Filtrar, contar e comparar

Em um log grande, a leitura precisa localizar a operação e medir o padrão das falhas. O filtro reduz o material a examinar, a contagem descreve a frequência e a comparação ajuda a encontrar as diferenças relevantes, e cada técnica depende de saber o que representa uma linha, um registro e uma tentativa naquele arquivo.

As expressões regulares básicas

Uma expressão regular descreve um padrão de texto. Alguns exemplos ajudam quando o formato do arquivo é compatível:

• ERRO|FALHA|Exception: procura qualquer um dos termos, com a opção de diferenciar maiúsculas de minúsculas conferida;
• ^2026-10-01 14:3: procura as linhas que começam com esse prefixo, das 14:30 às 14:39 do dia indicado, e o acento circunflexo representa o início da linha;
• \d+: encontra um ou mais dígitos;
• .*: encontra uma sequência de caracteres, e o alcance sobre as quebras de linha depende do mecanismo e das opções;
• \bPED-\d{4}\b: encontra o código PED- seguido de quatro dígitos, com fronteiras de palavra, porque, sem o limite final, o padrão também encontraria o início de um código mais longo;
• \.: encontra um ponto literal, porque o ponto sem a barra vale como curinga no modo de expressão regular.

Outro formato de horário exige outro padrão, e a sintaxe e as opções variam entre as ferramentas. A expressão é testada em algumas ocorrências conhecidas antes de recortar ou de medir o arquivo.

O filtro que não perde a operação

A busca procura o documento, o pedido ou a transação e liga os registros pelo terminal e pela tentativa, quando eles existem. A pesquisa por ERRO localiza as mensagens com essa classificação, mas pode deixar de fora os avisos e as respostas que explicam a sequência.

A combinação do identificador e do termo na mesma linha só funciona quando os dois estão nela. Nos registros de várias linhas, o cabeçalho pode conter o identificador, e o erro aparece abaixo. O filtro localiza o bloco completo, as mensagens ao redor ficam preservadas, e a extração acontece em uma cópia de trabalho.

A unidade da contagem

Antes de afirmar que o erro aconteceu 20 vezes, a contagem define a unidade: as correspondências de texto, as linhas, os registros, as tentativas ou as operações distintas. Essas quantidades podem ser diferentes.

Uma operação com três tentativas, em que cada tentativa gera uma linha de aviso e duas linhas de erro, tem três tentativas e seis linhas de erro, mas é uma única operação. Sem a separação dessas unidades, a frequência parece maior que a quantidade de operações afetadas.

A contagem delimita o período e os terminais e, quando possível, compara as falhas com o total de tentativas ou de operações: dez falhas em dez tentativas descrevem uma situação diferente de dez em mil. Quando o log não tem os campos necessários para essa contagem, a análise diz isso.

O agrupamento das mensagens por tipo

As linhas com o mesmo erro variam no horário, no documento e no terminal, e a remoção direta de duplicadas deixa todas elas, porque o texto completo é diferente. Em um recorte separado, a normalização vem antes da remoção de duplicadas: só os campos variáveis definidos para a comparação são substituídos, como o horário e o identificador da operação. O código de erro e os campos que distinguem a condição continuam. Se os números 1054 e 1062 fossem tratados como variáveis, os erros de coluna desconhecida e de duplicidade cairiam no mesmo grupo.

A contagem de cada grupo e a ligação com os registros originais ficam guardadas. A versão normalizada resume os tipos, e a sequência preservada continua necessária para analisar os horários, as tentativas e o contexto. A ordenação das linhas também fica nesse material separado.

O limite do período

Uma operação iniciada no fim da janela pode terminar depois da coleta, e as operações sem término no recorte não são todas falhas. A contagem separa as confirmadas, as recusadas ou com falha explícita e as de resultado ainda desconhecido, conforme o significado das mensagens do sistema.

Em dez operações, com sete concluídas na primeira tentativa, duas depois de uma repetição e uma sem resultado confirmado, há nove operações com término confirmado e uma pendente de verificação. Esse resumo não informa quantas tentativas falharam sem a leitura do histórico de cada uma. A comparação entre períodos usa a mesma regra de término, a mesma cobertura e a mesma unidade.

A remoção de duplicadas para listar os tipos de erro não apaga a frequência nem transforma as repetições de uma tentativa em operações novas. Sem um identificador confiável, a análise apresenta a contagem que consegue sustentar, como a quantidade de registros de tempo esgotado, e explica por que ela não vira uma quantidade de pedidos afetados.

A comparação entre casos

A comparação reúne operações parecidas, uma que terminou bem e outra que falhou, ou terminais do mesmo ambiente, e examina os campos, as credenciais envolvidas, a ordem das etapas e as respostas. As diferenças ajudam a formular e a testar hipóteses, e dados de negócio diferentes podem produzir resultados diferentes sem nenhuma falha técnica.