CN111984499B - 一种大数据集群的故障检测方法和装置 - Google Patents
一种大数据集群的故障检测方法和装置 Download PDFInfo
- Publication number
- CN111984499B CN111984499B CN202010773292.8A CN202010773292A CN111984499B CN 111984499 B CN111984499 B CN 111984499B CN 202010773292 A CN202010773292 A CN 202010773292A CN 111984499 B CN111984499 B CN 111984499B
- Authority
- CN
- China
- Prior art keywords
- data
- abnormal
- information
- log data
- log
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 87
- 230000002159 abnormal effect Effects 0.000 claims abstract description 143
- 238000012423 maintenance Methods 0.000 claims abstract description 84
- 238000012545 processing Methods 0.000 claims abstract description 75
- 238000000034 method Methods 0.000 claims abstract description 60
- 238000010801 machine learning Methods 0.000 claims abstract description 18
- 230000002776 aggregation Effects 0.000 claims description 43
- 238000004220 aggregation Methods 0.000 claims description 43
- 238000009826 distribution Methods 0.000 claims description 30
- 230000008569 process Effects 0.000 claims description 25
- 238000004422 calculation algorithm Methods 0.000 claims description 17
- 238000003860 storage Methods 0.000 claims description 12
- 238000010219 correlation analysis Methods 0.000 claims description 11
- 230000026676 system process Effects 0.000 claims description 11
- 238000004590 computer program Methods 0.000 claims description 9
- 230000011218 segmentation Effects 0.000 claims description 8
- 238000004364 calculation method Methods 0.000 claims description 6
- 230000036541 health Effects 0.000 claims description 5
- 230000007366 host health Effects 0.000 claims description 5
- 230000007246 mechanism Effects 0.000 claims description 5
- 230000004083 survival effect Effects 0.000 claims description 5
- 238000010606 normalization Methods 0.000 claims description 4
- 230000004931 aggregating effect Effects 0.000 claims description 3
- 238000013450 outlier detection Methods 0.000 claims description 3
- 238000010586 diagram Methods 0.000 description 15
- 238000004458 analytical method Methods 0.000 description 7
- 238000004891 communication Methods 0.000 description 7
- 230000006870 function Effects 0.000 description 7
- 238000012544 monitoring process Methods 0.000 description 5
- 230000003287 optical effect Effects 0.000 description 4
- 239000000523 sample Substances 0.000 description 4
- 230000005856 abnormality Effects 0.000 description 3
- 238000005516 engineering process Methods 0.000 description 3
- 238000005065 mining Methods 0.000 description 3
- 238000012986 modification Methods 0.000 description 3
- 230000004048 modification Effects 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 238000010276 construction Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 239000000835 fiber Substances 0.000 description 2
- 230000006698 induction Effects 0.000 description 2
- 230000002265 prevention Effects 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 239000004065 semiconductor Substances 0.000 description 2
- 208000024891 symptom Diseases 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 238000012935 Averaging Methods 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 230000002354 daily effect Effects 0.000 description 1
- 238000007405 data analysis Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 230000002950 deficient Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000018109 developmental process Effects 0.000 description 1
- 208000037265 diseases, disorders, signs and symptoms Diseases 0.000 description 1
