OBSERVE v2.8.0 发布：告警根因分析与日志自然语言检索

本次更新概览

v2.8.0 兑现了 v2.7.0 规划里承诺的两件事：告警根因分析和日志自然语言检索。同时补强了分布式链路追踪，并修了一批信创环境和稳定性问题。下面逐条说明，升级前请先读「升级注意事项」。

新功能

• 告警根因分析：告警触发后，平台自动把该告警关联到最近的异常指标、错误日志和慢链路，按「可疑度」给出排序。原理是：告警发生的时间窗口内，聚合与该告警服务相关的错误率突增、异常日志签名、P99 突增的 Trace，计算各候选根因的贡献度。它不替你做决定，但能把「从哪开始查」从十几分钟缩到十几秒。每个候选根因都附一份证据链——它关联到了哪几条错误日志、哪几个慢 Trace，点击即可跳到原始数据，方便你复核；
• 日志自然语言检索：检索框支持用自然语言描述需求，自动转成 SQL。比如输入「过去一小时支付接口 5xx 错误，按用户分组统计」，会翻译成对应的查询语句，并展示翻译结果供确认后执行，避免「黑盒查询」翻车；
• 链路追踪增强：新增 Span 级自定义采样（按 service.name 和 attribute 保留高价值流量），服务拓扑支持按 QPS/错误率/耗时三种维度着色切换；
• 告警规则一键克隆：从已有规则复制一份改阈值，省去重复配置。

性能优化

• 自然语言转 SQL 的语义解析走本地小模型，查询翻译平均耗时约 40ms，不依赖外网；
• 根因分析在告警触发后异步执行，不阻塞告警通知，100 条告警并发分析时结果平均 3 秒内返回；
• 日志检索的 GROUP BY 高基数聚合路径优化，千级分组查询延迟下降约 35%。

问题修复

• 修复达梦数据库在大小写敏感模式下，告警规则读取偶发报「列不存在」的问题；
• 修复麒麟 V10 上 eBPF 火焰图长时间运行后内存缓慢增长的问题；
• 修复跨租户告警在特定标签组合下误通知到错误租户的问题（安全修复，建议尽快升级）；
• 修复 OTLP 日志的 trace_id 在采样丢弃部分 Span 后关联断裂的问题；
• 修复多行日志解析在文件轮转边界偶发丢首行的问题。

升级注意事项

1. 升级前备份配置与数据库，本次无索引格式变更，不需要重建索引；
2. 告警根因分析依赖 trace_id 关联，启用前确认日志和 Span 都已注入 trace_id，否则根因排序会退化为「只看指标」；
3. 自然语言检索默认关闭，在系统设置里开启，本地小模型首次加载需要下载约 200MB，内网环境需提前准备离线包；
4. 新增配置项 alert.root_cause.enabled 和 nl2sql.model.path，分别控制根因分析和语义解析模型；
5. 建议升级后做一轮冒烟：触发一条告警看根因分析、跑一条自然语言查询、确认链路采样策略生效。

其他变更

• 移除对已停更多年的 Filebeat 5.x 采集协议的兼容，仍在使用旧协议的环境请先升级 Agent；
• 默认日志保留周期从 90 天调整为 180 天，配合等保合规要求，可按需在配置里改回；
• 文档站新增「告警根因分析」和「自然语言检索」两篇使用说明。

已知问题

• 自然语言检索对中文口语化表达（如「帮我看下」）支持有限，建议用「指标 + 过滤条件 + 聚合」的描述方式，效果最稳；
• 根因分析对「依赖外部服务超时」类根因（如第三方 API 挂掉）的定位偏弱，后续版本补充外部依赖画像；
• Span 自定义采样规则变更后，已入库的历史数据不受影响，只对新增数据生效。

后续计划

v2.9.0 开始规划，优先做两件事：告警根因分析补外部依赖画像，以及日志检索的告警联动（把高频检索保存成规则，异常时直接告警）。有想法可到版本说明的 issue 区投票。