32. 告警、通知、留存、导出与操作审计

完整版章节。内容按 2026.10 主线代码核对；具体入口以当前许可、账号权限和交付环境为准。

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章面向租户管理员、运营、审计人员与平台管理员，覆盖五件事：把调用异常、策略事件与平台运行问题变成能推送到值班群的告警；处置已经触发的告警；决定调用记录留多久；把用量数据导出做对账；查询操作审计、校验完整性并导出审计记录。读完后，你可以搭好一条「规则触发 → 渠道收到 → 有人处置 → 留下记录」的完整链路。

以上页面不对普通成员开放：普通成员直接打开这些地址会被送回成员侧页面，调用审计接口返回 403 PERMISSION_DENIED。

32.1 告警由哪几部分组成

适用场景：第一次为租户配置告警，需要先弄清楚各部分在哪里、按什么顺序配。

租户管理后台的「告警规则」页有四个页签：

告警记录在「管理后台 › 观测中心 › 运行总览 › 告警」中查看。平台运行告警由平台管理员在平台控制台的「运行监控 › 告警」中查看与配置，平台通知渠道及其接收级别在平台控制台的「通知渠道」中维护（见 32.6）。

推荐顺序：先建渠道、订阅「告警」并确认收到测试消息，再启用内置告警或新增规则，最后用一次受控事件演练处置。顺序颠倒时，规则已经触发却没有渠道能收到。

告警发往哪里：规则没有指定通知渠道时，告警发往本租户所有同时满足以下三项的渠道：已启用、已确认收到测试消息、订阅了「告警」事件。规则指定了通知渠道时，只发往指定的渠道。没有满足条件的渠道，或渠道订阅了告警但尚未确认收到时，「告警规则」页与「通知渠道」页签顶部常驻提示，并点名尚未确认的渠道。

32.2 创建并验证通知渠道

适用场景：告警需要发到值班群、值班邮箱或自建接收端。

前提：已取得接收端地址（群机器人地址、回调地址或邮箱）；使用邮件渠道时，平台已在「运行与排障 › SMTP 配置」配好发信服务器。

操作步骤

1. 进入「管理后台 › 运行与排障 › 告警规则」，切到「通知渠道」页签，点「新建渠道」。
2. 填写「名称」，选择「类型」（钉钉、飞书、回调地址、企业微信、邮件）并填写接收地址；邮件类型可选择人员、部门或填写外部邮箱。钉钉与回调地址可填加签密钥，供接收方校验消息来源。
3. 在「事件类型」中勾选该渠道接收的事件，默认只勾「告警」。勾选「告警」即表示该渠道接收本租户的告警。
4. 点「创建」。在该行「⋯」菜单中点「发测试消息」，到接收端确认收到后，在同一菜单中点「确认收到」，验证状态变为「已验证」。从这时起，该渠道开始接收告警。

你会看到

• 列表列出名称、类型、验证状态、最近投递、事件类型、创建时间与操作，名称下方显示掩码后的地址。
• 投递失败会写明原因，例如「失败 · 网络不可达」。
• 可订阅的事件类型共 9 种：告警、配额软超限、配额硬超限、用量日汇总、智能体运行完成、导出完成、预算超限、会话诊断周报、公告。回调地址类型的渠道在「编辑」中还可以订阅审批事件。

注意

• 告警规则的「通知渠道」只列出已启用、已验证并订阅了「告警」事件的渠道；选不到某个渠道时，先核对这三项。
• 取消订阅「告警」或删除渠道后，该渠道不再接收告警，规则也不再指定该渠道；规则因此不再指定任何渠道时，改为发往订阅了「告警」的渠道，规则列表的「通知到」同步变化。
• 回调地址的域名无法解析，或指向回环、链路本地、云元数据等高危地址时，投递直接失败。
• 测试消息成功只说明当时可达。正式启用前，再触发一条真实规则，在接收端与「最近投递」中核对一次。
• 渠道投递失败不会删除告警记录，告警始终保留在平台内可查。

