第2章 现场快照技术原理与采集策略

1. 快照类型

现场快照按采集对象可分为以下四类，实际排查中常组合使用以覆盖完整数据面。

2. 触发条件

触发条件决定什么时候启动快照采集，分为手动和自动两类。

• 手动触发：当运维或开发人员通过监控告警或用户反馈感知到异常时，主动执行采集命令。例如：

  # 收集线程快照
  jstack <pid> > thread_dump_$(date +%s).txt
  
  # 收集系统快照
  sysstat -u -w -d 1 10 > sys_snapshot.log

• 自动触发：基于预设规则或系统事件自动触发。常见规则包括：
  • CPU 使用率超过 85%（持续 30s）
  • 内存使用量超过 JVM 最大堆的 80%
  • 响应时间（RT）> 5 秒的请求次数达到阈值
  • 错误日志关键词匹配（如 OutOfMemoryError、Deadlock）
  • 操作系统 oom-killer 事件

3. 采集时机

时机选择直接影响快照的排查价值。分为三个时间窗口：

4. 采集策略决策流程

以下决策树帮助快速确定快照类型与时机组合，适用于大多数线上问题。

5. 判断规则与避坑

• 规则一：先系统后进程——当症状不明确时，先执行系统快照（资源全景），再针对可疑进程执行线程/内存快照。
• 规则二：线程快照至少采集 3 次——间隔 3~5 秒，避免单次快照遗漏瞬时状态。
• 规则三：内存快照谨慎触发——Heap dump 可能导致服务暂停，优先用 jmap -histo 替代；仅在确认 OOM 后使用 dump。