CN115914052A - 域名健康状况的检测方法和装置 - Google Patents

Abstract

本发明公开了一种域名健康状况的检测方法和装置，涉及人工智能技术领域。该方法的一具体实施方式包括：对于待检测域名对应的多个节点中的任一节点，获取该节点的历史运行时序数据输入异常评估模型，得到该节点的初始异常分数；在该节点的初始异常分数符合运行异常条件的情况下，获取该节点的当前运行向量，将该节点的当前运行向量与历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；依据多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断待检测域名的健康状况。该实施方式能够利用人工智能技术实现域名访问健康状况的准确判别。

Description

域名健康状况的检测方法和装置

技术领域

本发明涉及人工智能技术领域，尤其涉及一种域名健康状况的检测方法和装置。

背景技术

在企业IT(Information Technology，信息技术)运维实践中，需要对域名下的虚拟服务器、应用服务器等节点的运行数据进行分析来判断域名访问的健康状况，以上运行数据可以是新建连接数、并发连接数、请求数、入流量、出流量等多种指标的数据。在确定各节点的健康状况类型的现有技术中，一般将各指标数据与人工设置的阈值进行比较，并且利用人工设定的规则来融合各种指标数据进而得出结论，以上方法过于依赖人工经验，场景适配度低，通用性差，容易发生漏判。

发明内容

有鉴于此，本发明实施例提供一种域名健康状况的检测方法和装置，能够利用人工智能技术实现域名访问健康状况的准确判别。

为实现上述目的，根据本发明的一个方面，提供了一种域名健康状况的检测方法。

本发明实施例的域名健康状况的检测方法包括：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

可选地，所述将所述历史运行时序数据输入预先训练的异常评估模型，包括：使用跨度为第一预设时长的第一滑动窗口在同一指标的历史运行时序数据中按照时间流逝方向连续选取数据，并在连续选取的两组数据中以在后选取的数据减去在先选取的数据，形成所述任一节点的趋势特征；使用跨度为第二预设时长的第二滑动窗口在同一指标的历史运行时序数据中连续选取数据，在选取的任一组数据中计算多种统计结果，形成所述任一节点的时序特征；将每一指标的趋势特征和时序特征输入所述异常评估模型。

可选地，所述历史运行时序数据中包括与所述多个统计周期一一对应的多个运行向量，任一运行向量的分量与所述多个预设指标一一对应；以及，所述获取该节点在所述多个预设指标的当前运行向量，包括：将所述多个运行向量中所对应的统计周期最晚的运行向量确定为所述当前运行向量。

可选地，所述历史异常运行向量为多个，是由处在异常状态的节点在所述多个预设指标的当前运行数据所组成；以及，所述将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数，包括：计算该节点的当前运行向量与任一历史异常运行向量的相似度；将所述相似度中的最大值乘以所述初始异常分数得到所述最终异常分数。

可选地，所述多个节点的健康状况类型包括正常类型和严重程度不同的多种异常类型；以及，所述依据所述多个节点的最终异常分数确定每一节点的健康状况类型，包括：依据所述多个节点的最终异常分数确定第一阈值，比较每一节点的最终异常分数与第一阈值的大小以确定归属于严重程度最高的异常类型的节点；根据除所述归属于严重程度最高的异常类型的节点之外的节点的最终异常分数确定第二阈值，比较当前的每一节点的最终异常分数与第二阈值的大小以确定归属于严重程度次高的异常类型的节点。

可选地，所述节点为服务端节点，包括虚拟服务器、一级应用服务器和二级应用服务器；所述多个预设指标包括以下至少一种：新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量、网络应用防火墙WAF拦截数、WAF超时数、WAF平均时延、请求平均时延；所述多个统计周期为连续的统计周期；所述方法进一步包括：在所述任一节点的初始异常分数不符合所述运行异常条件的情况下，将该节点的健康状况类型确定为正常类型。

为实现上述目的，根据本发明的另一方面，提供了一种域名健康状况的检测装置。

本发明实施例的域名健康状况的检测装置可以包括：第一计算单元，用于：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；第二计算单元，用于：在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；健康状况判断单元，用于依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

