CN117194191A - 日志监控告警方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种日志监控告警方法、装置、计算机设备和存储介质。本申请涉及大数据以及数据分析技术领域。方法包括：采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别目标主机系统的系统异常信息；基于各当前日志信息的产生原因、以及各当前日志信息的日志内容，通过异常信息识别策略，识别各日志信息中的异常信息，并基于系统异常信息、以及各异常信息，生成日志告警信息。采用本方法能够提升对日志监控告警的效率。

Description

日志监控告警方法、装置、计算机设备和存储介质

技术领域

本申请涉及大数据以及数据分析技术领域，特别是涉及一种日志监控告警方法、装置、计算机设备和存储介质。

背景技术

大型主机系统日志记录包括Z/OS操作系统(IBM z/OS操作系统)、CICS(CustomerInformation Control System，客户信息控制系统)中间件、DB2(DataBase 2，关系型数据库)数据库、MQ(Message Queue，消息队列)消息队列等子系统的运行信息数据。运维人员日常运维需要从主机系统日志查看子系统状态，并且分析问题，不仅需要查看日志消息内容，有时需要与其他基准时间对比消息出现次数，联动分析，以此辅助判断目前系统健康状态。因此，对大型主机系统日志自动化监控告警十分必要。

传统日志监控告警方式为人工定时采集大型主机系统的日志信息，并基于人工经验判断该日志的异常信息。但是由于人工采集效率较低、人工经验差异化较大，从而导致日志监控告警的效率较低。

发明内容

基于此，有必要针对上述技术问题，提供一种能够自动化采集、分析大型主机系统日志并根据日志监控策略生成监控告警的日志监控告警方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。

第一方面，本申请提供了一种日志监控告警方法。所述方法包括：

采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；

基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；

基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。

可选的，所述采集目标主机系统的多个当前日志信息之后，还包括：

获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于所述产生原因的各所述历史日志信息，在所述产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息；

基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略；

基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

可选的，所述基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息，包括：

针对每个目标日志信息，识别所述目标日志信息对应的所述目标主机系统的子系统，并基于相同子系统的各所述目标日志信息的日志类型、以及相同子系统的各所述目标日志信息的产生原因，识别相同子系统的子系统运行信息；

基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息。

可选的，所述基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息，包括：

获取所述目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息；

基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息；

将所有子系统的子系统异常信息，作为所述目标主机系统的系统异常信息。

可选的，所述基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，包括：

针对每个当前日志信息，基于所述当前日志信息的产生原因、以及所述当前日志信息的日志内容，识别所述日志内容的异常特征信息；

通过异常信息识别策略，基于各所述异常特征信息，识别所述日志内容对应的目标主机系统的子系统的初始异常信息，并通过将所述初始异常信息输入所述子系统模型中，检测所述初始异常信息的异常结果；

将所述包含异常结果的初始异常信息，作为所述当前日志信息的异常信息。

可选的，所述基于所述系统异常信息、以及各所述异常信息，生成日志告警信息之后，还包括：

识别所述目标主机系统的每个子系统的关键权重信息，并基于所述日志告警信息，识别所述目标主机系统的每个子系统的综合异常信息；

针对每个子系统，基于所述子系统的综合异常信息，生成所述子系统的异常解决策略，并基于每个子系统的关键权重信息，构建各所述异常解决策略的执行顺序；

基于各所述子系统的关键权重信息、以及各所述异常解决策略的执行顺序，确定所述目标主机系统的异常修复策略，并基于所述异常修复策略，对所述目标主机系统进行异常修复处理，得到已修复的目标主机系统。

第二方面，本申请还提供了一种日志监控告警装置。所述装置包括：

获取模块，用于采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；

第一识别模块，用于基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；

第二识别模块，用于基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。

可选的，所述装置还包括：

历史获取模块，用于获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于所述产生原因的各所述历史日志信息，在所述产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息；

