日志平台丢数据，从采集端开始逐段排查

日志丢了别猜，从源头一段段对：应用是不是真写了这条日志（本地文件里直接 grep）、采集 agent 有没有读到（看 agent 自身日志和 offset）/传输链路是否限流或断开、最后存储端的查询条件对不对。最常见三个原因：应用用异步日志且缓冲区没落盘就被 kill、采集端把多行堆栈按行拆散、以及日志平台有保留期，超期查不到。

grep '关键字' /var/log/app/app.log
tail -n 100 /var/log/filebeat/filebeat
# 再核对采集端记录的 offset 是否停在某处不动