Appearance
根因定位时为什么要先排时间线
“根因定位时为什么要先排时间线”之所以难，不是因为工具不够多，而是因为很多团队一看到现象就开始操作，结果把真正的线索提前抹掉了。
在 可观测性治理 里，排障的核心从来不是盲目试错，而是先保留现场，再顺着链路逐层收敛。
先说结论
- 先保留现场，再分层定位，不要一上来就重启把证据抹掉。
- 排障时要把 指标质量、告警有效性和根因定位效率 放到同一张时间线上看，才能更快收敛根因。
- 止血动作和长期治理要分开设计，否则故障很容易反复出现。
一、先判断现象属于哪一层
面对故障现象，第一步最好不是直接下结论，而是先问清楚：
- 这是请求层、进程层、资源层还是依赖层的问题
- 是持续存在，还是在某个时间窗口突然出现
- 有没有和发布、扩容、流量波峰或配置变更同步发生
只有先把现象分层，后面的命令和指标才有意义。
二、排查时优先保留哪些证据
比较有价值的现场通常包括：
- 关键时间窗口内的日志和错误码
- 线程、堆、连接、队列或任务堆积的快照
- 上下游依赖的监控数据
- 最近一次发布、配置变更或流量波动记录
这些材料越完整，根因越容易从“猜测”变成“可验证”。
三、顺着链路做根因收敛
排障时更稳的顺序通常是：
- 先确认是否有明显资源瓶颈
- 再看是否存在慢依赖、重试放大或锁竞争
- 最后再回到业务逻辑判断是否有异常路径被放大
这一步要尽量避免“看到一个异常指标就认为找到了答案”，因为很多二次现象并不是真正根因。
四、止血和长期治理不要混在一起
短期止血更关注恢复服务，例如限流、降级、摘除异常节点、暂停高风险任务。
长期治理更关注避免复发，例如补观测、加保护阈值、收敛配置边界、优化依赖链路。
两类动作最好分开记录，否则很容易出现“这次好了，下次又来”。
一句话总结
根因定位时为什么要先排时间线 这类问题，关键不是谁命令更熟，而是谁能先守住现场，再把 指标质量、告警有效性和根因定位效率 放回同一条时间线里做判断。