胡愷

摘要：隨著云計(jì)算和大數(shù)據(jù)等技術(shù)的快速發(fā)展，維護(hù)互聯(lián)網(wǎng)及其軟硬件系統(tǒng)的穩(wěn)定運(yùn)行、檢測和修復(fù)潛在異常具有重要意義。日志作為軟件系統(tǒng)中的重要組成部分，詳細(xì)描述了當(dāng)前系統(tǒng)狀態(tài)，對日志內(nèi)容和日志輸出特征進(jìn)行分析，可以判斷當(dāng)前系統(tǒng)的運(yùn)行狀態(tài)，預(yù)測可能發(fā)生的異常，為系統(tǒng)管理人員及時(shí)采取對應(yīng)措施節(jié)省出寶貴時(shí)間。

關(guān)鍵詞：層次；數(shù)據(jù)；媒體；日志

doi：10.3969/J.ISSN.1672-7274.2024.03.048

中圖分類號：TP 311.13? ? ? ? ? ?文獻(xiàn)標(biāo)志碼：A? ? ? ? ? ?文章編碼：1672-7274（2024）03-0-03

1? ?日志分析研究背景

由于軟件系統(tǒng)的規(guī)模和復(fù)雜度與日俱增，作為記錄軟件系統(tǒng)運(yùn)行狀態(tài)的日志數(shù)據(jù)。也呈現(xiàn)出格式復(fù)雜、數(shù)量龐大、類別失衡等特性。日志作為運(yùn)維工作中最為核心的監(jiān)控和分析對象，系統(tǒng)的異?；蛐阅芟陆狄话闶紫葧娜罩局畜w現(xiàn)出來。分析日志記錄的動(dòng)態(tài)信息，可以有效幫助運(yùn)維人員發(fā)現(xiàn)、定位、分析并糾正錯(cuò)誤，提高廣電系統(tǒng)運(yùn)行的穩(wěn)定性和安全性。廣電媒體集團(tuán)的技術(shù)運(yùn)維工作對于維護(hù)其信息安全及業(yè)務(wù)穩(wěn)定至關(guān)重要[1]。如何采取方法解析日志事件是精準(zhǔn)分析日志信息的前提，現(xiàn)在大部分IT環(huán)境已使用統(tǒng)一日志平臺，采用關(guān)鍵字檢測、統(tǒng)計(jì)分析等技術(shù)進(jìn)行日志分析，但仍面臨以下問題。

（1）固定閾值告警的設(shè)置依賴人員經(jīng)驗(yàn)，準(zhǔn)確性難以保證。

（2）關(guān)鍵字的梳理工作量大、依賴于運(yùn)維人員經(jīng)驗(yàn)、覆蓋面較窄。

（3）日志分析需要大量研發(fā)和運(yùn)維人員參與，問題處理效率與質(zhì)量較低，且無法適應(yīng)日志量快速增長、格式日漸復(fù)雜的趨勢。

（4）在識別與歷史數(shù)據(jù)的某種表現(xiàn)模式?jīng)_突的異常時(shí)，但異常閾值難以定義，沒有明顯界限。

如何提高日志分析效率、充分發(fā)揮日志的價(jià)值成為一個(gè)亟待解決的重要問題。隨著大型分布式系統(tǒng)的廣泛引入，基于機(jī)器學(xué)習(xí)算法的日志分析方法逐漸在實(shí)際項(xiàng)目中被廣泛運(yùn)用，并取得了良好的結(jié)果。

2? ?層次聚類算法原理

層次聚類算法由于其簡單、高效、易實(shí)現(xiàn)、聚類結(jié)果穩(wěn)定、適合大規(guī)模及高維數(shù)據(jù)、對噪聲低敏感等特點(diǎn)，是聚類算法里使用最廣泛的主要算法之一[2，3]。層次聚類算法通過對數(shù)據(jù)集在不同層次進(jìn)行劃分，可形成樹形的聚類結(jié)構(gòu)[4]。

其算法原理如下。

（1）數(shù)據(jù)表示。假設(shè)有一個(gè)包含N個(gè)樣本的數(shù)據(jù)集，每個(gè)樣本可以用一個(gè)d維特征向量表示，其中d是樣本的屬性維度[5]。

