一种系统异常检测方法、装置、电子设备及存储介质与流程

本技术涉及电子设备，尤其涉及一种系统异常检测方法、装置、电子设备及存储介质。

背景技术：

1、在安卓（android）设备系统的运行过程中，当出现启动故障、系统文件损坏、分区校验失败等异常情况时，系统会自动引导电子设备进入恢复（recovery）模式以尝试修复或恢复操作。对于电子设备进入recovery模式的故障排查，主要依赖技术人员在recovery模式下获取日志文件进行分析。

2、然而，电子设备进入recovery模式后，通常无法通过通用串行总线（universalserial bus，usb）或串口等常规通信接口建立有效连接，导致难以实时获取日志文件。并且，recovery模式下的日志文件具有易失性，每次电子设备重启或重新进入recovery模式时，原有日志会被覆盖，从而造成关键故障信息的丢失，无法准确地定位电子设备进入recovery模式的根本原因。

技术实现思路

1、本技术实施例提供一种系统异常检测方法、装置、电子设备及存储介质，可以提高检测系统异常的准确性。

2、第一方面，本技术提供一种系统异常检测方法，该方法应用于电子设备，该方法可包括：获取电子设备的n组六维特征向量，并基于n组六维特征向量，确定电子设备的系统状态；一组六维特征向量包括内存压力数据、输入输出延迟数据、进程间通信超时数据、服务重启数据、中央处理器异常数据和系统混乱度数据；n为大于1的整数；响应于电子设备的系统状态属于非健康态，基于n组六维特征向量和m种故障模式对应的六维特征向量，从m种故障模式中确定电子设备的目标故障模式，并确定目标故障模式对应的k种可能原因的概率值；m和k为大于1的整数；响应于检测到电子设备调用内核重启函数以使电子设备进入恢复模式，且参考时长大于预设时长，对内核层日志、运行进程和用户空间层日志进行分析，得到多个系统异常证据和多个系统异常证据的获取时间；参考时长为电子设备从上次调用内核重启函数以使电子设备进入恢复模式至本次调用内核重启函数以使电子设备进入恢复模式之间的时长；基于多个系统异常证据的获取时间，确定多个系统异常证据中的第一个系统异常证据，并基于第一个系统异常证据，更新k种可能原因的概率值，得到k个可能原因的第一概率值；响应于第一可能原因的第一概率值大于第一阈值，确定第一可能原因为电子设备的系统异常原因；k种可能原因包括第一可能原因。

3、可见，通过实时监控电子设备的六维特征向量，在电子设备的系统状态属于非健康态的情况下，可基于该六维特征向量预测电子设备的故障模式，由此得到系统异常的k种可能原因，实现了系统异常原因的初步定位。进一步地，在检测到电子设备调用内核重启函数以使电子设备进入恢复模式的情况下，进行多层次故障分析，得到多个系统异常证据，由此在系统崩溃前主动捕获并留存关键证据链，显著提高了系统异常原因的定位效率和准确性。

4、在一种可能的实现方式中，上述方法还可包括：响应于k个可能原因的第一概率值均小于或等于第一阈值，基于多个系统异常证据的获取时间，确定多个系统异常证据中的第二个系统异常证据，并基于第二个系统异常证据，更新k种可能原因的第一概率值，得到k个可能原因的第二概率值；响应于第二可能原因的第二概率值大于第一阈值，确定第二可能原因为电子设备的系统异常原因，k种可能原因包括第二可能原因。

5、可见，基于多个系统异常证据的获取时间的先后顺序，逐一基于某个系统异常证据更新k种可能原因的概率值，在k种可能原因中的某个可能原因的概率值大于阈值的情况下，立即将该可能原因确定为电子设备的系统异常原因，由此能够在最短时间内给出可信的系统异常原因结论，提高系统异常原因的定位效率。

6、在一种可能的实现方式中，上述系统异常证据的类型为内核层四元组、内核层故障触发链、异常进程行为、用户空间层四元组、异常传播路径、或分层故障传导链。

7、可见，系统异常证据覆盖了内核层、用户空间层以及层间传导关系，增强了系统异常原因分析的可解释性和全面性。

8、在一种可能的实现方式中，上述对内核层日志、运行进程和用户空间层日志进行分析，得到多个系统异常证据，可包括：对内核层日志进行分析，得到类型为内核层四元组和内核层故障触发链的系统异常证据；对运行进程和用户空间层日志进行分析，得到类型为异常进程行为、用户空间层四元组和异常传播路径的系统异常证据；基于类型为内核层四元组和用户空间层四元组的系统异常证据，得到类型为分层故障传导链的系统异常证据。

