用途：该技能用于在生产事故分诊中，借助 CloudWatch Logs、Metrics 与 Alarms 进行可组合的排查，帮助定位错误、延迟、冷启动、内存溢出、超时等问题，并关联部署变更、收敛影响范围、重建事故时间线。
主要能力：
- Logs Insights 查询模板：错误突增检测（按 5 分钟与日志流分组统计 error/exception/fatal/critical）、按操作拆分 P99 延迟、Lambda 冷启动检测（@initDuration）、OOM 检测（Runtime exited、OOMKilled 等关键字及内存使用率趋势）、超时检测（Task timed out 或 @duration 超阈值）。
- 告警与部署事件关联：取告警进入 ALARM 的时间，用 CloudTrail Lake 查询告警前 30 分钟内的部署类事件（如 UpdateFunctionCode、UpdateService、CreateDeployment、ExecuteChangeSet 等），按同一资源、告警前 15 分钟内完成、部署者为 CI/CD 角色等标准判定相关性。
- 爆炸半径收敛决策树：按账户→区域→服务→操作→资源逐层缩小范围；当影响跨多个服务时，依次排查 VPC/网络、IAM/STS、下游依赖、部署流水线、AWS 服务事件。
- 指标查询模式：用 GetMetricData 与指标数学构建错误率百分比、延迟相对基线异常比、节流压力综合分、并发余量等复合信号。
- 事故时间线重建：合并告警状态转换、指标首个异常点、日志首次错误、CloudTrail 变更事件与 AWS Health 事件，确定最早先于所有症状的根因事件。
使用方式：在事故分诊时按需组合上述模式，将查询中的目标资源（函数名、表名、ApiName 等）替换为实际值后执行；CloudTrail Lake 查询需填入事件数据存储 ID 与时间窗口。
适用场景：AWS 上 Lambda、ECS、API Gateway、DynamoDB 等服务的生产事故排查与变更关联分析。
限制与注意事项：CloudWatch 指标时间戳为周期结束时刻；CloudTrail 事件可能有最长约 15 分钟投递延迟，应以 eventTime 为准；日志时间戳受采集端刷新间隔影响，存在约 30-60 秒时钟偏差；告警状态变化含评估延迟，实际异常发生更早。资料未提供安装命令、收费与平台支持等细节。