基于Venn-Abers預測器的系統(tǒng)日志異常檢測方法

顧兆軍 潘蘭蘭,2 劉春波 王 志

1(中國民航大學信息安全測評中心 天津 300300)

2(中國民航大學計算機科學與技術學院 天津 300300)

3(南開大學網絡空間安全學院 天津 300350)

0 引 言

系統(tǒng)異常檢測是一個計算機系統(tǒng)穩(wěn)定運行的必要條件。現(xiàn)代計算系統(tǒng)正面臨著由大型服務器集群支持的爆炸式增長,云計算、分布式計算平臺的出現(xiàn)使大型數(shù)據(jù)中心的部署成為一種趨勢。這些系統(tǒng)的規(guī)模和復雜性不斷增加,遭受錯誤和故障的概率就會越來越大,使異常檢測變得更具有挑戰(zhàn)性。系統(tǒng)日志詳細記錄系統(tǒng)運行期間的系統(tǒng)狀態(tài)和重要事件,幾乎所有的計算機系統(tǒng)中都有相應的日志系統(tǒng)。

利用系統(tǒng)日志數(shù)據(jù)進行異常檢測的方法大致分為以下幾類：(1) 基于數(shù)據(jù)分布的統(tǒng)計學異常檢測模型[1],根據(jù)總體數(shù)據(jù)分布識別突出或不符合分布的數(shù)據(jù)為異常點,但是該方法只適用于點異常的檢測;(2) 最近鄰方法[2]和基于聚類的異常檢測方法[3],假設正常數(shù)據(jù)位于密集的區(qū)域,異常則遠離該區(qū)域,這兩種方法對于數(shù)據(jù)分布稀疏和密集區(qū)域具有未知分布的數(shù)據(jù)集不可用;(3) 基于長短期記憶網絡的深度神經網絡模型Deeplog[4],將系統(tǒng)日志建模為自然語言序列,可以通過日志模式檢測是否偏離正常行為從而檢測異常;(4) 基于深度學習[5-6]的異常檢測方法。這些算法只能給出一個預測(對于分類,它是預測標簽;對于回歸,它是預測值),并未對預測結果進行可靠性評估,即對預測結果的可信程度的評估以及對該評估有效性的保障。目前較為流行的概率預測的算法有一致性預測器和Venn-Abers預測器,一致性預測器在置信度下給出p值作為預測可靠性的估計[7],但這不是直接概率。本文將引入一種將常規(guī)預測器的結果轉換為概率的算法,給出預測結果的概率估計值,使結果更加直觀。

引入統(tǒng)計學習算法Venn-Abers預測器是具有有效性保證的,該方法可以對日志異常檢測結果進行可靠性評估,也就是對預測結果的正確性進行有效的概率預測。它是基于概率對數(shù)據(jù)進行分類的機器學習框架,任何機器學習算法都可以作為它的底層算法。Venn-Abers預測器唯一需要的假設條件是數(shù)據(jù)服從可交換性假設[8],可以通過日志數(shù)據(jù)輕松滿足,并且不需要日志數(shù)據(jù)服從特定分布,就可以保證預測概率的有效性。研究表明,Venn-Abers預測器在很多領域可以取得有效的概率預測結果[9-11]。將Venn-Abers預測器引入日志異常檢測領域中可以有效地檢測系統(tǒng)日志異常。

本文采用真實系統(tǒng)的HDFS日志數(shù)據(jù)集評估本文方法,Venn-Abers預測器已被證明可以完美校準[12],根據(jù)三種基礎算法分別開發(fā)三種Venn-Abers預測器[13]用來檢測系統(tǒng)日志異常。從系統(tǒng)日志異常預測結果的有效性和準確性兩個方面比較基礎算法和Venn-Abers預測器的性能。同時提出對Venn-Abers預測器處理數(shù)據(jù)的計算方法,并減少計算多概率預測值的時間。實驗結果表明,引入Venn-Abers預測器進行系統(tǒng)日志異常檢測正確性的評估是有效和準確的。

