用途：针对一个 Snowflake 查询（或有限候选集）构建只读的根本原因分析包，判断延迟究竟来自编译、执行、排队、阻塞、溢出、裁剪还是查询形态，而非仅凭总耗时下结论。
主要能力：从查询历史、Query Insights、GET_QUERY_OPERATOR_STATS 归集脱敏证据；将时间线分解为编译、执行、排队、供应、修复、事务阻塞等阶段；记录扫描/写入字节与分区数、本地/远程溢出、算子输入输出行与耗时占比；输出已确认观察、派生指标、待验证假设三类结论，并为每个假设给出至少一个竞争解释和下一步只读检查。
使用方式：需要精确查询 ID、有界候选集或脱敏导出的证据文件；由操作者通过经批准只读会话采集数据。可用脚本采集：python3 "${CLAUDE_SKILL_DIR}/scripts/collect_snowflake_evidence.py" --surface query --connection <approved-readonly-profile> --source-max-age-seconds <positive-incident-bound> --output snowflake-query-collector.json。随后运行分析器：python3 "${CLAUDE_SKILL_DIR}/scripts/analyze_query_evidence.py" --input query-evidence.json --json-out query-forensics.json --markdown-out query-forensics.md。
适用场景：远程溢出排查、MERGE 长时间等待、无 Query Insights 时的健康判断、查询哈希对齐比较、裁剪与搜索优化 ROI 评估等。
限制：严格只读，不取消查询、不改仓库规格、不改聚类、不修改 SQL、不授予权限；不调用 Snowflake 认证，不索要令牌或密码；不要求 ACCOUNTADMIN。算子证据仅适用于已完成且在检索窗口内的查询，窗口外只能给出部分包。历史表面存在延迟与保留期差异。查询文本默认不导出，输出会递归脱敏。无通用阈值，慢/高/坏需对照同一工作负载基线或用户目标。缺失查询 ID、运行中查询、过期窗口、数据不对齐或需要变更生产时，应返回部分或不确定结论并停止。