Agent Skills
返回列表
日志分析与线上排障

日志分析与线上排障

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @tencent-adm/log-analysis-troubleshooting-20260630。

技能介绍

线上故障时，日志往往比口供更可靠

用户反馈「15:40 左右不可用」「大量登录失败」时，真正难的不是有没有日志，而是：时间戳格式各异、体量轻易顶满模型上下文、以及没有证据就下结论。本技能把安全技术服务团队沉淀的排障流程，收敛成 Agent 可执行的方法论与工具约定，目标是让每一次判断都能指回具体行号与时间。

技能如何组织排查

核心流程是 六步排查法：概览（文件大小、级别分布、高频错误）→ 时间校验（目标时刻是否在日志覆盖内；截止写入时刻本身可能是进程被杀的线索）→ 范围定位（按实际格式构造正则，避免裸搜 15:40 误匹配）→ 异常聚类 → 事件链重构 → 根因与结构化结论。

配套能力包括：

  • 检索与筛选：按时间段、关键词、操作/设备 ID 过滤；先确认时间戳格式再搜索
  • 识别与分析：区分网络、配置、接口、进程退出等类型；结合上下文还原链路
  • 体量控制：合并、去重、字段精简；大文件场景使用 smart_log.py 的 overview、validate、search --dedupe、errors、chain 等命令
  • 网络断连专项：预设关键词组（如 disconnect）与客户端/服务端时间对齐

结论模板要求写明现象、证据（行号 + 时间戳）与根因；简单问题给可执行修复建议，复杂问题给下一步排查方向。

适用边界与注意点

  • 证据原则最高优先级：无检索结果不得臆造日志内容，禁止「通常情况是…」式推测
  • 同一文件同一命令同一参数 不得重复执行；overview 每文件一次；工具调用有上限，两次无新信息应停搜并基于已有证据输出
  • 混合格式（JSON/文本/glog）需先标准化或按格式选工具；glog 的 INFO 里也可能藏断连信息
  • 用户描述时间不在范围内时，应追问其他日志文件，并检查多文件合并需求

使用场景

  • 用户报某时刻服务不可用，需在应用日志里先校验时间覆盖，再按真实时间戳格式锁定该时段错误与进程退出记录。
  • 同一操作失败在短时间内集中爆发，需按时间段筛日志、做错误聚类，并结合操作或请求 ID 还原单条链路。
  • 版本修复上线后，需对比修复前后日志检索结果，确认对应异常是否消失、关键流程是否恢复正常。
  • 单份日志过大无法直接交给模型分析，需先去重合并并保留行号与时间戳，再基于检索结果输出带证据的结论。

适合人员

  • 值班运维工程师：告警或用户报障后拿到应用日志包，需在用户描述的时间点附近给出带行号与时间戳的根因说明。
  • 一线技术支持或后端研发：面对「登录失败」「突然断连」等模糊现象，需推导检索词并在多份日志间交叉验证。
  • 负责性能或稳定性的服务 Owner：系统变慢时从日志中抓取超时、堆积、内存相关记录，定位瓶颈时段与异常类型。
  • 安全或质量复盘同学：批量异常需按标准六步整理排查过程，输出结构化案例且禁止无日志依据的推测性结论。