qwencloud-observe

Qwen Cloud Observe

对通过 qwencloud-deploy 部署的应用进行只读可观测性检查。无需访问控制台，即可了解“我的应用运行得怎么样、费用是多少”。所有价格均以 USD 计。

快速流程

1. 识别应用 — 读取项目目录中的 .qwencloud-deploy（references/workflow.md）。
2. 选择时间窗口 — 默认查看最近 1h；用户也可选择 15m / 1h / 24h。
3. 检查各层 — 应用、ECS、（可选）RDS、费用。每项检查都会返回统一的结果状态；某项检查失败不会阻止其他检查。
4. 报告结果 — 先给出一行结论，再按层汇总、列出风险、数据时间戳和未知项。

范围

范围内	范围外
通过 qwencloud-deploy 部署的应用（存在状态文件）	没有 .qwencloud-deploy 状态文件的应用
单个 ECS，或 ECS + RDS MySQL 8.0	其他拓扑 / 自行管理的服务器
只读的可用性、性能和费用概览	对云资源进行任何更改 → 使用 qwencloud-operate
报告运行时状态（可用性、性能、费用）	源代码审查、查找错误/漏洞、判断哪一行有问题、编辑代码
Alibaba Cloud 国际站、USD	Aliyun 中国站 → 使用 qianwenai-observe

代码问题不在范围内

本技能仅用于只读观测，报告运行时的可用性、性能和费用。它不审查源代码、不定位缺陷，也不编辑代码。

涉及代码时，请明确告知用户：编辑代码不属于本技能的范围，用户必须自行判断并进行更改，且相关后果由用户自行承担。

前置条件

Aliyun CLI：运行 aliyun version（需要 3.x）。所有查询均直接通过 OpenAPI 使用 PascalCase 原生形式，不依赖插件。凭据：仅使用 aliyun configure list 检查。 绝不要读取、回显、打印或索要 AK/SK/令牌。如果没有有效配置文件，请停止并要求用户在本会话之外配置凭据。参见 references/cli_installation_guide.md。

状态与评分

每一层都会返回一个状态 — healthy · degraded · unavailable · unknown — 并附带检查时间、目标资源、关键证据和数据来源。单项查询失败时，继续检查其他层，并将失败项标记为 unknown — 绝不静默省略，也绝不捏造数据。

每一层还会获得一个分数，各层得分相加后形成 0-100 的健康分数，并对应 A/B/C/D 等级（>=90 为 A · >=75 为 B · >=60 为 C · <60 为 D）。评分分为四个维度：

维度	权重（含 RDS）	权重（不含 RDS）	信号
应用	35	45	可访问性、/healthz、响应时间、错误率、证书有效性（配置域名时）
ECS	30	45	CPU、内存、磁盘使用率、磁盘 IO、网络
RDS	25	—	连接数、慢 SQL、空间、行锁等待
可用性	10	10	ECS/RDS 运行状态、近期系统事件、EIP 状态和带宽、安全组暴露情况

如果应用没有 RDS，其权重会转移到应用和 ECS。费用永不参与评分 — 会单独展示实际账单，以及基于利用率的优化建议。

缺少备份/快照和安全组加固情况会作为风险和建议列出，不计入评分；影响可用性的信号 — EIP 未绑定、带宽饱和、缺少 80/443 入站规则 — 会计入可用性维度。

如何检查

先识别应用，然后逐层检查。运行命令前先阅读链接的指南。某项检查失败不会阻碍其他检查——将其标记为 unknown，然后继续。

各层检查相互独立且为只读操作——识别应用后，并行调用各层的只读 API（后台运行 & + wait），不要按顺序等待；将同一台 ECS 上的 Cloud Assistant 命令合并为一个脚本，一次往返获取。

1. 识别应用 — 读取 .qwencloud-deploy，获取地域和资源 ID。 参见 工作流。
2. 应用是否可访问？ — 探测公网地址和 /healthz，检查应用与 Nginx 服务及其端口，并汇总近期错误。参见 应用观测。
3. 服务器运行状况如何？ — 检查 ECS 状态，以及该时间窗口内的 CPU、网络、磁盘和内存情况。 参见 ECS 观测。
4. 数据库运行状况如何？（仅当应用使用 RDS 时）— 检查状态、连接数、QPS/TPS、空间、行锁等待情况，以及脱敏后的慢 SQL。参见 RDS 观测。
5. 公网入口和暴露情况如何？ — 检查 EIP 状态和带宽、安全组的 80/443 端口及暴露风险。参见 网络观测。
6. 是否有维护或备份？ — 检查 ECS 系统事件、系统盘快照和 RDS 备份。参见 弹性保障观测。
7. 费用是多少？ — 查看应用的实际账单费用，可选生成月底费用预测。参见 费用观测。
8. 评分并汇总 — 为每层评分，计算健康分数和等级，并用通俗语言撰写一条结论。参见 工作流。

默认时间窗口为最近 1 小时；遵循用户明确提出的 15 分钟 / 1 小时 / 24 小时时间范围，并说明所用时间窗口。

告知用户的内容

首先给出健康分数和等级，以及一句话结论；然后分别用简短的一行说明应用、服务器、数据库（如有）和费用情况，并列出各自的依据。指出风险，并说明哪些情况无法确定及原因，同时注明数据时间戳。当项目目录中存在 operate_audit.jsonl 时，附上最近一次操作（时间、操作、结果），确保评分与最近一次恢复操作相符。发现真实故障时，主动提出是否使用 qwencloud-operate 继续故障诊断：使用 AskUserQuestion 提供 立即诊断并修复 / 只查看，不做更改 两个选项；选择前者时进入 qwencloud-operate。同时，将已收集的证据写入项目目录中的 observe_handoff.json（故障层级、关键指标、数据时间戳；绝不包含任何密码 / 签名 URL），供 operate 作为起点使用，并跳过重复的只读检查。

Health score: 87 / 100 (B, Good) — app healthy; watch the RDS connection trend.

