日志只能说变了，说不出为什么
生成树的拓扑变化日志只记录「发生了变化」和时间戳，不解释原因。要定位震荡源，做法是把日志按时间序列聚合，按端口分组统计出现频率，再与同一时段的端口物理事件（UP/DOWN、错包增长、光功率异常）比对。单端口高频出现的，就是重点排查对象。
基本信息
| 日志字段 | 时间戳、端口名、事件类型 |
|---|---|
| 分析前提 | 全网设备开启 NTP 对时，否则多设备日志无法拼接 |
| 分析方法 | 导出日志后按端口分组统计频率与时间分布 |
| 交叉数据 | 端口状态变化记录、错误计数、光功率诊断 |
定位步骤
- 先确认全网设备时间一致，日志时间线才可用
- 把拓扑变化日志导出，按端口分组统计出现次数
- 锁定高频端口，在同一时段查该口的物理状态变化记录
- 比对错包计数与光功率，判断是否物理层劣化
- 把时间线与业务侧反馈对齐，确认影响范围与触发条件
过滤与聚合
过滤与聚合
display logbuffer | include STP # 华为：先筛出生成树相关
display logbuffer | include TOPO # 华为：拓扑变化记录
display logbuffer | include GigabitEthernet0/0/24 # 华为：按端口筛
display stp interface GigabitEthernet0/0/24 # 华为：该口当前 STP 状态
show logging | include SPANTREE # 思科：生成树日志
show spanning-tree detail | include changes # 思科：端口状态变化计数日志类型判读
| 日志类型 | 含义 | 指向 |
|---|---|---|
| 拓扑变化通知 | 有端口进入转发或状态切换 | 该端口或它的上游 |
| 根桥变更 | 根桥位置发生变化 | 优先级配置或链路故障 |
| 端口角色变更 | 转发与阻塞之间切换 | 拓扑变化或链路抖动 |
| 边缘端口收到 BPDU | 接入口出现生成树报文 | 下游私接设备或成环 |
把日志导出后按端口分组统计频率：单端口高频出现即为重点排查对象。分析结论要写清时间点与端口，后续才能验证处理是否有效。
设备未对时会让多台设备的日志无法拼接，排障前先确保 NTP 正常；时间错乱的日志会把因果关系判断得完全相反。