可选地，所述历史运行时序数据中包括与所述多个统计周期一一对应的多个运行向量，任一运行向量的分量与所述多个预设指标一一对应；所述历史异常运行向量为多个，是由处在异常状态的节点在所述多个预设指标的当前运行数据所组成；以及，第二计算单元进一步用于：将所述多个运行向量中所对应的统计周期最晚的运行向量确定为所述当前运行向量；计算该节点的当前运行向量与任一历史异常运行向量的相似度，将所述相似度中的最大值乘以所述初始异常分数得到所述最终异常分数。

为实现上述目的，根据本发明的又一方面，提供了一种电子设备。

本发明的一种电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明所提供的域名健康状况的检测方法。

为实现上述目的，根据本发明的再一方面，提供了一种计算机可读存储介质。

本发明的一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明所提供的域名健康状况的检测方法。

根据本发明的技术方案，上述发明中的实施例具有如下优点或有益效果：

首先获取待检测域名对应的任一节点在多个预设指标以及多个统计周期的历史运行时序数据，并将历史运行时序数据输入预先训练的异常评估模型以得到该节点的初始异常分数。接着，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较进而调整初始异常分数以得到最终异常分数。之后，利用多个节点的最终异常分数动态确定多种阈值从而将每一节点归入相应的健康状况类型，最后利用每一节点的健康状况类型综合判断待检测域名的健康状况。如此，避免了对人工经验和人工规则的依赖，通过多种指标的历史运行时序数据在异常评估模型的自动融合以及基于当前运行向量与历史异常运行向量相似度的异常分数合理调整，实现了各节点以及域名健康状况的准确判断，同时具有较高的场景适配度和通用性。另外，在根据各节点的最终异常分数进行健康状况分类时，自动生成动态更新阈值来执行节点分类，避免了依赖人工经验设置阈值带来的多种问题。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是本发明实施例中域名健康状况的检测方法的主要步骤示意图；

图2是本发明实施例的异常评估模型的结构示意图；

图3是本发明实施例中域名健康状况的检测方法的具体执行步骤示意图；

图4是本发明实施例中域名健康状况的检测装置的组成部分示意图；

图5是根据本发明实施例可以应用于其中的示例性系统架构图；

图6是用来实现本发明实施例中域名健康状况的检测方法的电子设备结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

需要指出的是，在不冲突的情况下，本发明的实施例以及实施例中的技术特征可以相互结合。

图1是根据本发明实施例中域名健康状况的检测方法的主要步骤示意图。

如图1所示，本发明实施例的域名健康状况的检测方法可具体按照如下步骤执行：

步骤S101：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数。

域名是用于访问服务端的定位标识，本发明实施例的域名健康状况检测指的是对域名指向的计算机或计算机集群的运行状况检测。在本发明实施例中，以上待检测域名可以是网站的根域名，也可以是从属于根域名的各级域名。实际应用中，某域名相关的计算机系统可以由至少一个负载均衡器(虚拟服务器，其IP地址为虚拟IP地址)以及连接于负载均衡器的应用服务器组成，应用服务器可以包括一级应用服务器和二级应用服务器(二级应用服务器的IP地址为真实IP地址)，一个虚拟服务器一般对应于一个或多个一级应用服务器，一个一级应用服务器管理一个或多个二级应用服务器。在本文中，可以将以上虚拟服务器、一级应用服务器和二级应用服务器均称为节点。

在本发明技术方案中，通过对域名下的各节点执行健康状况检测来综合评估域名访问的健康状况。在本步骤中，针对域名下的任一节点，首先获取该节点在多个指标下的历史运行时序数据。示例性地，以上指标可以是新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量、WAF(Web Application Firewall，网络应用防火墙)拦截数、WAF超时数、WAF平均时延、请求平均时延，这些指标的具体含义属于已知技术，此处不需赘述。每一指标的历史运行时序数据可以是连续的多个时间段(可以将每一时间段称为一个统计周期)的指标数据序列，例如，可以将一分钟作为一个统计周期，每一指标的历史运行时序数据为过去5天内每一分钟的指标数据序列(按照时间先后顺序排列)，如果以矩阵表示以上11个指标的历史运行时序数据，矩阵尺寸为7200*11，7200表示5天的统计周期数量。显然，以上矩阵的每一列为同一指标的数据序列，从横向来看，每一行为对应于一个统计周期的运行向量，在每一个运行向量中，各分量与以上指标一一对应。

