结账报支付超时，你打开日志搜索，过滤 ERROR，输入 payment provider timeout，只命中一条。那是一次超时，还是唯一活着走完全程的那次超时？作者指出，日志搜索展示的是到达索引的东西，不是应用写下的东西。中间隔着采集代理、解析器、过滤器、缓冲区和搜索集群，每一环都能延迟、拒绝或丢弃一行而不让应用知道。他做了一个能在浏览器里运行的模拟器，把管线拆成六张卡片：来源、采集（Fluent Bit）、处理（解析与过滤）、缓冲（有界队列）、索引（三个主分片）、搜索，每一步推进一个阶段，并在下面用生成、缓冲、索引、拒绝、丢弃五个计数器记账。核心结论是一条守恒律：生成的东西要么在队列里，要么被过滤、拒绝、索引或丢弃——如果你无法解释「已发送」与「可搜索」之间的差额，就不能相信一个空的搜索结果。