生成模块，用于基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略；

完善模块，用于基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

可选的，所述第一识别模块，具体用于：

针对每个目标日志信息，识别所述目标日志信息对应的所述目标主机系统的子系统，并基于相同子系统的各所述目标日志信息的日志类型、以及相同子系统的各所述目标日志信息的产生原因，识别相同子系统的子系统运行信息；

基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息。

可选的，所述第一识别模块，具体用于：

获取所述目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息；

基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息；

将所有子系统的子系统异常信息，作为所述目标主机系统的系统异常信息。

可选的，所述第二识别模块，具体用于：

针对每个当前日志信息，基于所述当前日志信息的产生原因、以及所述当前日志信息的日志内容，识别所述日志内容的异常特征信息；

通过异常信息识别策略，基于各所述异常特征信息，识别所述日志内容对应的目标主机系统的子系统的初始异常信息，并通过将所述初始异常信息输入所述子系统模型中，检测所述初始异常信息的异常结果；

将所述包含异常结果的初始异常信息，作为所述当前日志信息的异常信息。

可选的，所述装置还包括：

第三识别模块，用于识别所述目标主机系统的每个子系统的关键权重信息，并基于所述日志告警信息，识别所述目标主机系统的每个子系统的综合异常信息；

生成模块，用于针对每个子系统，基于所述子系统的综合异常信息，生成所述子系统的异常解决策略，并基于每个子系统的关键权重信息，构建各所述异常解决策略的执行顺序；

修复模块，用于基于各所述子系统的关键权重信息、以及各所述异常解决策略的执行顺序，确定所述目标主机系统的异常修复策略，并基于所述异常修复策略，对所述目标主机系统进行异常修复处理，得到已修复的目标主机系统。

第三方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现第一方面中任意一项方法所述的步骤。

第四方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现第一方面中任意一项方法所述的步骤。

第五方面，本申请还提供了一种计算机程序产品。所述计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现第一方面中任意一项方法所述的步骤。

上述日志监控告警方法、装置、计算机设备和存储介质，通过实时采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志内容、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。通过筛选目标主机系统中的多个当前日志信息中的数目较多的相同日志类型的当前日志信息，分析大型主机系统的系统异常信息，从而提升了对目标主机系统的异常信息的分析效率。然后，通过每个当前日志信息的产生原因、以及每个当前日志信息的日志内容，通过异常信息识别策略，识别每个日志信息中的异常信息，避免了人工识别时由于经验差异化导致的识别精准度较低的情况，基于上述方案，通过智能采集目标主机系统的多个当前日志信息，提升了对当前日志信息的采集效率、以及采集全面性，并通过预设的异常信息识别策略、识别每个当前日志信息的异常信息，避免了人工经验偏差导致的异常信息识别错误的情况，从而综合提升了对日志监控告警的效率。

附图说明

图1为一个实施例中日志监控告警方法的流程示意图；

图2为一个实施例中日志监控告警示例的流程示意图；

图3为一个实施例中日志监控告警装置的结构框图；

图4为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请实施例提供的日志监控告警方法，本方案可以应用于终端、也可以应用于服务器，还可以应用于包括终端和服务器的系统，并通过终端和服务器的交互实现。其中，服务器可以用独立的服务器或者是多个服务器组成的服务器集群来实现。终端可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑等。其中，终端通过筛选目标主机系统中的多个当前日志信息中的数目较多的相同日志类型的当前日志信息，分析大型主机系统的系统异常信息，从而提升了对目标主机系统的异常信息的分析效率。然后，通过每个当前日志信息的产生原因、以及每个当前日志信息的日志内容，通过异常信息识别策略，识别每个日志信息中的异常信息，避免了人工识别时由于经验差异化导致的识别精准度较低的情况，基于上述方案，通过智能采集目标主机系统的多个当前日志信息，提升了对当前日志信息的采集效率、以及采集全面性，并通过预设的异常信息识别策略、识别每个当前日志信息的异常信息，避免了人工经验偏差导致的异常信息识别错误的情况，从而综合提升了对日志监控告警的效率。

