直接从Apache access.log提取5xx错误分布需三步：先验证状态码字段位置（默认第9列），再用awk统计5xx频次及占比，最后按路径聚合高频接口并交叉验证error.log定位根因。
直接从 Apache 访问日志（access.log）里提取 5xx 错误的分布，关键不是“全量扫描”，而是快速定位高频状态码、集中路径和异常时段——三者结合才能判断是偶发故障还是系统性问题。
确认日志格式与状态码字段位置
Apache 默认 combined 格式中，状态码在第 9 列（空格分隔）。但若启用了自定义格式（比如加了响应时间 %D 或转发头 %{X-Forwarded-For}i），字段序号可能变化。执行以下命令先验证：
head -1 /var/log/apache2/access.log | awk '{print NF; print $1,$2,$9}'- 若输出显示第 9 列不是纯数字（如为空或含引号），说明格式已变，需改用
awk -F'"' '{print $3}' | awk '{print $1}'提取状态码
统计 5xx 状态码频次与占比
用一行 awk 命令即可汇总所有 5xx 类型及数量，并算出占总请求比例：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
awk '$9 ~ /^5[0-9]{2}$/ {c[$9]++; t++} END {for (k in c) print k, c[k]; if(t>0) print "total:", t, "5xx_ratio:", sprintf("%.2f%", c["500"]+c["502"]+c["503"]+c["504"]+c["505"]+c["5XX"])/t*100)}' /var/log/apache2/access.log- 重点看
500（代码异常）、502/504（网关超时，多见于反向代理场景）、503（服务不可用，常与限流或实例下线相关）
按 URL 路径聚合 5xx 高发接口
知道哪个路径错得多，比知道错了多少次更重要。尤其要区分前端资源路径（如 /static/）和后端 API（如 /api/v1/）：
- 提取最近 1 小时内 5xx 请求的路径：
awk -v d="$(date -d '1 hour ago' '+%d/%b/%Y:%H')" '$4 ~ "\["d && $9 ~ /^5[0-9]{2}$/ {print $7}' /var/log/apache2/access.log | sort | uniq -c | sort -nr | head -15 - 若结果大量集中在
/health、/readyz或/actuator/health，基本可判定上游服务已失联；若集中在/login或/order/submit，则需检查对应业务逻辑或数据库连接
关联错误日志交叉验证原因
访问日志只告诉你“返回了 5xx”，不告诉你“为什么”。必须同步查 error.log 中同一时间点的记录：
- 先获取某条 5xx 请求的时间戳：
awk '$9 == 500 {print $4; exit}' /var/log/apache2/access.log | tr -d '[]' - 再在 error.log 中搜相近时间（允许 ±30 秒偏差）：
grep -A2 -B2 "2026:08:45:22" /var/log/apache2/error.log - 常见线索包括：
Connection refused（后端未监听）、Permission denied（SELinux 或文件权限）、PHP Fatal error（脚本崩溃）、upstream timed out（Nginx/Apache 代理超时）
