ES 无效数据日报 — 2026-09-01（CST）
统计范围：2026-09-01 00:00 ~ 24:00 CST（UTC 2026-08-31T16:00:00Z ~ 2026-09-01T16:00:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
数据来源：ES 只读查询，total 均启用 track_total_hits
口径说明：youdu_next_log-2026.08.31 索引已按保留策略清理，youdu 侧仅剩当日索引 CST 08–24 时 16h 观测窗口（与 08-27/08-30/08-31 日报同口径）；system-log 跨 .31/.01 双索引取完整 24h。clickhouse-server 计数用 syslog_program.keyword 通配口径（program 字段含 PID，纯 term 会漏计）。
1. 总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.09.01 | 7,870,913 | 16h 观测窗口（周二） | ~800 万/天 | ✅ 正常（折算全天 ~1181 万，< 1200 万阈值但已逼近，需持续观察） |
| system-log-2026.08.31/09.01 | 13,025,610 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，连续第 9 天；但 clickhouse-server 已全天零值 → 🔴 红色项正式闭环） |
环比（vs 20260831 日报）：
| 索引 | 08-31 | 09-01 | 变化 |
|---|
| youdu_next_log | 7,547,132（16h，周一） | 7,870,913（16h，周二） | +4.3%（工作日正常波动） |
| system-log | 13,571,873（24h） | 13,025,610（24h） | -4.0%（clickhouse 刷屏全天归零后的自然回落，符合前日报预测的 ~1270 万量级） |
2. 告警项
✅ 红色告警闭环：clickhouse-server 堆栈刷屏 — 0 条（阈值 >100）
- 通配口径
syslog_program.keyword: clickhouse-server* 全天 = 0，无任何来源机器。
- 08-31 日报中两台来源机（LAN_addcn_44 / LAN_addcn_46）于 CST 08-31 10:55 同时停止刷屏，本日为停止后第一个完整自然日，全天零值，持续 6 天的红色回归正式确认闭环。drop 规则/重启修复有效，无需进一步处置。
✅ youdu hook 刷屏红线通过
match_phrase "can't rename log file" = 0（阈值 >0 即红），治理后 13 天保持零回归。
🟡 黄色预警：system-log 日总量 1302.6 万（>1000 万阈值，连续第 9 天）
- 环比 -4.0%，回落主因是 clickhouse 刷屏归零（前日贡献 40.8 万）；全天小时量 513k–597k 高位平台（峰值 CST 00:00 = 597,462，最低 CST 22:00 = 514,253），昼夜波幅 ±8%，无异常尖峰。
- 剩余最大单一可压缩项仍为 dockerd@LAN_addcn_45 debug 日志：三子句口径 594,941 条，占日总量 4.6%，改 info 级的处置建议不变。
3. 无效数据分类计数
youdu_next_log-2026.09.01（CST 08–24 时窗口，总量 7,870,913）
| 类别 | 数量 | 占比 | 环比 08-31 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,560 | 0.15% | 11,550 → 持平 |
| parsefail_nsq | 5,760 | 0.09% | 5,760 → 持平 |
| err_unparsed | 4,102 | 0.05% | 4,097 → 持平 |
| parsefail_grpc（附加） | 1,535 | 0.02% | 1,297 → +18.4%（绝对量小） |
| log_type_unmatched | 3 | ~0 | 4 → 持平 |
| gin-access 缺 gin_status | 7 | ~0 | 2 → 个位数噪音 |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
system-log-2026.08.31/09.01（完整 24h，总量 13,025,610）
| 类别 | 数量 | 占比 | 环比 08-31 |
|---|
| clickhouse-server 堆栈（通配口径） | 0 | 0 | 408,396 → -100%，🔴 红色项闭环 ✅ |
| 无效碎片总量（"from /" 真实口径） | 326,175 | 2.5% | 408,915 → -20.2% |
三子句组合口径（参考，含 [0] 误匹配失真） | 1,766,020 | 13.6% | 1,909,738 → -7.5%，不作趋势比较 |
| _grokparsefailure | 44,011 | 0.34% | 38,594 → +14.0%（低位波动） |
真实碎片 Top5 来源（"from /" 口径，fields.server_name + syslog_program）：
| # | 机器 | 程序（Top） | 数量 | 环比 08-31 |
|---|
| 1 | LAN_addcn_45 | dockerd（73,622）/ kubelet（4,252） | 78,182 | 78,543 → 持平 |
| 2 | LAN_addcn_137 | kubelet（39,543）/ kernel（5,678） | 49,487 | 43,131 → +14.7% |
| 3 | LAN_addcn_82 | rpc.mountd[96046]（23,196）/ filebeat（8,637+8,637） | 40,470 | 40,281 → 持平 |
| 4 | LAN_addcn_22 | kubelet[1594525]（30,006）/ kernel（731） | 34,996 | 104,968 → -66.7%（前日首位刷入已明显回落） |
| 5 | LAN_addcn_85 | radiusd（32,914） | 32,914 | 32,914 → 持平 |
三子句组合口径 Top5（参考）：LAN_addcn_45 600,872（dockerd 594,941）、LAN_addcn_82 323,477（haproxy[124397] 161,750 / haproxy[144639] 116,051）、LAN_addcn_22 215,081（kubelet[1594525] 204,529）、LAN_addcn_185 102,240（etcd 51,957 / kubelet 43,491）、LAN_addcn_137 73,432（kubelet 62,477）。
4. 小时分布与尖峰
- youdu（CST 08–24 观测）：243k–781k 区间，典型工作日昼高夜低形态（峰值 CST 09:00 = 780,874，最低 CST 21:00 = 243,353），无异常尖峰；hook 全天为 0。
- system-log（完整 24h）：513k–597k 高位平台（峰值 CST 00:00 = 597,462），无尖峰；clickhouse 停止后已无固定叠加量，全天平稳。
5. 当日结论
整体明显好转：无红色告警（两项红线全部通过），1 项黄色预警。 ✅ clickhouse-server 堆栈刷屏全天零值，停止后首个完整自然日确认闭环，6 天红色回归正式解除，无需处置。🟡 system-log 日总量 1302.6 万连续第 9 天超阈值（环比 -4.0%，符合前日预测），扣除 clickhouse 后存量高位主要是平台级常态日志，最大可压缩项仍是 dockerd@LAN_addcn_45 debug 日志（59.5 万条/天，占 4.6%），建议推进改 info 级；另有 kubelet[1594525]@LAN_addcn_22 碎片从前日 10.5 万回落至 3.5 万，趋势向好。youdu 侧整体健康：16h 窗口 787.1 万（折算 ~1181 万/天，逼近 1200 万阈值，需持续观察），hook 刷屏连续 13 天零回归，各类 parsefail 低位平稳，无异常尖峰。