具体应用中，获得以上历史运行时序数据之后，可以首先执行数据预处理和特征工程来提高数据质量从而提高模型计算精度。数据预处理可以采用重采样、差分等方法。较佳地，特征工程可以使用以下方法。一方面，使用跨度为第一预设时长的第一滑动窗口在同一指标的历史运行时序数据中按照时间流逝方向连续滑动以选取数据，并在连续选取的两组数据中以在后选取的数据减去在先选取的数据，形成节点的趋势特征。相比于初始的历史运行时序数据，趋势特征更能够直接地反映指标数据的波动情况。

另一方面，使用跨度为第二预设时长的第二滑动窗口在同一指标的历史运行时序数据中连续选取数据，在选取的任一组数据中计算多种统计结果，形成节点的时序特征。以上统计结果可以根据实际需要设置，例如设置为窗口内数据的中值与均值的差的绝对值与r倍(r为正数)标准差(标准差为该指标的历史运行时序数据的标准差)的比值、窗口内的波峰个数和波谷个数。以上时序特征相比于初始的历史运行时序数据更便于体现指标数据序列的统计特征。最后，将每一指标的趋势特征和时序特征拼接后输入预先训练的异常评估模型。

图2是本发明实施例的异常评估模型的结构示意图，参见图2。异常评估模型为机器学习模型，用于根据输入的历史运行时序数据或者趋势特征和时序特征计算初始异常分数，该初始异常分数用于初步评价节点的运行健康状况，具体应用中，初始异常分数越高可以代表节点的异常严重程度越高，也可以代表节点的异常严重程度越低，以下以前者为例进行说明。

图2所示结构为异常评估模型的可选结构，在图2中，异常评估模型包括LSTM(LongShort-Term Memory,长短期记忆网络)、DROP OUT层(退出层)、全连接层、注意力层和输出层，LSTM用于实现初始异常分数的计算，DROP OUT层用于防止过拟合，注意力层用于在模型计算过程中体现不同指标、不同统计周期特征的权重，从而提取到序列的关键特征。以上异常评估模型的训练可以采用已知的训练方法，此处不再赘述。可以理解，以上异常评估模型也可以使用其它结构，例如基于RNN(Recurrent Neural Network，循环神经网络)、CNN(Convolutional Neural network，卷积神经网络)的结构。经过异常评估模型对多个指标的历史运行时序数据进行计算，能够得到多种指标数据序列融合后形成的初始异常分数来作为节点运行状况的初步估计。

步骤S102：在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数。

得到节点的初始异常分数之后，首先可以判断初始异常分数是否符合预设的运行异常条件，例如判断初始异常分数是否大于预设的分数阈值，如果大于，则说明节点的运行状况可能存在不同程度的异常，则需要执行后续步骤判断是否为异常类型以及属于哪种程度的异常类型；如果不大于，则说明节点运行状况不存在异常，则将节点的健康状况类型确定为正常类型。以上分数阈值可以由人工设置，也可以通过SPOT等动态阈值生成算法基于多个节点的初始异常分数自动生成。

考虑到机器学习模型的固有不足，单纯依赖异常评估模型执行节点的健康状况判别的可靠性难以保证，因此异常评估模型的输出结果只能作为初步评估结果，还需要后续的增强步骤来生成最终异常分数作为节点健康状况的最终评价，因此，在判断节点的健康状况类型为异常类型时，可以执行以下增强判断步骤。具体地，在各节点历史工作过程中，可以预先存储处在异常状态的节点(待检测域名下的节点)的历史异常运行向量组成样本库，以上历史异常运行向量的各分量即节点在异常时刻以及相应指标下的当前运行数据，样本库中的以上历史异常运行向量能够体现真实异常状况的数据特征。

