Simple Log Service:Use the SLS Query Skill for intelligent log query and analysis

Bonnes pratiques pour les invites

La qualité de l'invite affecte directement la précision des résultats de la requête. Une bonne invite inclut les informations suivantes :

• Le nom du projet et le nom du Logstore.

• Une intention claire de requête ou d'analyse. Par exemple, « Analysez la variation de la latence des requêtes d'une période à l'autre et calculez la latence moyenne par minute ».

• La plage de temps de la requête. Par exemple, « les 15 dernières minutes » ou « de 10 h 00 à 11 h 00 le 24 avril 2026, UTC+8 ».

• Le format de sortie souhaité. Par exemple, « renvoyer les journaux bruts », « calculer les 10 premiers », « afficher la tendance par minute » ou « renvoyer uniquement ces champs ».

Pour améliorer l'efficacité des requêtes et réduire les coûts :

• Réduisez autant que possible la plage de temps pour éviter les analyses complètes.

• Spécifiez les noms de champs exacts, tels que status et request_uri, au lieu d'utiliser des descriptions vagues.

• Si vous avez besoin des résultats Top-N, spécifiez le nombre dans l'invite, par exemple « Top 10 ».

Scénario 1 : Interroger les journaux d'erreur 5xx des 15 dernières minutes

Invite

Query SLS Logstore where Project=prod-web and Logstore=nginx-access for requests with status >= 500 in the last 15 minutes, sorted in descending order by time.

Exemple de sortie de l'Agent

Query mode: Index query.
Reason: The user requested raw logs based on a condition, which does not involve aggregation, sorting, analysis, or field projection. The status field is configured with a numeric type index, so a range query can be used directly.

Command executed:
aliyun sls get-logs-v2 \
  --project prod-web \
  --logstore nginx-access \
  --from 1777016700 \
  --to 1777017600 \
  --query 'status>=500' \
  --line 100 \
  --offset 0 \
  --reverse true

Query result:
| Time | status | request_uri | upstream_status | request_time | message |
| --- | ---: | --- | ---: | ---: | --- |
| 2026-04-24 15:59:31 | 502 | /api/order/create | 502 | 1.238 | upstream connect timeout |
| 2026-04-24 15:58:44 | 500 | /api/pay/notify | 500 | 0.412 | internal server error |
| 2026-04-24 15:57:09 | 502 | /api/order/create | 502 | 1.104 | bad gateway |

Conclusion: The 5xx raw logs from the last 15 minutes have been returned in descending order by time. The most recent errors are concentrated in /api/order/create.

Scénario 2 : Trouver les 10 premières API avec des erreurs 5xx

Invite

Find the top 10 APIs with the most 5xx errors in the last hour in the SLS Logstore prod-web/nginx-access.

Exemple de sortie de l'Agent

Query mode: Index query + SQL.
Reason: To find the top 10 APIs with the most 5xx errors, an index query is first used to filter for status codes from 500 to 599. Then, SQL is used to group by request_uri, count the errors, and sort the results.

Command executed:
aliyun sls get-logs-v2 \
  --project prod-web \
  --logstore nginx-access \
  --from 1777014000 \
  --to 1777017600 \
  --query 'status in [500 599] | SELECT request_uri, count(*) AS errors FROM log GROUP BY request_uri ORDER BY errors DESC LIMIT 10'

Query result:
| Rank | request_uri | errors |
| --- | --- | ---: |
| 1 | /api/order/create | 186 |
| 2 | /api/pay/notify | 73 |
.....
| 10 | /api/user/login | 1 |

Conclusion: The API with the highest number of 5xx errors in the last hour is /api/order/create. Its error count is significantly higher than other APIs. Investigate this API and its backend dependencies first.

Scénario 3 : Comparer la tendance de latence de la dernière heure avec la même période de la veille

Invite

In the SLS Logstore prod-web/nginx-access, analyze the change in average latency over the last hour compared to the same period yesterday. Calculate the average value per minute and determine if there are any significant latency anomalies.

Exemple de sortie de l'Agent

Query mode: Index query + SQL
Reason: The request requires aggregating the average latency by minute for both the last hour and the same period yesterday. The results are then aligned by minute to calculate the change and the rate of change.

