标目的服务标识和每个第一目标评估标识对应的第一聚合评估值。可以将与同一第一目标目的服务标识和第一目标评估标识对应的第一聚合评估值和参考聚合评估值进行比较，确定第一目标源实例在第一目标评估标识所表征的第一目标评估指标的异常检测结果。

根据本公开的实施例，可以根据与至少一个第一目标评估标识各自对应的异常检测结果，确定第一目标源实例的异常检测结果。例如，如果与至少一个第一目标评估标识各自对应的异常检测结果中存在检测异常，则可以确定第一目标源实例的异常检测结果是检测异常。备选地，如果与至少一个第一目标评估标识各自对应的异常检测结果中存在检测异常，则根据与检测异常对应的第一目标评估标识的权重，确定第一目标源实例的异常检测结果。例如，如果与检测异常对应的第一目标评估标识的权重大于预定权重阈值，则确定第一目标源实例的异常检测结果是检测异常。如果权重小于或等于预定权重阈值，则确定第一目标源实例的异常检测结果是检测正常。

根据本公开的实施例，由于针对每个第一目标评估标识，确定与第一目标评估标识对应的第一聚合评估值，第一聚合评估值是经由源服务的变更实例(即第一目标源实例)的访问流量经由目的服务的聚合评估值。根据第一聚合评估值和参考聚合评估值，确定未变更实例的异常检测结果。第一目标源服务的变更异常可以在第一目标目的服务上反映出来，实现了对异常进行准确感知。由此，提高了异常检测的准确性。在此基础上，能够在第一目标源服务的变更实例阶段反映出异常，有效避免了异常蔓延到后续的未变更实例阶段，因此，能够降低变更损失。此外，访问流量不隔离，因此，可以同时对第一目标源服务的变更实例进行重启，有效保证了变更速度。

根据本公开的实施例，上述异常检测方法还可以包括如下操作。

响应于检测到第二检测请求，确定第二检测信息。第二检测信息可以包括第一目标源服务标识、第二目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。第二目标源实例标识可以表征与第一目标源实例标识相匹配的未变更实例的标识。根据第二检测信息，确定与至少一个第一目标评估标识对应的至少一个第二聚合评估值。将与至少一个第一目标评估标识对应的至少一个第二聚合评估值确定为与至少一个第一目标标识对应的至少一个参考聚合评估值。

根据本公开的实施例，第二目标源实例与第一目标源实例相匹配可以指第二目标源实例所处的硬件环境与第一目标源实例所处的硬件环境满足预定条件。

根据本公开的实施例，可以利用匹配算法确定任意两个源实例所处的硬件环境是否满足预定条件。例如，可以根据在预定时段内与任意两个实例各自对应的匹配指标值是否满足预定条件，确定任意两个实例所处的硬件环境是否相匹配。针对任意两个源实例，在确定预定时段内与两个源实例各自对应的匹配指标值之间的差值的绝对值小于或等于第一预定阈值的情况下，确定两个源实例所处的硬件环境匹配。匹配指标可以用于评估实例所处的硬件环境。

根据本公开的实施例，可以响应于接收到第二检测请求，对第二检测请求进行解析，得到第二检测信息。例如，可以响应于接收到经由预定应用程序接口的第二检测请求，对第二检测请求进行解析，得到第二检测信息。

根据本公开的实施例，在确定第二检测信息之后，可以在针对至少一个第一目标目的服务标识中的每个第一目标目的服务标识的情况下，针对至少一个第一目标评估标识中的每个第一目标评估标识，根据第二检测信息包括的第一目标源服务标识、第二目标源实例标识和该第一目标目的服务标识，确定与该第一目标评估标识对应的第二聚合评估值。可以将与该第一目标评估标识对应的第二聚合评估值确定为与该第一目标评估标识对应的参考聚合评估值。

根据本公开的实施例，第二聚合评估值是与第二目标源实例对应的聚合评估值，第二目标源实例是未变更实例，因此，第二聚合评估值可以用于作为评估第一聚合评估值是否异常的依据。

根据本公开的实施例，由于针对每个第一目标评估标识，确定与第一目标评估标识对应的第一聚合评估值，第一聚合评估值是经由源服务的变更实例(即第一目标源实例)的访问流量经由目的服务的聚合评估值。确定与第一目标评估标识对应的第二聚合评估值，第二聚合评估值是经由源服务的未变更实例(即第二目标源实例)的访问流量经由目的服务的聚合评估值。将第二聚合评估值确定为参考聚合评估值。根据第一聚合评估值和参考聚合评估值，确定未变更实例的异常检测结果。第一目标源服务的变更异常可以在第一目标目的服务上反映出来，实现了对异常进行准确感知。由此，提高了异常检测的准确性。在此基础上，能够在第一目标源服务的变更实例阶段反映出异常，有效避免了异常蔓延到后续的未变更实例阶段，因此，能够降低变更损失。此外，访问流量不隔离，因此，可以同时对第一目标源服务的变更实例进行重启，有效保证了变更速度。

根据本公开的实施例，经由第一服务实例的访问流量可以经由至少一个第二服务实例。第一服务实例可以是根据与第一目标源服务标识对应的服务和与第一目标源实例标识对应的实例确定的。第二服务实例可以是根据与第一目标目的服务标识对应的服务和与第二目标源实例标识对应的实例确定的。

根据本公开的实施例，根据与第一目标源服务标识对应的服务和与第一目标源实例标识对应的实例，确定第一服务实例。针对至少一个第一目标目的服务标识中的每个第一目标目的服务标识，根据与该第一目标目的服务标识对应的服务和与第二目标源实例标识对应的实例，确定第二服务实例。由此可以得到至少一个第二服务实例。

根据本公开的实施例，针对至少一个第二服务实例中的每个第二服务实例，经由第一服务实例的访问流量经由该第二服务实例。

下面参考图3，结合具体实施例对根据本公开实施例所述的第一目标源服务、第一目标目的服务、第一目标源实例和第二目标源实例之间的关系做进一步说明。

图3示意性示出了根据本公开实施例的访问流量的经由路径的示例示意图。

如图3所示，在300中，第一目标目的服务标识所表征的第一目标目的服务301可以包括与第二目标源实例标识表征的4个第二目标源实例，4个第二目标源实例均是未变更实例，即，未变更实例301_1、未变更实例301_2、未变更实例301_3和未变更实例301_4。