在获知待检测域名的某一节点的健康状况类型为异常类型时，可以首先获取该节点在多个预设指标的当前运行向量，以上当前运行向量用于表示节点在当前时刻的运行状况。例如，将历史运行时序数据中所对应统计周期最晚的运行向量确定为当前运行向量，当然，也可以将历史运行时序数据中近于当前时刻的其它运行向量确定为当前运行向量，或者，不使用历史运行时序数据而采用其它合理方式(例如直接采集当前运行数据)获取当前运行向量。此后，可以使用当前运行向量在样本库中进行匹配，即，遍历样本库中的各历史异常运行向量，分别计算各历史异常运行向量与当前运行向量的相似度，最后，将相似度中的最大值乘以节点的初始异常分数得到其最终异常分数。实际应用中，以上相似度可以是已知的余弦相似度、皮尔逊相关系数等，基于相似度最大值对初始异常分数的调整也可以是其它方式，例如将相似度最大值作为初始异常分数的指数，形成的幂为最终异常分数。

特别地，可以在样本库的同一节点类型中执行以上遍历，例如，如果待检测域名的节点为虚拟服务器，则仅遍历样本库中待检测域名下的虚拟服务器的历史异常运行向量进行相似度计算；如果待检测域名为一级应用服务器，则仅遍历样本库中待检测域名下的一级应用服务器的历史异常运行向量进行相似度计算；如果待检测域名为二级服务器，则仅遍历样本库中待检测域名下的二级应用服务器的历史异常运行向量进行相似度计算。

在以上步骤中，使用节点的当前运行向量在样本库中匹配最大相似度，能够体现节点当前运行状况与历史异常状况的相似程度，从而基于与真实历史数据的比较对机器学习模型输出的初始异常分数进行调整，由此保证节点运行状态评估的可靠性。

步骤S103：依据多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断待检测域名的健康状况。

经过步骤S101和步骤S102，能够得到待检测域名下每一节点的最终异常分数，接着需要基于各节点的最终异常分数确定每一节点所属的健康状况类型，与基于人工设置阈值进行分类的现有技术不同，本发明实施例可以执行以上步骤进行分类。首先，依据多个节点的最终异常分数确定当前的第一阈值，第一阈值能够对当前节点执行二分类，即，通过比较各节点的最终异常分数与第一阈值的大小实现二分类，以上阈值计算可以使用已知的SPOT等自适应阈值计算方法。接着，比较每一节点的最终异常分数与第一阈值的大小以确定归属于严重程度最高的异常类型的节点，例如，将最终异常分数大于第一阈值的节点的健康状况类型确定为严重程度最高的异常类型。

此后，将确定出的严重程度最高的异常类型的节点去除，根据剩余节点的最终异常分数以类似方法确定当前的第二阈值，比较当前的每一节点的最终异常分数与第二阈值的大小以确定归属于严重程度次高的异常类型的节点。例如，将最终异常分数大于第二阈值的节点的健康状况类型确定为严重程度次高的异常类型。重复执行以上步骤即可确定归属于各严重程度异常类型的节点。具体应用中，在确定出所有异常类型的节点之后，可以将剩余节点的健康状况类型确定为正常类型，再结合步骤S102中通过初始异常分数确定的正常类型节点，即可得到待检测域名下每一节点的健康状况类型。

最后，可以利用每一节点的健康状况类型综合评估待检测域名的健康状况，以上综合评估策略可以根据实际需要灵活设置，例如，对于含有三个虚拟服务器以及九个二级应用服务器的域名来说，如果其中的两个或三个虚拟服务器处在严重程度最高的异常类型，则判定该域名严重异常；如果其中的两个或一个二级应用服务器处在严重程度次高或以下的异常类型，则判定该域名轻微异常。

