ES 无效数据日报 — 2026-09-09（CST）
统计范围：2026-09-09 00:00 ~ 24:00 CST（UTC 2026-09-08T16:00:00Z ~ 2026-09-09T16:00:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
数据来源：ES 只读查询，total 均启用 track_total_hits
口径说明（与 08-27 以来各期日报同口径）：youdu_next_log 索引按保留策略仅存当日 CST 08–24 时 16h 观测窗口（前一日索引已删除，无法补 00–08 时），全天量按 ×1.5 折算；system-log 跨 .09.08/.09.09 双索引取完整 24h。无效碎片 match_phrase 子句打在 text 字段 syslog_message 上、regexp 打 .keyword，三子句组合口径含 [0] 误匹配失真，趋势比较以 "from /" 真实口径为准。昨日为周三，工作日正常形态。
1. 总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.09.09 | 9,060,322 | 16h 观测窗口（周三） | ~800 万/天 | 🟡 黄色预警：折算全天 ~1,359.0 万，超 1200 万阈值 13.3%，连续第 3 日折算超标（升级排查项第 2 天） |
| system-log-2026.09.08/09.09 | 12,998,718 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，连续第 17 天；clickhouse-server 连续 14 天零值，红色项保持闭环） |
环比（vs 20260908 日报）：
| 索引 | 09-08（周二） | 09-09（周三） | 变化 |
|---|
| youdu_next_log | 8,980,182（16h） | 9,060,322（16h） | +0.9%（连续上行后增速显著放缓，前一日为 +11.3%） |
| system-log | 12,892,616（24h） | 12,998,718（24h） | +0.8%（高位平台内小幅波动，无新增刷屏源） |
2. 告警项
✅ 红色告警（保持闭环）：clickhouse-server 堆栈刷屏 — 0 条（阈值 >;100）
syslog_program.keyword = clickhouse-server 精确匹配全天为 0，无任何来源机器。- 自 08-31 10:55 两台来源机（LAN_addcn_44 / LAN_addcn_46）停止刷屏后，已连续 14 个自然日零值，红色回归持续闭环，无需处置。
✅ youdu hook 刷屏红线通过
match_phrase "can't rename log file" = 0（阈值 >0 即红），治理后连续 21 天零回归。
🟡 黄色预警：youdu 折算日总量 ~1,359.0 万（超 1200 万阈值 13.3%，连续第 3 日）
- 16h 观测 906.0 万，环比仅 +0.9%，前两日的快速上行（+11.3%/日）已明显放缓，趋于新平台。
- 小时曲线为正常工作日形态（峰值 CST 09:00 = 765,173，最低 CST 23:00 = 324,363），无尖峰；无效 tag 合计 ~2.2 万条、占比 ~0.24%，增量仍来自有效业务日志而非刷屏/解析故障回归。排查项维持：重点核对 09-03 以来 parsed_goapp / parsed_caddy / parsed_gin 的增长来源（新服务上线、流量增长或日志级别调整），必要时收紧对应 logger 级别。
🟡 黄色预警：system-log 日总量 1300.0 万（>1000 万阈值，连续第 17 天）
- 环比 +0.8%，高位平台内波动；全天小时量 505k–615k（峰值 CST 03:00 = 614,736，最低 CST 23:00 = 505,460），昼夜波幅 ±10%，无异常尖峰。
- 剩余最大单一可压缩项仍为 dockerd@LAN_addcn_45 debug 日志：600,806 条（三子句口径），占日总量 4.6%，改 info 级的处置建议不变（预计日减 ~60 万条）。
3. 无效数据分类计数
youdu_next_log-2026.09.09（CST 08–24 时窗口，总量 9,060,322）
| 类别 | 数量 | 占比 | 环比 09-08 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,624 | 0.13% | 11,563 → +0.5% |
| parsefail_nsq | 5,760 | 0.08% | 5,760 → 持平 |
| err_unparsed | 4,456 | 0.05% | 4,088 → +9.0%（低位波动） |
| parsefail_grpc（观察项） | 1,386 | 0.02% | 1,124 → +23.3%（量级小，继续观察） |
| log_type_unmatched | 8 | ~0 | 5 → 噪音级 |
| gin-access 缺 gin_status | 6 | ~0 | 12 → 噪音级（可忽略） |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
system-log-2026.09.08/09.09（完整 24h，总量 12,998,718）
| 类别 | 数量 | 占比 | 环比 09-08 |
|---|
| clickhouse-server 堆栈 | 0 | 0 | 0 → 持平 ✅ |
| 无效碎片总量（"from /" 真实口径） | 295,278 | 2.3% | 284,833 → +3.7% |
三子句组合口径（参考，含 [0] 误匹配失真） | 1,720,563 | 13.2% | 1,691,369 → +1.7%，不作趋势比较 |
| _grokparsefailure | 38,107 | 0.29% | 37,716 → +1.0%（低位稳定） |
碎片来源 Top5（三子句口径机器分布，与真实口径来源一致）：
| # | 机器 | 程序（Top） | 数量（三子句口径） | 环比 09-08 |
|---|
| 1 | LAN_addcn_45 | dockerd（600,806）/ kubelet（5,538） | 606,778 | 600,822 → +1.0% |
| 2 | LAN_addcn_82 | haproxy[124397]（306,257）/ rpc.mountd[96046]（26,224） | 364,559 | 355,380 → +2.6% |
| 3 | LAN_addcn_22 | kubelet[1594525]（202,444）/ filebeat[2180]（2,868） | 212,238 | 220,454 → -3.7% |
| 4 | LAN_addcn_26 | automount[1146]（57,546）/ filebeat（2,136） | 61,916 | 61,979 → 持平 |
| 5 | LAN_addcn_46 | kibana[132647]（28,750）/ systemd[1]（22,452） | 54,098 | 54,113 → 持平 |
4. 小时分布与尖峰
- youdu（CST 08–24 观测）：324k–765k 区间，工作日形态正常（峰值 CST 09:00 = 765,173，夜间回落至最低 CST 23:00 = 324,363），无异常尖峰；hook 全天为 0。
- system-log（完整 24h）：505k–615k 高位平台（峰值 CST 03:00 = 614,736），无尖峰；曲线平稳。
5. 当日结论
两索引红色项全部通过：hook 刷屏 0 条（连续 21 天零回归）、clickhouse-server 0 条（连续 14 天零值，闭环稳固）。youdu 周三 16h 观测 906.0 万、折算全天约 1,359.0 万，连续第 3 日超 1200 万阈值，但环比增速已从 +11.3% 骤降至 +0.9%，上行趋稳，且无效 tag 占比仅 ~0.24%、小时曲线无尖峰，确认为有效业务日志增长至新平台，非治理回归。system-log 完整 24h 1,300.0 万，仍处黄色高位平台（连续第 17 天），环比 +0.8%、无尖峰，真实无效碎片 +3.7%，形态稳定。整体判定：需关注——无需应急处置；两条落地项不变：① 排查 youdu 有效日志 09-03 以来的增长来源并评估是否收紧日志级别，② 继续推动 LAN_addcn_45 dockerd 由 debug 改 info（预计日减 ~60 万条）。