- 208000035475 disorder Diseases 0.000 description 1
- 230000003203 everyday effect Effects 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 235000019580 granularity Nutrition 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 238000011835 investigation Methods 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 238000012567 pattern recognition method Methods 0.000 description 1
- 230000002035 prolonged effect Effects 0.000 description 1
- 230000002441 reversible effect Effects 0.000 description 1
- 238000005070 sampling Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
- G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
- G06F11/3466—Performance evaluation by tracing or monitoring
- G06F11/3476—Data logging
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N20/00—Machine learning
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Quality & Reliability (AREA)
- Software Systems (AREA)
- Mathematical Physics (AREA)
- Artificial Intelligence (AREA)
- Data Mining & Analysis (AREA)
- Evolutionary Computation (AREA)
- Medical Informatics (AREA)
- Computer Vision & Pattern Recognition (AREA)
- Computer Hardware Design (AREA)
- Debugging And Monitoring (AREA)
Abstract
本发明公开了一种大数据集群的故障检测方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：采集大数据集群的指标数据和日志数据；根据所述指标数据和日志数据确定异常信息及其对应的处理方案；对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；基于所述运维库中的学习结果对所述大数据集群进行故障检测。该实施方式能够解决故障根源检测难和运维成本高的技术问题。
Description
技术领域
本发明涉及计算机技术领域，尤其涉及一种大数据集群的故障检测方法和装置。
背景技术
随着业务的发展，大数据集群的运行管理，呈现出以下痛点：
(1)“慢”：业务运行环境越来越复杂，故障检测慢，各种业务***、大数据***越来越多，***对IT资源的依赖性高，***一旦出现任何问题，需要逐个排除，故障检测难。
(2)“繁”：运维工作繁重，缺少自动化工具和手段，运维人员每天面临大量的重复性、手工性的故障排查工作，耗时耗力，容易出错，效率低。
(3)“乱”：运维工作没有流程化、规范化、电子化，日常大数据运维工作流程混乱，没有标准流程、造成工作效率低下，同时应用抱怨，投诉不减。
(4)“难以把控”：信息化建设投入巨大，难以展现效果。运维人员天天疲于奔命，工作量如何度量，质量无法把控！
目前对于大数据相关集群的故障检测技术较为匮乏，对于集群负载情况监控、日志排查、故障分析、故障排除等信息无法直观体现，且企业级数据仓库中，大数据相关的集群数量众多，集群规模巨大，管理非常复杂，没有统一的运行管理界面，往往顾此失彼。
在实现本发明过程中，发明人发现现有技术中至少存在如下问题：
现有的大数据集群的故障检测主要是依赖人工方式，以专家法进行手动运维，或者是针对操作***层面的如CPU、内存、硬盘、网络等基础资源进行基础监控。
现有的大数据集群的故障检测只能针对单个集群进行管理，且多是对单台的操作***的底层指标进行监控，存在着以下的缺点：
无法对多个大数据集群进行统一监控管理及快速查询，无法满足企业统一化管理需求；
存在数据分析的困难：查询难、分析难、比对难；
故障检测：人员利用率低、故障根源检测难；
运维成本：成本高、效率低，业务投诉多、***风险高。
发明内容
有鉴于此，本发明实施例提供一种大数据集群的故障检测方法和装置，以解决故障根源检测难和运维成本高的技术问题。
为实现上述目的，根据本发明实施例的一个方面，提供了一种大数据集群的故障检测方法，包括：
采集大数据集群的指标数据和日志数据；
根据所述指标数据和日志数据确定异常信息及其对应的处理方案；
对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；
基于所述运维库中的学习结果对所述大数据集群进行故障检测。
可选地，所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据。
可选地，所述单台服务器的指标数据包括：主机名配置检查、NTP偏移量检查、平均负载、主机磁盘读写效率、CPU使用率、主机文件句柄使用率、主机网络状态及负载、HA状态检查、关键目录检查、内存使用率、硬件状态检查、SWAP使用率、主机状态检查、告警信息、错误信息。
可选地，所述操作***进程的指标数据包括：大数据进程存活状态、多线程信息、进程拥塞情况、堆栈使用情况。
可选地，所述分布式服务的指标数据包括：启停状态、Kerberos身份认证机制连通状态、关键进程健康状态、数据库连通状态、服务状态和告警信息。
可选地，所述分布式集群的指标数据包括：集群主机健康状态统计、主机网络读写速率分布、主机磁盘占用率分布、主机内存占用率分布和主机CPU占用率分布。
可选地，根据所述指标数据和日志数据确定异常信息及其对应的处理方案，包括：
根据所述指标数据和日志数据确定异常信息；
根据所述异常信息确定对应的处理方案。
可选地，所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；
根据所述指标数据和日志数据确定异常信息，包括：
对所述指标数据进行异常点检测，得到异常点；
根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
可选地，根据所述指标数据和日志数据确定异常信息及其对应的处理方案之前，还包括：
对采集的日志数据进行标准化操作；
对标准化操作后的日志数据进行聚合操作；
对聚合操作后的日志数据进行异常点检测。
可选地，对采集的日志数据进行标准化操作，包括：
使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，从而将所述日志数据映射成多元组。
可选地，使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，包括：
使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取等操作；
使用awk命令，将一行分成多个字段来处理，并结合grep命令过滤特定字符的行，使用split命令切分字符串。
可选地，所述多元组包括：产生时间、应用或组件的名称、IP地址、详细内容和备注。
可选地，对标准化操作后的日志数据进行聚合操作，包括：
基于概念聚类算法对标准化操作后的日志数据进行聚合计算，并进行多维度字段的聚合，使得告警合并或者聚合成关联事件。
可选地，所述聚合的维度字段包括：时间、地点、业务线、服务和接口。
可选地，对聚合操作后的日志数据进行异常点检测，包括：