在300中，第一目标源服务标识所表征的第一目标源服务302可以包括与第一目标源实例标识表征的2个第一目标源实例，2个第一目标源实例均是变更实例，即，变更实例302_1和变更实例302_2。此外，第一目标源服务302还可以包括2个未变更实例，即，未变更实例302_3和未变更实例302_4。

在300中，“→”表征访问流量，不同类型的“→”表征不同访问流量。

经由第一目标源服务302中的第一目标源实例(即变更实例302_1和变更实例302_2)的访问流量可以经由第一目标目的服务301中的第二目标源实例(即未变更实例301_2和未变更实例301_3)。可以根据本公开实施例的异常检测方法确定经由第一目标源服务302的第一目标源实例的访问流量，聚合出上述访问流量经由第一目标目的服务301的第二目标源实例的第二聚合评估值。

根据本公开的实施例，第一检测信息还可以包括第一目标标准时刻。

根据本公开的实施例，操作S220可以包括如下操作。

从至少一个关联关系中确定与第一检测信息相匹配的至少一个第一目标关联关系。根据至少一个第一目标关联关系，确定与至少一个第一目标评估标识对应的第一聚合评估值，得到至少一个第一聚合评估值。

根据本公开的实施例，每个关联关系可以表征标准时刻、源服务标识、源实例标识、目的服务标识和与评估标识对应的聚合评估值之间的关系。针对至少一个评估标识中的每个评估标识，可以具有与该评估标识对应的至少一个关联关系。

根据本公开的实施例，第一检测信息可以包括第一目标标准时刻、第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。在针对至少一个第一目标评估标识中的每个第一目标评估标识的情况下，针对至少一个第一目标目的服务标识中的每个第一目标目的服务标识，从至少一个关联关系中确定与第一目标标准时刻、第一目标源服务标识、第一目标源实例标识、第一目标目的服务标识和第一目标评估标识相一致的关联关系，得到第一目标关联关系，即，第一目标关联关系中的标准时刻是第一目标标准时刻，源服务标识是第一目标源服务标识，源实例标识是第一目标源实例标识，目的服务标识是第一目标目的服务标识，以及评估标识是第一目标评估标识。将与第一目标关联关系中的聚合评估值确定为在该第一目标目的服务标识的情况下，与该第一目标评估标识对应的第一聚合评估值。

根据本公开的实施例，根据从至少一个关联关系中确定的与第一检测信息相匹配的至少一个第一目标关联关系，确定与至少一个第一目标评估标识对应的第一聚合评估值，第一目标关联关系能够较为准确地确定，由此，实现了较为准确地确定第一聚合评估值。

根据本公开的实施例，第二检测信息还可以包括第一目标标准时刻。

根据本公开的实施例，根据第二检测信息，确定与至少一个第一目标评估标识对应的至少一个第二聚合评估值可以包括如下操作。

从至少一个关联关系中确定与第二检测信息相匹配的至少一个第二目标关联关系。根据至少一个第二目标关联关系，确定与至少一个第一目标评估标识对应的第二聚合评估值，得到至少一个第二聚合评估值。

根据本公开的实施例，第二检测信息可以包括第一目标标准时刻、第一目标源服务标识、第二目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。在针对至少一个第一目标评估标识中的每个第一目标评估标识的情况下，针对至少一个第一目标目的服务标识中的每个第一目标目的服务标识，从至少一个关联关系中确定与第一目标标准时刻、第一目标源服务标识、第二目标源实例标识、第一目标目的服务标识和第一目标评估标识相一致的关联关系，得到第二目标关联关系，即，第二目标关联关系中的标准时刻是第一目标标准时刻，源服务标识是第一目标源服务标识，源实例标识是第二目标源实例标识，目的服务标识是第一目标目的服务标识，以及评估标识是第一目标评估标识。将与第二目标关联关系中的聚合评估值确定为在该第一目标目的服务标识的情况下，与该第一目标评估标识对应的第二聚合评估值。

根据本公开的实施例，根据从至少一个关联关系中确定的与第二检测信息相匹配的至少一个第二目标关联关系，确定与至少一个第二目标评估标识对应的第二聚合评估值，第二目标关联关系能够较为准确地确定，由此，实现了较为准确地确定第二聚合评估值。

根据本公开的实施例，上述异常检测方法还可以包括如下操作。

响应于接收到更新请求，确定更新信息。更新信息可以包括第二目标标准时刻、第二目标源服务标识、第三目标源实例标识、第二目标目的服务标识和与第二目标评估标识对应的第三聚合评估值。从至少一个关联关系中确定与更新信息相匹配的第三目标关联关系。根据第三聚合评估值对与第三目标关联关系包括的聚合评估值进行更新。

根据本公开的实施例，响应于接收到更新请求，可以对更新请求进行解析，得到更新信息。在获得更新信息之后，可以从至少一个关联关系中确定与更新信息相匹配的关联关系，得到第三目标关联关系。第三目标关联关系中的标准时刻是第二目标标准时刻，源服务标识是第二目标源服务标识，源实例标识是第三目标源实例标识，目的服务标识是第二目标目的服务标识，以及评估标识是第二目标评估标识。

根据本公开的实施例，在获得第三目标关联关系之后，可以根据第三聚合评估值对第三目标关联关系中的聚合评估值进行更新。例如，如果确定第三目标关联关系中的聚合评估值为空值，则可以第三聚合评估值作为第三目标关联关系中的聚合评估值。如果确定第三目标关联关系中的聚合评估值为非空值，则可以根据第二目标评估标识表征的含义，对第三目标关联关系中的聚合评估值进行更新。

例如，如果第二目标评估标识表征最大处理时延，则可以确定第三聚合评估值与第三目标关联关系中的聚合评估值中较大的数值，将较大的数值作为第三目标关联关系中的新的聚合评估值。如果第二目标评估标识表征最小处理时延，则可以确定第三聚合评估值与第三目标关联关系中的聚合评估值中较小的数值，将较小的数值作为第三目标关联关系中的新的聚合评估值。在上述两种情况下，如果第三聚合评估值与第三目标关联关系中的聚合评估值相等，则可以不对第三目标关联关系中的聚合评估值进行更新。