在一个实施例中，如图1所示，提供了一种日志监控告警方法，以该方法应用于终端为例进行说明，包括以下步骤：

步骤S101，实时采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因。

本实施例中，终端基于预设于终端的采集时间点，分别采集该目标主机系统的每个子系统的运行日志信息，得到多个当前日志信息。然后，终端与基于每个日志信息的日志内容，该日志信息所属的子系统、以及该子系统的历史日志信息的日志内容，分析该日志信息的产生原因。其中目标主机系统为大型主机系统其中，运行日志信息用于表征该运行日志信息对应的子系统在两个采集时间点之间的运行信息，该运行信息包括运行内容、以及运行状况。其中，在存在异常信息的情况下，该运行信息的运行内容与不存在异常信息的运行信息的运行内容不同，例如，两个运行信息的内容不一致、以及其中一个运行信息无内容(即采集的运行日志信息无内容，或未采集到日志信息)。终端基于不一致的运行内容，通过该运行内容所属的子系统的运行单元，基于预设于终端的每个运行单元对应的异常信息，分析该不一致的运行内容的产生原因。例如，实施系统软件升级后，新增的信息(当前日志信息)可能是由于系统软件升级后版本新增的消息，终端可判断系统目前新增的消息是正常运行产生还是异常产生；也可能是非系统软件升级后版本新增的信息，在由于基准时间段(预设两个采集时间点之间的时间段)内未产生此消息(运行信息无内容)，此类日志信息直接标注为异常信息。并将该异常信息直接发送至工作人员显示终端，作为异常日志预警信息。

具体的，终端将实时自动查询相对于基准时间段内的新增加的所有日志消息(以消息头MESSAGEID对比)，统计出新增的信息头后识别各新增信息产生的原因、对系统环境的影响。采集的产生新增消息会一并通过监控告警形式(邮件，页面展示)发送给工作人员，以帮助运维人员针对具体问题具体处理。

如表一所示，PLEXPT1测试环境(子系统)的当前日志信息(即新增消息)的日志内容可以该图所示，根据每个不同的系统结构(产品)例如，MQ产品，OS产品。其中，MSG(MESSAGE)类型为消息类型，该消息类型用于表征当前日志信息的日志内容类型，其中该日志内容类型包括：报错日志内容、空缺日志内容、普通日志内容等。MSGID(MESSAGEIdentity document)为消息标识信息(即当前日志信息的标识信息)。

表一：PLEXPT1测试环境新出现消息

步骤S102，基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别目标主机系统的系统异常信息。

本实施例中，终端识别相同日志类型的日志信息的数目。然后，终端预设数目阈值，并筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息。其中，日志类型为该日志信息对应的子系统的运行类型，例如，系统交易、系统数据传输、系统数据处理、系统任务执行等类型。在另一个实施例中，该日志类型用于表征为子系统的日志信息，每个子系统对应一个日志类型，相同子系统产生的当前日志信息，所属同一日志类型。然后，终端基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，分析目标主机系统的系统异常信息。具体的分析过程后续将详细说明。

步骤S103，基于各当前日志信息的产生原因、以及各当前日志信息的日志内容，通过异常信息识别策略，识别各日志信息中的异常信息，并基于系统异常信息、以及各异常信息，生成日志告警信息。

本实施例中，终端基于各当前日志信息的产生原因、以及各当前日志信息的日志内容，通过异常信息识别策略，识别各日志信息中的异常信息，并基于系统异常信息、以及各异常信息，生成日志告警信息。其中，该异常信息识别策略为预设于终端的通过提炼多个专家的经验信息、多个理论文章的数据信息、以及多个常识问题的基本信息进行汇总得到的该目标主机系统的每个子系统的异常信息识别策略。具体的生成日志告警信息的过程，后续将详细说明。