具体场景中，本发明实施例的域名健康状况的检测方法可以定时任务的方式执行，可以细粒度执行(例如每分钟执行一次)从而捕捉系统的运行细节，也可以粗粒度执行(例如每周执行一次)以实现周期性的域名巡检从而判断系统运行的整体趋势。图3是本发明实施例中域名健康状况的检测方法的具体执行步骤示意图，各步骤已经在前文进行说明，此处不再重复。

在本发明实施例的技术方案中，首先利用机器学习方法处理各节点的历史运行时序数据来得到节点的初始异常分数，此后利用预先确定的历史异常运行向量与各节点的当前运行向量进行比较以将初始异常分数调整为最终异常分数，最后利用最终异常分数得出节点的健康状况类型进而确定域名的健康状况。以上方法可以定时任务的方式进行实时监测和周期巡检，从而全面了解域名对应业务的健康状况，解决现有技术无法完全覆盖全部异常情况、容易漏判的问题，提升域名异常识别的效率和准确度。

以下说明本发明的一个具体实施例。

随着软件技术的不断更新和业务的快速发展，负载均衡器(虚拟服务器)作为整个软件技术生态的基础能力，承载整个业务流量的入口，用户通过域名访问APP或者网站，域名解析指向的IP即为负载均衡器的VIP(虚拟IP)。在企业IT运维的现有技术中，经常通过监控虚拟服务器的指标(例如新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量等)的变化来判断整体业务的问题和隐患，从而及时做出动态调整或者扩缩容，应对不同的业务场景。以上虚拟服务器和相应的各级应用服务器都为域名下的节点。

在现有技术中，主要基于人工设定的规则、通过采集各指标数据并与相应的人工设置阈值进行比较来了解整个业务域名的健康状况，其缺点在于，过于依赖阈值设置者的经验，场景适配性低，不够通用，并且人工设定的规则无法完全覆盖全部的异常情况，可能存在漏判，而且识别的效率和准确度不高。

在本实施例中，设置周期性定时任务进行域名健康状况的智能巡检，目的在于监测域名的实时性健康情况和域名整体的健康度评估，通过采集多个历史统计周期的多指标数据(历史运行时序数据)，构建多元时序任务的数据集，通过结合机器学习和深度学习技术来搭建LSTM+Attention机制的异常评估模型，采用先回归计算异常分数后执行健康状况分类的方式确定各节点的健康状况类型最终得出域名的健康状况评估结果。如此，能够全面了解域名对应业务的健康状况，解决现有技术无法完全覆盖全部异常情况、容易漏判的问题，提升域名异常识别的效率和准确度。本实施例的具体执行步骤如下：

第一，数据采集

首先采集历史N(N为正整数)天内的历史运行时序数据，指标包括新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量、WAF拦截数、WAF超时数、WAF平均时延、请求平均时延，作为异常评估模型的输入。

第二，数据预处理

针对历史运行时序数据中的缺失值采用上下值平均填充的方式，针于其中的异常值采用上下平均修正或剔除的方法，避免影响最终评估结果。采用重采样和差分等预处理办法，在保持原始数据信息不丢失的情况下，有意识地改变样本分布，以更适应后续的模型训练和学习，缓解训练样本不均衡的问题，减轻数据之间的不规律波动。最后对数据进行归一化，将数据统一到相同的尺度上，防止特征间单位和尺度差异影响计算结果，提升模型的收敛速度和预测精度。

第三，特征工程

特征工程主要作用是将原始数据转化成能够更好地表达问题本质的特征，将这些特征运用到模型能够提高模型预测精度。实际应用中，可以将历史运行时序数据转换为前述的趋势特征和时序特征，最后转换为适用格式输入模型。

第四，异常评估模型

本实施例采用LSTM+Attention的模型，利用LSTM提取多维度的时序特征，并采用注意力机制捕获其中的关键特征。LSTM对传统RNN进行了优化，通过门机制控制需要遗忘或者继续传递下去的信息，适用于时序预测任务。Attention层用于计算各类特征的权重从而提取到序列的关键特征。模型输出为各节点的初始异常分数。

