日志分析（Log Analysis）是一项用于从日志中排查问题的技能。其定位是帮助用户从日志里快速定位异常、统计错误分布、提取关键时间线，并支持 JSON、纯文本、结构化、非结构化等各种日志格式。触发词包括：帮我看看日志、这段日志什么意思、找找报错、日志分析、error log；触发场景包括线上问题排查、错误日志分析、用户反馈复现、性能问题排查。
分析流程分为五步：1. 识别日志格式和结构；2. 定位异常和错误；3. 构建时间线；4. 分析根因；5. 给出结论和建议。
第一步识别日志格式。不同类型的日志采用不同处理方式：JSON 结构化日志每行一个 JSON 对象，按字段解析筛选；标准日志格式形如 [时间] [级别] [模块] 消息，用正则提取字段；纯文本日志无固定格式，按关键词和时间戳模式匹配；堆栈跟踪日志识别 Error 与 at file:line，用于识别错误类型和调用栈。当日志超过 500 行时，先向用户确认大概出问题的时间段、相关错误关键词、受影响的用户或请求 ID。
第二步定位异常。错误级别扫描按优先级从高到低进行：FATAL/CRITICAL → ERROR → WARN → 异常模式（超时、重试、拒绝）。关键模式识别覆盖多类问题：异常错误（Error、Exception、FATAL、panic）、超时（timeout、ETIMEDOUT、deadline exceeded）、连接失败（ECONNREFUSED、connection reset、ECONNRESET）、资源耗尽（OOM、too many open files、pool exhausted）、权限问题（403、permission denied、unauthorized）、数据问题（null、undefined、NaN、invalid）、重试降级（retry、fallback、circuit breaker）。同时统计错误分布，以表格形式列出错误类型、次数、首次出现和最后出现时间。
第三步构建时间线，将关键事件按时间排列，还原问题发生经过，事件可标注为正常、异常、告警、错误、降级、恢复等状态。
第四步分析根因，方法包括：从结果倒推（用户看到的问题→直接原因→根本原因）、时间相关性（问题开始前后是否有部署、配置变更、流量突增）、5 Whys 连续追问。输出格式包含现象、直接原因、根本原因和因果链。
第五步给出结论和建议，结论涵盖根因、影响面、恢复方式；建议按短期（立即修复）、中期（防止复发）、长期（提升韧性）分层给出。
分析准则包括：先全局后细节；关注时间相关性；区分因果和巧合；不猜测，日志里没有的信息注明需要进一步确认；给可执行建议。