3. 设备日志体系与数据来源

在EAP设备自动化系统中，一次通信故障往往不是孤立事件。设备端、EAP、MES、网络链路和操作系统各自记录着不同视角的信息，只有把这些日志按时间轴对齐，才能还原完整的通信过程。本节围绕五类数据来源，梳理它们的采集点、典型内容和适用场景，为后续的日志关联分析建立数据基础。

五类日志的采集点与职责边界

设备端日志由设备控制器（如SECS/GEM接口、PLC、运动控制卡）产生，采集点通常位于设备工控机的本地日志目录或设备厂商提供的诊断接口。典型内容包括SECS-II消息收发记录、事件报告（Event Report）、报警（Alarm）触发、状态变量（SV）变化以及设备内部错误码。设备端日志最接近物理过程，适合判断“设备是否真的收到了指令、是否执行了动作”。

EAP日志是自动化系统的核心枢纽，采集点位于EAP服务进程的日志模块，通常按通信层、业务层、调度层分级输出。通信层记录HSMS连接建立、Select/Deselect、T3/T5/T6/T7/T8超时；业务层记录工单派发、配方下发、物料校验；调度层记录任务队列和重试策略。EAP日志的价值在于它同时看到设备侧和MES侧，是关联分析的“中间锚点”。

MES日志采集点位于MES应用服务器或数据库审计表，主要记录工单创建、批次放行、工艺参数变更、物料绑定和EAP请求响应。MES日志通常不直接记录SECS消息，但能回答“业务上是否允许这次通信发生”。

网络抓包采集点一般部署在EAP服务器与设备网段之间的镜像端口或TAP，使用tcpdump/Wireshark按IP和端口过滤。抓包能提供最底层的证据：TCP握手是否完成、HSMS报文是否到达、是否有重传或RST。系统事件日志则来自Windows事件查看器或Linux syslog，采集点包括系统日志、应用日志和安全日志，用于排查网卡异常、服务崩溃、磁盘满、时间同步失败等环境问题。

采集点的实际部署与参数示例

以某8英寸晶圆厂EAP系统为例，设备端日志通过设备厂商提供的GEM接口导出，默认保留最近7天，路径为D:\EquipmentLog\SECS\，文件按日期滚动。EAP日志使用Log4j2按天切分，通信层日志级别设为DEBUG，业务层为INFO，路径为/opt/eap/logs/communication/。MES日志通过数据库审计表MES_AUDIT_LOG查询，关键字段包括REQUEST_ID、EQP_ID、LOT_ID、ACTION、RESULT、CREATE_TIME。

网络抓包建议在EAP服务器与设备交换机之间配置SPAN端口，过滤条件为设备IP和HSMS端口（通常为5000）。例如：

tcpdump -i eth1 -nn host 192.168.10.51 and port 5000 -w eqp51_hsms.pcap

系统事件日志在Windows下可通过wevtutil导出，Linux下通过journalctl按时间范围过滤。采集点应统一使用NTP校时，确保五类日志的时间戳偏差控制在1秒以内，否则关联分析会出现“因果倒置”。

从采集点到诊断结论的关联方法

当出现“设备未响应”类故障时，可按以下顺序检查：先看EAP通信日志中是否出现T3超时，记录超时发生的时间点和消息ID；再查设备端日志是否收到该消息ID，若未收到则转向抓包，确认TCP层是否送达；若抓包显示报文已到达设备但设备未回复，则结合系统事件日志排查设备工控机是否卡顿或服务异常；最后查MES日志确认该工单是否处于允许通信的状态。通过这种“由外到内、由业务到链路”的逐层过滤，可以把故障定位到具体环节，而不是停留在“通信失败”的笼统结论上。

五类日志各有盲区：设备端看不到MES业务规则，MES看不到SECS报文细节，抓包看不到应用层业务含义，系统事件日志看不到通信协议状态。只有把采集点布置完整、时间基准统一、关键字段（设备ID、消息ID、工单号）贯穿保留，才能在故障诊断时快速拼接出完整证据链。