怎么从日志还原风暴时间线
复盘泛洪或风暴事件的核心方法是还原时间线：把接口计数异常的时间点、生成树事件、环路检测告警、用户报障时刻统一到一条时间轴上，判断谁先谁后。最早出现的异常点往往就是排查起点，而不是最先被看到的告警。执行隔离动作与业务恢复的时间也要标进时间线，这样复盘结论才能落到具体动作上。
基本信息
| 对齐要素 | 速率异常、生成树事件、检测告警、用户报障 |
|---|---|
| 关键动作 | 找出最早异常点作为排查起点 |
| 记录范围 | 包含隔离动作与业务恢复的时刻 |
| 前提条件 | 设备时间需统一，否则时间轴不可信 |
| 输出形式 | 按时间戳合并排序的表格或图表 |
典型使用场景
- 风暴事件的正式复盘与整改方案编制
- 判断告警顺序：是检测先触发还是用户先报障
- 核对隔离动作与恢复时间，评估处置效率
- 跨设备事件复盘，把多台日志合并到同一时间轴
- 故障案例归档，作为后续排查的经验参照
日志导出与过滤
日志导出与过滤
display logbuffer # 全量日志
display logbuffer | include STP # 生成树事件
display logbuffer | include MAC # 地址学习相关
display logbuffer | include LOOP # 环路检测告警
display clock # 记录设备时间与状态
display trapbuffer # 告警缓存时间线要素表
| 要素 | 来源 | 记录内容 |
|---|---|---|
| 速率异常 | 接口计数与流量采集 | 第一次明显跌落的时刻 |
| 拓扑事件 | 生成树日志与状态 | 角色变化与拓扑变化时刻 |
| 检测告警 | 环路检测与保护日志 | 触发时间与涉及的端口 |
| 报障与处置 | 用户反馈与变更记录 | 报障时刻、隔离动作与恢复时刻 |
设备时间不统一时先校准时间差再对齐：多台设备存在秒级以上偏差时，日志排序会得出完全错误的因果结论。
复盘常见错误是只记住结论而忽略日志顺序，把处置动作当成起因；时间线要把动作也标出来，避免因果倒置。