从日志里找原因
没有仪表盘时，日志是唯一的眼睛。
중급 · 课时 30 · 实验 10
课程大纲
日志怎么读
- 不知道平常值，就看不出激增 reading
- 从访问日志里找出事故时刻 lab
- 测验：日志怎么读 quiz
聚合与关联
- 警告比错误先到 reading
- 把散开的日志捆成因果 lab
- 测验：聚合与关联 quiz
重建时间线
- 时间线就是报告的一半 reading
- 用五个事件立起时间线 lab
- 测验：重建时间线 quiz
日志不在的时候
- 没有日志，本身也是情报 reading
- 调查日志已经消失的那段时间 lab
- 测验：日志不在的时候 quiz
把混杂格式归为一条记录
- 一行未必是一件事 reading
- 收到的日志里混着三种格式 lab
- 测验：把混杂格式归并为一条记录 quiz
校正互相不一致的时钟
- 没有偏移量的时间不算时间 reading
- 三台主机各按各的时钟在记日志 lab
- 测验：校正互相不一致的时钟 quiz
用关联 id 串起一次请求
- 用一个 id 串起五个服务 reading
- 一笔订单不见了，而服务有五个 lab
- 测验：用关联 id 串起一次请求 quiz
缺失的行与重复的行
- 没送到和没发生，不是一回事 reading
- 收集端收到的行比发出的少 lab
- 测验：丢失、重复与迟到 quiz
只取大文件中需要的那段
- 为看三分钟不必读完一整天 reading
- 为看事故的三分钟，把一整天的日志读了个遍 lab
- 测验：从大日志中只取出一个时间段 quiz
用数字决定保留策略
- 那天的日志早已被删掉了 reading
- 事故当天的日志已经被清掉了 lab
- 测验：保留与轮转 quiz