使用基于正态分布的一元或多元异常点检测方法对聚合操作后的日志数据进行异常点检测，检测低维度数据集中的异常点；
使用基于独立森林算法对聚合操作后的日志数据进行异常点检测，检测高维度数据集中的异常点。
可选地，对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，包括：
基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；
基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；
将所述告警组合及其对应的处理方案存储到运维库中。
可选地，基于所述运维库中的学习结果对所述大数据集群进行故障检测，包括：
对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字；
查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
另外，根据本发明实施例的另一个方面，提供了一种大数据集群的故障检测装置，包括：
采集模块，用于采集大数据集群的指标数据和日志数据；
确定模块，用于根据所述指标数据和日志数据确定异常信息及其对应的处理方案；
学习模块，用于对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；
检测模块，用于基于所述运维库中的学习结果对所述大数据集群进行故障检测。
可选地，所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据。
可选地，所述单台服务器的指标数据包括：主机名配置检查、NTP偏移量检查、平均负载、主机磁盘读写效率、CPU使用率、主机文件句柄使用率、主机网络状态及负载、HA状态检查、关键目录检查、内存使用率、硬件状态检查、SWAP使用率、主机状态检查、告警信息、错误信息。
可选地，所述操作***进程的指标数据包括：大数据进程存活状态、多线程信息、进程拥塞情况、堆栈使用情况。
可选地，所述分布式服务的指标数据包括：启停状态、Kerberos身份认证机制连通状态、关键进程健康状态、数据库连通状态、服务状态和告警信息。
可选地，所述分布式集群的指标数据包括：集群主机健康状态统计、主机网络读写速率分布、主机磁盘占用率分布、主机内存占用率分布和主机CPU占用率分布。
可选地，所述确定模块还用于：
根据所述指标数据和日志数据确定异常信息；
根据所述异常信息确定对应的处理方案。
可选地，所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；
所述确定模块还用于：
对所述指标数据进行异常点检测，得到异常点；
根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
可选地，所述确定模块还用于：
根据所述指标数据和日志数据确定异常信息及其对应的处理方案之前，对采集的日志数据进行标准化操作；
对标准化操作后的日志数据进行聚合操作；
对聚合操作后的日志数据进行异常点检测。
可选地，所述确定模块还用于：
使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，从而将所述日志数据映射成多元组。
可选地，所述确定模块还用于：
使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取等操作；
使用awk命令，将一行分成多个字段来处理，并结合grep命令过滤特定字符的行，使用split命令切分字符串。
可选地，所述多元组包括：产生时间、应用或组件的名称、IP地址、详细内容和备注。
可选地，所述确定模块还用于：
基于概念聚类算法对标准化操作后的日志数据进行聚合计算，并进行多维度字段的聚合，使得告警合并或者聚合成关联事件。
可选地，所述聚合的维度字段包括：时间、地点、业务线、服务和接口。
可选地，所述确定模块还用于：
使用基于正态分布的一元或多元异常点检测方法对聚合操作后的日志数据进行异常点检测，检测低维度数据集中的异常点；
使用基于独立森林算法对聚合操作后的日志数据进行异常点检测，检测高维度数据集中的异常点。
可选地，所述学习模块还用于：
基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；
基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；
将所述告警组合及其对应的处理方案存储到运维库中。
可选地，所述检测模块还用于：
对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字；
查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
根据本发明实施例的另一个方面，还提供了一种电子设备，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行时，所述一个或多个处理器实现上述任一实施例所述的方法。
根据本发明实施例的另一个方面，还提供了一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现上述任一实施例所述的方法。
上述发明中的一个实施例具有如下优点或有益效果：因为采用根据指标数据和日志数据确定异常信息及其对应的处理方案，对异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，基于运维库中的学习结果对所述大数据集群进行故障检测的技术手段，所以克服了现有技术中故障根源检测难和运维成本高的技术问题。本发明实施例对日志中的各种维度的告警进行抽象聚合、收敛为少量的事件，从而可以有效地减少告警数量，避免真正有用的告警信息淹没到海量的无用告警信息中，从而能够快速、准确地检测出故障，并降低运维成本。
上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。
附图说明
附图用于更好地理解本发明，不构成对本发明的不当限定。其中：
图1是根据本发明实施例的大数据集群的故障检测方法的主要流程的示意图；
图2是根据本发明一个可参考实施例的大数据集群的故障检测方法的主要流程的示意图；
图3是根据本发明另一个可参考实施例的大数据集群的故障检测方法的主要流程的示意图；
图4是根据本发明实施例的大数据集群的故障检测装置的主要模块的示意图；
图5是本发明实施例可以应用于其中的示例性***架构图；
图6是适于用来实现本发明实施例的终端设备或服务器的计算机***的结构示意图。
具体实施方式
以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
本发明涉及的技术领域是实现大数据集群的故障检测，以实现对多个MPP并行数据库集群、多个Hadoop大数据集群等大数据产品进行故障检测及管理。
图1是根据本发明实施例的大数据集群的故障检测方法的主要流程的示意图。作为本发明的一个实施例，如图1所示，所述大数据集群的故障检测方法可以包括：
步骤101，采集大数据集群的指标数据和日志数据。
可以使用探针技术采集大数据集群的指标数据，还可以通过Filebeat采集***日志、应用日志等日志数据，以实现对大数据集群的全方位数据采集能力，为后续的日志分析及故障检测收集尽可能多的数据。比如，基于网络探针、***资源探针获取集群中服务器资源的CPU、内存、磁盘等实时性能指标数据；基于Filebeat轻量级日志采集器获取大数据集群的***日志和应用日志等日志数据。
可选地，所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据。本发明实施例对大数据集群进行由细到粗(即操作***进程->单台服务器->分布式服务->分布式集群)的不同粒度的指标采集，并汇聚成指标数据。
