出问题先看监控还是先看日志：排查的顺序学

发布时间:2026-04-13 10:02

## 概念 故障排查的第一个动作往往决定整体效率：方向对了，细节自然浮出；方向错了，日志翻烂也在别处打转，时间全花在错误的地基上。监控与日志这对工具各有所长，用对顺序的关键是理解分工：监控回答什么时候哪里出了问题，日志回答具体发生了什么。前者定范围，后者定根因，顺序就该是先监控后日志。 ## 原理：定范围与定根因的配合 监控的价值在全局视野与时间维度：一条曲线扫过去，故障的起止时间、影响的资源范围、当时的水位变化一屏呈现，疑似对象从全部服务器收敛到一两台。没有这步收敛就直接翻日志，等于在整栋楼里逐户敲门找漏水点。日志的价值在细节纵深：范围锁定后，看那段时间的错误堆栈与请求轨迹，根因层面的信息只在这里。两者还有一个时间差细节：监控粒度粗但覆盖全，日志粒度细但分散，先用粗网捞再用细网筛，是最经济的组合。 ## 最小实操 标准流程三步走：第一步拉故障时段的监控大盘，圈定异常资源与时间窗；第二步进圈定机器查该时段日志，用时间窗与优先级把检索量压到可读；第三步定位到具体服务后，再深入应用日志或抓包，逐层逼近根因。三步下来，每一步的检索范围都比上一步小一个量级。 ``` journalctl --since "10:20" --until "10:35" -p err ``` ## 常见错误 一是上来就翻日志，方向靠猜，平均耗时翻倍；二是只看监控不看日志，定位到资源就说修好了，根因没动，同类故障反复来；三是监控盲区不自知，故障时段的曲线缺位还当成正常，先补覆盖再谈判断。顺云控制台的监控告警承担第一步的角色，范围圈定后进机器走日志路径，两步接力就是完整打法。