1 基于Venn-Abers 預測器的日志異常檢測模型

圖1給出了基于日志異常檢測的總體框架。日志異常檢測框架總體包含兩個部分：日志預處理和日志異常檢測。日志預處理包括收集日志信息、日志解析和日志的特征化提取三部分。在日志異常檢測過程中,選擇三種基礎算法LR、SVM和RF,基于基礎算法預測得分構建對應的Venn-Abers預測器,Venn-Abers預測器得到的是測試對象對應標簽為1的多概率區(qū)間。為了和基于靜態(tài)閾值的方法進行比較,將多概率區(qū)間擬合為單個概率值,通過概率值和標簽的分布關系確定動態(tài)閾值并實現(xiàn)最終的分類預測。

圖1 基于日志異常檢測的總體框架

1.1 日志預處理

系統(tǒng)日志異常檢測的第一個階段是日志預處理,包括收集日志信息、日志解析和日志的特征化提取三部分。現(xiàn)代大型系統(tǒng)通過生成日志來記錄系統(tǒng)運行時信息,每條日志都包含時間戳、日志優(yōu)先級、系統(tǒng)組件和日志條目本身等信息的非結構化數(shù)據(jù)。通常,日志消息使用一組字段記錄特定的系統(tǒng)事件,圖1中Logs部分展示了從Amazon EC2平臺上收集的HDFS日志中提取的1個日志行[14],為了便于呈現(xiàn),省略了部分字段。

日志解析的目標在于提取一組日志事件模板Event,即從日志數(shù)據(jù)內容中區(qū)分出常量部分(固定的純文本)和變量部分(例如圖1中的blk_id)[15]。日志事件模板Event主要包括常量部分和通配符,其中常量部分是指構成固定的純文本,它對于每個事件發(fā)生都保持不變,并且可以顯示日志消息的事件類型;通配符是指攜帶運行時信息的狀態(tài)和參數(shù)的值(例如,IP地址和端口：10.251.31.5：50010),它們在不同事件發(fā)生之間可能有所不同,使用一個形如<*>的字符串替代。本文為每個不同的日志事件模板編號為Event_id,每個日志事件模板對應一個標識符block_id,如圖1中的Parsing部分。

上一步解析的結果可以用于生成事件計數(shù)矩陣X,事件計數(shù)矩陣將被送到日志異常檢測模型中。在事件計數(shù)矩陣中,將具有相同block的事件模板放在一行,即每一行代表一個塊block,將每一行的事件模板統(tǒng)計出次數(shù),即每一列代表一種事件類型。Xi,j單元格中的值記錄事件j在塊i上發(fā)生的次數(shù)。為了避免直接在矩陣X上檢測異常,引入TF-IDF[16]為該矩陣進行預處理。TF-IDF是信息檢索中一種公認的啟發(fā)式方法,它通常用作信息檢索和文本挖掘中文檔的特征表示。

1.2 日志異常檢測

1.2.1基于Venn-Abers預測器的日志異常檢測

本節(jié)將介紹基于Venn-Abers預測器來評估基礎算法對日志異常檢測結果預測正確的可能性。Venn-Abers預測器是一種將預測結果轉換為概率的算法[8],通過應用保序回歸將其他分類器的輸出轉換為概率。假設本文得到了一個標準的二分類問題：一組訓練示例(z1,z2,…,zn-1)。每個zi由一對對象xi和標簽yi組成,可能的標簽有兩種,即y∈Y={0,1}。給出一個新的對象xn,任務是預測新對象xn的標簽yn,并對預測正確的可能性進行估計。

為了構造Venn-Abers預測器,首先用觀察的訓練集訓練分類器并使用分類器為新對象xn輸出預測分數(shù)s(xn),在帶有標簽0和1的二分類問題中,通過將預測分數(shù)與固定閾值c進行比較,并在s(xn)>c時將xn的標簽預測為1,從而獲得實際的預測類別,因此s(·)在此稱為評分函數(shù)。許多用于分類的機器學習算法都可作為分類器的評分函數(shù),在本文中,采用SVM和LR的決策函數(shù)(Decision function)作為評分函數(shù),RF采用類概率預測函數(shù)作為評分函數(shù)。Venn-Abers預測器將遞增函數(shù)f(·)應用于s(x);試圖“校準”分數(shù)[17],以便將f(s(x))用作x的標簽為1的預測概率。

