[發(fā)明專利]日志檢測(cè)方法及系統(tǒng)

無效

• 申請(qǐng)?zhí)枺?/td>: 201210262875.X
• 申請(qǐng)日: 2012-07-26
• 公開（公告）號(hào): CN102831020A
• 公開（公告）日: 2012-12-19
• 發(fā)明（設(shè)計(jì)）人: 王楠;周薇;韓冀中
• 申請(qǐng)（專利權(quán)）人: 中國(guó)科學(xué)院信息工程研究所
• 主分類號(hào): G06F11/00
• 分類號(hào): G06F11/00;H03M7/30
• 代理公司: 北京輕創(chuàng)知識(shí)產(chǎn)權(quán)代理有限公司 11212
• 代理人: 楊立

1.一種日志檢測(cè)方法，其特征在于，包括：

采用預(yù)設(shè)的文法壓縮算法，對(duì)待檢測(cè)日志數(shù)據(jù)和訓(xùn)練集數(shù)據(jù)進(jìn)行壓縮；

計(jì)算壓縮后所得數(shù)據(jù)的信息密度；

對(duì)所述待檢測(cè)日志數(shù)據(jù)按照所述信息密度由大到小進(jìn)行排列，排列后的前n個(gè)日志數(shù)據(jù)為異常數(shù)據(jù)，其中，n為預(yù)設(shè)的異常數(shù)據(jù)個(gè)數(shù)。

2.根據(jù)權(quán)利要求1所述的日志檢測(cè)方法，其特征在于，所述文法壓縮算法為基本文法算法BaseTranfer，該基本文法算法BaseTranfer的算法流程包括：

將產(chǎn)生式集合G賦空，設(shè)待檢測(cè)的日志串為x，設(shè)置返回結(jié)果集Px為空，其中Px和x滿足自同態(tài)；

從日志串x中依次彈出各個(gè)符號(hào)，將彈出符號(hào)作為非終結(jié)符添加到返回結(jié)果集Px右側(cè);

在產(chǎn)生式集合G和返回結(jié)果集Px上應(yīng)用產(chǎn)生式化簡(jiǎn)規(guī)則，直到不能化簡(jiǎn)為止，得到新產(chǎn)生式，并將該新產(chǎn)生式添加到產(chǎn)生式集合G中。

3.根據(jù)權(quán)利要求1所述的日志檢測(cè)方法，其特征在于，所述文法壓縮算法為加入貪婪匹配后的改進(jìn)文法壓縮算法SeqTranfer，該改進(jìn)文法壓縮算法SeqTranfer的算法流程包括：

將產(chǎn)生式集合G賦空，設(shè)待檢測(cè)的日志串為x；

日志串x非空時(shí)，掃描產(chǎn)生式集合G中的每一個(gè)產(chǎn)生式p，設(shè)置v為產(chǎn)生式p的左邊，

若以v為輸入的自同態(tài)是日志串x的前綴，將v加入到集合M中；

若M非空，設(shè)置Vm為M中最大的v，將Vm追加到p的右側(cè)，從日志串x中彈出f(v)個(gè)符號(hào)，若M為空則從日志串x中彈出一個(gè)符號(hào)t，將t作為非終結(jié)符添加到p右側(cè)，其中，f(v)即為下式中的f：定義一組自同態(tài){f^k：k=0,1,2,…}，則對(duì)任何x，f⁰_G(x)=x，f¹_G(x)=f_G(x)，f^k_G(x)=f_G(f^k-1_G(x))；

將p添加到產(chǎn)生式集合G中，然后在其上應(yīng)用產(chǎn)生式化簡(jiǎn)規(guī)則，直到不能應(yīng)用化簡(jiǎn)為止。

4.根據(jù)權(quán)利要求3所述的日志檢測(cè)方法，其特征在于，所述文法壓縮算法為分離樣本后的改進(jìn)文本壓縮算法LogTranfer，該改進(jìn)文本壓縮算法LogTranfer的算法流程包括：

設(shè)置L為樣本集合，G為產(chǎn)生式集合，G初始化為空，并設(shè)置P0=S0；

對(duì)于每個(gè)在樣本集合L中的樣本，設(shè)置Pn=SeqTransform(seq,G)，其中，SeqTransform為改進(jìn)文法壓縮算法SeqTranfer的函數(shù)公式；

若Pn的右邊僅含有一個(gè)符號(hào)，則拋棄Pn，否則將Pn加入到G中，將Pn的左側(cè)加入到P0的右側(cè)。

5.根據(jù)權(quán)利要求1所述的日志檢測(cè)方法，其特征在于，在所述采用預(yù)設(shè)的文法壓縮算法對(duì)待檢測(cè)日志數(shù)據(jù)和訓(xùn)練集數(shù)據(jù)進(jìn)行壓縮之前，還包括：

選取已知的正常日志組成訓(xùn)練集。

6.一種日志檢測(cè)系統(tǒng)，其特征在于，包括：

壓縮模塊，用于采用預(yù)設(shè)的文法壓縮算法，對(duì)待檢測(cè)日志數(shù)據(jù)和訓(xùn)練集數(shù)據(jù)進(jìn)行壓縮；

計(jì)算模塊，用于計(jì)算所述壓縮模塊壓縮后所得數(shù)據(jù)的信息密度；

排序模塊，用于對(duì)所述待檢測(cè)日志數(shù)據(jù)按照所述計(jì)算模塊計(jì)算所得的信息密度由大到小進(jìn)行排列，排列后的前n個(gè)日志數(shù)據(jù)為異常數(shù)據(jù)，其中，n為預(yù)設(shè)的異常數(shù)據(jù)個(gè)數(shù)。

7.根據(jù)權(quán)利要求6所述的日志檢測(cè)系統(tǒng)，其特征在于，所述文法壓縮算法為基本文法算法BaseTranfer，該基本文法算法BaseTranfer的算法流程包括：

將產(chǎn)生式集合G賦空，設(shè)待檢測(cè)的日志串為x，設(shè)置返回結(jié)果集Px為空，其中Px和x滿足自同態(tài)；

從日志串x中依次彈出各個(gè)符號(hào)，將彈出符號(hào)作為非終結(jié)符添加到返回結(jié)果集Px右側(cè);

在產(chǎn)生式集合G和返回結(jié)果集Px上應(yīng)用產(chǎn)生式化簡(jiǎn)規(guī)則，直到不能化簡(jiǎn)為止，得到新產(chǎn)生式，并將該新產(chǎn)生式添加到產(chǎn)生式集合G中。