这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。
日志分级与链路监控
不是所有日志都同等重要
采集系统应该支持按级别和业务标签区分策略：
| 级别 | 采集策略 |
|---|---|
ERROR / 关键审计 | 优先保留 |
INFO | 排查和统计用，高峰期可采样 |
DEBUG | 默认关闭，临时诊断时打开 |
大字段的处理
- 大字段、堆栈和请求体需要脱敏和大小限制。
- 单条日志不能无限大，否则撑爆索引和带宽。
如果没有分级，业务一旦打印大量无意义日志，采集链路就会被噪音淹没。
采集链路自身也需要监控
日志采集链路自身的风险：
- Agent 是否存活。
- 本地缓冲队列是否积压。
- 发送失败率是否上升。
- 每个服务的日志量是否突增或突降。
一个反直觉的警告
日志量突降可能不是系统变稳定了，而是采集挂了。
- 突增：可能是有异常在疯狂打日志。
- 突降：可能是 Agent 死了、队列积压、或日志被误删。
所以「日志量」本身就是一个需要监控的指标。
一句话
日志分级（ERROR 优先、DEBUG 关闭、大字段限制）防止链路被噪音淹没；采集链路自身也要监控——日志量突降可能意味着采集挂了，而不是系统变好了。