可选地，所述单台服务器的指标数据包括：主机名配置检查、NTP偏移量检查、平均负载、主机磁盘读写效率、CPU使用率、主机文件句柄使用率、主机网络状态及负载、HA状态检查、关键目录检查、内存使用率、硬件状态检查、SWAP使用率、主机状态检查、告警信息、错误信息。可选地，所述操作***进程的指标数据包括：大数据进程存活状态、多线程信息、进程拥塞情况、堆栈使用情况。可选地，所述分布式服务的指标数据包括：启停状态、Kerberos身份认证机制连通状态、关键进程健康状态、数据库连通状态、服务状态和告警信息。可选地，所述分布式集群的指标数据包括：集群主机健康状态统计、主机网络读写速率分布、主机磁盘占用率分布、主机内存占用率分布和主机CPU占用率分布。可以对这些指标分别设置告警阈值，一旦超过阈值，则触发告警。
步骤102，根据所述指标数据和日志数据确定异常信息及其对应的处理方案。
可选地，步骤102可以包括：根据所述指标数据和日志数据确定异常信息；根据所述异常信息确定对应的处理方案。可选地，所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；相应地，步骤102可以包括：对所述指标数据进行异常点检测，得到异常点；根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。如果指标数据超过告警阈值，说明发生了异常，则触发告警，同时结合日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
可选地，在步骤102之前，还包括：对采集的日志数据进行标准化操作；对标准化操作后的日志数据进行聚合操作；对聚合操作后的日志数据进行异常点检测。通过对日志数据进行处理和分析可以定位出异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
可选地，对采集的日志数据进行标准化操作，包括：使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，从而将所述日志数据映射成多元组。可选地，使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，包括：使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取等操作；使用awk命令，将一行分成多个字段来处理，并结合grep命令过滤特定字符的行，使用split命令切分字符串。可选地，所述多元组包括：产生时间、应用或组件的名称、IP地址、详细内容和备注。
因实时指标数据规范，都是按照<时间，集群名，服务名，IP地址，进程名，指标名，指标值，备注>八元组进行组织，无需再额外进行规范化操作，因此需要针对日志数据进行标准化操作。日志数据的标准化操作，可以使用Linux的***sed命令和awk命令，对来自大数据集群的多个异构***的日志数据进行标准化工作：使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取等操作，如’nl/var/log/ngin x.log|sed‘2a test”，即可在日志文件nginx.log的第2行添加一列；使用a wk命令，则可以将一行分成多个“字段”来处理，并结合grep命令用来过滤特定字符的行，使用split命令用来切分字符串，最后将不同格式的日志，统一映射成五元组<产生时间，应用或组件的名称，IP地址，详细内容，备注>，使得日志内容标准化为机器可理解，格式相对统一，并能够进行如能够说明来源的业务线、服务等自我标识，以提高自动化程度，并方便对故障的分析和检测。
可选地，对标准化操作后的日志数据进行聚合操作，包括：基于概念聚类算法对标准化操作后的日志数据进行聚合计算，并进行多维度字段的聚合，使得告警合并或者聚合成关联事件。可选地，所述聚合的维度字段包括：时间、地点、业务线、服务和接口。
日志聚合，一方面是对日志数据进行数量计数，抽样获取数据等，获得一些统计信息，如计数(有多少条告警日志)；另一方面是基于数据的维度(字段)进行多维度的聚合，如通常日志数据中都有时间、地点、业务线、服务、接口等维度字段，因此可以基于时间维度对日志数据进行聚合收敛，聚合成一条日志，减少重复的日志数据，如将5分钟内***中所有30条关于某台服务器的网络故障的日志数据或告警信息聚合成1条告警(每10秒检测一次)，即显示该机器在这5分钟内都处于同一个故障中。
针对标准化后的数据，基于概念聚类算法AOI(Attribute Oriented Induction基于属性的归纳)，进行聚合计算(计数、平均、抽样等)及多维度的聚合(包括时间、地点、业务线、服务、接口)，实现告警信息的降低维度，并进行告警合并或聚合成关联事件。比如某流式计算集群，当某个IP写入队列的接口耗时变长(超过***设置的告警收敛阈值)，这时候告警的IP属性会被更抽象的“队列服务池”替代，同样地，“队列服务池”也可以被“机房”替换，最终各种维度的告警经过几层抽象会被聚合、收敛为少量的事件，从而可以有效地减少告警数量，避免真正有用的告警信息淹没到海量的无用告警信息中。
可选地，对聚合操作后的日志数据进行异常点检测，包括：使用基于正态分布的一元或多元异常点检测方法对聚合操作后的日志数据进行异常点检测，检测低维度数据集中的异常点；使用基于独立森林算法对聚合操作后的日志数据进行异常点检测，检测高维度数据集中的异常点。
本发明实施例能够从海量的日志数据中获取可能是故障的异常点：
(1)针对低维度的日志数据，通过基于正态分布的一元或多元异常点检测方法，基于数据，构建一个概率分布模型，得出模型的概率密度函数，通过判定点到正态分布中心的距离来检测异常点(通常异常点的概率是比较低的，离正态分布的中心比较远)，基本思想是计算对象与周围对象的差异，得分越高，越有可能是异常点。
(2)针对高维数据和海量数据，可使用独立森林算法进行异常检测，首先构建随机二叉树，每个节点有左子树和右子树或者无子节点。随机二叉树构造完成后，接下来对数据进行预测：把数据记录从随机二叉树根节点开始搜索，确定记录落在哪个叶子节点上，该算法假设异常点是很稀有的，在随机二叉树中，异常值一般表现为叶子节点到根节点的路径很短，距离很短的就极有可能是异常点。但是由于随机树是不稳定的，可以把多棵随机二叉树结合起来，形成独立森林就可以较稳定地检测异常。
因此，通过使用基于正态分布的异常检测方法、独立森林等异常检测算法，来检测发现日志数据中的异常值。需要指出的是，高维数据和低维数据主要的差别在于维度的多少，低维数据一般字段较为简单，各个属性之间没有关联，如简单的日志数据<时间，IP地址，日志指标，日志指标值>；高维数据一般格式为<时间，IP地址，<日志指标1，日志指标值1>,<日志指标2，日志指标值2>...<日志指标n，日志指标值n>>，日志分析需要联合日志指标1，日志指标2...日志指标m等多个或所有指标来分析。
步骤103，对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中。
可选地，步骤103可以包括：基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；将所述告警组合及其对应的处理方案存储到运维库中。
故障一般会通过事件、错误、症状表现出来，通过基于关联规则的相关性分析，挖掘这些事件、错误、告警数据之间的联系，用来辅助对故障的检测、预测及预防。基于关联规则的相关性分析，是一种基于规则的机器学习算法，可基于FP树生成频繁项集的FP-growth算法，该算法可直接将数据集压缩成一个频繁模式树，最后根据这颗数生产关联规则或通过采用一些度量指标来分辨数据集中存在的强规则。这些关联规则生成后，可以用来辅助进行事件(错误、告警)的相关性分析，当一个告警/事件发生时，可用关联规则进行匹配，从而判断是独立的告警/事件，还是关联的告警/事件，从而确定故障的根源，检测故障。
比如，我们通过分析挖掘，得到如下告警事件的关联规则：{HBase大数据集群负载高}→{对象库延迟}，{对象库延迟}→{个人账户明细在线查询失败率高}；假设现在故障的症状是“个人账户明细在线查询失败率高”，则一定会收到“对象库延迟”和“HBase大数据集群负载高”相关的告警。当告警命中这两条规则后，一个简单的故障根源就可以被追踪到，即{HBase大数据集群负载高}→{对象库延迟}→{个人账户明细在线查询失败率高}。这时候，可以及时通知运维人员及时进行HBase大数据集群的扩容操作，以降低HBase大数据集群的负载，以提高关键应用“个人账户明细在线查询”的成功率。通过基于关联规则的相关性分析，实现从海量的***及应用日志数据集中，发现有用的关联或相关关系，即从数据识别出频繁出现的属性值集(频繁项集)，然后利用这些频繁项集创建描述关联关系规则的过程，可形成不同的告警组合，可预判即将产生哪些故障，可提前通知到运维人员，从而实现故障的检测及预测预防。
