2. MTTR 核心指标拆解：四个阶段与日志检索依赖分析
MTTR（Mean Time to Repair，平均修复时间）是衡量故障恢复效率的核心指标。在日志检索工程中，MTTR 的优化直接决定了故障发现、定位、修复与验证的速度。为了精准优化，必须将 MTTR 拆解为四个独立的子阶段，并分析每个阶段对日志检索能力的具体依赖。
2.1 MTTR 四阶段定义与时间占比
MTTR 并非单一指标，而是由四个连续的子阶段构成。每个阶段的时间消耗不同，对日志检索的依赖程度也各异。下表展示了各阶段的定义、典型时间占比及核心目标。
| 阶段 | 英文缩写 | 定义 | 典型时间占比 | 核心目标 |
|---|---|---|---|---|
| 故障发现 | MTTI | 从故障发生到被监控系统或人工感知的时间 | 15% - 25% | 缩短感知延迟，避免故障扩散 |
| 故障定位 | MTTK | 从感知故障到确定根因的时间 | 40% - 60% | 快速缩小排查范围，锁定根因 |
| 故障修复 | MTTF | 从确定根因到完成修复操作的时间 | 15% - 25% | 执行修复动作，恢复服务 |
| 故障验证 | MTTR | 从修复完成到确认服务恢复正常的时间 | 5% - 10% | 验证修复效果，确认无副作用 |
关键洞察：MTTK（故障定位）通常占据 MTTR 总时间的 40%-60%，是优化日志检索能力的主战场。日志检索的准入门禁设计应优先服务于缩短 MTTK。
2.2 各阶段对日志检索的依赖分析
日志检索系统在 MTTR 的每个阶段都扮演着不同角色。以下从数据采集、索引、查询、可视化四个维度，分析各阶段的具体依赖。
2.2.1 MTTI（故障发现）阶段
- 依赖点：实时日志流处理、异常模式识别、告警规则匹配。
- 日志检索要求：秒级延迟的日志写入与索引，支持基于阈值的实时告警。
- 典型场景：错误日志出现频率突增、响应时间超过 P99 阈值、特定错误码连续出现。
- 准入门禁要求：日志必须携带时间戳、服务名、错误等级等结构化字段，且写入延迟不超过 5 秒。
2.2.2 MTTK（故障定位）阶段
- 依赖点：全文检索、字段过滤、关联查询、链路追踪日志关联。
- 日志检索要求：支持复杂查询语句、毫秒级查询响应、跨服务日志关联。
- 典型场景：通过 TraceID 串联上下游日志、按时间范围 + 错误等级 + 服务名组合过滤、聚合统计错误分布。
- 准入门禁要求：日志必须包含 TraceID、SpanID、请求参数等上下文信息，且索引覆盖所有关键字段。
2.2.3 MTTF（故障修复）阶段
- 依赖点：变更日志、配置日志、操作审计日志。
- 日志检索要求：快速检索历史变更记录、对比修复前后的日志模式。
- 典型场景：确认最近一次配置变更、回滚操作后的日志验证、修复脚本的执行日志。
- 准入门禁要求：变更日志必须与业务日志同索引，且保留至少 30 天历史。
2.2.4 MTTV（故障验证）阶段
- 依赖点：实时日志监控、指标对比、错误率趋势。
- 日志检索要求：实时查询修复后的日志流，对比修复前后的错误率曲线。
- 典型场景：确认错误日志消失、响应时间回归基线、业务成功率恢复。
- 准入门禁要求：日志检索系统需提供时间序列聚合能力，支持分钟级粒度对比。
2.3 MTTR 四阶段与日志检索依赖关系图
下图展示了 MTTR 四个阶段的串联关系，以及每个阶段对日志检索核心能力的依赖。箭头表示时间流向，节点内标注了各阶段的关键依赖。
2.4 各阶段日志检索能力要求对比
下表从查询延迟、数据新鲜度、查询复杂度、存储周期四个维度，对比 MTTR 各阶段对日志检索系统的差异化要求。
| 维度 | MTTI（发现） | MTTK（定位） | MTTF（修复） | MTTV（验证） |
|---|---|---|---|---|
| 查询延迟要求 | 秒级（< 5s） | 毫秒级（< 500ms） | 秒级（< 10s） | 秒级（< 5s） |
| 数据新鲜度 | 实时（< 3s） | 近实时（< 30s） | 近实时（< 1min） | 实时（< 5s） |
| 查询复杂度 | 简单规则匹配 | 复杂组合查询 + 关联 | 精确检索 + 历史对比 | 聚合统计 + 趋势分析 |
| 存储周期要求 | 7 天 | 30 天 | 90 天（含变更日志） | 7 天 |
准入门禁设计提示：MTTK 阶段对查询延迟和查询复杂度的要求最高，是日志检索系统性能瓶颈的集中体现。准入门禁应优先保证 MTTK 场景的查询性能，例如强制要求关键字段索引、限制全表扫描查询、禁止无 TraceID 的日志写入。
2.5 日志检索准入门禁与 MTTR 的映射关系
基于上述分析，可以建立日志检索准入门禁与 MTTR 各阶段的直接映射。准入门禁的每一项规则，都应明确其服务的 MTTR 阶段和预期效果。
- 字段完整性校验 → 服务 MTTI、MTTK：确保告警和查询所需字段存在。
- 索引策略规范 → 服务 MTTK：保证复杂查询的响应速度。
- TraceID 强制注入 → 服务 MTTK：支撑跨服务链路追踪。
- 日志分级与采样 → 服务 MTTI、MTTV：平衡实时性与存储成本。
- 历史保留策略 → 服务 MTTF：确保变更日志可回溯。
通过将准入门禁与 MTTR 阶段绑定，可以在迭代优化时明确优先级：优先解决 MTTK 阶段的瓶颈，其次优化 MTTI 的实时性，再逐步完善 MTTF 和 MTTV 的支持能力。