例如，如果第二目标评估标识表征总处理时延，则可以将第三聚合评估值与第三目标关联关系中的聚合评估值之和，作为第三目标关联关系中的新的聚合评估值。如果第二目标评估标识表征时延次数，则可以将第三聚合评估值与第三目标关联关系中的聚合评估值之和，作为第三目标关联关系中的新的聚合评估值。如果第二目标评估标识表征平均处理时延，则可以将第三聚合评估值与第三目标关联关系中的聚合评估值进行相加，得到第一相加值，确定相机值与当前时延次数值的第一比值，将第一比值作为第三目标关联关系中的新的聚合评估值。

根据本公开的实施例，可以根据第三聚合评估值对与第三目标关联关系包括的聚合评估值进行更新，实现了可以灵活地根据实际业务需求对目标关联关系包括的聚合评估值进行更新。

根据本公开的实施例，上述异常检测方法还可以包括如下操作。

响应于接收到查询请求，确定查询信息。查询信息可以包括第三目标标准时刻、第三目标源服务标识、第四目标源实例标识、第三目标目的服务标识和第三目标评估标识。从至少一个关联关系中确定与查询信息相匹配的第四目标关联关系。根据第四目标关联关系，确定与第三目标评估标识对应的第四聚合评估值。

根据本公开的实施例，可以响应于接收到经由预定应用程序接口的查询请求，对查询请求进行解析，得到查询信息。在获得查询信息之后，可以从至少一个关联关系中确定与查询信息相匹配的关联关系，得到第四目标关联关系。第四目标关联关系中的标准时刻是第三目标标准时刻，源服务标识是第三目标源服务标识，源实例标识是第四目标源实例标识，目的服务标识是第三目标目的服务标识，以及评估标识是第三目标评估标识。

根据本公开的实施例，在确定第四目标关联关系之后，可以将第四目标关联关系中的聚合评估值作为与第三目标评估标识对应的第四聚合评估值。如果第四目标关联关系中的聚合评估值为空值，则可以生成查询失败信息。

根据本公开的实施例，从至少一个关联关系中确定与查询信息包括的第三目标评估标识对应的第四聚合评估值，可以灵活查询。

根据本公开的实施例，上述异常检测方法还可以包括如下操作。

响应于接收到与至少一个访问流量标识各自对应的总调度信息，对每个总调度信息进行分解，得到与每个总调度信息包括的每个评估标识对应的调度信息。总调度信息可以包括访问流量标识、非标准时刻、至少一个设备标识和与至少一个评估标识各自对应的至少一个评估值。

根据本公开的实施例，访问流量标识可以用于表征访问流量。不同访问流量的访问流量标识不同。例如，如果访问流量是搜索流量，则访问流量标识可以用queryID(即qid)表征。设备标识可以用于表征设备。设备标识可以用IP(Internet Protocol，互联网协议)地址和端口(即Port)表征，可以将IP地址和端口称为ipport。每个总调度信息可以包括访问流量标识、非标准时刻、至少一个设备标识和与至少一个评估标识各自对应的至少一个评估值。

根据本公开的实施例，针对至少一个总调度信息中的每个总调度信息，可以根据评估标识，将总调度信息分解为与总调度信息中的至少一个评估标识各自对应的调度信息。

例如，至少一个评估标识包括处理时延和其他评估指标。其他评估指标可以包括一个或多个评估指标。处理时延可以用tm表征。与访问流量标识qid1对应的总调度信息为“qid1：[{ipport_B1：{tm：1，其他评估值}}，{ipport_B2：{tm：2，其他评估值}}，t1]”。“ipport_B1”和“ipport_B2”均表征“设备标识”。“tm：1”和“tm：2”均表征与“处理时延”对应的评估值。“其他评估值”表征与“其他评估指标”对应的评估值。

根据本公开的实施例，可以根据评估标识，对“qid1：[{ipport_B1：{tm：1，其他评估值}}，{ipport_B2：{tm：2，其他评估值}}，t1]”进行分解，得到与“处理时延”对应的调度信息“qid1：[{ipport_B1：{tm：1}}，{ipport_B2：{tm：2}}，t1]”和与“其他评估指标”各自对应的调度信息“qid1：[{ipport_B1：{其他评估值}}，{ipport_B2：{其他评估值}}，t1]”。可以根据其他评估指标的数目确定“qid1：[{ipport_B1：{其他评估值}}，{ipport_B2：{其他评估值}}，t1]”的数目。

根据本公开的实施例，通过对总调度信息进行分解，得到与总调度信息包括的每个评估标识对应的调度信息，便于后续根据调度信息生成关联关系。根据本公开的实施例，上述异常检测方法还可以包括如下操作。

基于至少一个服务标识映射关系，对与至少一个评估标识各自对应的至少一个调度信息进行处理，得到与至少一个评估标识各自对应的至少一个流量指标映射关系。根据与至少一个评估标识各自对应的至少一个流量指标映射关系，得到至少一个关联关系。

根据本公开的实施例，服务标识映射关系可以表征设备标识、服务标识和实例标识之间的关系。调度信息可以包括访问流量标识、非标准时刻、至少一个设备标识和与至少一个评估标识各自对应的至少一个评估值。流量指标映射关系可以表征访问流量标识、非标准时刻和与至少一个服务实例标识各自对应的至少一个评估值。至少一个服务实例标识可以是根据至少一个服务标识和至少一个实例标识确定的。至少一个实例标识可以包括以下至少一项：至少一个变更实例标识和至少一个未变更实例标识。至少一个未变更实例标识可以包括以下至少一项：至少一个匹配实例标识和至少一个未匹配实例标识。

根据本公开的实施例，针对每个变更实例，可以利用匹配算法从至少一个未变更实例中确定与变更实例相匹配的匹配(即Pair)实例。变更实例所处的硬件环境和与变更实例相匹配的匹配实例所处的硬件环境满足预定条件。未匹配实例可以指与任意一个变更实例均不相匹配的实例。

根据本公开的实施例，可以包括至少一个服务标识和至少一个实例标识。在针对至少一个服务标识中的每个服务标识的情况下，针对至少一个实例标识中的每个实例标识，根据该实例标识和该服务标识确定服务实例标识。针对至少一个评估标识中的每个评估标识，每个服务实例标识可以具有与该评估标识对应的至少一个评估值。非标准时刻可以指未经过时间对齐处理的真实时刻。

