Elastic APM 事务异常探测器

解决什么问题

在微服务或分层架构里，一次用户请求通常对应一个 APM 事务（Transaction），耗时落在某个分布上。真正棘手的不是平均值，而是下面几类信号：

• 长尾：P95/P99 明显抬升，平均值看起来却还行。
• 断崖：吞吐量在某个时间点后骤降，可能来自依赖故障、发布回滚或资源争抢。
• 定位慢：先看大盘、再看服务、最后才翻事务数据，查询与聚合全靠手工拼。

这个技能要做的是把这些信号从 Elastic APM 的事务数据里直接捞出来，减少先猜再查的排查路径。

技能如何工作

它通过 Elasticsearch REST API 查询 Elastic APM 的事务索引，核心依赖两类聚合：

• 百分位数聚合：用 percentile 观察延迟分布的尾部，而不是只看均值。
• 移动平均管道：用 moving_avg 对吞吐或耗时做趋势化观察，便于发现拐点与回落。

典型流程可以概括为：

• 构造面向事务数据的 _search 请求；
• 对延迟字段做百分位聚合；
• 对吞吐相关指标做移动平均；
• 把结果交给告警、注释或人工排查继续处理。

需要注意，它查询的是 APM 事务数据，不是 APM Server 自身的运行状态；它适合做事务级异常复盘，而不是安装、构建或配置 APM Server。

适用边界与注意点

• 只做查询与聚合：不会修复服务，也不会自动改配置。
• 效果依赖采样与字段映射：事务没有正确上报或关键字段缺失时，聚合结果可能不完整。
• 需要可访问的查询端点：运行环境必须能连上对应的 Elasticsearch / APM 数据入口。
• 基线需要上下文：百分位和移动平均都要结合业务周期看；上线前应确认阈值、窗口与业务节奏是否匹配。