（2）相似度或距離計(jì)算。通過選擇適當(dāng)?shù)南嗨贫然蚓嚯x度量方法，計(jì)算任意兩個(gè)樣本之間的相似度或距離值。

（3）初始聚類。將每個(gè)樣本視為一個(gè)單獨(dú)的聚類簇。

（4）聚合策略（凝聚層次聚類）。從初始聚類開始，選擇最相似的兩個(gè)聚類簇進(jìn)行合并。

（5）分裂策略（分裂層次聚類）。從一個(gè)包含所有樣本的聚類開始，通過選擇一個(gè)樣本進(jìn)行分裂，將數(shù)據(jù)集分為兩個(gè)較小的聚類簇。分裂的策略可以是根據(jù)某種準(zhǔn)則選擇樣本進(jìn)行分裂，如離差最大、方差最大等[6]。

（6）聚類樹或聚類劃分。通過不斷迭代合并或分裂操作，可以形成一個(gè)聚類樹，也稱為樹狀圖或譜系圖。聚類樹展示了聚類簇的層次結(jié)構(gòu)和合并或分裂的順序。

（7）停止條件。聚類過程中需要設(shè)置停止條件，例如，達(dá)到預(yù)設(shè)的聚類數(shù)量、相似度或距離的閾值，或者根據(jù)某種評估指標(biāo)確定最佳聚類數(shù)目[7]。

層次聚類算法提供了一種直觀且靈活的聚類方法，適用于各種數(shù)據(jù)類型和問題，幫助人們理解數(shù)據(jù)的內(nèi)在關(guān)系和組織結(jié)構(gòu)。

3? ?基于聚類的LogMine日志模式解析

算法

本節(jié)采用一種快速識別日志模式的日志分析算法LogMine進(jìn)行介紹，其基本思路如下。

首先對日志預(yù)處理，以合適的粒度進(jìn)行聚類，然后提取每一類日志的行為模式，在監(jiān)控日志流時(shí)，計(jì)算新的日志行為模式與正常行為模式的匹配度，以此判斷系統(tǒng)是否出現(xiàn)異常，如圖1所示。

4? ?層次聚類算法應(yīng)用場景

本場景基于上海文化廣播影視集團(tuán)的媒體日志進(jìn)行介紹。在實(shí)際項(xiàng)目應(yīng)用中，接入網(wǎng)絡(luò)設(shè)備190臺，系統(tǒng)主機(jī)103臺，進(jìn)行為期一周的日志分析過程。具體過程如圖2所示。

系統(tǒng)總計(jì)產(chǎn)生了超過5 000萬條日志，包括代表基礎(chǔ)性能的生產(chǎn)數(shù)據(jù)、文件上傳產(chǎn)生的靜態(tài)數(shù)據(jù)等。通過LogMine算法訓(xùn)練出1 800條模式，建立了53個(gè)模型庫，分別對應(yīng)屬于網(wǎng)絡(luò)、安全和媒體板塊的53種不同的媒體業(yè)務(wù)，如表1所示。

通過層次聚類算法分析這些日志，可以輔助進(jìn)一步的監(jiān)控和決策，提高運(yùn)維效率，保障業(yè)務(wù)安全，實(shí)現(xiàn)媒體日志的精細(xì)化運(yùn)營。具體應(yīng)用場景如下。

4.1 模式識別細(xì)分

業(yè)務(wù)日志數(shù)量龐大、種類繁多，日志格式輸出各異，沒有統(tǒng)一標(biāo)準(zhǔn)。聚類算法可自動(dòng)識別不同類型的日志特征，訓(xùn)練出不同模式，對應(yīng)不同業(yè)務(wù)，方便不同業(yè)務(wù)線的運(yùn)維人員有針對性地對日志進(jìn)行分析處理，大大提高運(yùn)維效率，如圖3所示。

4.2 未知異常檢測

通過Agent接入實(shí)時(shí)更新的業(yè)務(wù)日志后，根據(jù)日志間的相似度聚類，將相似度高的日志聚類為一個(gè)簇，并從這些簇中提取日志模版，不斷接入新日志進(jìn)行增量學(xué)習(xí)，形成模型并建立標(biāo)準(zhǔn)模型庫。

在系統(tǒng)產(chǎn)生新日志后，導(dǎo)入模型庫進(jìn)行判斷，匹配即為正常數(shù)據(jù)，反之則標(biāo)記為異常并向運(yùn)維人員告警。運(yùn)維人員也可手動(dòng)對異常日志進(jìn)行備注，如異常類型、解決方案等。基于日志的異常標(biāo)記，后續(xù)根據(jù)異常特征即可快速判斷并處理，在應(yīng)對復(fù)雜場景時(shí)，多種日志模式的異常檢測能力發(fā)揮了顯著作用，如圖4所示。

