SLF4J、Logback 与结构化日志：事件怎样成为可检索证据
日志不是字符串仓库，而是受容量约束的事件协议。
SLF4J 的 官方手册 定义参数化与 Fluent Logging；Logback 的 Appender 手册 说明 AsyncAppender 队列、阻塞、丢弃阈值与刷盘语义。
故障现场：一次支付失败只留下“处理异常”，搜索必须猜类名和文本；高峰期异步队列又丢弃 INFO，最终既无法按 orderId 聚合，也不知道缺口规模。
一次支付失败只留下“处理异常”，搜索必须猜类名和文本；高峰期异步队列又丢弃 INFO，最终既无法按 orderId 聚合，也不知道缺口规模。 先画出事件从业务动作到查询结果的完整路径，逐段记录输入、输出、队列水位、丢弃策略和关联键。最危险的不是显式报错，而是应用成功、遥测静默缺失；缺失必须变成可告警状态，不能用“平台偶尔延迟”长期解释。
权威状态与观测结论必须分开
业务结果码与权威状态是结论，日志只记录决策输入摘要、稳定事件名、关联键和异常链，不能把成功字符串当提交证明。 对每个结论列出反证：字段缺失时还能否区分业务拒绝与系统异常，关联断开时能否从消息或 operationId 恢复，采样后统计是否仍代表总体。信号只能证明其观测窗口内发生了记录，不能证明未记录的事件不存在。
建模主链与边界条件
Call site
在 Call site 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
Level gate
在 Level gate 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
Event fields
在 Event fields 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
Async queue
在 Async queue 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
Encoder / sink
在 Encoder / sink 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
Flush proof
在 Flush proof 阶段固定 owner、输入、输出、失败原因和容量上限。正向用例证明正常状态产生唯一且稳定的证据；反向用例分别删除上下文、制造未知字段、填满队列或扩大标签空间，断言缺口被计数且不会污染业务线程。字段名和结果枚举一旦进入告警与查询就是契约，修改必须兼容迁移。
从用户问题反推信号，而不是从采集能力出发
一条信号必须拥有完整生命周期
基数、体积和保留期是运行时资源
敏感数据和攻击面进入信号设计
用故障注入验证信号而不是看一次漂亮页面
查询、告警与恢复必须共享同一语义
两个 Java 17 模型固定可重复见证
模型不依赖日志平台、指标后端或 Collector，只压缩该主题最关键的状态转换和量化判据。真实工程用 SLF4J、Logback、Micrometer 或 OpenTelemetry 驱动同一不变量。
javac --release 17 -Xlint:all -Werror examples/backend-development/observability/logging-structure/StructuredEventDemo.java examples/backend-development/observability/logging-structure/AsyncQueuePolicyDemo.java
java -cp examples/backend-development/observability/logging-structure StructuredEventDemo
java -cp examples/backend-development/observability/logging-structure AsyncQueuePolicyDemoevent=payment.authorize result=DECLINED orderId=o-17 reason=LIMIT secretPresent=false fields=5
capacity=4 offered=7 kept=5 droppedInfo=2 keptError=1 flushed=5 lossAccounted=true输出变化必须能归因于信号契约、容量策略或业务规格，不能通过删除字段、扩大采样或无限重试吸收差异。
容量、发布与恢复门禁
按事件级别、每请求事件数、平均字节和峰值请求率计算写入带宽；队列占用、丢弃计数、阻塞时间与停机未刷盘数必须自身可观测。 发布前用峰值输入和故障放大系数计算容量，在预发布环境制造后端慢、连接中断和停机，验证业务延迟、遥测缺口和恢复时间。先双写旧文本与新字段，验证解析成功率和事件数量，再让查询迁移到字段；字段稳定后删除文本解析，不能一次改格式让历史告警失明。
门禁同时检查信号存在、语义正确、关联完整、基数受控、敏感字段缺失和故障时可恢复。围绕“每条关键日志拥有稳定事件名、关联键、结果与失败原因，并能证明未因队列压力静默丢失”记录 owner、预算、保留期、告警消费者和最近一次真实发现；没有消费者且不能回答诊断问题的信号应删除，而不是永久堆积。