9、可见，通过多层次故障分析，可得到不同类型的系统异常证据，由此避免了单一层面分析可能导致的信息盲区，也实现了从底层异常原因到上层症状的完整证据链条覆盖。

10、在一种可能的实现方式中，上述对内核层日志进行分析，得到类型为内核层四元组和内核层故障触发链的系统异常证据，可包括：获取内核层日志，并基于内核层日志的错误密度，确定分析窗口；对目标日志进行分析，得到至少一种错误类型；目标日志为分析窗口内的内核层日志；对至少一种错误类型中的每一种错误类型构建四元组，得到类型为内核层四元组的系统异常证据；对类型为内核层四元组的系统异常证据进行关联分析，得到类型为内核层故障触发链的系统异常证据。

11、可见，在分析内核层日志时，引入基于错误密度动态确定分析窗口的机制，避免了对全量日志进行盲目分析带来的计算资源浪费和噪声干扰。同时，先对分析窗口内日志进行错误类型归类，再逐类构建四元组，最后对多个四元组进行关联分析形成故障触发链，提高了内核层系统异常证据提取的效率和准确性。

12、在一种可能的实现方式中，上述对运行进程和用户空间层日志进行分析，得到类型为异常进程行为、用户空间层四元组和异常传播路径的系统异常证据，可包括：对运行进程进行健康评估，确定异常进程和类型为异常进程行为的系统异常证据；获取用户空间层日志，并基于异常进程，从用户空间层日志中提取至少一个错误行；对至少一个错误行中的每个错误行构建四元组，得到类型为用户空间层四元组的系统异常证据；获取运行进程的加权有向图，并基于加权有向图、异常进程和至少一个错误行，得到类型为异常传播路径的系统异常证据。

13、可见，对运行进程和用户空间层日志进行分析，可得到用户空间层的系统异常证据。

14、在一种可能的实现方式中，上述基于n组六维特征向量和m种故障模式对应的六维特征向量，从m种故障模式中确定电子设备的目标故障模式，并确定目标故障模式对应的k种可能原因的概率值，可包括：基于n组六维特征向量和m种故障模式对应的六维特征向量，得到n组六维特征向量与m种故障模式中每一种故障模式对应的六维特征向量的相似度；从m种故障模式中确定电子设备的目标故障模式；n组六维特征向量与目标故障模式对应的六维特征向量的相似度大于第二阈值；基于电子设备的目标故障模式，确定目标故障模式对应的k种可能原因的概率值。

15、可见，通过计算实测六维特征向量与各故障模式特征向量之间的相似度，确定相似度大于阈值的故障模式为目标故障模式，提高了电子设备的预测准确性。

16、在一种可能的实现方式中，上述基于第一个系统异常证据，更新k种可能原因的概率值，得到k个可能原因的第一概率值，可包括：基于规则库信息，确定第一个系统异常证据的置信度；基于第一个系统异常证据的置信度，更新k种可能原因的概率值，得到k个可能原因的第一概率值。

17、可见，在基于系统异常证据更新可能原因概率值的过程中，引入规则库信息来确定该系统异常证据的置信度，并依据置信度对k种可能原因的概率值进行加权更新，提高了最终系统异常原因判定结果的可靠性。

18、在一种可能的实现方式中，上述方法还可包括：基于多个系统异常证据和因果规则库信息，得到因果链条，并对因果链条进行因果验证。

19、可见，在通过概率值判定得到系统异常原因后，进一步引入因果规则库信息对多个系统异常证据进行因果验证，由此提升了系统异常原因定位的准确性和可信度。

20、第二方面，本技术实施例提供一种系统异常检测装置，该系统异常检测装置包括获取单元和处理单元。获取单元，用于获取电子设备的n组六维特征向量，并基于n组六维特征向量，确定电子设备的系统状态；一组六维特征向量包括内存压力数据、输入输出延迟数据、进程间通信超时数据、服务重启数据、中央处理器异常数据和系统混乱度数据；n为大于1的整数。处理单元，用于响应于电子设备的系统状态属于非健康态，基于n组六维特征向量和m种故障模式对应的六维特征向量，从m种故障模式中确定电子设备的目标故障模式，并确定目标故障模式对应的k种可能原因的概率值；m和k为大于1的整数；响应于检测到电子设备调用内核重启函数以使电子设备进入恢复模式，且参考时长大于预设时长，对内核层日志、运行进程和用户空间层日志进行分析，得到多个系统异常证据和多个系统异常证据的获取时间；参考时长为电子设备从上次调用内核重启函数以使电子设备进入恢复模式至本次调用内核重启函数以使电子设备进入恢复模式之间的时长；基于多个系统异常证据的获取时间，确定多个系统异常证据中的第一个系统异常证据，并基于第一个系统异常证据，更新k种可能原因的概率值，得到k个可能原因的第一概率值；响应于第一可能原因的第一概率值大于第一阈值，确定第一可能原因为电子设备的系统异常原因；k种可能原因包括第一可能原因。