本文使用“成對相鄰違反者算法”找到的單調非遞減的保序回歸函數(shù)f(·),給定得分分類器對應的Venn-Abers預測器是定義如下的多概率預測變量。嘗試將兩個不同的標簽0和1用于測試對象xn。令s0為 (z1,z2,…,zn-1,(xn,0))的評分函數(shù),s1為(z1,z2,…,zn-1,(xn,1))的評分函數(shù)。

f0對應的保序回歸為：

((s0(x1),y1),(s0(x2),y2),…,(s0(xn-1),yn-1),

(s0(xn),0))

(1)

f1對應的保序回歸為：

((s1(x1),y1),(s1(x2),y2),…,(s1(xn-1),yn-1),

(s1(xn),1))

(2)

這樣Venn-Abers預測器輸出的多概率預測為(p0,p1),其中p0=f0(s0(x))和p1=f1(s1(x))。

1.2.2Venn-Abers預測器運行效率優(yōu)化方法

Venn預測器會為每個測試對象嘗試所有可能的標簽,需要針對每個測試對象的可能標簽訓練一個基礎算法模型,由于計算效率低下,故只適用于小數(shù)據(jù)集。隨后提出Venn-Abers預測器,對每個測試對象的所有可能標簽只需要訓練一個模型,也就是本文采用的方法可以對日志異常檢測結果進行有效性的預測。但是在實驗過程中,發(fā)現(xiàn)由訓練集標簽和訓練集對象得到的保序回歸序列分布過于密集,不符合預期。

分析原因發(fā)現(xiàn)采用HDFS日志數(shù)據(jù)提取出29個事件模板從而形成29維的特征向量,但由于HDFS記錄的日志行為單一[18]使不同特征向量之間的差異較小,特征向量高度相似或重復。這種情況下,模型得分也會大量重復或相似,因此設計了如下算法。

步驟1得到特征向量的得分s(xi)。

步驟2將得分s(xi)和對應的標簽yi打包成具有兩個元素的元組(s(xi),yi)。

步驟3并對元組(s(xi),yi)進行升序處理。

步驟4對于重復的得分,將其標簽yi累積求和并取平均值作為該得分新的標簽Newy。

這樣有益于保序回歸序列f0和f1的離散化分布同時降低后續(xù)實驗測試對象多概率p0和p1的計算時間并提高計算效率。

2 評估方法

本文將使用標準損失函數(shù)將Venn-Abers預測器與已知的概率預測器進行比較。由于Venn-Abers預測器輸出的是概率對(p0,p1)而不是點概率,因此需要將它們擬合到標準框架中,以便從p0和p1中提取一個概率p。

2.1 算法有效性評估指標

概率預測可以提供對預測的可靠性估計,同時估計的概率是有效的。有效性意味著對預測標簽的估計概率是無偏的,這意味著該估計概率等于或接近預測正確的觀察頻率。本文使用平方損失函數(shù)來檢驗概率預測的有效性。

假設p是測試對象x預測標簽的概率值,如果該對象對應的標簽預測是正確的,y=1,反之y=0。該預測的平方損失函數(shù)為：

λsq(p,y)=(y-p)2

(3)

該損失函數(shù)的特點是：當預測正確時,預測的概率值越大,則損失函數(shù)越小;預測錯誤時,預測的概率值越小,則損失函數(shù)越大。

使用平方損失函數(shù)時,Venn-Abers預測輸出一個概率區(qū)間[p0,p1],現(xiàn)階段的任務是找到最優(yōu)的概率值p[19]。如果預測錯誤,y=0,則使用p0作為預測概率值可以使損失函數(shù)達到最小。因此,由于本文使用p而沒有使用p0造成損失p2-p02;同理如果預測正確,y=1則由于使用p而沒有使用p1造成損失(1-p)2- (1-p1)2。p2-p02在p=[0,1]嚴格增函數(shù),(1-p)2-(1-p1)2在p=[0,1]區(qū)間是嚴格減函數(shù)(1-p)2-(1-p1)2。因此,當p滿足如下方程時平方損失函數(shù)取得最小值：

(4)

因而,得到：

(5)

在計算Venn-Abers的預測結果的損失函數(shù)時,將式(5)分別代入λsq中計算損失函數(shù),損失函數(shù)越小,預測的有效性越高。因此,基于損失函數(shù)的概率預測或多概率預測的有效性的指標定義為,對N個測試樣本的概率預測結果中,平均的損失函數(shù)值：

(6)

2.2 算法評估指標

實驗中使用精確率(Precision)、召回率(Recall)、F1值(F1-measure)和準確率(Accuracy)作為每次預測結果的評價指標。假設0代表正常,1代表異常,則統(tǒng)計模型分類結果得到：