基于上述方案，通过筛选目标主机系统中的多个当前日志信息中的数目较多的相同日志类型的当前日志信息，分析大型主机系统的系统异常信息，从而提升了对目标主机系统的异常信息的分析效率。然后，通过每个当前日志信息的产生原因、以及每个当前日志信息的日志内容，通过异常信息识别策略，识别每个日志信息中的异常信息，避免了人工识别时由于经验差异化导致的识别精准度较低的情况，基于上述方案，通过智能采集目标主机系统的多个当前日志信息，提升了对当前日志信息的采集效率、以及采集全面性，并通过预设的异常信息识别策略、识别每个当前日志信息的异常信息，避免了人工经验偏差导致的异常信息识别错误的情况，从而综合提升了对日志监控告警的效率。

可选的，实时采集目标主机系统的多个当前日志信息之后，还包括：获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于产生原因的各历史日志信息，在产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息；基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略；基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

本实施例中，终端基于日志存储数据库中，获取该目标主机系统的每个子系统的多个历史日志信息、以及每个历史日志信息的产生原因。然后，终端基于各历史日志信息的产生原因、以及各当前日志信息的产生原因，识别相同产生原因的历史日志信息与当前日志信息。然后，终端针对每个产生原因，基于该产生原因的各历史日志信息，在该产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息。其中，缺失日志信息为该当前日志信息的日志内容存在数据空缺。然后基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因。其中，缺失原因包括但不限于日志内容采集失败、没有相应日志内容、以及日志内容报错等。终端基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略。其中，完善策略可以但不限于是，日志内容采集失败对应的完善策略是重新采集日志信息、没有相应日志内容对应的完善策略是将该当前日志信息标注为异常信息、日志内容报错对应的完善策略是将该日志内容报错的报错信息，作为该当前日志信息的新的产生原因，并将该当前日志信息标注为异常信息。最后，终端基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

基于上述方案，通过识别缺失日志信息、以及缺失原因，从而完善该确实日志信息，得到当前日志信息，提升了获取的日志信息的完整性。

可选的，基于每个目标日志信息的日志内容、以及每个目标日志信息的产生原因，识别目标主机系统的系统异常信息，包括：针对每个目标日志信息，识别目标日志信息对应的目标主机系统的子系统，并基于相同子系统的各目标日志信息的日志类型、以及相同子系统的各目标日志信息的产生原因，识别相同子系统的子系统运行信息；基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析目标主机系统的系统异常信息。

本实施例中，终端先识别每个目标日志信息所属的日志类型，并针对每个目标日志信息，识别目标日志信息对应的目标主机系统的子系统。然后，终端基于相同子系统的各目标日志信息的日志类型、以及相同子系统的各目标日志信息的产生原因，识别相同子系统的子系统运行信息。其中，子系统运行信息表征子系统在当前采集时间点和上一个采集时间点之间的时间段的系统运行信息的记录信息。

再后，基于每个日志类型对应的目标日志信息的数目，除以所有当前日志信息的数目，得到每个日志类型的权重信息。其中，该权重信息用于表征该日志类型的对应的运行数据、以及该日志类型对应的运行内容重要度。在权重信息较高时，表征日志类型的对应的运行数据较多、以及该日志类型对应的运行内容重要度较高；在权重信息较低时，表征日志类型的对应的运行数据较少、以及该日志类型对应的运行内容重要度较低。最后，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析目标主机系统的系统异常信息。具体的分析过程后续将详细说明。

例如，终端每日监控前一天(可根据实时监控需求修改监控时间间隔如10分钟，一小时等)全量主机系统日志消息的统计数量，根据统计结果及所占权重(可以设置特殊规则，如哪个子系统所占权重较高，或哪类消息所占权重较高)，计算出TOP10交易(即日志类型)，并将计算结果发送运维人员，提示统计时间内系统中产生数量TOP的消息(即当前日志信息)，以确认系统异常信息。