32.3 启用内置告警与预置规则

适用场景：装完平台后，先让护栏命中和模型调用失败有人盯。

操作步骤

1. 进入「告警规则」页签。列表列出「规则」「类型」「状态」「严重级」「通知到」「最近判定」与「启用」开关，可按「类型」（内置、自定义）和「状态」筛选，或搜索规则名。
2. 内置告警只能启停和选择通知渠道：在该行「更多」菜单中点「选择渠道」，勾选渠道后打开「启用」开关。
3. 核对新租户预置的两条规则，按业务量在「更多」菜单中点「编辑」调整阈值。
4. 需要按外部 MCP 调用量或月度费用判定告警时，点工具栏的「容量与预算」，填写外部 MCP 基准 QPS 与月度预算（元）。

你会看到

• 内置告警包括「护栏拦截了一次内容」（护栏规则命中时记录一条告警，覆盖全部护栏类别与入口）、「知识库重排失败，已降级为混合排序」等。
• 预置规则为「模型服务调用失败率高」（模型服务尝试失败率 5 分钟平均值大于 0.2，持续 2 分钟）与「供应商调用失败且无成功」（按模型服务与供应商分组，15 分钟内最新值大于或等于 5），严重级均为「严重」。

注意：告警规则只作用于本租户。「通知到」列写明告警的去向：「指定渠道」后列出规则选择的渠道，「订阅告警的渠道」后列出当前接收告警的渠道；没有可接收的渠道时，告警只在平台内记录，并在「通知」列写明原因。

32.4 新增告警规则

适用场景：策略拦截占比升高、规则执行出错、故障转移变频繁或模型调用失败率升高时收到通知。

操作步骤

1. 在「告警规则」页签点「新增规则」，填写「规则名称」（必填），在「指标」中选择要判定的指标；下拉只列出本租户可用的指标。
2. 指标带有维度时出现「分组维度」。不勾选时按整个租户合并判定；勾选后按所选维度分别判定，每组单独告警。例如策略类指标勾选「策略规则」，每条规则各自判定。比例类指标分组后每组的样本更少，建议同时填写「最少样本数」。
3. 选择「取值方式」并填写「统计窗口」（默认平均值、5 分钟），选择「比较方式」（默认「大于」）并填写「阈值」。所选指标可设样本门槛时（见下方「注意」），「统计窗口」下方出现「最少样本数」，可留空。
4. 填写「持续时长」：条件持续满足该时长后才触发，填 0 表示首次满足即触发。选择「严重级」（「警告」或「严重」），勾选「通知渠道」，点「创建」。

你会看到：新规则创建后即启用，列表中规则名下方显示由指标、统计窗口、取值方式、比较方式与阈值组成的条件；填写了「最少样本数」时，条件末尾注明「统计窗口内会话结束数少于 20 时不判定」这类说明。选择比例类指标时，阈值下方提示「该指标为比例，请填写 0 到 1 之间的小数，例如 0.2 表示 20%。」

常用的策略类指标（均可按「策略类别」「策略规则」分组）：

取值方式怎么选：下拉只列出所选指标支持的方式。计数类指标（如「策略拦截」）可选「增量」「合计」「每秒速率」；「策略拦截占比」这类指标可选最新值、平均值、最大值、最小值与分位数；「模型服务尝试失败率」这类按窗口内总数计算的比例只有「平均值」。多数指标还可选「相对基准的变化比例」，用于判断突增或突降。选它时另填「基准窗口」（不短于统计窗口）；比值是统计窗口读数除以基准窗口读数，「大于 3」表示涨到基准的 3 倍以上，「小于 0.3」表示降到基准的 30% 以下。基准读数很小时比值容易失真，可填「基准下限」排除这类时段：计数类指标按每秒速率填写，其余指标与指标单位相同。