Application: reachable, current response time 186 ms; app and Nginx services healthy.
Certificate: valid, 54 days remaining (app.example.com).
ECS: healthy, last 1h average CPU 31%, no sustained high load.
RDS: healthy, active connections rose from 12 to 38 — watch the connection-pool trend.
Cost: actual bill for 2026-08 so far $12.40 (ECS $7.80, RDS $4.60).

Data as of: 2026-08-03 16:20 UTC+8

汇总后，主动询问用户是否要导出报告文件，例如：“要我导出 Markdown 或 HTML 报告吗？”——由用户决定；不要强制导出。

交互形式

• 只读信息（检查结论、状态、费用）：使用纯文本，并在每项判断后附上一行证据（指标、状态、时间戳）。
• 会改变状态的操作（进入 operate、导出报告）：使用 AskUserQuestion，其提示内容须说明操作内容 · 影响 · 如何验证；在用户确认前不要执行任何操作。
• 主动沟通原则：运行正常时保持安静；仅在发现风险或真实故障时主动说明，并且最多提供一个后续操作（诊断 / 导出报告）供用户选择。

渲染报告文件（可选）

当用户需要保存为 Markdown 或 HTML 格式的报告时，收集每一层的状态、每层得分、关键指标和证据，整理到一个 JSON 对象中，并使用 scripts/render_report.py 进行渲染——不要手动排版最终文件。HTML 输出为多卡片报告（包含得分和异常的概览、每层一张带指标表格的卡片、一张成本卡片和建议）；Markdown 是轻量版。

1. 打印模式并填写：python3 scripts/render_report.py --schema。每一层都需要有 state、score/max_score、metrics[] 和 detail；assessment.health_score 必须等于各层得分之和，且与其等级相符；成本仅填写实际账单金额。
2. 渲染前进行验证：python3 scripts/render_report.py --validate -i data.json。修复报告的所有问题（状态无效、unknown 未附原因、等级与得分不匹配、成本中包含任何估算值）。
3. 按用户选择的格式渲染： python3 scripts/render_report.py -i data.json -f md -o report.md（或使用 -f html）。

移交以执行操作（可选）

当发现真实故障且用户选择进入 qwencloud-operate 时，将 observe_handoff.json 写入项目目录，以便 operate 从中启动并优先核验指定层：

{
  "from": "qwencloud-observe",
  "generated_at": "2026-08-03T16:20:00+08:00",
  "fault_layer": "rds",
  "symptoms": ["RDS active connections rose from 12 to 190, near the cap"],
  "metrics": {"rds_active_connections": 190, "app_http_code": 200}
}

fault_layer 的值只能是 app / nginx / ecs / rds / network / disk 之一。仅写入只读观测证据；绝不可写入密码、连接字符串或签名 URL。这只是提示——operate 仍会独立核验，然后才提出任何恢复操作。

安全

规则	详情
仅限只读	Cloud Assistant 命令必须为只读；绝不可修改实例/应用状态。
禁止机密信息	绝不可从 .qwencloud-deploy.local 读取/输出密码。
脱敏	在任何日志输出中屏蔽 AccessKey、令牌、密码、连接字符串中的密码和 Cookie。
慢 SQL	仅输出 SQL 模板/脱敏 SQL，并限制长度；绝不可输出原始字面值。
成本	仅显示实际已计费成本（USD）及账单周期；绝不显示估算值。尚无账单时，将成本标记为 unknown。

所需权限

参见 references/ram_policies.md。除 cms:InstallMonitoringAgent（按需安装 Agent）外，权限均为只读： ecs:DescribeInstances、 ecs:RunCommand + ecs:DescribeInvocations（只读命令）、cms:DescribeMetricList、 cms:DescribeMonitoringAgentStatuses、cms:InstallMonitoringAgent、ecs:DescribeSecurityGroupAttribute、 ecs:DescribeInstanceHistoryEvents、ecs:DescribeSnapshots、vpc:DescribeEipAddresses、 bssopenapi:QueryInstanceBill、bssopenapi:QueryBill，以及（使用 RDS 时） rds:DescribeDBInstances、rds:DescribeDBInstanceAttribute、rds:DescribeDBInstancePerformance、 rds:DescribeSlowLogRecords、rds:DescribeBackups。

更多详情

各层指南的链接见上文“如何检查”。以下是两份设置参考：

• CLI 设置 — 安装并检查凭据。
• CLI 注意事项 — 参数格式、时间格式、响应解析。
• RAM 策略 — 此技能所需的只读权限。