例如，如表二所示，终端获取PLEXPT1测试环境(子系统)对应的日志类型的所有当前日志信息，终端预设该子系统的当前日志信息的数目最大值，在终端获取的该子系统的对应的日志类型的所有当前日志信息的数目大于数目最大值时，终端确定该子系统的系统异常信息为日志生成数目过多存在异常。下表为PLEXPT1测试环境(子系统)单日的各系统结构(产品)的MESSAGE(即当前日志信息)信息。其中，MSG基准数量为各系统结构(产品)的MESSAGE(即当前日志信息)最大值，MSG(MESSAGE)类型为消息类型，该消息类型用于表征当前日志信息的日志内容类型，其中该日志内容类型包括：报错日志内容、空缺日志内容、普通日志内容等。MSGID(MESSAGE Identity document)为消息标识信息(即当前日志信息的标识信息)。

表二：PLEXPT1测试环境单日数量最大值的MESSAGE

基于上述方案，通过筛选大于预设数目阈值的日志类型，提升了筛选的日志类型的精准度以及普适性，然后，基于各日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析目标主机系统的系统异常信息。提升了分析系统异常信息的效率。

可选的，基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析目标主机系统的系统异常信息，包括：获取目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息；基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息；将所有子系统的子系统异常信息，作为目标主机系统的系统异常信息。

本实施例中，终端获取目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息。其中，每个子系统的正常权重信息与每个子系统对应的日志类型的权重信息的含义相同，但是数值不同，即，子系统的权重信息等价于子系统的日志类型的权重信息。然后，终端基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态。其中当前运行状态为该子系统的运行健康状态，该当前运行状态用于表征该子系统是否处于正常运行的情况。再后，终端基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息。其中，在当前运行状态与正常运行状态不符的情况下，终端将该子系统的历史运行信息与该子系统的子系统运行信息的区别运行信息，作为该子系统的第一异常信息，在该子系统的正常权重信息、与该子系统对应的日志类型的权重信息不同的情况下，终端将该子系统的正常权重信息、与该子系统对应的日志类型的权重信息的差值，作为第二异常信息；最后，终端将该子系统的第一异常信息、以及该子系统的第二异常信息，作为该子系统的子系统异常信息。最后，终端将所有子系统的子系统异常信息，作为目标主机系统的系统异常信息。

基于上述方案，通过正常权重信息以及子系统的正常运行信息，分析每个子系统的子系统异常信息，提升了分析的子系统异常信息的精准度以及实际性。

可选的，基于各当前日志信息的产生原因、以及各当前日志信息的日志内容，通过异常信息识别策略，识别各日志信息中的异常信息，包括：针对每个当前日志信息，基于当前日志信息的产生原因、以及当前日志信息的日志内容，识别日志内容的异常特征信息；通过异常信息识别策略，基于各异常特征信息，识别日志内容对应的目标主机系统的子系统的初始异常信息，并通过将初始异常信息输入子系统模型中，检测初始异常信息的异常结果；将包含异常结果的初始异常信息，作为当前日志信息的异常信息。

本实施例中，终端针对每个当前日志信息，基于当前日志信息的产生原因、以及当前日志信息的日志内容，识别该日志内容的异常特征信息。其中，异常特征信息为该日志内容的异常内容部分对应内容信息。然后，终端通过异常信息识别策略，基于各异常特征信息，识别日志内容对应的目标主机系统的子系统的初始异常信息。具体的，终端基于每个异常特征信息，识别该当前日志信息对应的子系统的异常问题，以及该异常问题对应的异常运行数据，并将该异常问题、以及异常问题对应的异常运行数据作为该子系统的初始异常信息。然后终端将该初始异常信息输入该子系统对应的子系统模型中，检测该初始异常信息的异常结果。其中，该异常结果用于表征该初始异常信息导致的子系统运行的异常结果。最后，终端将包含异常结果的初始异常信息，作为当前日志信息的异常信息。其中，每个子系统的子系统模型为基于每个子系统的所有运行单元的结构参数构建的仿真每个子系统运行过程的子系统模型。每个子系统的子系统模型预设于终端。其中，该异常信息包括由于在当前采集时间点和上一采集时间点中的当前日志信息的数目大于预设于终端的正常数目阈值的日志类型对应的异常问题、当前日志信息的内容缺失对应的异常问题、子系统异常信息对应的当前日志信息的异常问题、以及当前日志信息为报错信息对应的异常问题。具体的，在当前日志为报错信息使，在指定时间段内，终端预设“报错及严重报错信息告警”，终端触发后台程序根据信息头(MESSAGEID)自动统计该时间段内主机系统各子系统的报错信息，部分可指定为以“W”、“E”、“A”等字符结尾的消息头，或者根据专家规则指定某些MESSAGEID的产生为某类型报错信息，消息与报错告警对应。如子系统出现此类报错信息则会给运维人员发送告警统计结果，提示运维人员对指定时间段内系统环境健康情况进行分析。