根据本公开的实施例，与每个评估标识对应的每个流量指标映射关系表征在非标准时刻的情况下，与访问流量标识对应的访问流量经由与每个服务实例标识所表征的服务实例的至少一个评估值。

根据本公开的实施例，在针对至少一个评估标识中的每个评估标识的情况下，从至少一个服务标识映射关系中确定与该评估标识对应的至少一个调度信息各自相匹配的服务标识映射关系，根据与每个调度信息相匹配的服务标识映射关系对该调度信息进行处理，得到与该调度信息对应的流量指标映射关系。由此可以得到与每个评估标识对应的至少一个流量指标映射关系。再对与至少一个评估标识各自对应的至少一个流量指标映射关系进行处理，得到至少一个关联关系。

根据本公开的实施例，至少一个服务标识映射关系可以存储于服务标识映射表。服务标识映射关系可以是Key-Value(即键值对)形式的关系。服务映射标识映射关系中的“Key”可以是设备标识，“Value”可以包括“服务标识和实例标识”。至少一个流量指标映射关系可以存储于流量指标映射表。至少一个关联关系可以存储于关联关系表。

根据本公开的实施例，通过根据至少一个服务标识映射关系，对评估标识对应的至少一个调度信息进行处理得到的与评估标识对应的至少一个流量指标映射关系。流量指标映射关系可以作为获得关联关系的关联信息，为获得关联关系提供便利，由此，实现了较为便捷地确定关联关系。

根据本公开的实施例，基于至少一个服务标识映射关系，对与至少一个评估标识各自对应的至少一个调度信息进行处理，得到与至少一个评估标识各自对应的至少一个流量指标映射关系，可以包括如下操作。

针对至少一个评估标识中的每个评估标识，针对与评估标识对应的至少一个调度信息中的每个调度信息，从至少一个服务标识映射关系中确定与调度信息中的至少一个设备标识各自相一致的设备标识，得到与调度信息相匹配的至少一个目标服务标识映射关系。将调度信息中的至少一个设备标识替换为与至少一个设备标识各自对应的目标服务标识映射关系中的服务标识和实例标识，得到与调度信息对应的流量指标映射关系。

根据本公开的实施例，针对每个调度信息中的至少一个设备标识中的每个设备标识，从至少一个服务标识映射关系中确定与设备标识相一致的设备标识，将与设备标识相一致的设备标识对应的服务标识映射关系确定为目标服务标识映射关系。

根据本公开的实施例，调度信息可以是“qid1：[{ipport_B1：{tm：1}}，{ipport_B2：{tm：2}}，t1]”。至少一个服务标识映射关系中包括服务标识映射关系“设备标识ipport_B1、服务标识B和实例标识Canary”和服务标识映射关系“设备标识ipport_B2、服务标识B和实例标识Pair”。

根据本公开实施例，根据调度信息中的“设备标识ipport_B1”，从至少一个服务标识映射关系中确定与“设备标识ipport_B1”相一致的设备标识，由此可以得到服务标识映射关系“设备标识ipport_B1、服务标识B和实例标识Canary”是与“设备标识ipport_B1”对应的目标服务标识映射关系。

根据本公开的实施例，将“设备标识ipport_B1、服务标识B和实例标识Canary”中的“服务标识B和实例标识Canary”替换调度信息中的“设备标识ipport_B1”。根据调度信息中的“设备标识ipport_B2”，从至少一个服务标识映射关系中确定与“设备标识ipport_B2”相一致的设备标识，由此可以得到服务标识映射关系“设备标识ipport_B2、服务标识B和实例标识Pair”是与“设备标识ipport_B2”对应的目标服务标识映射关系。将“设备标识ipport_B2、服务标识B和实例标识Pair”中的“服务标识B和实例标识Pair”替换调度信息中的“设备标识ipport_B2”。

通过上述处理，得到与调度信息“qid1：[{ipport_B1：{tm：1}}，{ipport_B2：{tm：2}}，t1]”对应的流量指标映射关系“qid1：[B：{tm：1，tag：Canary}}，{B：{tm：2，tag：Pair}}，t1]”。

根据本公开的实施例，通过根据服务标识映射关系和调度信息，确定与调度信息对应的流量指标映射关系，实现了较为便捷地确定流量指标映射关系。

根据本公开的实施例，根据与至少一个评估标识各自对应的至少一个流量指标映射关系，得到至少一个关联关系，可以包括如下操作。

针对至少一个预定时段中的每个预定时段，从与至少一个评估标识各自对应的至少一个流量指标映射关系中确定处于预定时段内的至少一个流量指标映射关系，得到与至少一个评估标识各自对应的至少一个候选流量指标映射关系。针对至少一个评估标识中的每个评估标识，从至少一个服务标识和至少一个实例标识中确定至少一个关联组。关联组可以包括源服务标识、目的服务标识和源实例标识。从与评估标识对应的至少一个候选流量指标映射关系中确定与至少一个关联组各自对应的至少一个目标流量指标映射关系。目标流量指标映射关系中与目标服务实例标识对应的评估值为非空值，目标服务实例标识是根据源服务标识和源实例标识确定的。根据与至少一个关联组各自对应的至少一个目标流量指标映射关系，得到与至少一个关联组各自对应的关联关系。

根据本公开的实施例，预定时段可以根据业务需求进行配置，在此不作限定。在针对至少一个预定时段中的每个预定时段的情况下，针对至少一个评估标识中的每个评估标识，根据流量指标映射关系包括的非标准时刻，从与评估标识对应的至少一个流量指标映射关系中确定处于预定时段的至少一个流量指标映射关系，得到与评估标识对应的至少一个候选流量指标映射关系。

根据本公开实施例，针对至少一个关联组中的每个关联组，从与评估标识对应的至少一个候选流量指标映射关系中确定与该关联组对应的至少一个目标流量指标映射关系。该关联组可以包括源服务标识、目的服务标识和源实例标识。

根据本公开的实施例，预定时段可以是根据第一时刻和第二时刻确定的。第一时刻和第二时刻之间可以相差预定周期。

根据本公开的实施例，根据与至少一个关联组各自对应的至少一个目标流量指标映射关系，得到与至少一个关联组各自对应的关联关系，可以包括如下操作。

针对至少一个关联组中的每个关联组，根据与关联组对应的至少一个目标流量指标映射关系各自包括的与目的服务标识对应的至少一个评估值，得到与关联组对应的聚合评估值。根据标准时刻、关联组和聚合评估值，得到关联关系。标准时刻是对第一时刻进行处理得到的。

