ES 无效数据日报 — 2026-08-26（CST）
统计范围：2026-08-26 00:00 ~ 24:00 CST（UTC 2026-08-25T16:00:00Z ~ 2026-08-26T16:00:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
数据来源：ES 只读查询，total 均启用 track_total_hits
⚠️ 统计口径说明（与上期相同）
- youdu_next_log 索引按 UTC 滚动且仅保留 ~2 天，-2026.08.25 已被清理，CST 08-26 00:00–08:00 数据不可查。本文 youdu 指标为 CST 08:00–24:00 可观测窗口（16h）口径；system-log 为完整 24h 口径。
- 无效碎片沿用既定真实口径（text 字段
match_phrase "from /"）；三子句组合口径因 match_phrase "[0]" 分词失真、仅作参考。
1. 总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.08.26 | 6,073,807 | 16h 观测窗口 | ~800 万/天 | ✅ 正常（折算全天 ~911 万，< 1200 万阈值） |
| system-log-2026.08.25/26 | 13,698,310 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，连续第 5 天，且环比 +5.8% 抬升） |
环比（vs 20260825 日报）：
| 索引 | 08-25 | 08-26 | 变化 |
|---|
| youdu_next_log | 6,121,487（16h，周三） | 6,073,807（16h，周四） | -0.8%（工作日正常波动） |
| system-log | 12,947,364（24h） | 13,698,310（24h） | +5.8%（高位继续抬升） |
2. 告警项
✅ youdu hook 刷屏红线通过
match_phrase "can't rename log file" = 0（阈值 >0 即红）。治理后 7 天保持零回归（仅 08-24 出现过 1 条截断变体）。
✅ clickhouse-server 堆栈红线通过
syslog_program=clickhouse-server = 0（阈值 >100 即红），治理后连续 7 天零回归。
🟡 黄色预警：system-log 日总量 1369.8 万（>1000 万阈值，连续第 5 天，环比 +5.8%）
- 全天小时量 489k–628k 高位平台，峰值 CST 10:00 = 627,717，最低 CST 13:00 = 489,692，昼夜波幅 ±12%，无尖峰 —— 水位抬升形态延续且总量仍在爬升（1290 万 → 1295 万 → 1370 万）。
- 最大单一来源仍为 dockerd@LAN_addcn_45 debug 日志：
level=debug 2,642,029 条（较 08-25 的 2,725,571 下降 3.1%），占索引日总量 19%。
- 处置建议（沿用，优先级提升）：LAN_addcn_45
/etc/docker/daemon.json 设 "log-level": "info" 后重启 dockerd，预计日总量降至 ~1100 万；但总量仍在涨，建议同时排查其余 ~45 万/日的增量来源（本期真实碎片 +3.8 万为其中之一）。
3. 无效数据分类计数
youdu_next_log-2026.08.26（CST 08–24 时窗口，总量 6,073,807）
| 类别 | 数量 | 占比 | 环比 08-25 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,636 | 0.19% | 11,564 → 持平 |
| parsefail_nsq | 5,760 | 0.09% | 5,760 → 持平 |
| err_unparsed | 4,284 | 0.07% | 4,147 → +3%（低位波动） |
| parsefail_grpc（附加） | 959 | 0.02% | 1,308 → -27% |
| log_type_unmatched | 4 | ~0 | 2 → 持平 |
| gin-access 缺 gin_status（窗口内） | 0 | 0 | 9 → 归零 ✅ |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
system-log-2026.08.25/26（完整 24h，总量 13,698,310）
| 类别 | 数量 | 占比 | 环比 08-25 |
|---|
| clickhouse-server 堆栈 | 0 | 0 | 0 → 持平 ✅ |
| 无效碎片总量（"from /" 真实口径） | 350,324 | 2.6% | 311,875 → +12.3% ⚠️ |
三子句组合口径（参考，含 [0] 误匹配失真） | 1,727,446 | 12.6% | 1,598,137 → +8.1%，不作趋势比较 |
| _grokparsefailure | 38,152 | 0.28% | 38,204 → -0.1%，持平 |
真实碎片 Top5 来源（"from /" 口径，按 fields.server_name + syslog_program）：
| # | 机器 | 程序（Top） | 数量 | 环比 08-25 |
|---|
| 1 | LAN_addcn_45 | dockerd（73,482）/ kubelet（4,218） | 78,340 | 77,468 → +1.1%，持平 |
| 2 | LAN_addcn_137 | kubelet（33,214）/ kernel（5,676） | 43,141 | 43,028 → 持平 |
| 3 | LAN_addcn_82 | rpc.mountd（23,084）/ filebeat（8,637+8,636） | 40,393 | 40,405 → 持平 |
| 4 | LAN_addcn_22 | kubelet（33,449） | 38,108 | 41,780 → -8.8% |
| 5 | LAN_addcn_85 | radiusd（32,913） | 32,913 | 32,914 → 持平 |
结构说明：Top5 名次与上期基本一致（22/82 互换）。紧随其后的第 6 位为 LAN_addcn_26 automount（28,780 条/天），与 Top5 量级相当，属长尾固定碎片源；本期碎片总量 +12.3% 主要来自 Top5 之外的长尾共同增长（sum_other 增多），无单一爆发性新源。
4. 小时分布与尖峰
- youdu（CST 08–24 观测）：08 时 227k 爬坡 → 09 时 556k 早高峰 → 白天 338k–610k 波动（14 时 610,066 为全日峰值，次峰 16 时 543k）→ 夜间 168k–233k 回落。形态与前两日一致（09 时早高峰连续三天出现），14 时午后峰与 08-25（615k）同量级，均为业务性波动，无异常尖峰。
- system-log（完整 24h）：全天 490k–628k 高位平台，上午略高、午后略低，无尖峰，水位抬升形态延续。
5. 当日结论
需关注（1 项黄色；两项红色告警线全部通过）。 youdu 整体健康：16h 窗口总量 607 万（折算全天 ~911 万 < 1200 万阈值），hook 刷屏连续 7 天零回归，gin-access 缺 status 本期归零，各类 parsefail 低位持平，无异常尖峰。system-log 日总量 1369.8 万连续第 5 天超 1000 万黄色阈值且环比再涨 5.8%，小时曲线无尖峰，属持续性水位抬升而非突发异常；最大来源仍是 dockerd@LAN_addcn_45 的 debug 日志（264 万条/天），改 info 级可立降 ~260 万/天，建议尽快安排执行并顺带排查其余增量。无效碎片真实口径 35.0 万条（+12.3%）需留意但无单一爆发新源，_grokparsefailure 38,152 持平；LAN_addcn_26 automout（2.9 万/天）列观察项。youdu CST 00–08 时数据随索引清理不可查的口径限制仍存在，如需复盘凌晨时段需在保留期内提前拉取。