1)TP：預測結果為異常,實際也是異常的個數(shù)。

2)FP：預測結果為異常,實際是正常的個數(shù)。

3)TN：預測結果為正常,實際也是正常的個數(shù)。

4)FN：預測結果為正常,實際是異常的個數(shù)。

精確率公式為式(7),它表示模型預測到的異常中真異常的比例,同時可以衡量模型降低誤報率的能力。

(7)

召回率公式見式(8),它表示模型預測到的異常占數(shù)據(jù)集中總異常的百分比,同時可以描述模型識別正例覆蓋范圍的大小。

(8)

準確率公式為式(9),它表示模型判斷正常的日志和異常日志占總日志的百分比。

(9)

F1值公式為式(10),它指精確率和召回率的調和平均數(shù),用于綜合衡量模型的精確率和召回率。

(10)

3 實驗與結果分析

實驗環(huán)境為： Intel?CoreTM i5-4200U CPU @ 1.60 GHz,8 GB RAM和Windows操作系統(tǒng)。數(shù)據(jù)集[16]來自亞馬遜在EC2節(jié)點上部署的Hadoop集群,運行樣本Hadoop map-reduce作業(yè)近39個小時,生成的HDFS日志數(shù)據(jù)是由相應領域專家手動標記的。HDFS 數(shù)據(jù)集中每個標簽標注的是一個會話是否正常。一個會話是一個塊ID相關的若干條日志,可以認為是系統(tǒng)對一個塊執(zhí)行的一系列操作。一個會話中只要出現(xiàn)一個異常事件就認為該會話是異常的。具體來說,有11 175 629條原始數(shù)據(jù)記錄,形成575 061個操作會話,在575 061個會話中,16 838個被標記為異常,在實驗過程中將其作為基本事實。

該數(shù)據(jù)集僅包含添加、移動和刪除等事件的日志及其異常情況。HDFS是以一系列的文件塊為存儲單位的,每個文件塊都有獨自的ID[20]。實驗過程按照8∶2劃分測試集和訓練集。首先將原始數(shù)據(jù)處理為事件模板,共29種不同的事件模板。具有相同塊ID的事件模板組合在一起并形成一個向量。每個向量的維度對應著不同的事件模板,維度的值表示該模板的事件出現(xiàn)的次數(shù),因此事件計數(shù)矩陣具有575 062×29的維度。但是真正實驗過程中卻發(fā)現(xiàn)許多向量是完全相同的。事實上,只有580個不同的向量,即大多數(shù)文件塊都經歷共同的執(zhí)行動作。圖2和圖3展示了用Venn-Abers繪制出全部向量和根據(jù)1.2.2節(jié)改進后的向量對應的f0和f1。在全部向量的圖2中,因為存在大量重復的向量,使f值的離散程度很差,而改進后的圖3中,f0和f1值的分布是明顯的。所以在以下實驗結果中采用580個特征向量的數(shù)據(jù)集。

圖2 全部向量作圖結果

3.1 算法有效性比較

采用損失函數(shù)對算法有效性進行比較。平均損失函數(shù)值是在所有情況下真實類別與預測結果概率之間的差異的平均平方和。真實類別必須為正常(0)或者異常(1),而預測結果概率可以是0到1之間的值。對于一組預測值,平均損失函數(shù)值越低,預測校準越好。將數(shù)據(jù)按照特征向量的不同分為大小不同的四份數(shù)據(jù)集,用于損失值的測試,具體運行結果見表1。基于SVM開發(fā)的Venn-Abers預測器簡稱為SVM-VA、基于LR開發(fā)的Venn-Abers預測器簡稱為LR-VA和基于RF開發(fā)的Venn-Abers預測器簡稱為RF-VA。得到的損失值都產生了不同程度的下降,表明了Venn-Abers預測器具有改善分類性能的能力。

