PCLog：基于近端策略优化与行为克隆的自适应日志异常检测

来源：软件学报杂志2026年第7期北京时间：

作者：周俊伟，胡淼，王春龙，杜亚娟，谈诚

单位：周俊伟，武汉理工大学 计算机与人工智能学院, 湖北 武汉 43007011,胡淼，武汉理工大学 计算机与人工智能学院, 湖北 武汉 43007002,王春龙，武汉理工大学 计算机与人工智能学院, 湖北 武汉 43007003,杜亚娟，武汉理工大学 计算机与人工智能学院, 湖北 武汉 43007004,谈诚，武汉理工大学 计算机与人工智能学院, 湖北 武汉 43007005

摘要：日志数据记录了系统的运行状态、用户行为及错误信息.基于日志的异常检测可快速识别潜在的安全风险或性能瓶颈,提升运维效率,助力故障诊断.然而,现有的日志异常检测方法仍面临诸多挑战,如无法有效适应系统升级引起的日志模式变化,缺乏高效反馈机制导致难以持续保持检测性能等.为此,本文提出一种新型的日志异常检测框架PCLog,采用强化学习方法中的近端策略优化算法（PPO）进行模型训练.本方案将检测模型视为智能体,日志对应的语义向量视为状态,事件视为动作,通过最大化正常序列的累计奖励来学习系统的正常行为模式从而实现异常检测.此外,当检测性能下降时,PCLog可通过收集错误预测的样本作为专家示范数据,并结合模仿学习中的行为克隆方法,最大化专家数据的对数似然,从而使模型更有效地逼近专家行为,实现模型的自适应修正,有效减少误报率,提升系统长期运行的可靠性.在HDFS、BGL与OpenStack三大公开日志数据集上的实验证明,PCLog相较于现有方法表现更优,具备较强的动态日志模式适应能力.

关键词：日志异常检测;近端策略优化;行为克隆

基金资助：湖北省重点研发基金(2025BEB012)