ES 无效数据日报 — 2026-09-10（CST）
统计范围：2026-09-10 00:00 ~ 24:00 CST（UTC 2026-09-09T16:00:00Z ~ 2026-09-10T16:00:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
数据来源：ES 只读查询，total 均启用 track_total_hits
口径说明（与 08-27 以来各期日报同口径）：youdu_next_log 索引按保留策略仅存当日 CST 08–24 时 16h 观测窗口，全天量按 ×1.5 折算；system-log 跨 .09.09/.09.10 双索引取完整 24h。无效碎片 match_phrase 子句打在 text 字段 syslog_message 上、regexp 打 .keyword，三子句组合口径含 [0] 误匹配失真，趋势比较以 "from /" 真实口径为准。昨日为周四，工作日正常形态。
1. 总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.09.10 | 9,394,045 | 16h 观测窗口（周四） | ~800 万/天 | 🟡 黄色预警：折算全天 ~1,409.1 万，超 1200 万阈值 17.4%，连续第 4 日折算超标（升级排查项第 3 天） |
| system-log-2026.09.09/09.10 | 13,025,935 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，连续第 18 天；clickhouse-server 连续 15 天零值，红色项保持闭环） |
环比（vs 20260909 日报）：
| 索引 | 09-09（周三） | 09-10（周四） | 变化 |
|---|
| youdu_next_log | 9,060,322（16h） | 9,394,045（16h） | +3.7%（连续第 4 日上行，增速较前两日 0.9% 有所回升） |
| system-log | 12,998,718（24h） | 13,025,935（24h） | +0.2%（高位平台内小幅波动，无新增刷屏源） |
2. 告警项
✅ 红色告警（保持闭环）：clickhouse-server 堆栈刷屏 — 0 条（阈值 >;100）
syslog_program.keyword = clickhouse-server 精确匹配全天为 0，无任何来源机器。- 自 08-31 10:55 两台来源机（LAN_addcn_44 / LAN_addcn_46）停止刷屏后，已连续 15 个自然日零值，红色回归持续闭环，无需处置。
✅ youdu hook 刷屏红线通过
match_phrase "can't rename log file" = 0（阈值 >0 即红），治理后连续 22 天零回归。
🟡 黄色预警：youdu 折算日总量 ~1,409.1 万（超 1200 万阈值 17.4%，连续第 4 日）
- 16h 观测 939.4 万，环比 +3.7%，增速较周三的 +0.9% 有所回升，但小时曲线仍为正常工作日形态（峰值 CST 11:00 = 781,787，最低 CST 23:00 = 346,397），无尖峰；无效 tag 合计 ~2.3 万条、占比 ~0.24%，增量仍来自有效业务日志（parsed_caddy / parsed_gin / parsed_goapp 三分天下）而非刷屏/解析故障回归。排查项维持：重点核对 09-03 以来 parsed_goapp / parsed_caddy / parsed_gin 的增长来源（新服务上线、流量增长或日志级别调整），必要时收紧对应 logger 级别。
🟡 黄色预警：system-log 日总量 1,302.6 万（>1000 万阈值，连续第 18 天）
- 环比 +0.2%，高位平台内波动；全天小时量 500k–608k（峰值 CST 01:00 = 608,248，最低 CST 21:00 = 499,826），昼夜波幅 ±10%，无异常尖峰。
- 剩余最大单一可压缩项仍为 dockerd@LAN_addcn_45 debug 日志：596,002 条（三子句口径），占日总量 4.6%，改 info 级的处置建议不变（预计日减 ~60 万条）。
3. 无效数据分类计数
youdu_next_log-2026.09.10（CST 08–24 时窗口，总量 9,394,045）
| 类别 | 数量 | 占比 | 环比 09-09 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,560 | 0.12% | 11,624 → -0.6% |
| parsefail_nsq | 5,760 | 0.08% | 5,760 → 持平 |
| err_unparsed | 4,283 | 0.05% | 4,456 → -3.9%（低位回落） |
| parsefail_grpc（观察项） | 1,277 | 0.01% | 1,386 → -7.9%（连续回落，趋势向好） |
| ng3rd_unparsed（观察项） | 12 | ~0 | 噪音级 |
| log_type_unmatched | 2 | ~0 | 8 → 噪音级 |
| gin-access 缺 gin_status | 2 | ~0 | 6 → 噪音级（可忽略） |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
system-log-2026.09.09/09.10（完整 24h，总量 13,025,935）
| 类别 | 数量 | 占比 | 环比 09-09 |
|---|
| clickhouse-server 堆栈 | 0 | 0 | 0 → 持平 ✅ |
| 无效碎片总量（"from /" 真实口径） | 295,295 | 2.3% | 295,278 → 持平（+0.0%） |
三子句组合口径（参考，含 [0] 误匹配失真） | 1,702,792 | 13.1% | 1,720,563 → -1.0%，不作趋势比较 |
| _grokparsefailure | 37,379 | 0.29% | 38,107 → -1.9%（低位稳定） |
碎片来源 Top5（三子句口径机器分布，与真实口径来源一致）：
| # | 机器 | 程序（Top） | 数量（三子句口径） | 环比 09-09 |
|---|
| 1 | LAN_addcn_45 | dockerd（596,002）/ kubelet（5,498） | 601,869 | 606,778 → -0.8% |
| 2 | LAN_addcn_82 | haproxy[124397]（298,826）/ rpc.mountd[96046]（34,452） | 365,067 | 364,559 → +0.1% |
| 3 | LAN_addcn_22 | kubelet[1594525]（191,748）/ gitlab-runner[2958278]（3,078） | 201,893 | 212,238 → -4.9% |
| 4 | LAN_addcn_26 | automount[1146]（57,553）/ filebeat（2,212） | 61,932 | 61,916 → 持平 |
| 5 | LAN_addcn_46 | kibana[132647]（28,751）/ systemd[1]（22,465） | 54,107 | 54,098 → 持平 |
4. 小时分布与尖峰
- youdu（CST 08–24 观测）：346k–782k 区间，工作日形态正常（峰值 CST 11:00 = 781,787，夜间回落至最低 CST 23:00 = 346,397），无异常尖峰；hook 全天为 0。
- system-log（完整 24h）：500k–608k 高位平台（峰值 CST 01:00 = 608,248，最低 CST 21:00 = 499,826），无尖峰；曲线平稳。
5. 当日结论
两索引红色项全部通过：hook 刷屏 0 条（连续 22 天零回归）、clickhouse-server 0 条（连续 15 天零值，闭环稳固）。youdu 周四 16h 观测 939.4 万、折算全天约 1,409.1 万，连续第 4 日超 1200 万阈值，环比 +3.7%、增速小幅回升，但无效 tag 占比仅 ~0.24%、小时曲线无尖峰，仍确认为有效业务日志（caddy/gin/goapp 三类）持续增长，非治理回归。system-log 完整 24h 1,302.6 万，仍处黄色高位平台（连续第 18 天），环比 +0.2%、无尖峰，真实无效碎片 29.5 万与昨日持平，_grokparsefailure 与无效 tag 各分类全部持平或回落，形态稳定。整体判定：需关注——无需应急处置；两条落地项不变：① 排查 youdu 有效日志 09-03 以来的增长来源并评估是否收紧日志级别（连续第 4 日超标，建议本周内给出结论），② 继续推动 LAN_addcn_45 dockerd 由 debug 改 info（预计日减 ~60 万条）。