Command executed (for the last hour):
aliyun sls get-logs-v2 \
  --project prod-web \
  --logstore nginx-access \
  --from 1777014000 \
  --to 1777017600 \
  --query "* | SELECT date_trunc('minute', __time__) AS minute, avg(request_time) AS avg_latency FROM log GROUP BY minute ORDER BY minute LIMIT 60"

Command executed (for the same period yesterday):
aliyun sls get-logs-v2 \
  --project prod-web \
  --logstore nginx-access \
  --from 1776927600 \
  --to 1776931200 \
  --query "* | SELECT date_trunc('minute', __time__) AS minute, avg(request_time) AS avg_latency FROM log GROUP BY minute ORDER BY minute LIMIT 60"

Query result:
| Minute | Current average latency | Average latency (yesterday) | Change | Change rate |
| --- | ---: | ---: | ---: | ---: |
| 2026-04-24 15:00 | 0.132s | 0.118s | +14ms | +11.9% |
| 2026-04-24 15:01 | 0.141s | 0.116s | +25ms | +21.6% |
| 2026-04-24 15:02 | 0.338s | 0.129s | +209ms | +162.0% |
| 2026-04-24 15:03 | 0.351s | 0.131s | +220ms | +167.9% |

Conclusion: The overall average latency in the last hour is higher than the same period yesterday. The most significant increase occurred between 15:02 and 15:03, where the average latency increased by over 160%. Drill down by the request_uri, upstream_addr, or service dimension to identify the source of the increased latency.

Scénario 4 : Poser des questions de suivi basées sur les résultats de la requête

Le SLS Query Skill prend en charge les conversations multi-tours. Posez des questions de suivi basées sur les résultats précédents pour affiner progressivement votre investigation.

Première invite

Trouvez les 5 premières API avec le plus d'erreurs 5xx au cours de la dernière heure dans le SLS Logstore prod-web/nginx-access.

Deuxième invite (suivi basé sur le premier résultat)

Pour l'API /api/order/create, affichez la tendance du nombre d'erreurs par minute pour voir si les erreurs se sont produites de manière soudaine ou étaient uniformément réparties.

Troisième invite (approfondissement supplémentaire)

Affichez les journaux bruts 5xx pour /api/order/create entre 15 h 02 et 15 h 05, et renvoyez les champs upstream_addr et message.

En posant des questions de suivi, vous pouvez passer de statistiques de haut niveau aux journaux bruts pour une période spécifique et identifier rapidement la cause racine d'une défaillance.

Dois-je installer manuellement l'Alibaba Cloud CLI et le plugin SLS ?

Dans la plupart des cas, l'installation manuelle n'est pas nécessaire. Lorsque vous soumettez une demande de requête, l'Agent vérifie automatiquement l'environnement (aliyun version), active le mode IA, définit le User-Agent et met à jour le plugin.

Si l'Alibaba Cloud CLI n'est pas installé ou si la version est obsolète, l'Agent fournit des instructions d'installation ou de mise à niveau. Exécutez les commandes fournies par l'Agent dans votre environnement local pour terminer la configuration.

Comment configurer les identifiants de mon compte Alibaba Cloud ?

Suivez les invites de l'Agent pour configurer les identifiants de votre compte, ou exécutez manuellement la commande aliyun configure. Plusieurs méthodes de configuration des identifiants sont prises en charge, telles que AK, StsToken, OAuth et RamRole. Pour plus d'informations, consultez Configurer et gérer les identifiants.

Les endpoints internes de même région, les endpoints d'accélération et les domaines personnalisés sont-ils pris en charge ?

Oui. Dans votre invite, vous pouvez demander à l'Agent d'utiliser un endpoint spécifique en incluant le paramètre --endpoint <domain_name>.

Que faire si les résultats de la requête sont inexacts ?

Vérifiez et optimisez les éléments suivants :

• Confirmez que l'index est correctement configuré pour le champ de destination et que le type de champ correspond à la condition de requête. Par exemple, le champ status doit être de type long, et non de type texte.

• Spécifiez des noms de champs clairs, des plages horaires et des formats souhaités dans votre invite pour éviter toute ambiguïté.

• Examinez l'instruction de requête renvoyée par l'Agent pour vérifier si la logique est correcte. Utilisez des questions de suivi pour affiner les conditions de requête.

Erreur IndexConfigNotExist

Cette erreur indique que le Logstore de destination ne possède aucune configuration d'index ou que l'index est vide.

Solution : Dans la console Simple Log Service, créez un index pour le Logstore de destination. Une fois l'index créé, attendez que les nouvelles données soient indexées avant d'effectuer à nouveau une requête.

Erreur Unauthorized

Cette erreur indique que le compte actuel ou l'utilisateur RAM ne dispose pas des autorisations nécessaires.

Solution : Accordez les autorisations suivantes au compte actuel :

Erreur ProjectNotExist

Cette erreur se produit généralement si le nom du projet est incorrect, si la région est erronée ou si vous accédez au mauvais endpoint.

Solution : Confirmez les informations suivantes :

• Vérifiez que le nom du projet est correct.

• Vérifiez que la région correspond à la région du projet.

• Vérifiez si votre environnement réseau nécessite un endpoint interne de même région.