溯源思路与流程68 条

按小时基线判断异常活动时段

把事件按小时计数形成基线后，突增与突降时段就是重点审查窗口，再结合业务排班排除正常高峰。

粒度	小时（也可 10 分钟）
对照	业务时间表、备份任务、扫描任务

小时计数

awk -F, '{print substr($1,12,2)}' merged.csv | sort | uniq -c | sort -k2,2

先标出运行维护窗口，再对比异常小时能减少大量解释成本。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