ES 无效数据日报 2026-09-14
统计范围：2026-09-14 00:00–24:00 CST（UTC 2026-09-13T16:00Z – 2026-09-14T16:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
口径说明（与 08-27 以来各期日报同口径）：youdu_next_log 索引按保留策略仅存当日 CST 08–24 时 16h 观测窗口，全天量按 ×1.5 折算；system-log 跨 .09.13/.09.14 双索引取完整 24h。无效碎片三子句中 match_phrase 打在 text 字段 syslog_message、regexp 打 .keyword，组合口径含 [0] 误匹配失真，趋势比较以 "from /" 真实口径为准。昨日为周一，工作日形态；上一份日报为 20260913（周日），环比以其为基准。
一、总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.09.14 | 10,737,109 | 16h 观测窗口（周一） | ~800 万/天 | 🟡 黄色预警：折算全天 ~1610.6 万 > 1200 万阈值（周末回落后随工作日回升超标，验证前日猜测） |
| system-log-2026.09.13/09.14 | 12,985,726 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，持续高位平台），红色项持续闭环 |
二、环比（vs 20260913 日报）
| 索引 | 本期 | 上期 | 变化 |
|---|
| youdu_next_log | 10,737,109（16h） | 5,227,344（16h，周日） | +105.4%（工作日业务量回升，折算全天 784 万 → 1610.6 万，重回黄色） |
| system-log | 12,985,726（24h） | 12,667,606（24h） | +2.5%（高位平台内小幅波动，无新增刷屏源） |
三、youdu_next_log-2026.09.14（CST 08–24 时窗口，总量 10,737,109）
| 指标 | 数量 | 占比 | 环比 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,565 | 0.11% | 11,533 → +0.3%（固定底噪） |
| parsefail_nsq | 5,760 | 0.07% | 5,760 → 持平 |
| err_unparsed | 4,367 | 0.04% | 3,918 → +11.5%（低位波动） |
| parsefail_grpc（观察项） | 1,927 | 0.02% | 417 → +362%（回升，仍属低位，持续观察） |
| log_type_unmatched | 3 | ~0 | 0 → +3（可忽略） |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
| gin-access 缺 gin_status | 5 | ~0 | 0 → +5（微量，观察即可） |
- 无效/异常 tag 合计 ~23,622 条、占 16h 窗口总量 ~0.22%，以 kitex/nsq 固定底噪为主，无治理回归信号。
四、system-log-2026.09.13/09.14（完整 24h，总量 12,985,726）
| 指标 | 数量 | 占比 | 环比 |
|---|
| clickhouse-server 堆栈 | 0 | 0 | 0 → 持平 ✅（阈值 >;100，自 08-31 起持续零值，无来源机器） |
| 无效碎片（三子句组合口径） | 1,721,750 | 13.3% | 上期三子句口径下 dockerd@45 为 595,261；本期 top1 dockerd@45 = 596,437 → 基本持平 |
| 无效碎片（"from /" 真实口径） | 297,822 | 2.3% | 289,687 → +2.8% |
| _grokparsefailure | 38,203 | 0.29% | 38,012 → +0.5%（低位稳定） |
无效碎片 Top5 来源（全天三子句口径，server × program）：
| # | 机器 | 程序 | 条数 |
|---|
| 1 | LAN_addcn_45 | dockerd | 596,437 |
| 2 | LAN_addcn_82 | haproxy[124397] | 322,832 |
| 3 | LAN_addcn_22 | kubelet[1594525] | 167,474 |
| 4 | LAN_addcn_26 | automount[1146] | 57,558 |
| 5 | LAN_addcn_20 | kubelet[3990000] | 44,311 |
五、告警汇总
🔴 红色告警：无
- hook 刷屏 = 0 ✅；clickhouse-server = 0 ✅，两项治理红线持续闭环。
🟡 黄色预警
- youdu 日总量回升超标（新）：16h 观测 1073.7 万，折算全天 ~1610.6 万 > 1200 万阈值。前日已预判"周一复核"，本期确认工作日重回黄色，且高于此前工作日水平（0910 日报期折算 ~1409 万），需推进增长来源排查（按 tags 分布看仍以 parsed_goapp/caddy/gin 有效日志增长为主，非无效数据刷屏）。
- system-log 日总量 1298.6 万（>1000 万阈值，持续）：环比 +2.5%，高位平台。剩余最大单一可压缩项仍为 dockerd@LAN_addcn_45 debug 日志（~59.6 万条/天），占日总量 4.6%，改 info 级的处置建议不变；其次 haproxy@LAN_addcn_82（~32.3 万条）可评估降噪。
六、小时分布 / 尖峰
- youdu_next_log（CST 08–24）：CST 09:00 出现 1,081,897 的明显尖峰（约为窗口小时均值 67.1 万的 1.6 倍，其余时段 41–87 万）；后半天（CST 19–24 时）回落至 41–50 万。属工作日早高峰业务日志形态，建议结合业务发布/定时任务确认，非解析失败刷屏。
- system-log（CST 00–24）：全天平稳，08–24 窗口 497k–560k，00–08 段均值 ~575k，无尖峰。
七、当日结论
昨日（周一）两索引红色项全部通过：hook 刷屏 0 条、clickhouse-server 0 条，8-20 治理红线持续闭环。youdu 16h 观测 1073.7 万、折算全天 ~1610.6 万，随工作日回升并超过 1200 万阈值重回黄色，且高于上周工作日水平，需按计划推进增长来源排查（无效 tag 合计仅 2.4 万条、占比 0.22%，增长来自有效业务日志而非无效数据）。system-log 完整 24h 1298.6 万，环比 +2.5%，仍处黄色高位平台但曲线平稳无尖峰；真实无效碎片 29.8 万小幅波动，_grokparsefailure 低位稳定，最大可压缩项依旧是 LAN_addcn_45 dockerd debug 日志（~59.6 万条/天）。整体判定：需关注（无需应急）——两条跟踪项：① 排查 youdu 工作日总量增长来源并确认 CST 09:00 尖峰对应的业务动作，② 推动 LAN_addcn_45 dockerd 改 info、评估 LAN_addcn_82 haproxy 日志降噪。