ES 无效数据日报 2026-09-15
统计范围：2026-09-15 00:00–24:00 CST（UTC 2026-09-14T16:00Z – 2026-09-15T16:00Z）
治理基线：2026-08-20（youdu hook 刷屏已 drop；clickhouse-server 堆栈已重启修复）
口径说明（与 08-27 以来各期日报同口径）：youdu_next_log 索引按保留策略仅存当日 CST 08–24 时 16h 观测窗口，全天量按 ×1.5 折算；system-log 跨 .09.14/.09.15 双索引取完整 24h。无效碎片三子句中 match_phrase 打在 text 字段 syslog_message、regexp 打 .keyword，组合口径含 [0] 误匹配失真，趋势比较以 "from /" 真实口径为准。昨日为周二，工作日形态；上一份日报为 20260914（周一），环比以其为基准。
一、总览
| 索引 | 昨日总量 | 口径 | 治理后正常基线 | 判定 |
|---|
| youdu_next_log-2026.09.15 | 10,681,581 | 16h 观测窗口（周二） | ~800 万/天 | 🟡 黄色预警：折算全天 ~1602.2 万 > 1200 万阈值（工作日持续高位，与昨日折算 1610.6 万基本持平） |
| system-log-2026.09.14/09.15 | 13,877,751 | 完整 24h | ~700 万/天 | 🟡 黄色预警（>1000 万，高位平台继续抬升 +6.9%），红色项持续闭环 |
二、环比（vs 20260914 日报）
| 索引 | 本期 | 上期 | 变化 |
|---|
| youdu_next_log | 10,681,581（16h） | 10,737,109（16h） | -0.5%（工作日平台稳定，折算全天 1602.2 万 vs 1610.6 万） |
| system-log | 13,877,751（24h） | 12,985,726（24h） | +6.9%（高位平台继续抬升，创近期新高，需关注增长来源） |
三、youdu_next_log-2026.09.15（CST 08–24 时窗口，总量 10,681,581）
| 指标 | 数量 | 占比 | 环比 |
|---|
| hook 刷屏（can't rename log file） | 0 | 0 | 0 → 持平 ✅ |
| parsefail_kitex | 11,576 | 0.11% | 11,565 → +0.1%（固定底噪） |
| parsefail_nsq | 5,760 | 0.07% | 5,760 → 持平 |
| err_unparsed | 4,364 | 0.04% | 4,367 → 持平（低位稳定） |
| parsefail_grpc（观察项） | 2,430 | 0.02% | 1,927 → +26%（连续第二日回升，仍属低位，持续观察） |
| log_type_unmatched | 4 | ~0 | 3 → +1（可忽略） |
| goapp_dissectfail / caddy_parsefail / ylog_parsefail / _grokparsefailure | 0 | 0 | 持平 ✅ |
| gin-access 缺 gin_status | 1 | ~0 | 5 → -4（微量） |
- 无效/异常 tag 合计 ~24,134 条、占 16h 窗口总量 ~0.23%，以 kitex/nsq 固定底噪为主，无治理回归信号。
四、system-log-2026.09.14/09.15（完整 24h，总量 13,877,751）
| 指标 | 数量 | 占比 | 环比 |
|---|
| clickhouse-server 堆栈 | 0 | 0 | 0 → 持平 ✅（阈值 >;100，持续零值，无来源机器） |
| 无效碎片（三子句组合口径） | 1,762,695 | 12.7% | 1,721,750 → +2.4% |
| 无效碎片（"from /" 真实口径） | 316,698 | 2.3% | 297,822 → +6.3% |
| _grokparsefailure | 37,706 | 0.27% | 38,203 → -1.3%（低位稳定） |
无效碎片 Top5 来源（全天三子句口径，server × program）：
| # | 机器 | 程序 | 条数 |
|---|
| 1 | LAN_addcn_45 | dockerd | 599,869 |
| 2 | LAN_addcn_82 | haproxy[124397] | 344,279 |
| 3 | LAN_addcn_22 | kubelet[1594525] | 170,622 |
| 4 | LAN_addcn_26 | automount[1146] | 57,562 |
| 5 | LAN_addcn_20 | kubelet[3990000] | 39,296 |
五、告警汇总
🔴 红色告警：无
- hook 刷屏 = 0 ✅；clickhouse-server = 0 ✅，两项治理红线持续闭环。
🟡 黄色预警
- youdu 日总量超标（持续）：16h 观测 1068.2 万，折算全天 ~1602.2 万 > 1200 万阈值，环比昨日（1610.6 万）基本持平，工作日高位平台确立。无效 tag 合计仅 2.4 万条（0.23%），增长仍来自 parsed_goapp/caddy/gin 有效业务日志，非无效数据刷屏；增长来源排查跟踪项不变。
- system-log 日总量 1387.8 万（>1000 万阈值，持续且创新高）：环比 +6.9%，高于近期 1260–1300 万平台。最大单一可压缩项仍为 dockerd@LAN_addcn_45 debug 日志（~60 万条/天），占日总量 4.3%，改 info 级的处置建议不变；haproxy@LAN_addcn_82（~34.4 万条，环比 +6.7%）同步增长，是本次抬升的主要增量之一，建议一并评估降噪。
六、小时分布 / 尖峰
- youdu_next_log（CST 08–24）：CST 09:00 尖峰 1,007,115（约为窗口小时均值 66.8 万的 1.5 倍），14:00 亦达 91.6 万；晚间 20–24 时回落至 39–41 万。与昨日（周一）09:00 尖峰 108.2 万形态一致，属工作日早高峰业务日志形态，非解析失败刷屏，建议结合定时任务/发布窗口确认。
- system-log（CST 00–24）：全天平稳，00–09 时 59–64 万，午后至夜间 52–57 万，无异常尖峰；+6.9% 的日增量属均匀抬升而非突发。
七、当日结论
昨日（周二）两索引红色项全部通过：hook 刷屏 0 条、clickhouse-server 0 条，8-20 治理红线持续闭环。youdu 16h 观测 1068.2 万、折算全天 ~1602.2 万，与周一基本持平，持续处于黄色高位平台，但无效 tag 仅 2.4 万条（0.23%），增长来自有效业务日志；parsefail_grpc 连续两日回升，继续作为观察项。system-log 完整 24h 1387.8 万，环比 +6.9% 创近期新高，曲线平稳无尖峰，增量主要由 haproxy@82 与既有底噪均匀抬升贡献；真实无效碎片 31.7 万（+6.3%），_grokparsefailure 低位稳定，最大可压缩项依旧是 LAN_addcn_45 dockerd debug 日志（~60 万条/天）。整体判定：需关注（无需应急）——两条跟踪项：① 排查 youdu 工作日总量高位平台的增长来源并确认 CST 09:00 尖峰对应的业务动作，② 推动 LAN_addcn_45 dockerd 改 info、评估 LAN_addcn_82 haproxy 日志降噪（本次 +6.9% 抬升的主要增量）。