在對新媒體區(qū)的網(wǎng)絡(luò)設(shè)備進(jìn)行異常分析時(shí)，由于網(wǎng)絡(luò)設(shè)備具有固定標(biāo)準(zhǔn)，可以生成統(tǒng)一的日志格式，通過正則表達(dá)式進(jìn)行解析，并結(jié)合聚類算法對數(shù)據(jù)格式的高容錯(cuò)性，可以精準(zhǔn)命中異常日志，最大程度實(shí)現(xiàn)模型的高性能表現(xiàn)。

4.3 智能風(fēng)險(xiǎn)告警

隨著系統(tǒng)架構(gòu)的日漸復(fù)雜，運(yùn)維人員收到的告警信息也變得多種多樣，通過聚類將泛化的告警信息進(jìn)行概括，可以在告警發(fā)出后，結(jié)合異常日志標(biāo)記等信息，第一時(shí)間找到最核心的問題。

基于已有模型對日志自動(dòng)進(jìn)行分析，可在故障發(fā)生之前就精準(zhǔn)定位，幫助運(yùn)維人員判斷異常類型并及時(shí)排障，為運(yùn)維工作提供有效的智能數(shù)據(jù)支撐，進(jìn)一步實(shí)現(xiàn)業(yè)務(wù)實(shí)時(shí)監(jiān)控、風(fēng)險(xiǎn)數(shù)據(jù)統(tǒng)計(jì)及安全合規(guī)審計(jì)，如圖5所示。

在實(shí)際項(xiàng)目中，因機(jī)房某施工人員誤將一臺交換機(jī)管理口網(wǎng)線拔掉，但該異常屬性并未納入監(jiān)控工具Zabbix的監(jiān)控指標(biāo)集，因此并未監(jiān)測到這一管理口異常，而系統(tǒng)檢測出交換機(jī)出現(xiàn)新日志xxx interface down并發(fā)出告警，幫助運(yùn)維人員快速定位故障，恢復(fù)正常環(huán)境，及時(shí)避免了風(fēng)險(xiǎn)進(jìn)一步擴(kuò)大。

5? ?結(jié)束語

本文采用層次聚類算法，針對上海文化廣播影視集團(tuán)的網(wǎng)絡(luò)、安全、業(yè)務(wù)等媒體業(yè)務(wù)日志進(jìn)行聚類劃分，幫助運(yùn)維人員在大量異構(gòu)業(yè)務(wù)日志中快速了解并定位故障，有效保障了系統(tǒng)的穩(wěn)定運(yùn)行。智能大數(shù)據(jù)運(yùn)維理念、方法和工具引入廣電媒體行業(yè)，提高了媒體平臺運(yùn)維治理的系統(tǒng)化、規(guī)范化、精細(xì)化、智能化水平。

參考文獻(xiàn)

[1] 李?。嫦蛞苿?dòng)終端設(shè)備的用戶軌跡異常檢測研究[D]．南京：南京郵電大學(xué)，2020.

[2] 丁建立，黃天鏡，徐俊潔，等.基于時(shí)間序列的多維距離聚類異常檢測方法[J]．計(jì)算機(jī)工程與設(shè)計(jì)，2020（7）：1935-1950.

[3] 鄒金偉．IaaS云平臺異常檢測系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D]．北京：北京郵電大學(xué)，2020.

[4] 曾子軒．基于層次聚類和CNN-text的系統(tǒng)日志異常檢測系統(tǒng)[D]．武漢：中南財(cái)經(jīng)政法大學(xué)，2020.

[5] 黃天鏡．基于多維特征的ADS-B數(shù)據(jù)異常檢測方法研究[D]．天津：中國民航大學(xué)，2020.

[6] 李潔．基于日志關(guān)聯(lián)分析的異常檢測技術(shù)研究與實(shí)現(xiàn)[D]．北京：北京郵電大學(xué)，2020.

[7] 李健，付雄，王俊昌．面向物聯(lián)網(wǎng)移動(dòng)終端設(shè)備的用戶軌跡異常檢測研究[J]．計(jì)算機(jī)應(yīng)用研究，2020（10）：3135-3138.