基于上述方案，通过预设的异常信息识别策略，识别每个当前日志信息中的异常信息，提升了识别异常信息的效率以及精准度。

可选的，基于系统异常信息、以及各异常信息，生成日志告警信息之后，还包括：识别目标主机系统的每个子系统的关键权重信息，并基于日志告警信息，识别目标主机系统的每个子系统的综合异常信息；针对每个子系统，基于子系统的综合异常信息，生成子系统的异常解决策略，并基于每个子系统的关键权重信息，构建各异常解决策略的执行顺序；基于各子系统的关键权重信息、以及各异常解决策略的执行顺序，确定目标主机系统的异常修复策略，并基于异常修复策略，对目标主机系统进行异常修复处理，得到已修复的目标主机系统。

本实施例中，终端响应于用户上传权重信息的操作。获取该目标主机系统的每个子系统的关键权重信息。其中，关键权重信息用于表征每个子系统对于该目标主机系统的重要度，关键权重信息越高，该子系统对于该目标主机系统的重要度越高。然后，终端基于日志告警信息，识别目标主机系统的每个子系统的综合异常信息。具体的，终端将该日志告警信息中的每个异常信息，按照该异常信息所属的子系统进行划分，得到每个子系统对应的各异常信息，然后，终端将每个系统对应的各异常信息，作为每个系统对应的综合异常信息。然后，终端针对每个子系统，基于该子系统的综合异常信息，生成该子系统的异常解决策略。具体的，异常解决策略的生成过程为，终端识别每个子系统的各异常信息的问题类型，并通过预设于终端的每个子系统的各问题类型的异常信息对应的解决策略，获取每个子系统的各异常信息的解决策略，然后，终端基于每个异常信息的逻辑顺序，对各异常信息的解决策略进行排序，得到每个子系统的异常解决策略。其中，逻辑顺序为该子系统的执行流程对应的顺序。例如，A子系统对应的流程是a→b→c→d，每个流程节点严格按照该流程顺序执行，该A子系统的异常信息包括a流程节点的异常信息a1，b流程节点的异常信息b1，c流程节点的异常信息c1，d流程节点的异常信息d1，则该A子系统的异常解决策略为a1→b1→c1→d1。然后，终端基于每个子系统的关键权重信息，按照关键权重信息从大到小的顺序，构建各异常解决策略的执行顺序。最后，终端基于各子系统的关键权重信息、以及各异常解决策略的执行顺序，作为该目标主机系统的异常修复策略，并基于该异常修复策略，对目标主机系统的各子系统进行异常修复处理，得到已修复的目标主机系统。

基于上述方案，通过逻辑排序，得到每个子系统的异常修复策略，从而提升了每个子系统的异常修复效率。然后，通过关键权重信息对每个自习用的修复顺序进行排序，确保重要度较高的子系统能优先修复，提升该目标主机系统的整体修复效率。

本申请还提供了一种日志监控告警示例，如图2所示，具体处理过程包括以下步骤：

步骤S201，采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因。

步骤S202，获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于产生原因的各历史日志信息，在产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息。

步骤S203，基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略。

步骤S204，基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

步骤S205，针对每个目标日志信息，识别目标日志信息对应的目标主机系统的子系统，并基于相同子系统的各目标日志信息的日志类型、以及相同子系统的各目标日志信息的产生原因，识别相同子系统的子系统运行信息。