注意

• 统计窗口越短越灵敏，也越容易误报，低流量时段尤其明显：两次调用中一次被拦截，拦截占比就是 0.5。按组计算时更明显，只有 1 次样本的分组占比只能是 0 或 100%。比例类指标建议填写「最少样本数」：统计窗口内的样本数少于该值时不判定，规则显示「无数据」，原因写明「样本数少于设定的最少样本数」；样本持续不足时，已触发的告警按「无数据」结束，不发恢复通知。样本按该指标的分母计数，表单说明中写明计数名称：会话完成率、会话失败率、会话中断率按「会话结束数」，工具调用失败率按「工具调用数」，能力调用失败率、能力调用成功率按「能力调用量」，策略拦截占比、策略执行出错占比按「策略命中」，API 错误率按「API 请求量」，模型分组尝试失败率按「模型分组尝试数」。取值方式为「相对基准的变化比例」时不能设置。其余比例类指标（例如模型调用错误率、故障转移占比）没有「最少样本数」，按单条规则告警时用次数类指标，或拉长统计窗口与持续时长。
• 规则创建后可以修改阈值、持续时长、最少样本数（可清空）、严重级、通知渠道与启停；规则名称、指标、分组维度、取值方式与统计窗口不能修改，需要调整时新建规则。
• 没有选择通知渠道的规则发往本租户订阅了「告警」的渠道。指定的渠道全部停用或尚未确认收到时，告警记为「规则指定的渠道当前不可用」，不会改发其它渠道。

32.5 用模板保存值班基线

适用场景：工作日与节假日的值班要求不同，需要在两套「通知开关 + 阈值 + 渠道」组合之间切换。

操作步骤

1. 在「告警规则」页签勾选若干条自定义规则，点「存为模板」，填写「模板名称」（例如「工作日值班基线」）与「说明」，点「保存模板」。
2. 需要切换时进入「模板」页签，在目标模板行点「应用」。
3. 在「应用模板」对话框中核对摘要，例如「模板共 N 条规则：M 条将变更，K 条将跳过」，以及每条规则的启用、阈值、持续时长、严重级与通知渠道，点「确认应用（N 条）」。

你会看到：应用完成后提示「已应用模板「名称」：更新 N 条规则，跳过 K 条」。规则已不存在、或模板引用的渠道已删除或不可用时，对应条目被跳过。

注意：删除模板不会改动已经应用到规则上的设置。

32.6 静默与查看告警记录

适用场景：压测、变更窗口等已知时段需要暂停外发；或收到告警通知后确认影响、记录处理过程。

静默：在规则行「更多」菜单中点「静默」只静默这一条规则，或在「静默」页签点「新增静默」静默本租户全部规则。选择「静默时长」（30 分钟、2 小时或到指定时间）并填写「原因」。静默期间告警照常记录，但不外发；需要提前恢复时在「静默」页签对该行点「提前结束」。

查看告警记录：在「管理后台 › 观测中心 › 运行总览 › 告警」中按「状态」（正在发生、最近 24 小时已恢复）与「严重级」筛选，点记录进入详情；规则行「更多」菜单的「查看记录」直接打开该规则的记录。

• 列表列出开始时间、告警、状态、最近取值 / 阈值、严重级与通知结果；「通知」列写明「已外发」「已静默，未外发」，或未外发的原因，例如「没有接收该级别告警的通知渠道」「规则指定的渠道当前不可用」。未外发的记录在详情中提供配置通知渠道的入口。
• 平台规则产生的告警在租户的列表中「通知」列显示「平台告警，不经本租户渠道发送」。
• 详情给出本次告警的对象、持续时长、结束原因、同规则触发趋势、状态变化与同规则的其它记录；调用失败类告警另列「主要错误」，可点「查看调用」。
• 在「处理备注」中记录排查过程与处理结果。条件解除后告警自动结束，不需要手动关闭。
• 平台规则产生的告警由平台运维接收，租户不能静默，处理备注也由平台运维填写。

