log-diagnosis

用途：在 CloudWatch 中排查错误、定位应用问题、跨服务关联事件；当用户报告故障时使用。核心流程分四步：确认范围（服务/项目、时间范围默认过去1小时、region 默认 ap-northeast-1）；定位 log group，读取 references/log-source-map.md 的命名惯例，并用 aws logs describe-log-groups --log-group-name-prefix 验证存在且 storedBytes > 0，不得凭猜测构造名称；执行查询，从 references/query-templates.md 选择模板，经 scripts/query-logs.sh 运行，例如 scripts/query-logs.sh "/aws/lambda/my-func" 'filter @message like /(?i)(error|exception|fatal)/ | fields @timestamp, @message | sort @timestamp desc' 1 ap-northeast-1，多 group 用 --multi-groups 与 --limit；分析结果，对照 references/error-patterns.yaml 匹配模式，按 CRITICAL/HIGH/MEDIUM/LOW 分级并按频率、时间分布判断突发或持续；最后按 assets/diagnosis-template.md 输出含摘要、top errors、时间线、受影响资源与建议的报告。多服务或全局范围建议使用 assets/multi-service-scan.workflow.js 做两阶段 pipeline 并行扫描与补充，属需用户显式同意或带 workflow 关键词的 opt-in 模式，需先完成 scope 确认并解析各服务 log group 后作为 args 传入，log_groups 可省略由子代理自动发现。自动可执行范围包括 describe-log-groups、start-query/get-query-results、cloudtrail lookup-events 及运行查询脚本；删除日志、变更保留策略与订阅过滤器等写操作需人工执行。限制：Insights 查询有15分钟超时，可用短窗口重试；like /error/ 大小写敏感需用 /(?i)error/；log group 不存在不代表服务不存在；EKS 日志 group 名取决于日志方案不可硬编码；--limit 会覆盖查询内已有 limit，fields 查询受1000条限制。