步骤S206，基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息。

步骤S207，获取目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息。

步骤S208，基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息。

步骤S209，将所有子系统的子系统异常信息，作为目标主机系统的系统异常信息。

步骤S210，针对每个当前日志信息，基于当前日志信息的产生原因、以及当前日志信息的日志内容，识别日志内容的异常特征信息。

步骤S211，通过异常信息识别策略，基于各异常特征信息，识别日志内容对应的目标主机系统的子系统的初始异常信息，并通过将初始异常信息输入子系统模型中，检测初始异常信息的异常结果。

步骤S212，将包含异常结果的初始异常信息，作为当前日志信息的异常信息。

步骤S213，基于系统异常信息、以及各异常信息，生成日志告警信息。

应该理解的是，虽然如上所述的各实施例所涉及的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，如上所述的各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

基于同样的发明构思，本申请实施例还提供了一种用于实现上述所涉及的日志监控告警方法的日志监控告警装置。该装置所提供的解决问题的实现方案与上述方法中所记载的实现方案相似，故下面所提供的一个或多个日志监控告警装置实施例中的具体限定可以参见上文中对于日志监控告警方法的限定，在此不再赘述。

在一个实施例中，如图3所示，提供了一种日志监控告警装置，包括：获取模块310、第一识别模块320和第二识别模块330，其中：

获取模块310，用于采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；

第一识别模块320，用于基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；

第二识别模块330，用于基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。

可选的，所述装置还包括：

历史获取模块，用于获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于所述产生原因的各所述历史日志信息，在所述产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息；

生成模块，用于基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略；

完善模块，用于基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

可选的，所述第一识别模块320，具体用于：

针对每个目标日志信息，识别所述目标日志信息对应的所述目标主机系统的子系统，并基于相同子系统的各所述目标日志信息的日志类型、以及相同子系统的各所述目标日志信息的产生原因，识别相同子系统的子系统运行信息；

基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息。

可选的，所述第一识别模块320，具体用于：

获取所述目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息；

基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息；

将所有子系统的子系统异常信息，作为所述目标主机系统的系统异常信息。

可选的，所述第二识别模块330，具体用于：

针对每个当前日志信息，基于所述当前日志信息的产生原因、以及所述当前日志信息的日志内容，识别所述日志内容的异常特征信息；

通过异常信息识别策略，基于各所述异常特征信息，识别所述日志内容对应的目标主机系统的子系统的初始异常信息，并通过将所述初始异常信息输入所述子系统模型中，检测所述初始异常信息的异常结果；

将所述包含异常结果的初始异常信息，作为所述当前日志信息的异常信息。

可选的，所述装置还包括：

第三识别模块，用于识别所述目标主机系统的每个子系统的关键权重信息，并基于所述日志告警信息，识别所述目标主机系统的每个子系统的综合异常信息；

生成模块，用于针对每个子系统，基于所述子系统的综合异常信息，生成所述子系统的异常解决策略，并基于每个子系统的关键权重信息，构建各所述异常解决策略的执行顺序；

修复模块，用于基于各所述子系统的关键权重信息、以及各所述异常解决策略的执行顺序，确定所述目标主机系统的异常修复策略，并基于所述异常修复策略，对所述目标主机系统进行异常修复处理，得到已修复的目标主机系统。

上述日志监控告警装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图4所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、移动蜂窝网络、NFC(近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种日志监控告警方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图4中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现第一方面中任意一项方法所述的步骤。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现第一方面中任意一项方法所述的步骤。

在一个实施例中，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现第一方面中任意一项方法所述的步骤。

需要说明的是，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器(ReRAM)、磁变存储器(Magnetoresistive Random Access Memory，MRAM)、铁电存储器(Ferroelectric Random Access Memory，FRAM)、相变存储器(Phase ChangeMemory，PCM)、石墨烯存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random AccessMemory，SRAM)或动态随机存取存储器(Dynamic Random AccessMemory，DRAM)等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (10)