第五，异常分数计算

实际中对待检测域名各节点曾经出现的异常情况进行保存，即将各节点的历史异常运行向量存储在样本库。当节点的初始异常分数小于分数阈值时，则确定其为正常状态；当节点的初始异常分数不小于分数阈值时，从节点的历史运行时序数据中确定其当前运行向量，并计算当前运行向量与样本库中节点类型相同的各历史异常运行向量的相似度，将相似度最大值乘以初始异常分数得到节点的最终异常分数。以上相似度计算可以通过例如余弦相似度的向量计算方式来实现，也可以结合向量计算方式与相关波形计算方式来实现。

第六，健康状态判别

节点的健康状况类型可以根据实际需要灵活设置，以虚拟服务器为例，其健康状况类型可以包括：正常、一级异常、二级异常和三级异常(异常严重程度依次升高)。其中，正常表示虚拟服务器下的所有应用服务器都运行正常；一级异常表示虚拟服务器下的部分应用服务器都运行正常、部分应用服务器运行异常、同时监测信息一致；二级异常表示虚拟服务器下的部分应用服务器都运行正常、部分应用服务器运行异常、同时监测信息不一致；三级异常表示虚拟服务器下的所有应用服务器都异常。各健康状况类型可以配置对应的处置策略，例如针对二级异常和三级异常告警。

在得到各节点的最终异常分数之后，可以使用SPOT算法计算动态阈值以依次确定三级异常类型、二级异常类型、一级异常类型和正常类型的相应节点，据此最终对待检测域名的健康状况进行评估。

以上方法可以定时任务方式每分钟执行一次以查看节点的实时健康情况，也可以每天或每周一次的频率执行来评估域名的长期健康状况变化情况，最终的评估结果可以可视化方式向外展示，并在其中标记较为明显的异常点。

需要说明的是，对于前述的各方法实施例，为了便于描述，将其表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，某些步骤事实上可以采用其它顺序进行或者同时进行。此外，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是实现本发明所必须的。

为便于更好的实施本发明实施例的上述方案，下面还提供用于实施上述方案的相关装置。

请参阅图4所示，本发明实施例提供的域名健康状况的检测装置400可以包括：第一计算单元401、第二计算单元402和健康状况判断单元403。

其中，第一计算单元401可用于：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；第二计算单元402可用于：在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；健康状况判断单元403可用于依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

在本发明实施例中，所述历史运行时序数据中包括与所述多个统计周期一一对应的多个运行向量，任一运行向量的分量与所述多个预设指标一一对应；所述历史异常运行向量为多个，是由处在异常状态的节点在所述多个预设指标的当前运行数据所组成；以及，第二计算单元402可进一步用于：将所述多个运行向量中所对应的统计周期最晚的运行向量确定为所述当前运行向量；计算该节点的当前运行向量与任一历史异常运行向量的相似度，将所述相似度中的最大值乘以所述初始异常分数得到所述最终异常分数。

具体应用中，第一计算单元401可进一步用于：使用跨度为第一预设时长的第一滑动窗口在同一指标的历史运行时序数据中按照时间流逝方向连续选取数据，并在连续选取的两组数据中以在后选取的数据减去在先选取的数据，形成所述任一节点的趋势特征；使用跨度为第二预设时长的第二滑动窗口在同一指标的历史运行时序数据中连续选取数据，在选取的任一组数据中计算多种统计结果，形成所述任一节点的时序特征；将每一指标的趋势特征和时序特征输入所述异常评估模型。

作为一个优选方案，所述多个节点的健康状况类型包括正常类型和严重程度不同的多种异常类型；以及，健康状况判断单元403可进一步用于：依据所述多个节点的最终异常分数确定第一阈值，比较每一节点的最终异常分数与第一阈值的大小以确定归属于严重程度最高的异常类型的节点；根据除所述归属于严重程度最高的异常类型的节点之外的节点的最终异常分数确定第二阈值，比较当前的每一节点的最终异常分数与第二阈值的大小以确定归属于严重程度次高的异常类型的节点。

