覆盖率与完整率
覆盖率指事件清单中被实际记录的比例，完整率指记录中必备字段非空的比例。为什么分开看：覆盖率靠埋点补齐，完整率靠字段校验与默认值，两者治理手段不同，混在一起看会掩盖真正的问题。
还原时延
从提出调取到给出完整访问链的耗时，是最能反映体系可用性的指标。怎么做：每季度抽一次真实业务问题，记录检索、拼接与核对各环节耗时；时延突然变长通常意味着字段缺失或索引失效。
脱敏漏检与中断
定期抽样检查日志中是否出现未脱敏的敏感内容，统计采集管道中断的时长与次数。为什么重要：脱敏漏检是合规风险，采集中断是证据缺口，两者都不会主动报警，只能靠定期抽样与管道监控发现。
反指标也要看
同时盯日志量增长与主流程时延变化，避免为了记全而拖慢业务。怎么判断：日志量增长而事件覆盖没变，多半是重复采集或调试日志没关；时延上升则要检查写入是否同步、队列是否积压。
目标值别写成承诺
覆盖率与还原时延的目标值，可以写进项目验收标准，但不宜写成对外承诺。原因：指标受文档质量、存储性能与组织配合影响，我方只能保证口径、采集与优化手段；目标值由客户方按举证需要与成本容忍度设定，双方在确认单上分别确认。未达标时先查口径与采集链路，再决定补埋点还是调流程。
适用与不适用
适合谁
- 已上线运行的 AI 应用与部门及其实施团队
- 需要定期汇报审计状况的团队与部门
- 正在做日志成本优化的组织与部门及其实施团队
不适合谁
- 尚无日志体系、尚未上线的项目或演示原型
典型场景
某医药企业的合规问答助手上线后按季度评估日志效果：事件覆盖率、字段完整率、调取还原时延、脱敏抽检结果与采集中断时长。第二季度发现授权变更事件漏记，补齐埋点后覆盖率回升，同时关掉调试日志，写入量随之下降。
可执行步骤
- 按月统计事件覆盖率与必备字段完整率，并列出缺口清单，完成后归档。
- 每季度抽一次真实业务问题，记录从提出调取到完成还原的耗时，并留存记录。
- 抽样检查日志中的敏感内容，按字段统计脱敏漏检的条数、原因与责任环节。
- 监控采集管道的中断时长与写入量异常，定位重复采集来源，由责任人确认。
- 把日志指标与主流程时延放在同一张看板上做趋势对比观察，结果纳入验收。
常见坑
- 只看日志条数增长，以为监控变强了，实际是调试日志没关，真正的事件仍缺记，事后难以补救。
- 从不统计还原时延，调取一次要三天，出事时才发现字段与索引都不支持快速还原，届时补救代价很高。
- 脱敏抽检只做一次就再不复查，字段新增后漏检长期存在，直到审计抽查才暴露，返工成本会上升。
自检与验收清单
- 是否按月统计事件覆盖率与必备字段完整率，并有记录
- 是否记录从提出调取到完成还原的实际耗时，可现场抽查
- 是否按字段抽检脱敏漏检的数量与原因，可逐项核对
- 是否监控采集中断时长与写入量异常波动，并有书面确认
- 是否对比日志写入量与主流程时延的变化，并有验收记录
常见问题
指标要报给谁看？
报给客户方安全负责人与业务负责人，前者关心缺口与风险，后者关心时延与可用性。同一套数据分两栏呈现，避免把技术细节塞给业务；月度例会固定十分钟过一遍趋势即可。
覆盖率要做到多少？
不做数字承诺。可行做法是把事件清单里每类事件标为必需或可选，必需项必须全部覆盖，可选项按风险取舍；目标由客户方按审计要求确定，我方提供统计口径与缺口清单。
日志量太大会影响业务吗？
会，所以要区分审计必需与调试信息。审计事件保留完整，调试日志按级别限制并设保留上限；同时监控写入时延，超过阈值自动降级。记全与性能并不矛盾，前提是分层而不是一刀切。