生产环境日志缺失怎么解决
如果线上系统某段时间开始没有新日志写入，我应该优先从哪些方向排查，才能尽快定位问题来源？
先排查日志采集链路与写入权限
可以从应用侧、采集侧、存储侧三处同时看。确认应用是否还在输出日志，日志级别配置是否被调整，日志文件路径是否变化；再检查采集组件是否正常运行，像 Filebeat、Fluentd、Logstash 等是否存在积压、断连或配置错误；还要确认日志目录权限、磁盘空间、挂载点状态是否正常。很多日志缺失问题都出在权限不足、路径变更、采集进程异常或磁盘写满。
业务功能看起来正常，但部分接口调用在日志平台里没有记录，这种情况通常是哪些配置或机制导致的？
重点检查采样、异步写入和日志过滤规则
这种现象常见于日志采样、异步缓冲丢失、过滤规则过严或多实例部署配置不一致。部分框架会开启采样，只记录一部分请求；异步日志在进程异常退出时可能丢失缓冲区内容；日志平台侧如果设置了过滤条件，也可能把某些级别或字段的日志屏蔽掉。建议核对采样率、异步队列大小、flush 策略、过滤表达式，以及不同环境和实例是否使用了同一套配置。
本地或容器内能看到日志文件内容持续增加，但在集中式日志平台里没有对应数据，这种断层一般怎么排查？
确认采集路径、格式解析和传输链路是否一致
这种情况通常说明问题不在应用写日志，而在采集和传输环节。需要检查日志采集器是否监听了正确的文件路径，容器场景下是否挂载了正确卷，文件轮转后采集器是否还能跟踪到新文件。还要确认日志格式是否被正确解析，JSON 日志字段是否符合模板，时间戳是否异常导致被平台拒收。若网络或消息队列有积压，也会造成平台侧短时间看不到日志。
除了临时修复以外，平时应该做哪些治理，才能让线上日志更稳定、更可追踪？
建立日志健康检查和告警机制
可以为日志链路建立可观测性检查，包括应用日志输出量监控、采集器存活告警、磁盘空间告警、队列积压告警和日志平台入库量告警。还建议统一日志规范，固定输出路径、格式和字段，避免不同服务各自为政。对关键链路可增加心跳日志或审计日志，配合定期演练，验证轮转、扩容、容器重启、故障切换等场景下日志是否仍能完整上报。