根据本公开的实施例，第一时刻可以是当前时刻。第二时刻可以是第一时刻与预定周期之间的差值。例如，第一时刻可以用“t”表征。预定周期可以用“T”表征。第二时刻可以用“t-T”表征。预定时段可以用“[t-T，t)”表征。

根据本公开的实施例，在针对至少一个关联组中的每个关联组的情况下，针对与该关联组对应的至少一个目标流量指标映射关系中的每个目标流量指标映射关系，确定该目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值。根据各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值，得到与该关联组对应的聚合评估值。可以将第一时刻向预定周期的倍数向上取整，得到与第一时刻对应的标准时刻。根据标准时刻、该关联组和与该关联组对应的聚合评估值，得到与该关联组对应的关联关系。

根据本公开的实施例，在确定评估标识的情况下，可以基于评估标识表征的含义，对各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值进行处理，得到与该关联组对应的聚合评估值。

例如，如果评估标识表征最大处理时延，则可以从各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值中确定最大数值，将最大数值作为与该关联组对应的聚合评估值。如果评估标识表征最小处理时延，则可以从各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值中确定最小数值，将最小数值作为与该关联组对应的聚合评估值。

例如，如果评估标识表征总处理时延，则可以将各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值之和，作为与该关联组对应的聚合评估值。如果评估标识表征时延次数，则可以确定各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值出现的总时延次数值。将总时延次数值作为与该关联组对应的聚合评估值。

例如，如果评估标识表征平均处理时延，则可以将各个目标流量指标映射关系中与该关联组包括的目的服务标识对应的至少一个评估值进行相加，得到第二相加值，确定第二相加值与总时延次数数值的第二比值，将第二比值确定为与该关联组对应的聚合评估值。

下面参考图4，结合具体实施例对根据本公开实施例所述的异常检测方法做进一步说明。

图4示意性示出了根据本公开实施例的异常检测过程的示例示意图。

如图4所示，在400中，路由服务401可以包括K个路由实例，即，路由实例401_1、......、路由实例401_k、......、路由实例401_K。K个路由实例是同构的。K是大于1的整数。

指标确定服务402可以包括第一指标确定服务(即Metrics-Server-Collector)402_1和第二指标确定服务(即Metrics-Server-Aggreagtor)402_2。

第一指标确定服务402_1可以包括P组第一指标确定实例组，即，第一指标确定实例组402_1_1、......、第一指标确定实例组402_1_p、......、第一指标确定实例组402_1_P。第一指标确定实例组402_1_1可以包括L个第一指标确定实例，即，第一指标确定实例402_1_1_1、......、第一指标确定实例402_1_1_l、......、第一指标确定实例402_1_1_L。P个第一指标确定实例组是同构的。P和L均是大于1的整数。

第二指标确定服务402_2可以包括Q个第二指标确定实例，即，第二指标确定实例402_2_1、......、第二指标确定实例402_2_q、......、第二指标确定实例组402_2_Q。Q个第二指标确定实例是同构的。Q是大于1的整数。

接口服务403可以包括多个接口实例。

路由实例401_k可以响应于接收到与至少一个访问流量标识各自对应的总调度信息，对每个总调度信息进行分解，得到与每个总调度信息包括的每个评估标识对应的调度信息。然后，可以路由实例401_k可以利用实例选择算法为每个调度信息确定用于处理该调度信息的第一指标确定实例。实例选择算法可以实现与同一访问流量标识对应的调度信息由同一第一指标确定实例处理。第一指标确定服务402_1中的不同第一指标确定实例组处理与不同评估标识对应的调度信息。

第一指标确定服务402_1中的任意一个第一指标确定实例可以响应于接收到的调度信息，从至少一个服务标识映射关系中确定与调度信息中的至少一个设备标识各自相一致的设备标识，得到与调度信息相匹配的至少一个目标服务标识映射关系，并将调度信息中的至少一个设备标识替换为与所述至少一个设备标识各自对应的目标服务标识映射关系中的服务标识和实例标识，得到与调度信息对应的流量指标映射关系。第一指标确定实例可以向第二指标确定服务402_2中的第二指标确定实例发送流量指标映射关系。

第二指标确定服务402_2中的任意一个第二指标确定实例可以对响应于接收到的至少一个流量指标映射关系进行处理，得到至少一个关联关系。

接口服务403可以将第二指标确定服务402_2中的每个第二指标确定实例负责的关联关系以元信息进行存储。接口服务403可以向外提供预定应用程序接口。

接口服务403响应于接收到查询请求，确定查询信息。根据查询信息包括的第三目标评估标识确定用于处理查询信息的第二指标确定实例，向第二指标确定实例发送查询信息。第二指标确定实例从至少一个关联关系中确定与查询信息相匹配的第四目标关联关系。根据第四目标关联关系，确定与第三目标评估标识对应的第四聚合评估值。

接口服务403可以响应于检测到检测请求，确定第一检测信息和第二检测信息。接口服务403可以根据第一检测信息和第二检测信息包括的第一目标评估标识，确定用于处理第一检测信息和第二检测信息的第二指标确定指令，向第二指标确定实例发送第一检测信息和第二检测信息。第二指标确定实例从至少一个关联关系中确定与第一检测信息相匹配的至少一个第一目标关联关系。根据至少一个第一目标关联关系，确定与至少一个第一目标评估标识对应的第一聚合评估值，得到至少一个第一聚合评估值。同样的方式，得到至少一个第二聚合评估值。将第二聚合评估值确定为参考聚合评估值。根据至少一个第一聚合评估值和至少一个参考聚合评估值，确定与第一目标源实例标识对应的实例的异常检测结果。

以上仅是示例性实施例，但不限于此，还可以包括本领域已知的其他异常检测方法，只要能够实现低损失、较为高效和精准地异常检测即可。

图5示意性示出了根据本公开实施例的异常检测装置的框图。

如图5所示，异常检测装置500可以包括第一确定模块510、第二确定模块520和第三确定模块530。

第一确定模块510，用于响应于检测到第一检测请求，确定第一检测信息。第一检测信息和第二检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。第一目标源服务标识表征正在变更服务的标识。第一目标目的服务标识表征非正在变更服务的标识。第一目标源实例标识表征变更实例的标识。第二确定模块520，用于根据第一检测信息，确定与至少一个第一目标评估标识对应的至少一个第一聚合评估值。

