基于图神经网络的日志异常检测与解释

事件日志被广泛用于记录高科技系统的状态，使得日志异常检测对于监控这些系统十分重要。大多数现有的日志异常检测方法以日志事件计数矩阵或日志事件序列作为输入，利用日志事件之间的定量和/或顺序关系来检测异常。遗憾的是，仅考虑定量或顺序关系可能导致较低的检测准确率。为缓解该问题，我们提出了一种基于图的无监督日志异常检测方法，称为Logs2Graphs，它首先将事件日志转换为带属性、有向且加权的图，然后利用图神经网络执行图级异常检测。具体而言，我们引入了单向有向图初始卷积网络（One-Class Digraph Inception Convolutional Networks，简称OCDiGCN），这是一种新颖的图神经网络模型，用于在带属性、有向且加权的图集合中检测图级异常。通过将图表示与异常检测步骤相耦合，OCDiGCN能够学习特别适用于异常检测的表示，从而获得高检测准确率。重要的是，对于每个被识别出的异常，我们额外提供了一小部分在OCDiGCN预测中起关键作用的节点作为解释，这可为后续的根因诊断提供有价值的线索。在五个基准数据集上的实验表明，Logs2Graphs在简单数据集上至少与最先进的日志异常检测方法表现相当，而在复杂数据集上大幅优于最先进的日志异常检测方法。