步骤104，基于所述运维库中的学习结果对所述大数据集群进行故障检测。
可选地，步骤104可以包括：对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字；查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
可以通过使用ElsticSearch的IK分词器对所有标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字(如warning、error、exception等)，并查询运维库，并通过日志关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回之前的处理方案；如无完全匹配，则利用模糊匹配等模式识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，实现***故障或异常的检测发现。如果该关键字在运维库里面尚未存在，亦将此类关键字和告警信息记录进运维库，便于后续人工进行故障处理规则的添加。
本发明实施例通过监控关键指标快速检测如机器宕机、网络不通、硬盘故障等显性故障；通过日志分析，检测一些如作业报错、内存溢出、请求无响应等特征不明显或无法直接通过视觉进行判断的故障；通过基于机器学习的关联规则挖掘，来识别复杂告警中存在的隐匿关联故障，来实现对大数据集群的全方位监控、故障分析、优化解决方案，从而更直观的展现给用户使用，提升服务质量，降低管理成本。
根据上面所述的各种实施例，可以看出本发明实施例通过根据指标数据和日志数据确定异常信息及其对应的处理方案，对异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，基于运维库中的学习结果对所述大数据集群进行故障检测的技术手段，解决了现有技术中故障根源检测难和运维成本高的技术问题。本发明实施例对日志中的各种维度的告警进行抽象聚合、收敛为少量的事件，从而可以有效地减少告警数量，避免真正有用的告警信息淹没到海量的无用告警信息中，从而能够快速、准确地检测出故障，并降低运维成本。
图2是根据本发明一个可参考实施例的大数据集群的故障检测方法的主要流程的示意图。作为本发明的又一个实施例，如图2所示，所述大数据集群的故障检测方法可以包括：
步骤201，采集大数据集群的指标数据和日志数据。
步骤202，对所述指标数据进行异常点检测，得到异常点。
步骤203，根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
步骤204，根据所述异常点、异常点产生时的上下文、异常分类、异常关键字和异常详细信息确定对应的处理方案。
步骤205，基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则。
步骤206，基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合。
步骤207，将所述告警组合及其对应的处理方案存储到运维库中。
步骤208，对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字。
步骤209，查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
另外，在本发明一个可参考实施例中大数据集群的故障检测方法的具体实施内容，在上面所述大数据集群的故障检测方法中已经详细说明了，故在此重复内容不再说明。
图3是根据本发明另一个可参考实施例的大数据集群的故障检测方法的主要流程的示意图。作为本发明的另一个实施例，如图3所示，所述大数据集群的故障检测方法可以包括：
步骤301，采集大数据集群的指标数据和日志数据。
步骤302，对采集的日志数据进行标准化操作。
步骤303，对标准化操作后的日志数据进行聚合操作。
步骤304，对聚合操作后的日志数据进行异常点检测。
步骤305，根据所述指标数据和日志数据确定异常信息及其对应的处理方案。
步骤306，对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中。
步骤307，基于所述运维库中的学习结果对所述大数据集群进行故障检测。
另外，在本发明另一个可参考实施例中大数据集群的故障检测方法的具体实施内容，在上面所述大数据集群的故障检测方法中已经详细说明了，故在此重复内容不再说明。
图4是根据本发明实施例的大数据集群的故障检测装置的主要模块的示意图，如图4所示，所述大数据集群的故障检测装置400包括采集模块401、确定模块402、学习模块403和检测模块404；其中，采集模块401用于采集大数据集群的指标数据和日志数据；确定模块402用于根据所述指标数据和日志数据确定异常信息及其对应的处理方案；学习模块403用于对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；检测模块404用于基于所述运维库中的学习结果对所述大数据集群进行故障检测。
可选地，所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据。
可选地，所述单台服务器的指标数据包括：主机名配置检查、NTP偏移量检查、平均负载、主机磁盘读写效率、CPU使用率、主机文件句柄使用率、主机网络状态及负载、HA状态检查、关键目录检查、内存使用率、硬件状态检查、SWAP使用率、主机状态检查、告警信息、错误信息。
可选地，所述操作***进程的指标数据包括：大数据进程存活状态、多线程信息、进程拥塞情况、堆栈使用情况。
可选地，所述分布式服务的指标数据包括：启停状态、Kerberos身份认证机制连通状态、关键进程健康状态、数据库连通状态、服务状态和告警信息。
可选地，所述分布式集群的指标数据包括：集群主机健康状态统计、主机网络读写速率分布、主机磁盘占用率分布、主机内存占用率分布和主机CPU占用率分布。
可选地，所述确定模块402还用于：
根据所述指标数据和日志数据确定异常信息；
根据所述异常信息确定对应的处理方案。
可选地，所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；
所述确定模块402还用于：
对所述指标数据进行异常点检测，得到异常点；
根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息。
可选地，所述确定模块402还用于：
根据所述指标数据和日志数据确定异常信息及其对应的处理方案之前，对采集的日志数据进行标准化操作；
对标准化操作后的日志数据进行聚合操作；
对聚合操作后的日志数据进行异常点检测。
可选地，所述确定模块402还用于：
使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，从而将所述日志数据映射成多元组。
可选地，所述确定模块402还用于：
使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取等操作；
使用awk命令，将一行分成多个字段来处理，并结合grep命令过滤特定字符的行，使用split命令切分字符串。
可选地，所述多元组包括：产生时间、应用或组件的名称、IP地址、详细内容和备注。
可选地，所述确定模块402还用于：
基于概念聚类算法对标准化操作后的日志数据进行聚合计算，并进行多维度字段的聚合，使得告警合并或者聚合成关联事件。
可选地，所述聚合的维度字段包括：时间、地点、业务线、服务和接口。
可选地，所述确定模块402还用于：
使用基于正态分布的一元或多元异常点检测方法对聚合操作后的日志数据进行异常点检测，检测低维度数据集中的异常点；
使用基于独立森林算法对聚合操作后的日志数据进行异常点检测，检测高维度数据集中的异常点。
可选地，所述学习模块403还用于：
基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；
