要通过Nginx网关日志评估后端接口健康分布，须提取upstream_status、status和upstream_addr三类字段，自定义log_format记录上游信息，再按upstream_status与upstream_addr聚合分析错误分布，并结合status联动判定故障类型，识别“健康假象”等关键问题。
要通过 Nginx 网关日志中的错误码评估后端接口健康分布，核心是准确提取、归类和关联三类关键信息：Nginx 返回的 upstream_status（后端真实响应状态）、status（Nginx 对外返回状态），以及 upstream_addr（实际转发的目标后端地址）。仅看 status（如 502/503/504）只能反映网关层问题，无法区分是后端挂了、超时了，还是压根没收到响应。
确保日志格式包含必要字段
Nginx 默认 access_log 不记录 upstream 相关变量。需在 http 或 server 块中自定义 log_format：
log_format upstream_log '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'$upstream_status $upstream_addr $upstream_response_time '
'"$http_referer" "$http_user_agent"';然后在 location 或 server 中启用：
access_log /var/log/nginx/upstream.log upstream_log;
重点关注：$upstream_status（后端返回的真实 HTTP 状态码，如 200、500、404）、$upstream_addr（IP:PORT 或 upstream 名，含重试信息如 10.0.1.10:8000, 10.0.1.11:8000）、$upstream_response_time（可辅助判断超时）。
按 upstream_status + upstream_addr 聚合分析健康度
健康分布不是看“有没有错”，而是看“谁错得多、错在哪”。推荐用 awk + sort + uniq 组合快速统计（生产环境建议接入 ELK 或 Loki）：
- 统计各后端实例返回的错误码分布（例如识别某台机器 500 高发）：
awk '{print $8,$9}' /var/log/nginx/upstream.log | grep "^[45]" | sort | uniq -c | sort -nr
（$8=upstream_status，$9=upstream_addr；只抓 4xx/5xx） - 定位高频失败的 upstream 地址：
awk '$8 ~ /^[45]/ {print $9}' /var/log/nginx/upstream.log | sort | uniq -c | sort -nr | head -10 - 检查是否因重试放大问题：若某请求出现 "500 10.0.1.10:8000, 10.0.1.11:8000"，说明第一次失败后 Nginx 重试另一节点——此时应同时检查两个节点的 upstream_status 日志，而非只盯第一个地址。
结合 status 和 upstream_status 判定故障类型
单靠 upstream_status 不够，需与 Nginx 的 status 联动解读：
- status=502 + upstream_status="-"：Nginx 无法连接后端（网络不通、端口未监听、防火墙拦截）
- status=504 + upstream_status="-"：后端无响应或响应超时（upstream_response_time 接近 proxy_read_timeout）
- status=500 + upstream_status="500"：后端应用主动返回异常（需查其日志）
- status=200 + upstream_status="500"：Nginx 配置了 error_page 或 proxy_intercept_errors，把后端 500 拦截并返回了 200 页面——这是典型的“健康假象”，必须禁用 intercept 或单独监控 upstream_status。
建立轻量级健康看板指标
无需复杂系统，几个 shell + cron 就能跑出日报：
- 各 upstream 地址的 5xx 错误率：
awk '$9 ~ /10\.0\.1\.10:8000/ {s++; if($8~/^[45]/) e++} END {printf "%.2f%%\n", e/s*100}' /var/log/nginx/upstream.log - 过去 5 分钟内 504 出现次数（监控超时突增）：
awk -v d="$(date -d '5 minutes ago' '+%d/%b/%Y:%H:%M:%S')" '$0 ~ d {if($4~/504/) c++} END{print c+0}' /var/log/nginx/upstream.log - 新增：对 upstream_addr 去重端口后统计服务级错误率（如所有 8000 端口视为 service-a），支撑服务维度健康评估。