表1 不同大小數(shù)據(jù)集下LR-VA、SVM-VA、RF-VA、LR、SVM和RF算法的平均損失函數(shù)值結果對比

箱型圖主要用于顯示數(shù)據(jù)統(tǒng)計分布,圖像生成方式是通過排序,提取一組數(shù)據(jù)的上邊緣、下邊緣、中位數(shù)和兩個四分位數(shù),連接兩個四分位數(shù)形成箱體,再連接中位數(shù)和上下邊緣。圖4為LR、SVM、RF、LR-VA、SVM-VA、RF-VA在全部數(shù)據(jù)集下?lián)p失值的箱型圖。從損失值的中位數(shù)可以看出,LR-VA模型相對于LR模型降低了3.6%, SVM-VA模型相對于SVM模型降低了6%, RF-VA模型相對于RF模型降低了4%。從整體分布來看,LR-VA、LR、SVM-VA、SVM、RF-VA和RF的四分位差分別為0.085、0.088、0.035、0.06、0.04和0.12,可以很容易看出RF-VA和SVM-VA模型主要分布在較低的區(qū)域并且跨度很小。綜合評價具有最低的損失值的模型是RF-VA和SVM-VA模型;其次是LR-VA模型;表現(xiàn)最差的是RF模型,損失值數(shù)據(jù)比較發(fā)散。Venn-Abers預測器的有效性評估標準均小于相應的基礎方法的評估標準,這表明Venn-Abers預測器進行的概率預測比相應的基礎預測方法更有效。

圖4 數(shù)據(jù)集的平均損失函數(shù)值結果箱型圖

3.2 算法性能比較

在第2節(jié)將Venn-Abers預測器輸出的概率對(p0,p1)擬合為一個概率值p,從而和基于靜態(tài)閾值的基礎算法方法進行比較。由于概率值p代表預測標簽為0的概率,p值越大則預測標簽為0的可能性越高,p值越小則預測標簽為0的可能性越低,即標簽為1的可能性越高。在本文的日志異常檢測過程中,標簽為0代表預測日志是正常的,標簽為1代表預測日志是異常的。本文展示出預測標簽(0和1)和概率值p之間的分布散點圖,若Venn-Abers預測器得到的p值結果在[0, 1]區(qū)間呈現(xiàn)兩極分化,說明Venn-Abers預測器的質量很好,如圖5(d)、圖6(d)和圖7(d)所示。但是在實驗過程中發(fā)現(xiàn)p值的分布并不僅僅局限于0和1的附近,存在處于中間的p值。那么根據(jù)p值在[0, 1]區(qū)間的分布情況對測試對象的標簽進行再次預測。具體可以通過設置閾值c,來對2.1節(jié)的準確性評價指標進行一定程度的控制,若p>c則說明該測試對象對應的標簽為異常。在實驗過程中,通過調整閾值c的大小[21],以使預測準確性盡可能接近1。

圖5 不同閾值下LR模型預測概率值p和標簽分布關系

圖7 不同閾值下RF模型預測概率值p和標簽分布關系

在圖5(a)LR模型中,會發(fā)現(xiàn)p處于[0.6, 0.8]之間比較密集,這部分p值對應什么樣的標簽對實驗結果有很大的影響。故設置三個閾值c取值分別為0.6、0.72和0.8來檢測密集區(qū)間內的日志異常的變化情況,p值和測試標簽的分布情況如圖5所示。當c取0.6時對應圖5(b),此時處于[0.6, 0.8]區(qū)間內的p值對應的標簽均為異常。當c取0.8時對應圖5(c),此時處于[0.6, 0.8]區(qū)間內的p值對應的標簽均為正常。

取中間值0.72時,使[0.6, 0.8]區(qū)間內對應的p值對應的標簽既有正常又有異常,如圖5(a)所示。這樣可以通過評價指標得出使異常檢測結果更加準確的閾值。通過這種方式可以把概率值轉化為預測結果,進而得到三組基于Venn-Abers的實驗結果,簡稱VA_0.6、VA_0.72和VA_0.8,與基于靜態(tài)閾值的基礎算法通過柱狀圖進行實驗對比。實驗結果顯示與基于靜態(tài)閾值分類的方式相比,基于Venn-Abers的分類方式不僅能夠成功檢測異常,而且其Accuracy、Recall、Precision和F1值均有不同程度的提高。圖8為LR和Venn-Abers實驗結果對比柱狀圖,當c=0.72時,通過Venn-Abers分類器得到的實驗結果最好,其中Accuracy和Recall提高了0.02和0.03,Precision和F1值提高0.01。在c=0.8和0.6時其結果不如基于靜態(tài)閾值的基礎算法,因為此時Venn-Abers分類器得到的實驗結果出現(xiàn)較多的FP和FN。

