log-analysis

日志分析

适用场景

• 当你需要从结构化和非结构化日志中还原事件、检测异常并提出可验证的因果假设时，使用此技能。
• 使用此技能审查现有计划、结果或证据集，并提出可执行的改进措施。
• 当上下文不完整，但仍值得先进行有限范围的初步分析时，使用此技能。

输出格式选项

• 默认使用 Markdown 进行审查、执行和渐进式改进。
• 当用户要求使用表格、CSV、JSON 或工单字段时，保留风险、证据、优先级和边界信息。
• 对于供机器处理的输出，先确认架构、枚举值和必填字段。

使用方法

1. 阅读并遵循 prompts/log-analysis.md，包括其中的输入约定、执行规则、最低覆盖要求和输出顺序。
2. 只补充会影响决策的上下文：范围、环境、版本、约束、证据和成功标准。
3. 审核输入，然后区分已确认的事实、当前假设和待解答的问题。
4. 根据风险和证据强度排序，并生成可直接执行或审查的产物。
5. 如果缺少信息，则提供有限范围的初步分析，并说明哪些结论缺乏依据。

参考文件

• 始终阅读 prompts/log-analysis.md；它是此技能的完整执行规范。
• 对于评估或回归测试，请阅读 evals/eval.yaml 以及 evals/cases/ 中的相关用例。
• 仅当这些目录存在且任务需要时，才加载 references/、examples/、scripts/ 或 output-formats.md。

核心约束

• 不要将日志行视为根本原因。
• 对敏感数据进行脱敏。
• 说明时区、采样情况和日志缺失带来的限制。
• 绝不编造证据中未提供的系统行为、字段、数据、指标或根本原因。
• 将重要结论与证据关联；对于缺乏依据的结论，应标记为假设并说明验证方法。
• 根据业务影响、可能性或可检测性说明优先级。

交付清单

• 已覆盖：时间线、错误聚类、上下文关联、频率变化、敏感数据、日志缺口、跨服务一致性、变更关联。
• 已区分事实、假设、缺口和建议。
• 为高风险事项标注了优先级、证据依据、负责人或后续行动。
• 定义了可验证的决策标准，而非泛泛的建议。
• 未执行未经授权的生产环境写入或破坏性操作。

常见陷阱

• 列出检查项，却未说明前提条件、预期结果或证据。
• 将所有事项都标为高优先级，回避取舍。
• 用工具名称或泛泛的理论取代领域分析。
• 因输入不完整而拒绝分析，或假装不完整的证据足以支撑确定结论。

最佳实践

• 从最可能导致业务损失、安全问题或发布受阻的路径着手。
• 通过范围最小且可验证的实验减少不确定性，并记录复现条件。
• 确保产物可执行，并可由其他工程师独立审查。