日志分析 Skill：从海量错误中聚类异常并定位根因
事故发生时日志量越大，越容易被重复噪声和无关堆栈淹没。日志分析应从时间、请求身份和异常模式建立一条可验证的线索。
日志分析 Skill 用结构化字段和假设缩小证据范围，让结论可复现而不依赖个人搜索历史。
本文通过具体场景说明如何收集、连接和解释证据，让结论能够服务下一步的工程或业务决定。
日志分析 Skill 用来做什么
日志分析适合面对高噪声日志、需要快速分组异常的值班和质量团队。它保留查询窗口、聚类指纹和原始样本，让异常模式可以被下一位同事复核。
先回到源 Skill
这个 Skill 的完整执行规则在 日志分析 提示词。源目录还包含 3 个评测用例，用于验证输出是否遵守契约。
它要求特别注意：
- 不得把日志片段直接当根因
- 输出需脱敏
- 时区、采样和日志丢失必须说明
用一份项目材料开始
先把当前拿得到的材料摆上来。缺口可以保留，状态必须说实话。
| 材料 | 这次填什么 | 缺失时的处理 |
|---|---|---|
| 目标与范围 | 分析发布后错误日志，聚类异常、定位版本变化、识别用户影响并形成验证动作 | 标出不在本轮判断内的链路 |
| 版本与环境 | 日志采集窗口、服务版本、区域、部署批次和时区 | 字段口径不明时只做模式归类 |
| 证据 | 原始日志、结构化字段、correlation ID、指标和部署事件 | 过滤规则要保留，避免只剩摘要 |
| 决策边界 | 异常聚类、影响分层、升级条件和处理 Owner | 每个结论附样本数量与查询范围 |
可以这样调用：
请使用 log-analysis Skill。
任务：分析发布后错误日志，聚类异常、定位版本变化、识别用户影响并形成验证动作
输入材料：[版本、链接、日志或报告路径]
范围：[本次包含和排除的对象]
限制：[时间、数据、权限、合规要求]
先审计输入，再按风险和证据强度排序。材料没有证明的内容标为假设，并列出验证方法。日志分析的交付物要能回到原始事件
| 产物 | 要回答的问题 | 最低证据 |
|---|---|---|
| 分析窗口 | 哪一段时间、哪一批服务被分析 | 查询条件、时区和版本 |
| 异常聚类 | 哪些日志属于同一类事件 | 指纹字段、样本和数量 |
| 影响范围 | 哪些用户、请求或服务受到影响 | 错误率、Trace 或业务指标 |
| 后续动作 | 需要谁验证或修复什么 | Owner、链接和截止时间 |
没有保留原始样本和查询条件时，只能说“发现模式”，不能声称已经定位问题。
在项目里跑一轮
先用一个边界清楚的小回合启动——分析发布后错误日志，聚类异常、定位版本变化、识别用户影响并形成验证动作。别急着把结果写成报告。先把输入版本、时间窗口和负责人贴到同一处；然后把每个判断连回具体材料；最后只安排一项能改变结论的验证动作。
日志时间线要与部署、告警和 trace 对齐，避免把相关性当成根因。这一轮交付应当包含：可复查的证据索引、仍然成立的假设、以及下一位同事可以直接执行的动作。这样做很朴素，也很有效。
进阶使用：把一次分析变成持续机制
日志时间线要与部署、告警和 trace 对齐，避免把相关性当成根因。
每次日志分析都保存查询、时区、服务版本和样本链接。日志格式或部署版本变化时，重新确认指纹字段，避免旧规则吞掉新异常。
三段式 Skill 链
log-analysis → metrics-anomaly-analysis → root-cause-analysis
| 交接 | 传递内容 | 接收方要检查什么 |
|---|---|---|
| 上游到 log-analysis | 来源版本、范围、风险、未决项 | 输入是否过期，冲突是否标记 |
| log-analysis 到下游 | 判断、证据索引、残余风险、待办 | 产物是否可执行，Owner 是否明确 |
| 下游回写 log-analysis | 执行结果、缺陷、事实变化 | 是否更新基线与回归范围 |
交接时传摘要、证据索引和原始材料的位置。信息量足够，结论出了问题也能回到来源。
团队门禁
| 门禁 | 检查内容 | 未满足时 |
|---|---|---|
| log-analysis 输入门禁 | 版本、环境、证据来源和 Owner | 停止生成，列出缺口 |
| log-analysis 产物门禁 | 关键结论带依据、状态和影响 | 退回补证据 |
| log-analysis 执行门禁 | 命令、查询或验证路径可复现 | 标记基础设施或测试问题 |
| log-analysis 决策门禁 | 残余风险有接受人与日期 | 不进入下一阶段 |
容易踩的坑
- 只按错误消息聚类，忽略服务、版本和请求上下文。
- 把日志数量当作用户影响，没对齐业务指标。
- 直接修改聚类规则，却没有保留前后样本。
- 用单条日志下根因结论，没有回到 Trace、指标或代码验证。
相关 Skill
日志分析要和指标、链路及根因判断对齐：
交付前复核：把判断落到证据
Skill 输出拿到手后，先核对四件事：输入版本是否明确，范围是否完整，每条结论能否回到证据，下一步由谁执行。少一项，报告就容易变成漂亮的猜测。
| 项目 | 需要留下 | 缺失时 |
|---|---|---|
| 输入边界 | 版本、环境、时间窗口和本次范围 | 标记假设，不写成事实 |
| 证据索引 | 日志、报告、Trace、截图或命令输出 | 标记 evidence_pending |
| 结论状态 | verified、assumption、blocked 或 pending | 停止扩大结论 |
| 后续动作 | 最小验证命令、负责人和截止时间 | 交付为待办，不进入门禁 |
source_version: [版本或提交]
scope: [本次包含和排除的对象]
evidence: [日志、报告、Trace 或命令输出]
status: pending
owner: [负责人]
next_action: [最小验证动作]分析类 Skill 要保留查询条件和时间窗口；执行类 Skill 要保留命令、退出码和失败产物。人工修改也要记录，下一次复核才知道结论从哪里变化。
安装与调用
安装这个 Skill：
npx skills add https://github.com/naodeng/awesome-qa-skills/tree/main/skills/zh/testing-types/log-analysis -g安装后，直接使用下文的 log-analysis 调用词，并附上本次的真实材料。
常见问题
输入还不完整，能开始吗？
能。先交付受限初版：列出已知事实、假设、缺口和最小验证动作。环境、数据或权限缺失时，不写执行结论。
什么时候需要人工确认？
范围取舍、风险接受、生产操作、数据权限和发布决定必须由对应负责人确认。Skill 负责整理证据与选项，不替团队做授权决定。
先用一份真实材料跑通 日志分析，把输入、产物、人工修改和验证证据留在同一个工作链里。下一次变化发生时，才有东西可以复用。
参考
- 日志分析 提示词：https://github.com/naodeng/awesome-qa-skills/tree/main/skills/zh/testing-types/log-analysis/prompts/log-analysis.md
- Awesome QA Skills：日志分析 Skill 源文件：https://github.com/naodeng/awesome-qa-skills/tree/main/skills/zh/testing-types/log-analysis
- Awesome QA Skills GitHub 项目：https://github.com/naodeng/awesome-qa-skills
- 日志分析 Skill 详情页：https://inaodeng.com/zh-cn/qaskills/log-analysis/