此外，在本发明实施例中，所述节点为服务端节点，包括虚拟服务器、一级应用服务器和二级应用服务器；所述多个预设指标包括以下至少一种：新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量、网络应用防火墙WAF拦截数、WAF超时数、WAF平均时延、请求平均时延；所述多个统计周期为连续的统计周期；健康状况判断单元403可进一步用于：在所述任一节点的初始异常分数不符合所述运行异常条件的情况下，将该节点的健康状况类型确定为正常类型。

根据本发明实施例的技术方案，使用机器学习模型和基于相似度的自动调整来生成节点的最终异常分数，并通过自动生成的动态阈值执行节点的健康状况类型判别，相比于现有的人工设定规则和阈值的方法，能够提高异常类型判别的覆盖率，并且准确度和效率相对更高。本发明实施例的域名健康状况的检测方法可以实时监测和周期巡检的方式执行，由此既能够捕捉具体节点的运行细节，又能够掌握域名系统的整体健康状况。

图5示出了可以应用本发明实施例的域名健康状况的检测方法或域名健康状况的检测装置的示例性系统架构500。

如图5所示，系统架构500可以包括终端设备501、502、503，网络504和服务器505(此架构仅仅是示例，具体架构中包含的组件可以根据申请具体情况调整)。网络504用以在终端设备501、502、503和服务器505之间提供通信链路的介质。网络504可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等。

用户可以使用终端设备501、502、503通过网络504与服务器505交互，以接收或发送消息等。终端设备501、502、503上可以安装有各种客户端应用，例如健康状态监测应用等(仅为示例)。

终端设备501、502、503可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器505可以是提供各种服务的服务器，例如对用户利用终端设备501、502、503所操作的健康状态监测应用提供支持的后台服务器(仅为示例)。后台服务器可以对接收到的域名检测请求进行处理，并将处理结果(例如检测到的域名的健康状况--仅为示例)反馈给终端设备501、502、503。

需要说明的是，本发明实施例所提供的域名健康状况的检测方法一般由服务器505执行，相应地，域名健康状况的检测装置一般设置于服务器505中。

应该理解，图5中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

本发明还提供了一种电子设备。本发明实施例的电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明所提供的域名健康状况的检测方法。

下面参考图6，其示出了适于用来实现本发明实施例的电子设备的计算机系统600的结构示意图。图6示出的电子设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，计算机系统600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM603中，还存储有计算机系统600操作所需的各种程序和数据。CPU601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便从其上读出的计算机程序根据需要被安装入存储部分608。

特别地，根据本发明公开的实施例，上文的主要步骤图描述的过程可以被实现为计算机软件程序。例如，本发明实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行主要步骤图所示的方法的程序代码。在上述实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被中央处理单元601执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。在本发明中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器包括第一健康单元、第二健康单元和健康状况判断单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，第一计算单元还可以被描述为“向第二计算单元提供初始异常分数的单元”。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中的。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该设备执行时，使得该设备执行的步骤包括：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

在本发明实施例的技术方案中，首先获取待检测域名对应的任一节点在多个预设指标以及多个统计周期的历史运行时序数据，并将历史运行时序数据输入预先训练的异常评估模型以得到该节点的初始异常分数。接着，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较进而调整初始异常分数以得到最终异常分数。之后，利用多个节点的最终异常分数动态确定多种阈值从而将每一节点归入相应的健康状况类型，最后利用每一节点的健康状况类型综合判断待检测域名的健康状况。如此，避免了对人工经验和人工规则的依赖，通过多种指标的历史运行时序数据在异常评估模型的自动融合以及基于当前运行向量与历史异常运行向量相似度的异常分数合理调整，实现了各节点以及域名健康状况的准确判断，同时具有较高的场景适配度和通用性。另外，在根据各节点的最终异常分数进行健康状况分类时，自动生成动态更新阈值来执行节点分类，避免了依赖人工经验设置阈值带来的多种问题。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种域名健康状况的检测方法，其特征在于，包括：