基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；
将所述告警组合及其对应的处理方案存储到运维库中。
可选地，所述检测模块404还用于：
对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字；
查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
根据上面所述的各种实施例，可以看出本发明实施例通过根据指标数据和日志数据确定异常信息及其对应的处理方案，对异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，基于运维库中的学习结果对所述大数据集群进行故障检测的技术手段，解决了现有技术中故障根源检测难和运维成本高的技术问题。本发明实施例对日志中的各种维度的告警进行抽象聚合、收敛为少量的事件，从而可以有效地减少告警数量，避免真正有用的告警信息淹没到海量的无用告警信息中，从而能够快速、准确地检测出故障，并降低运维成本。
需要说明的是，在本发明所述大数据集群的故障检测装置的具体实施内容，在上面所述大数据集群的故障检测方法中已经详细说明了，故在此重复内容不再说明。
图5示出了可以应用本发明实施例的大数据集群的故障检测方法或大数据集群的故障检测装置的示例性***架构500。
如图5所示，***架构500可以包括终端设备501、502、503，网络504和服务器505。网络504用以在终端设备501、502、503和服务器505之间提供通信链路的介质。网络504可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备501、502、503通过网络504与服务器505交互，以接收或发送消息等。终端设备501、502、503上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。
终端设备501、502、503可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器505可以是提供各种服务的服务器，例如对用户利用终端设备501、502、503所浏览的购物类网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的物品信息查询请求等数据进行分析等处理，并将处理结果反馈给终端设备。
需要说明的是，本发明实施例所提供的大数据集群的故障检测方法一般由服务器505执行，相应地，所述大数据集群的故障检测装置一般设置在服务器505中。
应该理解，图5中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
下面参考图6，其示出了适于用来实现本发明实施例的终端设备的计算机***600的结构示意图。图6示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，计算机***600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有***600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。
以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。
特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被中央处理单元(CPU)601执行时，执行本发明的***中限定的上述功能。
需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本发明各种实施例的***、方法和计算机程序的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括采集模块、确定模块、学习模块和检测模块，其中，这些模块的名称在某种情况下并不构成对该模块本身的限定。
作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，该设备实现如下方法：采集大数据集群的指标数据和日志数据；根据所述指标数据和日志数据确定异常信息及其对应的处理方案；对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；基于所述运维库中的学习结果对所述大数据集群进行故障检测。
根据本发明实施例的技术方案，因为采用根据指标数据和日志数据确定异常信息及其对应的处理方案，对异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，基于运维库中的学习结果对所述大数据集群进行故障检测的技术手段，所以克服了现有技术中故障根源检测难和运维成本高的技术问题。本发明实施例对日志中的各种维度的告警进行抽象聚合、收敛为少量的事件，从而可以有效地减少告警数量，避免真正有用的告警信息淹没到海量的无用告警信息中，从而能够快速、准确地检测出故障，并降低运维成本。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。
Claims (16)
1.一种大数据集群的故障检测方法，其特征在于，包括：
采集大数据集群的指标数据和日志数据；
根据所述指标数据和日志数据确定异常信息及其对应的处理方案；
对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；
基于所述运维库中的学习结果对所述大数据集群进行故障检测；
所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据；
根据所述指标数据和日志数据确定异常信息及其对应的处理方案，包括：
根据所述指标数据和日志数据确定异常信息；
根据所述异常信息确定对应的处理方案；
所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；
根据所述指标数据和日志数据确定异常信息，包括：
对所述指标数据进行异常点检测，得到异常点；
根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息；
对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中，包括：
基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；
基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；
将所述告警组合及其对应的处理方案存储到运维库中。
2.根据权利要求1所述的方法，其特征在于，所述单台服务器的指标数据包括：主机名配置检查、NTP偏移量检查、平均负载、主机磁盘读写效率、CPU使用率、主机文件句柄使用率、主机网络状态及负载、HA状态检查、关键目录检查、内存使用率、硬件状态检查、SWAP使用率、主机状态检查、告警信息、错误信息。
3.根据权利要求1所述的方法，其特征在于，所述操作***进程的指标数据包括：大数据进程存活状态、多线程信息、进程拥塞情况、堆栈使用情况。
4.根据权利要求1所述的方法，其特征在于，所述分布式服务的指标数据包括：启停状态、Kerberos身份认证机制连通状态、关键进程健康状态、数据库连通状态、服务状态和告警信息。
5.根据权利要求1所述的方法，其特征在于，所述分布式集群的指标数据包括：集群主机健康状态统计、主机网络读写速率分布、主机磁盘占用率分布、主机内存占用率分布和主机CPU占用率分布。
6.根据权利要求1所述的方法，其特征在于，根据所述指标数据和日志数据确定异常信息及其对应的处理方案之前，还包括：
对采集的日志数据进行标准化操作；
对标准化操作后的日志数据进行聚合操作；
对聚合操作后的日志数据进行异常点检测。
7.根据权利要求6所述的方法，其特征在于，对采集的日志数据进行标准化操作，包括：
使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，从而将所述日志数据映射成多元组。
8.根据权利要求7所述的方法，其特征在于，使用Linux的***sed命令和awk命令，对日志数据进行标准化工作，包括：