1.一种日志监控告警方法，其特征在于，所述方法包括：

采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；

基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；

基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。

2.根据权利要求1所述的方法，其特征在于，所述采集目标主机系统的多个当前日志信息之后，还包括：

获取多个历史日志信息、以及每个历史日志信息的产生原因，并针对每个产生原因，基于所述产生原因的各所述历史日志信息，在所述产生原因的各当前日志信息中，筛选存在缺失内容的缺失日志信息；

基于每个缺失日志信息、以及每个缺失日志信息的产生原因，识别每个缺失日志信息的缺失原因，并基于每个缺失日志信息的缺失原因，生成每个缺失日志信息的完善策略；

基于每个缺失日志信息的完善策略，对每个缺失日志信息进行日志完善处理得到各已完善的当前日志信息。

3.根据权利要求2所述的方法，其特征在于，所述基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息，包括：

针对每个目标日志信息，识别所述目标日志信息对应的所述目标主机系统的子系统，并基于相同子系统的各所述目标日志信息的日志类型、以及相同子系统的各所述目标日志信息的产生原因，识别相同子系统的子系统运行信息；

基于每个日志类型对应的目标日志信息的数目，计算每个日志类型的权重信息，并基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息。

4.根据权利要求3所述的方法，其特征在于，所述基于每个日志类型的权重信息、以及每个日志类型对应的各子系统运行信息，分析所述目标主机系统的系统异常信息，包括：

获取所述目标主机系统的各子系统的历史运行信息，并基于每个子系统的历史运行信息，识别每个子系统的正常运行状态、以及每个子系统的正常权重信息；

基于每个子系统的子系统运行信息，识别每个子系统的当前运行状态，并基于每个子系统的正常运行状态、每个子系统的正常权重信息、每个子系统对应的日志类型的权重信息、以及每个子系统的当前运行状态，分析每个子系统的子系统异常信息；

将所有子系统的子系统异常信息，作为所述目标主机系统的系统异常信息。

5.根据权利要求1所述的方法，其特征在于，所述基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，包括：

针对每个当前日志信息，基于所述当前日志信息的产生原因、以及所述当前日志信息的日志内容，识别所述日志内容的异常特征信息；

通过异常信息识别策略，基于各所述异常特征信息，识别所述日志内容对应的目标主机系统的子系统的初始异常信息，并通过将所述初始异常信息输入所述子系统模型中，检测所述初始异常信息的异常结果；

将所述包含异常结果的初始异常信息，作为所述当前日志信息的异常信息。

6.根据权利要求1所述的方法，其特征在于，所述基于所述系统异常信息、以及各所述异常信息，生成日志告警信息之后，还包括：

识别所述目标主机系统的每个子系统的关键权重信息，并基于所述日志告警信息，识别所述目标主机系统的每个子系统的综合异常信息；

针对每个子系统，基于所述子系统的综合异常信息，生成所述子系统的异常解决策略，并基于每个子系统的关键权重信息，构建各所述异常解决策略的执行顺序；

基于各所述子系统的关键权重信息、以及各所述异常解决策略的执行顺序，确定所述目标主机系统的异常修复策略，并基于所述异常修复策略，对所述目标主机系统进行异常修复处理，得到已修复的目标主机系统。

7.一种日志监控告警装置，其特征在于，所述装置包括：

获取模块，用于采集目标主机系统的多个当前日志信息，并识别每个当前日志信息的产生原因；

第一识别模块，用于基于相同日志类型的当前日志信息的数目，筛选大于数目阈值的数目对应的日志类型的各当前日志信息，作为目标日志信息，并基于每个目标日志信息的日志类型、以及每个目标日志信息的产生原因，识别所述目标主机系统的系统异常信息；

第二识别模块，用于基于各所述当前日志信息的产生原因、以及各所述当前日志信息的日志内容，通过异常信息识别策略，识别各所述日志信息中的异常信息，并基于所述系统异常信息、以及各所述异常信息，生成日志告警信息。

8.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述的方法的步骤。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。

10.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。