对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；

在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；

依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

2.根据权利要求1所述的方法，其特征在于，所述将所述历史运行时序数据输入预先训练的异常评估模型，包括：

使用跨度为第一预设时长的第一滑动窗口在同一指标的历史运行时序数据中按照时间流逝方向连续选取数据，并在连续选取的两组数据中以在后选取的数据减去在先选取的数据，形成所述任一节点的趋势特征；

使用跨度为第二预设时长的第二滑动窗口在同一指标的历史运行时序数据中连续选取数据，在选取的任一组数据中计算多种统计结果，形成所述任一节点的时序特征；

将每一指标的趋势特征和时序特征输入所述异常评估模型。

3.根据权利要求1所述的方法，其特征在于，所述历史运行时序数据中包括与所述多个统计周期一一对应的多个运行向量，任一运行向量的分量与所述多个预设指标一一对应；以及，所述获取该节点在所述多个预设指标的当前运行向量，包括：

将所述多个运行向量中所对应的统计周期最晚的运行向量确定为所述当前运行向量。

4.根据权利要求3所述的方法，其特征在于，所述历史异常运行向量为多个，是由处在异常状态的节点在所述多个预设指标的当前运行数据所组成；以及，所述将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数，包括：

计算该节点的当前运行向量与任一历史异常运行向量的相似度；

将所述相似度中的最大值乘以所述初始异常分数得到所述最终异常分数。

5.根据权利要求1所述的方法，其特征在于，所述多个节点的健康状况类型包括正常类型和严重程度不同的多种异常类型；以及，所述依据所述多个节点的最终异常分数确定每一节点的健康状况类型，包括：

依据所述多个节点的最终异常分数确定第一阈值，比较每一节点的最终异常分数与第一阈值的大小以确定归属于严重程度最高的异常类型的节点；

根据除所述归属于严重程度最高的异常类型的节点之外的节点的最终异常分数确定第二阈值，比较当前的每一节点的最终异常分数与第二阈值的大小以确定归属于严重程度次高的异常类型的节点。

6.根据权利要求5所述的方法，其特征在于，所述节点为服务端节点，包括虚拟服务器、一级应用服务器和二级应用服务器；

所述多个预设指标包括以下至少一种：新建连接数、并发连接数、请求数、入流量、出流量、入包量，出包量、网络应用防火墙WAF拦截数、WAF超时数、WAF平均时延、请求平均时延；

所述多个统计周期为连续的统计周期；

所述方法进一步包括：在所述任一节点的初始异常分数不符合所述运行异常条件的情况下，将该节点的健康状况类型确定为正常类型。

7.一种域名健康状况的检测装置，其特征在于，包括：

第一计算单元，用于：对于待检测域名对应的多个节点中的任一节点，获取该节点在多个预设指标以及多个统计周期的历史运行时序数据，将所述历史运行时序数据输入预先训练的异常评估模型，得到该节点的初始异常分数；

第二计算单元，用于：在该节点的初始异常分数符合预设的运行异常条件的情况下，获取该节点在所述多个预设指标的当前运行向量，将该节点的当前运行向量与预先确定的历史异常运行向量进行比较，根据比较结果和该节点的初始异常分数生成该节点的最终异常分数；

健康状况判断单元，用于依据所述多个节点的最终异常分数确定每一节点的健康状况类型，利用每一节点的健康状况类型判断所述待检测域名的健康状况。

8.根据权利要求7所述的装置，其特征在于，所述历史运行时序数据中包括与所述多个统计周期一一对应的多个运行向量，任一运行向量的分量与所述多个预设指标一一对应；所述历史异常运行向量为多个，是由处在异常状态的节点在所述多个预设指标的当前运行数据所组成；以及，

第二计算单元进一步用于：将所述多个运行向量中所对应的统计周期最晚的运行向量确定为所述当前运行向量；计算该节点的当前运行向量与任一历史异常运行向量的相似度，将所述相似度中的最大值乘以所述初始异常分数得到所述最终异常分数。

9.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-6中任一所述的方法。

Images