使用sed命令，实现对数据进行替换、删除、新增以及特定行的选取操作；
使用awk命令，将一行分成多个字段来处理，并结合grep命令过滤特定字符的行，使用split命令切分字符串。
9.根据权利要求7所述的方法，其特征在于，所述多元组包括：产生时间、应用或组件的名称、IP地址、详细内容和备注。
10.根据权利要求6所述的方法，其特征在于，对标准化操作后的日志数据进行聚合操作，包括：
基于概念聚类算法对标准化操作后的日志数据进行聚合计算，并进行多维度字段的聚合，使得告警合并或者聚合成关联事件。
11.根据权利要求10所述的方法，其特征在于，所述聚合的维度字段包括：时间、地点、业务线、服务和接口。
12.根据权利要求11所述的方法，其特征在于，对聚合操作后的日志数据进行异常点检测，包括：
使用基于正态分布的一元或多元异常点检测方法对聚合操作后的日志数据进行异常点检测，检测低维度数据集中的异常点；
使用基于独立森林算法对聚合操作后的日志数据进行异常点检测，检测高维度数据集中的异常点。
13.根据权利要求1所述的方法，其特征在于，基于所述运维库中的学习结果对所述大数据集群进行故障检测，包括：
对标记为具有异常点的每条日志进行分词处理，提取状态相关的关键字；
查询运维库，并通过关键字与运维库的全文检索匹配，若完全匹配，则向用户直接返回运维库中的处理方案；如无完全匹配，则利用模糊匹配识别方法，找出相似的关联指标和事件，辅助用户对日志进行对比和规律挖掘，从而进行故障检测。
14.一种大数据集群的故障检测装置，其特征在于，包括：
采集模块，用于采集大数据集群的指标数据和日志数据；
确定模块，用于根据所述指标数据和日志数据确定异常信息及其对应的处理方案；
学习模块，用于对所述异常信息及其对应的处理方案进行机器学习，将学习结果存储到运维库中；
检测模块，用于基于所述运维库中的学习结果对所述大数据集群进行故障检测；
所述指标数据包括操作***进程、单台服务器、分布式服务和分布式集群的指标数据；
所述确定模块还用于：
根据所述指标数据和日志数据确定异常信息；
根据所述异常信息确定对应的处理方案；
所述异常信息包括：异常点、所述异常点产生时的上下文信息、异常分类、异常关键字和异常详细信息；
所述确定模块还用于：
对所述指标数据进行异常点检测，得到异常点；
根据所述日志数据确定异常点产生时的上下文、异常分类、异常关键字和异常详细信息；
所述学习模块还用于：
基于关联规则的相关性分析对所述异常信息及其对应的处理方案进行分析，生成关联规则；
基于所述异常信息中频繁出现的属性值集，将告警事件与所述关联规则进行匹配，从而得到关于故障根源的告警组合；
将所述告警组合及其对应的处理方案存储到运维库中。
15.一种电子设备，其特征在于，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行时，所述一个或多个处理器实现如权利要求1-13中任一所述的方法。
16.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-13中任一所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010773292.8A CN111984499B (zh) | 2020-08-04 | 2020-08-04 | 一种大数据集群的故障检测方法和装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010773292.8A CN111984499B (zh) | 2020-08-04 | 2020-08-04 | 一种大数据集群的故障检测方法和装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN111984499A CN111984499A (zh) | 2020-11-24 |
| CN111984499B true CN111984499B (zh) | 2024-05-28 |
Family
ID=73444464
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010773292.8A Active CN111984499B (zh) | 2020-08-04 | 2020-08-04 | 一种大数据集群的故障检测方法和装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111984499B (zh) |
Families Citing this family (17)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112527887A (zh) * | 2020-12-02 | 2021-03-19 | 中国农业银行股份有限公司 | 一种应用于Gbase数据库的可视化运维方法及装置 |
| CN112506911A (zh) * | 2020-12-18 | 2021-03-16 | 杭州数澜科技有限公司 | 一种数据质量监控方法、装置、电子设备以及存储介质 |
| CN112631913B (zh) * | 2020-12-23 | 2024-02-02 | 平安银行股份有限公司 | 应用程序的运行故障监控方法、装置、设备和存储介质 |
| CN112838962B (zh) * | 2020-12-31 | 2022-10-18 | ***股份有限公司 | 一种大数据集群的性能瓶颈检测方法及装置 |
| CN112860510A (zh) * | 2021-01-20 | 2021-05-28 | 中国农业银行股份有限公司 | 一种告警补偿方法及装置 |
| CN112905371B (zh) * | 2021-01-28 | 2022-05-20 | 清华大学 | 基于异构多源数据异常检测的软件变更检查方法和装置 |
| CN112783865A (zh) * | 2021-01-29 | 2021-05-11 | 杭州优云软件有限公司 | 一种半监督人机结合的运维故障库生成方法及*** |
| CN113094198A (zh) * | 2021-04-13 | 2021-07-09 | 中国工商银行股份有限公司 | 一种基于机器学习和文本分类的服务故障定位方法及装置 |
| CN113051147A (zh) * | 2021-04-25 | 2021-06-29 | 中国建设银行股份有限公司 | 一种数据库集群的监控方法、装置、***、以及设备 |
| CN113240140A (zh) * | 2021-06-04 | 2021-08-10 | 海尔数字科技(青岛)有限公司 | 物理设备的故障检测方法、装置、设备及存储介质 |
| CN113282433B (zh) * | 2021-06-10 | 2023-04-28 | 天翼云科技有限公司 | 集群异常检测方法、装置和相关设备 |
| CN113887749A (zh) * | 2021-08-23 | 2022-01-04 | 国网江苏省电力有限公司信息通信分公司 | 基于云边协同的电力物联网多维度监控处置方法、设备及平台 |
| CN113919514B (zh) * | 2021-12-09 | 2022-03-22 | 北京微步在线科技有限公司 | 一种基于威胁情报的样本数据获取方法及装置 |
| CN115981910B (zh) * | 2023-03-20 | 2023-06-16 | 建信金融科技有限责任公司 | 处理异常请求的方法、装置、电子设备和计算机可读介质 |
| CN116346590B (zh) * | 2023-05-30 | 2023-07-25 | 国网汇通金财（北京）信息科技有限公司 | 一种全链路故障的定位*** |
| CN116521490B (zh) * | 2023-07-04 | 2023-09-29 | 苏州浪潮智能科技有限公司 | 一种pc***健康度自检方法、自检装置、设备及介质 |
