version: "1.0.1" name: event-log-analysis description: "Use for поиска ошибок, событий и действий пользователей в журнале регистрации (ЖР) через ClickHouse. Helps локализовать время и контекст сбоя по event-log до обращения к техжурналу." uses_capabilities:

• search_event_log
• logc_get_actual_log_timestamp

Анализ журнала регистрации (Event Log)

ЖР — read-only источник. Сырые записи не включать в вывод без маскирования персональных данных. По умолчанию mode: "minimal".

Для запросов СУБД, блокировок, исключений платформы — tech-log-analysis.

Когда применять

Алгоритм поиска

1. Получить cluster_guid и infobase_guid из cluster_map.yaml.
2. Определить стратегию (см. каскад ниже).
3. search_event_log с нужными фильтрами.
4. Анализ records: event_time, event_presentation, comment, metadata_presentation.
5. При упоминании объекта метаданных — navigate_symbol для перехода к коду.

Каскад фильтрации

1. Сначала — последние записи level: "Error" (без from/to при неизвестном точном времени).
2. Если пусто — повторить без фильтра уровня.
3. Если известно время — сузить from/to до ±15 минут.
4. Если ЖР не даёт ответа — переходить к tech-log-analysis.

Timezone drift: локальное время и ClickHouse могут расходиться; поэтому шаг 1 без временного фильтра надёжнее.

search_event_log(
  cluster_guid: "...",
  infobase_guid: "...",
  from: "2025-02-11T13:00:00Z",
  to:   "2025-02-11T14:00:00Z",
  level: "Error",
  mode: "minimal",
  limit: 100
)

Интерпретация результатов (после тестов / Vanessa)

Сшивка записи ЖР с кодом

После получения event_presentation и metadata_presentation:

1. Если metadata_presentation содержит имя объекта метаданных — вызвать navigate_symbol для перехода к коду.
2. Если в comment упомянут текст ошибки или имя процедуры — выполнить поиск по тексту комментария в codebase.
3. В отчёте указывать конкретный модуль и процедуру (не только имя объекта метаданных). Формат: ОбщийМодуль.ОбработкаОшибок → ЗафиксироватьОшибку().

Correlation id и сессия

Если поле comment содержит идентификатор сессии, HTTP-запроса или correlation id:

1. Извлечь значение и сохранить его в контексте ответа.
2. Явно включить в вывод: session=..., corrId=... или httpReq=....
3. При необходимости дальнейшего расследования передать эти идентификаторы в tech-log-analysis как фильтры (search_tech_log с session/corrId).

Цель — сохранить ключи корреляции для следующего шага, не смешивая анализ ЖР и ТЖ в одном запросе.

Безопасность

• Маскировать ФИО, ИНН, контактные данные в выводе.
• По умолчанию mode: "minimal".
• Сужать from/to до минимально необходимого периода.
• Не запрашивать более 1000 записей при первичном поиске.

Capabilities

Типичные ошибки

depends_on: []