日志模式提炼与跨类型日志分析方法研究

Logs are important sources for information needed to maintain computing systems, but the huge amount, complex formats and multiple types make log analyzing become a difficult problem. The national High-Performance Computing Environment is a key service platform for scientific researches, and the maintenance affects the efficiency of the environment. But there have no proper way to process the multi-type logs generated by the HPC environment yet. This program aims to solve key issues in processing environment logs. We will formalize the definition of log patterns, expand application fields and optimize the extracting algorithm. By using log patterns, the program will apply analyses over multiple types of logs to discover the associations and user behavior characteristics. The result of the program will be applied to the national HPC environments, and we will make the abstraction of the method for log processing to become a general solution for other computer systems.

日志是计算机系统运行维护工作中重要的信息来源，但其具有的数量大、格式各异、类型复杂等特征给日志分析工作造成许多困难。国家高性能计算环境作为国家科研领域的战略性服务工具，对环境的运行维护则决定着环境的工作效率，但环境中产生的大量各类日志目前尚未存在一个良好的处理和分析方法。本项目将着眼于环境日志分析中的几个关键技术，通过进行关于日志模式的定义和应用扩展、以及对于日志模式提炼算法的优化对日志进行整理，并对环境中的多种类型的日志展开跨类型综合分析，探索其中的关联性和用户行为分析方法。研究成果预期将应用于国家高性能计算环境，同时进行抽象使之适用于高性能计算环境以外的其他计算机系统。

本项目的主要目标是研究日志分类方法的优化及其应用，以及跨多种类型日志的联合分析方法。项目执行期间主要进行了日志模式提炼算法的优化工作以及从多种角度进行日志分析方法研究工作，包括日志流量特征分析、日志关联性异常分析、用户行为特征分析等，并根据所研方法总结了一些通用的日志处理分析工作流程。项目基于过往研究工作中提出的日志模式提炼算法，对于日志分类方法进行了进一步的优化，包括采用文本相似性的概念实现将不同长度但类似含义的日志归类为同一类型，并采用HashMap对日志模式存储进行改进及加速类型比对速度；基于实际环境运行需求，项目进行了关于日志流量异常的分析方法研究，通过对于环境服务器中的各日志类型在单位时间内的发生次数进行流量模型的建立，可以发现服务器日志流量的突然增加或减少的异常情况，从而支持解决相应的环境问题；项目研究了基于日志关联性的跨类型日志异常分析方法，针对一次环境异常的成因和表现可能存在于不同类型的日志文件中的情况，通过计算不同所属日志类型之间的关联性对关键异常进行逆向关联性追溯，并基于分析结果建立关联性模型实现异常预测；项目基于深度学习算法建立了用户行为特征模型，可以根据一次会话中用户之前的操作顺序来预测下一个操作种类的概率，再将预测结果与用户的实际操作进行比对，当用户的实际操作与行为特征模型持续发生较大差异时，可以判定用户行为已发生变更，应根据实际情况进行针对性响应；项目基于所研之日分析方法处理流程以及其他研究人员在日志分析方面的成果，初步总结了比较通用的日志处理分析流程，包括数据收集、日志分类、内容分析和结果反馈等步骤，总体上对日志分析工作流程进行了抽象，可以适用于其他环境的日志分析工作。项目研究的方法已实现在国家高性能计算环境中的实际应用。