第三确定模块530，用于根据至少一个第一聚合评估值和与至少一个第一目标评估标识对应的至少一个参考聚合评估值，确定与第一目标源实例标识对应的实例的异常检测结果。

根据本公开的实施例，上述异常检测装置500还可以包括第四确定模块、第五确定模块和第六确定模块。

第四确定模块，用于响应于接收到第二检测请求，确定第二检测信息。第二检测信息包括第一目标源服务标识、第二目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识。第二目标源实例标识表征与第一目标源实例标识相匹配的未变更实例的标识。

第五确定模块，用于根据第二检测信息，确定与至少一个第一目标评估标识对应的至少一个第二聚合评估值。

第六确定模块，用于将与至少一个第一目标评估标识对应的至少一个第二聚合评估值确定为与至少一个第一目标评估标识对应的参考聚合评估值。

根据本公开的实施例，经由第一服务实例的访问流量经由至少一个第二服务实例。第一服务实例是根据与第一目标源服务标识对应的服务和与第一目标源实例标识对应的实例确定的。第二服务实例是根据与第一目标目的服务标识对应的服务和与第二目标源实例标识对应的实例确定的。

根据本公开的实施例，第一检测信息还包括第一目标标准时刻。

根据本公开的实施例，第二确定模块520可以包括第一确定子模块和第二确定子模块。

第一确定子模块，用于从至少一个关联关系中确定与第一检测信息相匹配的至少一个第一目标关联关系。关联关系表征标准时刻、源服务标识、源实例标识、目的服务标识和与评估标识对应的聚合评估值之间的关系。

第二确定子模块，用于根据至少一个第一目标关联关系，确定与至少一个第一目标评估标识对应的第一聚合评估值，得到至少一个第一聚合评估值。

根据本公开的实施例，第二检测信息还包括第一目标标准时刻。

根据本公开的实施例，第四确定模块可以包括第三确定子模块和第四确定子模块。

第三确定子模块，用于从至少一个关联关系中确定与第二检测信息相匹配的至少一个第二目标关联关系。

第四确定子模块，用于根据至少一个第二目标关联关系，确定与至少一个第一目标评估标识对应的第二聚合评估值，得到至少一个第二聚合评估值。

根据本公开的实施例，上述异常检测装置500还可以包括第一获得模块和第二获得模块。

第一获得模块，用于基于至少一个服务标识映射关系，对与至少一个评估标识各自对应的至少一个调度信息进行处理，得到与至少一个评估标识各自对应的至少一个流量指标映射关系。

第二获得模块，用于根据与至少一个评估标识各自对应的至少一个流量指标映射关系，得到至少一个关联关系。服务标识映射关系表征设备标识、服务标识和实例标识之间的关系。调度信息包括访问流量标识、非标准时刻、至少一个设备标识和与至少一个评估标识各自对应的至少一个评估值。流量指标映射关系表征访问流量标识、非标准时刻和与至少一个服务实例标识各自对应的至少一个评估值。至少一个服务实例标识是根据至少一个服务标识和至少一个实例标识确定的。至少一个实例标识包括以下至少一项：至少一个变更实例标识和至少一个未变更实例标识。至少一个未变更实例标识包括以下至少一项：至少一个匹配实例标识和至少一个未匹配实例标识。

根据本公开的实施例，第二获得模块可以包括第一获得子模块、第五确定子模块、第六确定子模块和第二获得子模块。

针对至少一个预定时段中的每个预定时段，

第一获得子模块，用于从与至少一个评估标识各自对应的至少一个流量指标映射关系中确定处于预定时段内的至少一个流量指标映射关系，得到与至少一个评估标识各自对应的至少一个候选流量指标映射关系。

针对至少一个评估标识中的每个评估标识，

第五确定子模块，用于从至少一个服务标识和至少一个实例标识中确定至少一个关联组。关联组包括源服务标识、目的服务标识和源实例标识。

第六确定子模块，用于从与评估标识对应的至少一个候选流量指标映射关系中确定与至少一个关联组各自对应的至少一个目标流量指标映射关系。目标流量指标映射关系中与目标服务实例标识对应的评估值为非空值，目标服务实例标识是根据源服务标识和源实例标识确定的。

第二获得子模块，用于根据与至少一个关联组各自对应的至少一个目标流量指标映射关系，得到与至少一个关联组各自对应的关联关系。

根据本公开的实施例，预定时段是根据第一时刻和第二时刻确定的，第一时刻和第二时刻之间相差预定周期。

根据本公开的实施例，第二获得子模块可以包括第一获得单元和第二获得单元。

针对至少一个关联组中的每个关联组，

第一获得单元，用于根据与关联组对应的至少一个目标流量指标映射关系各自包括的与目的服务标识对应的至少一个评估值，得到与关联组对应的聚合评估值。

第二获得单元，用于根据标准时刻、关联组和聚合评估值，得到关联关系。标准时刻是对第一时刻进行处理得到的。

根据本公开的实施例，第一获得模块可以包括第三获得子模块和第四获得子模块。

针对至少一个评估标识中的每个评估标识，

第三获得子模块，用于针对与评估标识对应的至少一个调度信息中的每个调度信息，从至少一个服务标识映射关系中确定与调度信息中的至少一个设备标识各自相一致的设备标识，得到与调度信息相匹配的至少一个目标服务标识映射关系。

第四获得子模块，用于将调度信息中的至少一个设备标识替换为与至少一个设备标识各自对应的目标服务标识映射关系中的服务标识和实例标识，得到与调度信息对应的流量指标映射关系。

根据本公开的实施例，上述异常检测装置500还可以包括第三获得模块。

第三获得模块，用于响应于接收到与至少一个访问流量标识各自对应的总调度信息，对每个总调度信息进行分解，得到与每个总调度信息包括的每个评估标识对应的调度信息。总调度信息包括访问流量标识、非标准时刻、至少一个设备标识和与至少一个评估标识各自对应的至少一个评估值。

根据本公开的实施例，上述异常检测装置500还可以包括第七确定模块、第八确定模块和更新模块。

第七确定模块，用于响应于接收到更新请求，确定更新信息。更新信息包括第二目标标准时刻、第二目标源服务标识、第三目标源实例标识、第二目标目的服务标识和与第二目标评估标识对应的第三聚合评估值。

