steelmorgan/event-log-analysis

Анализ журнала регистрации (Event Log)

ЖР — read-only источник. Сырые записи не включать в вывод без маскирования персональных данных. По умолчанию mode: "minimal".

Для запросов СУБД, блокировок, исключений платформы — tech-log-analysis.

---

Когда применять

| Триггер | Действие | |---------|----------| | Пользователь сообщает об ошибке | Сначала последние Error, затем узкое окно времени | | Ошибка за конкретный период | search_event_log с from/to | | Аудит действий пользователя | search_event_log с фильтром по пользователю | | Проверка изменений объекта | search_event_log с фильтром по метаданным | | Состояние базы после тестов | search_event_log с from: test_start_time, limit: 20 | | Vanessa-прогон не прошёл | Сначала последние Error, если пусто — без фильтра уровня |

---

Алгоритм поиска

1. Получить cluster_guid и infobase_guid из cluster_map.yaml.
2. Определить стратегию (см. каскад ниже).
3. search_event_log с нужными фильтрами.
4. Анализ records: event_time, event_presentation, comment, metadata_presentation.
5. При упоминании объекта метаданных — navigate_symbol для перехода к коду.

Каскад фильтрации

1. Сначала — последние записи level: "Error" (без from/to при неизвестном точном времени).
2. Если пусто — повторить без фильтра уровня.
3. Если известно время — сузить from/to до ±15 минут.
4. Если ЖР не даёт ответа — переходить к tech-log-analysis.

Timezone drift: локальное время и ClickHouse могут расходиться; поэтому шаг 1 без временного фильтра надёжнее.

search_event_log(
  cluster_guid: "...",
  infobase_guid: "...",
  from: "2025-02-11T13:00:00Z",
  to:   "2025-02-11T14:00:00Z",
  level: "Error",
  mode: "minimal",
  limit: 100
)

Интерпретация результатов (после тестов / Vanessa)

| Картина | Вывод | |---------|-------| | Записей нет | База не запустилась / ЖР недоступен | | Есть события, Error отсутствует | База живая, тесты выполняются | | Последнее событие — завершение сеанса без ошибок | Тесты завершились успешно | | Есть Error в event_presentation / comment | Анализировать comment и metadata_presentation | | Предупреждение безопасности | Перейти к визуальной диагностике через GUI/скриншот |

---

Сшивка записи ЖР с кодом

После получения event_presentation и metadata_presentation:

1. Если metadata_presentation содержит имя объекта метаданных — вызвать navigate_symbol для перехода к коду.
2. Если в comment упомянут текст ошибки или имя процедуры — выполнить поиск по тексту комментария в codebase.
3. В отчёте указывать конкретный модуль и процедуру (не только имя объекта метаданных). Формат: ОбщийМодуль.ОбработкаОшибок → ЗафиксироватьОшибку().

---

Correlation id и сессия

Если поле comment содержит идентификатор сессии, HTTP-запроса или correlation id:

1. Извлечь значение и сохранить его в контексте ответа.
2. Явно включить в вывод: session=..., corrId=... или httpReq=....
3. При необходимости дальнейшего расследования передать эти идентификаторы в tech-log-analysis как фильтры (search_tech_log с session/corrId).

Цель — сохранить ключи корреляции для следующего шага, не смешивая анализ ЖР и ТЖ в одном запросе.

---

Безопасность

• Маскировать ФИО, ИНН, контактные данные в выводе.
• По умолчанию mode: "minimal".
• Сужать from/to до минимально необходимого периода.
• Не запрашивать более 1000 записей при первичном поиске.

---

Capabilities

| Capability | Назначение | |------------|------------| | search_event_log | Поиск по журналу регистрации (через ClickHouse) | | navigate_symbol | Переход к коду по метаданным из записи ЖР |

---

Типичные ошибки

| Ошибка | Обходной путь | |--------|---------------| | GUID-ы не из cluster_map.yaml | Прочитать конфиг; при отсутствии — запросить у пользователя | | ClickHouse недоступен | Зафиксировать причину; предложить альтернативу через ТЖ | | Слишком широкий диапазон — timeout | Сузить окно до 15–30 минут; уменьшить limit | | Нет ошибок в ЖР | Каскад: без фильтра уровня → сузить окно → ТЖ |

---

depends_on: []