4. 日志系统基础
在工业网关的故障诊断体系中，日志系统是最基础、也是最不可替代的观测手段。网关通常部署在产线边缘，连接 PLC、仪表、SCADA 与云端平台，一旦出现通信中断、数据丢失或协议解析异常，现场往往无法直接复现。此时，日志就是还原故障现场的唯一“黑匣子”。理解日志的定义、级别、格式、生命周期以及它在诊断中的作用，是后续所有排障工作的前提。
一、日志的定义与本质
日志是系统在运行过程中，按时间顺序自动记录的事件流。每一条日志本质上是一个带时间戳的结构化事件，它回答四个问题：什么时间、哪个模块、发生了什么、严重程度如何。在工业网关中，日志来源包括采集进程、协议栈、转发服务、系统内核以及硬件看门狗等。
需要区分两个概念：日志（Log）记录的是“已经发生的事实”，而指标（Metric）反映的是“当前的状态数值”。日志偏向离散事件，指标偏向连续趋势。故障诊断时，二者互补，但日志提供了因果链条，是定位根因的关键。
二、日志级别：从噪音中筛出信号
日志级别用于标识事件的严重程度，使运维人员能够按需过滤。工业网关常用的级别从低到高如下：
| 级别 | 含义 | 典型场景 |
|---|---|---|
| TRACE / DEBUG | 最详细的调试信息 | 协议报文逐字节解析、寄存器读写跟踪 |
| INFO | 正常的关键业务事件 | 连接建立、采集周期启动、配置加载成功 |
| WARN | 可恢复的异常 | 单次超时重试、队列接近上限、时钟轻微漂移 |
| ERROR | 功能受损的错误 | Modbus 从站无响应、数据库写入失败 |
| FATAL / CRITICAL | 导致进程或系统崩溃 | 内存耗尽、看门狗复位、核心服务退出 |
三、日志格式：结构化才能被机器利用
日志格式决定了日志能否被高效检索和自动分析。早期网关多采用纯文本格式，可读性好但难以解析；现代网关更推荐结构化格式，如 JSON 或键值对。一个典型的工业网关日志行包含时间戳、级别、模块、消息体和上下文字段。
2024-06-11T09:23:41.512Z ERROR modbus_master
{"slave_id":7,"func":3,"addr":40001,"err":"timeout",
"retry":3,"link":"COM2","rtt_ms":3000}
2024-06-11T09:23:42.008Z INFO mqtt_client
{"broker":"10.0.0.5:1883","topic":"gw/line1/data",
"qos":1,"state":"reconnected"}结构化日志的字段应保持稳定命名，例如统一使用 slave_id、err、rtt_ms，这样在 ELK、Loki 或自建检索系统中才能按字段聚合统计。若格式随意变化，日志就退化为只能人工翻阅的文本。
四、日志生命周期：从产生到销毁
日志不是产生后就永久保存的，它有一条完整的生命周期，工业网关受限于存储和算力，更需要精细管理：
- 产生：业务代码或系统调用写入日志事件。
- 缓冲：先写入内存环形缓冲区，避免频繁磁盘 IO。
- 落盘：按大小或时间滚动写入本地文件，如
gateway.log。 - 轮转：达到阈值后切分并压缩，保留最近 N 个文件。
- 上传：通过 MQTT、Syslog 或 HTTPS 上报到远端平台。
- 归档与销毁：超过保留期的日志被清理，释放空间。
五、日志在故障诊断中的作用
日志在诊断中承担四类核心作用：时间线还原、因果定位、趋势预警、责任界定。当现场报告“数据中断”时，工程师可通过日志按时间排序，观察是采集侧先超时，还是转发侧先断连，从而判断故障发生在哪一段链路。
下面这张图展示了工业网关日志从产生到支撑诊断的完整数据流与关键节点：
六、案例：一次 Modbus 采集中断的日志复盘
某产线网关报告“1 号 PLC 数据中断 5 分钟”。查看日志发现：
09:23:41 ERROR modbus_master slave_id=7 err=timeout retry=3
09:23:44 WARN modbus_master slave_id=7 rtt_ms=2800
09:23:47 ERROR modbus_master slave_id=7 err=timeout retry=3
09:23:50 INFO mqtt_client state=reconnected
09:23:52 ERROR forward_service queue_full drop=128时间线显示：Modbus 从站先超时，重试耗尽后采集进程阻塞，转发队列积压并丢包，MQTT 重连只是结果而非原因。根因是 COM2 链路干扰导致从站响应变慢。若只看“MQTT 断开”这一条日志，极易误判为网络问题。
七、常见误区与改进建议
- 误区一：日志越多越好。DEBUG 全开会导致磁盘写满、CPU 升高，反而掩盖真实故障。应按需开启。
- 误区二：只记录结果不记录上下文。缺少 slave_id、链路、重试次数等字段，日志无法定位。
- 误区三：时间不同步。网关与平台时钟偏差会导致多设备日志无法对齐，必须启用 NTP。
- 误区四：本地日志无轮转。应配置大小与时间双阈值轮转，并设置保留上限。
掌握日志的定义、级别、格式与生命周期，并理解它在诊断中的时间线与因果价值，才能让工业网关从“黑盒设备”变成“可观测系统”。日志不是附属功能，而是故障诊断的第一手证据链。