21、在一种可能的实现方式中，处理单元，还用于响应于k个可能原因的第一概率值均小于或等于第一阈值，基于多个系统异常证据的获取时间，确定多个系统异常证据中的第二个系统异常证据，并基于第二个系统异常证据，更新k种可能原因的第一概率值，得到k个可能原因的第二概率值；响应于第二可能原因的第二概率值大于第一阈值，确定第二可能原因为电子设备的系统异常原因，k种可能原因包括第二可能原因。

22、在一种可能的实现方式中，上述系统异常证据的类型为内核层四元组、内核层故障触发链、异常进程行为、用户空间层四元组、异常传播路径、或分层故障传导链。

23、在一种可能的实现方式中，处理单元，还用于对内核层日志进行分析，得到类型为内核层四元组和内核层故障触发链的系统异常证据；对运行进程和用户空间层日志进行分析，得到类型为异常进程行为、用户空间层四元组和异常传播路径的系统异常证据；基于类型为内核层四元组和用户空间层四元组的系统异常证据，得到类型为分层故障传导链的系统异常证据。

24、在一种可能的实现方式中，处理单元，还用于获取内核层日志，并基于内核层日志的错误密度，确定分析窗口；对目标日志进行分析，得到至少一种错误类型；目标日志为分析窗口内的内核层日志；对至少一种错误类型中的每一种错误类型构建四元组，得到类型为内核层四元组的系统异常证据；对类型为内核层四元组的系统异常证据进行关联分析，得到类型为内核层故障触发链的系统异常证据。

25、在一种可能的实现方式中，处理单元，还用于对运行进程进行健康评估，确定异常进程和类型为异常进程行为的系统异常证据；获取用户空间层日志，并基于异常进程，从用户空间层日志中提取至少一个错误行；对至少一个错误行中的每个错误行构建四元组，得到类型为用户空间层四元组的系统异常证据；获取运行进程的加权有向图，并基于加权有向图、异常进程和至少一个错误行，得到类型为异常传播路径的系统异常证据。

26、在一种可能的实现方式中，处理单元，还用于基于n组六维特征向量和m种故障模式对应的六维特征向量，得到n组六维特征向量与m种故障模式中每一种故障模式对应的六维特征向量的相似度；从m种故障模式中确定电子设备的目标故障模式；n组六维特征向量与目标故障模式对应的六维特征向量的相似度大于第二阈值；基于电子设备的目标故障模式，确定目标故障模式对应的k种可能原因的概率值。

27、在一种可能的实现方式中，处理单元，还用于基于规则库信息，确定第一个系统异常证据的置信度；基于第一个系统异常证据的置信度，更新k种可能原因的概率值，得到k个可能原因的第一概率值。

28、在一种可能的实现方式中，处理单元，还用于基于多个系统异常证据和因果规则库信息，得到因果链条，并对因果链条进行因果验证。

29、第三方面，本技术实施例提供了一种电子设备，上述电子设备包括：存储器，用于存储程序；处理器，用于执行上述存储器存储的上述程序，在上述程序被上述处理器执行的情况下，上述处理器执行如第一方面中任意一个可能的实施方式中的方法。

30、第四方面，本技术实施例提供了一种计算机存储介质，上述计算机存储介质中存储有计算机程序，上述计算机程序包括程序指令，在上述程序指令被处理器执行的情况下，上述处理器执行如第一方面以及第一方面中任意一个可能的实现方式中的方法。

31、第五方面，本技术实施例提供了一种计算机程序产品，上述计算机程序产品包括：指令或计算机程序；在上述指令或上述计算机程序被执行的情况下，使如第一方面以及第一方面中任意一个可能的实现方式中的方法实现。

32、第六方面，本技术实施例提供了一种芯片，上述芯片包括处理器，上述处理器用于执行指令，在上述处理器执行上述指令的情况下，使得上述芯片执行如第一方面以及第一方面中任意一个可能的实现方式中的方法。