AI AIOps学习：用Python实现服务器日志异常检测

AIOps 的入门难点不在算法，而在于把运维数据整理成模型能读的格式。
假如你手上有一台跑着 Nginx 的 Linux 服务器，日志文件就在 /var/log/nginx/access.log 和 error.log，本文就用这两份日志跑通一次最小可行的异常检测，让你对 AI AIOps 学习有一个能动手验证的起点。

先把日志变成按分钟统计的表

算法模型不认识文本日志，它需要数值特征。
我们按分钟聚合，把每一分钟当成一个样本，提取三个特征：请求总数、4xx 比例、5xx 比例。
这样每个时间窗口就变成一行数据，异常检测就是在这些行里找离群点。

准备一台能跑 Python 3 的 Linux 机器，安装依赖：

python3 -m venv aiops-venv
source aiops-venv/bin/activate
pip install pandas scikit-learn

读取日志并聚合的脚本 log_features.py 如下，日志格式按 Nginx 默认的 combined 格式解析：

import re
import pandas as pd

pattern = re.compile(
    r'(?P\S+) - - \[(?P[^\]]+)\] "(?P\S+) (?P\S+)[^"]*" '
    r'(?P\d{3})'
)

rows = []
with open('/var/log/nginx/access.log', 'r', errors='ignore') as f:
    for line in f:
        m = pattern.match(line)
        if not m:
            continue
        rows.append({
            'time': pd.to_datetime(m.group('time'), format='%d/%b/%Y:%H:%M:%S %z'),
            'status': int(m.group('status')),
        })

df = pd.DataFrame(rows)
df['minute'] = df['time'].dt.floor('min')
stats = df.groupby('minute').agg(
    total=('status', 'size'),
    err4xx=('status', lambda s: (s.between(400, 499)).sum()),
    err5xx=('status', lambda s: (s.between(500, 599)).sum()),
)
stats['ratio4xx'] = stats['err4xx'] / stats['total']
stats['ratio5xx'] = stats['err5xx'] / stats['total']
stats = stats[['total', 'ratio4xx', 'ratio5xx']].fillna(0)
stats.to_csv('features.csv')
print(stats.tail())

执行 python log_features.py，如果输出最近几行的统计表，说明特征提取成功。

用 Isolation Forest 找出异常分钟

Isolation Forest 适合无标签场景，它通过随机切分把离群点更快隔离出来。
我们不需要提前标注哪些分钟是故障，直接让模型给出异常分数。

import pandas as pd
from sklearn.ensemble import IsolationForest

df = pd.read_csv('features.csv', index_col='minute')
model = IsolationForest(contamination=0.02, random_state=42)
model.fit(df)
df['score'] = model.decision_function(df)
df['anomaly'] = model.predict(df)
print(df[df['anomaly'] == -1])

contamination=0.02 表示假设约 2% 的时间窗口是异常的，
这个值需要根据你实际业务量调整。不要直接把这个脚本当告警系统用，
它只是帮你排序出最可疑的时间段，
最终仍需人工核对日志原文。

验证检测结果是否可信

跑出异常列表后，抽取几个异常时间点，回到原始日志里看对应分钟发生了什么。
比如 5xx 比例突然升高，可能是上游服务超时；
4xx 集中爆发，可能是爬虫或接口参数错误。

一个实用的验证方法是做对比：把异常分钟和正常分钟的日志各抽 20 行人工查看，确认模型标记的异常确实有业务含义。
如果模型把正常的流量高峰误判为异常，说明特征不够，可以增加响应时间、独立 IP 数等维度。

避坑提醒

• 日志格式不匹配：如果你的 Nginx 用了自定义 log_format，正则要同步修改，否则解析结果为空。
• 时间窗口太细：按秒聚合会导致样本稀疏，按小时又会掩盖短时故障，分钟级是多数中小站点的折中起点。
• 不要用未来数据训练：特征提取和异常检测应基于历史窗口，避免把当前时间段的信息泄露进模型。
• 异常分数不是故障等级：模型只告诉你“不像平时”，是否告警需要结合业务阈值，避免频繁误报消耗信任。

这套最小闭环能帮你判断什么

完成以上步骤后，你至少能回答一个问题：过去一段时间里，哪些分钟的行为明显偏离常态。
这是 AI AIOps 学习的第一层能力，后续可以在此基础上接入告警通道、增加日志聚类或引入时序预测。
但前提始终是先把数据管道跑通，并持续验证模型输出是否靠谱。