圖6中顯示了在SVM算法中當閾值c=0.6、0.72和0.8時,p值和標簽的分布情況。圖9為基于靜態(tài)閾值的基礎算法SVM和基于Venn-Abers預測器的實驗結果,可以看出c=0.72時基于Venn-Abers預測器的Accuracy和F1值提高了近0.07,Recall提高了0.13,誤報率從0.12降低到0.03;c=0.8時,由于FP數(shù)量增多導致Accuracy、Precision和F1值降低;c=0.6時,FP數(shù)量減少但是效果沒有c=0.72好。補充在RF算法中的情況,在圖7中展示了RF算法中當閾值c=0.6、0.72和0.8時,p值和標簽的分布情況。會發(fā)現(xiàn)RF算法中p值和標簽的分布會更加趨于兩極,中間的離散點相對較少,說明RF算法相對適合這種日志異常檢測問題的分類。從圖10可以看出基礎算法RF的實驗結果是三種算法中最好的,當c=0.72時,Accuracy和Recall提高了0.03和0.05, F1值提高0.02,但是Precision降低0.02。從圖10可以看出,基于Venn-Abers算法的Precision均低于基礎算法RF,說明基礎算法RF對日志異常中的漏報檢測效果很好。實驗結果表明,與三種基于靜態(tài)閾值的基礎算法相比,開發(fā)的三種Venn-Abers預測器的方法會動態(tài)改變c值以適應數(shù)據(jù)的變化,大多數(shù)情況下能作出更好的判斷。

圖9 SVM和Venn-Abers實驗結果柱狀圖

圖10 RF和Venn-Abers實驗結果柱狀圖

對于概率值p在[0, 1]區(qū)間的分布進行分析,如果概率值p分布在[0, 1]區(qū)間的兩極,那么檢測效果會是最好的。分析LR模型中概率值p的分布會發(fā)現(xiàn)p=0.487 805出現(xiàn)91次,p=0.689 441出現(xiàn)3 190次,p=0.765 957出現(xiàn)12 665次。追溯概率值p對應的特征向量會發(fā)現(xiàn),同一個概率值p對應的特征向量相似度很高,只有某一個維度不同。比如p=0.689 441對應的特征向量只有事件11出現(xiàn)6次和事件12出現(xiàn)2次的不同。同樣的情況出現(xiàn)在SVM模型和RF模型中,p=0.738 409出現(xiàn)13 258次,概率p值對應的特征向量要么重復,要么高度相似。單個模型的檢測不能對高度相似的特征向量作出很好的判斷,如果能使用模型融合取不同算法的優(yōu)勢,則可以進一步細致地對日志數(shù)據(jù)進行判斷,從而得到更好的檢測結果,這也是下一個階段的研究內容。

4 結 語

在這項工作中,采用HDFS真實數(shù)據(jù)集來對系統(tǒng)日志異常進行檢測。本文引入靈活的機器學習框架Venn-Abers預測器,可以對日志數(shù)據(jù)進行精確有效的概率預測。代替?zhèn)鹘y(tǒng)分類器僅預測未知對象的單個標簽,這種預測器在一定程度上補充了預測標簽正確的可能性。在概率預測有效性方面,開發(fā)了三種Venn-Abers預測器與三種基礎算法進行比較。損失函數(shù)的實驗結果表明,盡管采用相同的基礎分類方法,但隨著樣本數(shù)量的增加,Venn-Abers預測器的有效性保持不變。在概率預測準確性方面,Venn-Abers預測器計算出預測標簽的概率值,通過統(tǒng)計概率值和預測標簽的分布情況,動態(tài)設置最佳閾值,能更加準確地檢測日志異常情況。同時,對Venn-Abers預測器計算概率值方法的改進,使算法運行效率得到提高。實驗結果表明Venn-Abers 預測器不僅對機器學習預測日志數(shù)據(jù)結果的正確性進行有效性評估,而且對日志數(shù)據(jù)進行了更高效、準確的分類。

在下一個階段的研究中,將研究更多不同的評分分類器集成到該原型平臺,以檢測系統(tǒng)日志的異常。不同的模型有各自的長處,性能具有差異性,將引入模型融合使各個模型發(fā)揮出優(yōu)勢,來進一步提高日志異常檢測的準確性。