第八确定模块，用于从至少一个关联关系中确定与更新信息相匹配的第三目标关联关系。

更新模块，用于根据第三聚合评估值对与第三目标关联关系包括的聚合评估值进行更新。

根据本公开的实施例，上述异常检测装置500还可以包括第九确定模块、第十确定模块和第十一确定模块。

第九确定模块，用于响应于接收到查询请求，确定查询信息，其中，查询信息包括第三目标标准时刻、第三目标源服务标识、第四目标源实例标识、第三目标目的服务标识和第三目标评估标识。

第十确定模块，用于从至少一个关联关系中确定与查询信息相匹配的第四目标关联关系。

第十一确定模块，用于根据第四目标关联关系，确定与第三目标评估标识对应的第四聚合评估值。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

根据本公开的实施例，一种电子设备，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行如上所述的方法。

根据本公开的实施例，一种存储有计算机指令的非瞬时计算机可读存储介质，其中，计算机指令用于使计算机执行如上所述的方法。

根据本公开的实施例，一种计算机程序产品，包括计算机程序，计算机程序在被处理器执行时实现如上所述的方法。

图6示意性示出了根据本公开实施例的适于实现异常检测方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图6所示，电子设备600包括计算单元601，其可以根据存储在只读存储器(ROM)602中的计算机程序或者从存储单元608加载到随机访问存储器(RAM)603中的计算机程序，来执行各种适当的动作和处理。在RAM 603中，还可存储电子设备600操作所需的各种程序和数据。计算单元601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

电子设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调制解调器、无线通信收发机等。通信单元609允许电子设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元601可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元601的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元601执行上文所描述的各个方法和处理，例如异常检测方法。例如，在一些实施例中，异常检测方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元608。在一些实施例中，计算机程序的部分或者全部可以经由ROM 602和/或通信单元609而被载入和/或安装到电子设备600上。当计算机程序加载到RAM 603并由计算单元601执行时，可以执行上文描述的异常检测方法的一个或多个步骤。备选地，在其他实施例中，计算单元601可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行异常检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，也可以是分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (19)

1.一种异常检测方法，包括：

响应于检测到第一检测请求，确定第一检测信息，其中，所述第一检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识，所述第一目标源服务标识表征正在变更服务的标识，所述第一目标目的服务标识表征非正在变更服务的标识，所述第一目标源实例标识表征变更实例的标识；

根据所述第一检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第一聚合评估值；以及

根据所述至少一个第一聚合评估值和与所述至少一个第一目标评估标识对应的至少一个参考聚合评估值，确定与所述第一目标源实例标识对应的实例的异常检测结果。

2.根据权利要求1所述的方法，还包括：

响应于检测到第二检测请求，确定第二检测信息，其中，所述第二检测信息包括所述第一目标源服务标识、第二目标源实例标识、所述至少一个第一目标目的服务标识和所述至少一个第一目标评估标识，所述第二目标源实例标识表征与所述第一目标源实例标识相匹配的未变更实例的标识；

根据所述第二检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第二聚合评估值；以及

将与所述至少一个第一目标评估标识对应的至少一个第二聚合评估值确定为与所述至少一个第一目标评估标识对应的参考聚合评估值。

3.根据权利要求2所述的方法，其中，经由第一服务实例的访问流量经由至少一个第二服务实例，所述第一服务实例是根据与所述第一目标源服务标识对应的服务和与所述第一目标源实例标识对应的实例确定的，所述第二服务实例是根据与所述第一目标目的服务标识对应的服务和与所述第二目标源实例标识对应的实例确定的。

4.根据权利要求1～3中任一项所述的方法，其中，所述第一检测信息还包括第一目标标准时刻；

其中，所述根据所述第一检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第一聚合评估值，包括：

从至少一个关联关系中确定与所述第一检测信息相匹配的至少一个第一目标关联关系，其中，所述关联关系表征标准时刻、源服务标识、源实例标识、目的服务标识和与评估标识对应的聚合评估值之间的关系；以及

根据所述至少一个第一目标关联关系，确定与所述至少一个第一目标评估标识对应的第一聚合评估值，得到所述至少一个第一聚合评估值。

5.根据权利要求2或3所述的方法，其中，所述第二检测信息还包括第一目标标准时刻；

其中，所述根据所述第二检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第二聚合评估值，包括：

从所述至少一个关联关系中确定与所述第二检测信息相匹配的至少一个第二目标关联关系；以及

根据所述至少一个第二目标关联关系，确定与所述至少一个第一目标评估标识对应的第二聚合评估值，得到所述至少一个第二聚合评估值。

6.根据权利要求4所述的方法，还包括：

基于至少一个服务标识映射关系，对与至少一个评估标识各自对应的至少一个调度信息进行处理，得到与所述至少一个评估标识各自对应的至少一个流量指标映射关系；以及

根据与所述至少一个评估标识各自对应的至少一个流量指标映射关系，得到所述至少一个关联关系，

其中，所述服务标识映射关系表征设备标识、服务标识和实例标识之间的关系；

其中，所述调度信息包括访问流量标识、非标准时刻、至少一个所述设备标识和与所述至少一个评估标识各自对应的至少一个评估值；

其中，所述流量指标映射关系表征所述访问流量标识、所述非标准时刻和与至少一个服务实例标识各自对应的至少一个评估值，所述至少一个服务实例标识是根据至少一个服务标识和至少一个实例标识确定的，所述至少一个实例标识包括以下至少一项：至少一个变更实例标识和至少一个未变更实例标识，所述至少一个未变更实例标识包括以下至少一项：至少一个匹配实例标识和至少一个未匹配实例标识。

7.根据权利要求6所述的方法，其中，所述根据与所述至少一个评估标识各自对应的至少一个流量指标映射关系，得到所述至少一个关联关系，包括：

针对至少一个预定时段中的每个预定时段，

从与所述至少一个评估标识各自对应的至少一个流量指标映射关系中确定处于所述预定时段内的至少一个流量指标映射关系，得到与所述至少一个评估标识各自对应的至少一个候选流量指标映射关系；