| CN117093951B (zh) * | 2023-10-16 | 2024-01-26 | 北京安天网络安全技术有限公司 | 一种威胁情报合并方法、装置、电子设备及存储介质 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20180108446A (ko) * | 2017-03-23 | 2018-10-04 | (주)모아데이타 | Ict 인프라 관리 시스템 및 이를 이용한 ict 인프라 관리 방법 |
| CN109343995A (zh) * | 2018-10-25 | 2019-02-15 | 金税信息技术服务股份有限公司 | 基于多源异构数据融合、机器学习及客服机器人的智能运维分析*** |
| KR101964412B1 (ko) * | 2018-12-12 | 2019-04-01 | 주식회사 모비젠 | 이동통신데이터 처리시스템의 이상로그 발생을 진단하는 방법 및 그 시스템 |
| CN109992569A (zh) * | 2019-02-19 | 2019-07-09 | 平安科技（深圳）有限公司 | 集群日志特征提取方法、装置及存储介质 |
| CN110928718A (zh) * | 2019-11-18 | 2020-03-27 | 上海维谛信息科技有限公司 | 一种基于关联分析的异常处理方法、***、终端及介质 |
| CN111290913A (zh) * | 2020-02-04 | 2020-06-16 | 复旦大学 | 一种基于运维数据预测的故障定位可视化***和方法 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10671507B2 (en) * | 2018-10-25 | 2020-06-02 | Capital One Services, Llc | Application performance analytics platform |
-
2020
- 2020-08-04 CN CN202010773292.8A patent/CN111984499B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20180108446A (ko) * | 2017-03-23 | 2018-10-04 | (주)모아데이타 | Ict 인프라 관리 시스템 및 이를 이용한 ict 인프라 관리 방법 |
| CN109343995A (zh) * | 2018-10-25 | 2019-02-15 | 金税信息技术服务股份有限公司 | 基于多源异构数据融合、机器学习及客服机器人的智能运维分析*** |
| KR101964412B1 (ko) * | 2018-12-12 | 2019-04-01 | 주식회사 모비젠 | 이동통신데이터 처리시스템의 이상로그 발생을 진단하는 방법 및 그 시스템 |
| CN109992569A (zh) * | 2019-02-19 | 2019-07-09 | 平安科技（深圳）有限公司 | 集群日志特征提取方法、装置及存储介质 |
| CN110928718A (zh) * | 2019-11-18 | 2020-03-27 | 上海维谛信息科技有限公司 | 一种基于关联分析的异常处理方法、***、终端及介质 |
| CN111290913A (zh) * | 2020-02-04 | 2020-06-16 | 复旦大学 | 一种基于运维数据预测的故障定位可视化***和方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN111984499A (zh) | 2020-11-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN111984499B (zh) | 一种大数据集群的故障检测方法和装置 | |
| CN107943668B (zh) | 计算机服务器集群日志监控方法及监控平台 | |
| CN110928718B (zh) | 一种基于关联分析的异常处理方法、***、终端及介质 | |
| US10360193B2 (en) | Method and apparatus for smart archiving and analytics | |
| US10262032B2 (en) | Cache based efficient access scheduling for super scaled stream processing systems | |
| CN103513983B (zh) | 用于预测性警报阈值确定工具的方法和*** | |
| CN111190876A (zh) | 日志管理***及其运行方法 | |
| Zhao et al. | An empirical investigation of practical log anomaly detection for online service systems | |
| JP2022118108A (ja) | ログ監査方法、装置、電子機器、媒体およびコンピュータプログラム | |
| CN112100149B (zh) | 日志自动化分析*** | |
| WO2023284132A1 (zh) | 一种云平台日志的分析方法、***、设备及介质 | |
| CN112328425A (zh) | 一种基于机器学习的异常检测方法和*** | |
| CN113468019A (zh) | 基于Hbase的指标监控方法、装置、设备及存储介质 | |
| CN112084224A (zh) | 一种数据管理方法、***、设备及介质 | |
| CN114461644A (zh) | 一种数据采集方法、装置、电子设备及存储介质 | |
| CN115529595A (zh) | 一种日志数据的异常检测方法、装置、设备及介质 | |
| CN112052134A (zh) | 一种业务数据的监控方法及装置 | |
| CN114443437A (zh) | 告警根因输出方法、装置、设备、介质和程序产品 | |
| CN114461792A (zh) | 告警事件关联方法、装置、电子设备、介质及程序产品 | |
| Bailis et al. | Macrobase: Analytic monitoring for the internet of things | |
| CN112306820A (zh) | 一种日志运维根因分析方法、装置、电子设备及存储介质 | |
| CN111414355A (zh) | 一种海上风电场数据监测存储***及方法、装置 | |
| CN107729206A (zh) | 告警日志的实时分析方法、***和计算机处理设备 | |
| CN110677271A (zh) | 基于elk的大数据告警方法、装置、设备及存储介质 | |
| US11822578B2 (en) | Matching machine generated data entries to pattern clusters |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| TA01 | Transfer of patent application right | ||
| TA01 | Transfer of patent application right |
Effective date of registration: 20220927 Address after: 25 Financial Street, Xicheng District, Beijing 100033 Applicant after: CHINA CONSTRUCTION BANK Corp. Address before: 25 Financial Street, Xicheng District, Beijing 100033 Applicant before: CHINA CONSTRUCTION BANK Corp. Applicant before: Jianxin Financial Science and Technology Co.,Ltd. |
|
| GR01 | Patent grant | ||
| GR01 | Patent grant |