日志分析器

问题场景

线上排障时，你往往要在几 MB 到几 GB 的日志里找错误峰值、对齐事故时间窗，还要判断某条报错是老问题还是新回归。纯 grep 和肉眼翻页很难快速得到「错误总量、高频消息、时间分布」这类结构化结论。

技能如何工作

本技能指导助手按固定流程处理日志分析请求：先确认或搜索日志路径（如 /var/log/、./logs/、*.log），默认使用 --format auto 让引擎识别格式，再先宽后窄地跑分析。

内置分析器支持的主要能力包括：

• 格式识别：JSON 行、Syslog、Apache/Nginx combined、Python Traceback 块、以及带时间戳与级别的纯文本
• 筛选维度：--level（DEBUG 至 FATAL）、--from / --to 时间范围、--search 字符串或正则
• 报告形态：--report 可选 summary / detailed / errors-only；--top 限制展示条数；--output 可导出 JSON 供二次处理

摘要报告通常包含：总行数、错误与警告计数、Top N 高频错误、错误随时间分布、首末出现时间。引擎还会标出若干异常信号：例如某时间窗错误率超过均值 3 倍以上、首次出现的新错误类型、1 秒内多种无关错误并发（可能指向上游级联故障）。根据结果可缩小时间窗、关联关键词，或结合常见模式给出下一步排查方向（超时、数据库连接、OOM、认证失败激增等）。

适用边界

自动格式检测失败时才需要手动指定 --format。分析结论依赖日志字段是否规范；非标准自定义格式可能只能按 plain 近似解析。更完整的格式说明与示例见技能附带的 reference.md、examples.md，本技能侧重交互式排障流程，而非替代专用 APM 或集中式日志平台的全量检索。