针对所述至少一个评估标识中的每个评估标识，

从所述至少一个服务标识和所述至少一个实例标识中确定至少一个关联组，其中，所述关联组包括所述源服务标识、所述目的服务标识和所述源实例标识；

从与所述评估标识对应的至少一个候选流量指标映射关系中确定与所述至少一个关联组各自对应的至少一个目标流量指标映射关系，其中，所述目标流量指标映射关系中与目标服务实例标识对应的评估值为非空值，所述目标服务实例标识是根据所述源服务标识和所述源实例标识确定的；以及

根据与所述至少一个关联组各自对应的至少一个目标流量指标映射关系，得到与所述至少一个关联组各自对应的关联关系。

8.根据权利要求7所述的方法，其中，所述预定时段是根据第一时刻和第二时刻确定的，所述第一时刻和所述第二时刻之间相差预定周期；

其中，所述根据与所述至少一个关联组各自对应的至少一个目标流量指标映射关系，得到与所述至少一个关联组各自对应的关联关系，包括：

针对所述至少一个关联组中的每个关联组，

根据与所述关联组对应的至少一个目标流量指标映射关系各自包括的与所述目的服务标识对应的至少一个评估值，得到与所述关联组对应的聚合评估值；以及

根据标准时刻、所述关联组和所述聚合评估值，得到所述关联关系，其中，所述标准时刻是对所述第一时刻进行处理得到的。

9.根据权利要求6所述的方法，其中，所述基于至少一个服务标识映射关系，对与至少一个评估标识各自对应的至少一个调度信息进行处理，得到与所述至少一个评估标识各自对应的至少一个流量指标映射关系，包括：

针对所述至少一个评估标识中的每个评估标识，

针对与所述评估标识对应的至少一个调度信息中的每个调度信息，从所述至少一个服务标识映射关系中确定与所述调度信息中的至少一个设备标识各自相一致的设备标识，得到与所述调度信息相匹配的至少一个目标服务标识映射关系；以及

将所述调度信息中的至少一个设备标识替换为与所述所述至少一个设备标识各自对应的目标服务标识映射关系中的服务标识和实例标识，得到与所述调度信息对应的流量指标映射关系。

10.根据权利要求6所述的方法，还包括：

响应于接收到与至少一个访问流量标识各自对应的总调度信息，对每个所述总调度信息进行分解，得到与每个所述总调度信息包括的每个评估标识对应的调度信息，

其中，所述总调度信息包括所述访问流量标识、所述非标准时刻、至少一个所述设备标识和与所述至少一个评估标识各自对应的至少一个评估值。

11.根据权利要求4所述的方法，还包括：

响应于接收到更新请求，确定更新信息，其中，所述更新信息包括第二目标标准时刻、第二目标源服务标识、第三目标源实例标识、第二目标目的服务标识和与第二目标评估标识对应的第三聚合评估值；

从所述至少一个关联关系中确定与所述更新信息相匹配的第三目标关联关系；以及

根据所述第三聚合评估值对与所述第三目标关联关系包括的聚合评估值进行更新。

12.根据权利要求4所述的方法，还包括：

响应于接收到查询请求，确定查询信息，其中，所述查询信息包括第三目标标准时刻、第三目标源服务标识、第四目标源实例标识、第三目标目的服务标识和第三目标评估标识；

从所述至少一个关联关系中确定与所述查询信息相匹配的第四目标关联关系；以及

根据所述第四目标关联关系，确定与所述第三目标评估标识对应的第四聚合评估值。

13.一种异常检测装置，包括：

第一确定模块，用于响应于检测到第一检测请求，确定第一检测信息，其中，所述第一检测信息包括第一目标源服务标识、第一目标源实例标识、至少一个第一目标目的服务标识和至少一个第一目标评估标识，所述第一目标源服务标识表征正在变更服务的标识，所述第一目标目的服务标识表征非正在变更服务的标识，所述第一目标源实例标识表征变更实例的标识；

第二确定模块，用于根据所述第一检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第一聚合评估值；以及

第三确定模块，用于根据所述至少一个第一聚合评估值和与所述至少一个第一目标评估标识对应的至少一个参考聚合评估值，确定与所述第一目标源实例标识对应的实例的异常检测结果。

14.根据权利要求13所述的装置，还包括：

第四确定模块，用于响应于接收到第二检测请求，确定第二检测信息，其中，所述第二检测信息包括所述第一目标源服务标识、第二目标源实例标识、所述至少一个第一目标目的服务标识和所述至少一个第一目标评估标识，所述第二目标源实例标识表征与所述第一目标源实例标识相匹配的未变更实例的标识；

第五确定模块，用于根据所述第二检测信息，确定与所述至少一个第一目标评估标识对应的至少一个第二聚合评估值；以及

第六确定模块，用于将与所述至少一个第一目标评估标识对应的至少一个第二聚合评估值确定为与所述至少一个第一目标评估标识对应的参考聚合评估值。

15.根据权利要求14所述的装置，其中，经由第一服务实例的访问流量经由至少一个第二服务实例，所述第一服务实例是根据与所述第一目标源服务标识对应的服务和与所述第一目标源实例标识对应的实例确定的，所述第二服务实例是根据与所述第一目标目的服务标识对应的服务和与所述第二目标源实例标识对应的实例确定的。

16.根据权利要求13～15中任一项所述的装置，其中，所述第一检测信息还包括第一目标标准时刻；

其中，所述第二确定模块，包括：

第一确定子模块，用于从至少一个关联关系中确定与所述第一检测信息相匹配的至少一个第一目标关联关系，其中，所述关联关系表征标准时刻、源服务标识、源实例标识、目的服务标识和与评估标识对应的聚合评估值之间的关系；以及

第二确定子模块，用于根据所述至少一个第一目标关联关系，确定与所述至少一个第一目标评估标识对应的第一聚合评估值，得到所述至少一个第一聚合评估值。

17.根据权利要求14或15所述的装置，其中，所述第二检测信息还包括第一目标标准时刻；

其中，所述第三确定模块，包括：

第三确定子模块，用于从所述至少一个关联关系中确定与所述第二检测信息相匹配的至少一个第二目标关联关系；以及

第四确定子模块，用于根据所述至少一个第二目标关联关系，确定与所述至少一个第一目标评估标识对应的第二聚合评估值，得到所述至少一个第二聚合评估值。

18.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1～12中任一项所述的方法。

19.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1～12中任一项所述的方法。