CloudWatch日志异常检测

要解决的具体问题

在 AWS 环境中，CloudWatch 日志会持续积累海量事件，人工逐条排查几乎不现实。当应用出现异常时，最常见的信号是错误率突然飙升或响应延迟明显回退，但这些变化很容易被淹没在正常日志流中。传统的关键词匹配或固定阈值监控，无法识别“突发但不明显”的异常，比如某个接口的错误率在短时间内从0.1%涨到5%，或者某个服务的延迟从100ms升高到500ms，这类问题往往要到用户投诉才会被发现。

核心能力与工作步骤

该技能通过CloudWatch Logs Insights查询和Anomaly Detection API结合的方式，自动检测日志中的异常模式：

1. 异常模式识别：通过Logs Insights的查询语句过滤关键日志（如错误日志、超时日志），并结合Anomaly Detection API的历史基线，判断当前指标是否偏离正常范围；
2. 关键指标展示：直观显示错误率峰值和延迟回归的数值变化，比如某5分钟内错误率从0.5%飙升至8%；
3. 上下文样本输出：同时提供触发异常的日志样本，方便快速定位问题根源（如具体的错误堆栈、请求参数等）。

适用边界与注意点

• 依赖AWS CloudWatch Logs和Anomaly Detection API的权限，需确保执行环境已配置有效的AWS凭证；
• 异常检测的精度依赖足够的历史日志数据，新创建的日志组可能需要先积累一段时间的基线数据；
• 仅针对日志中的可量化异常（如错误率、延迟），无法直接分析业务逻辑错误或未被日志记录的问题；
• 输出的异常结果需要人工进一步验证和排查，不能代替完整的故障诊断流程。