平台侧：平台管理员在平台控制台「运行监控」的「告警」页签处理平台运行告警，页签内分「正在告警」「规则」「静默」三个视图。

平台通知渠道与接收级别：平台告警发往平台控制台「通知渠道」中已启用、已确认收到测试消息并订阅了「告警」的平台渠道。在新建或编辑平台渠道时，勾选「告警」后选择「接收级别」，保存后立即生效：

• 「紧急通知」只能设置在一个平台渠道上，且只支持钉钉、飞书、企业微信或回调地址类型。已有渠道设为紧急通知时，保存会被拒绝并提示占用的渠道，先把该渠道改为其他接收级别；被告警规则指定为通知渠道的渠道不能设为紧急通知。
• 紧急通知应使用独立的接收方。与其它接收告警的渠道使用同一接收地址时，页面顶部提示紧急通知与哪个渠道使用同一个接收方。
• 取消订阅「告警」后，接收级别恢复为「全部告警」。
• 一般告警、严重告警或紧急通知没有可接收的渠道，或渠道订阅了告警但尚未确认收到时，「通知渠道」页面与「运行监控」的「告警」页签顶部常驻提示，平台首页「需处理」同步列出。

注意：外部通知失败不影响告警记录本身，记录始终保留在平台内。

32.7 查询操作审计

适用场景：追查某次配置是谁改的、改了什么；为合规提供操作记录。

前提：许可包含「全链路审计」模块；账号具有审计员或租户管理员角色。

操作步骤

1. 进入「管理后台 › 审计与合规 › 操作审计」。默认显示「最近24小时」，可切换「最近1小时」「近7天」等范围。
2. 在搜索框按操作人、动作或对象搜索；点「＋ 筛选」添加条件，多个条件同时生效。
3. 点击一条记录查看详情。

你会看到

• 列表每行显示时间、操作人、操作、对象、来源（地区与 IP）、结果与变更摘要。
• 详情分两个页签：「变更」以「字段 / 变更前 / 变更后」三列列出每一项修改；「操作信息」显示操作人、时间、对象、来源 IP 与保留期（「在线可查至某年某月某日，之后转入归档」）。
• 智能体的创建、发布、启停，知识库、技能与插件的变更同样记录在操作审计中，可按资源类别筛选。

注意：模型供应商、模型、模型分组、MCP 服务等对象的详情中另有「操作审计」页签，只列出该对象自身的变更。页面地址携带筛选条件，存为书签即可固化巡检视图。

32.8 校验审计完整性与查看归档

适用场景：需要证明审计记录没有被删除或篡改，或按天封存审计与调用日志留档。审计记录按哈希链串联，校验会逐段核对这条链。

前提：归档存储由平台管理员在「平台控制台 › 系统维护 › 部署配置」中配置「审计归档存储桶（不可删除、不可覆盖）」（见第 33.6 节）。

操作步骤

1. 在操作审计页右上角点「归档与校验」。
2. 在「完整性校验」区查看运行状态与最近一次结果；需要立即核查时点「立即校验」并等待结束。
3. 在「归档批次」区按类别查看已封存的批次。

你会看到

• 未配置归档存储时，对话框顶部提示「未配置归档存储，审计记录未封存」，归档批次为空。
• 校验结果为「完整」或「发现问题 · 发现 N 项问题」。全量校验耗时与记录总量相关。

注意：平台按固定周期对新增记录做增量校验，「立即校验」是额外的全量校验，不必频繁执行。结果为「发现问题」时页面给出问题项数量；需要逐项核对时，用「导出审计证据 CSV」导出该时段的记录交平台侧比对。

32.9 导出审计记录

适用场景：向内审、外审或监管提交一段时间内的操作记录。

操作步骤

1. 点「导出历史」查看已生成的 PDF 文件。

你会看到

• CSV 为 UTF-8（带 BOM），可直接用表格软件打开，字段包括 id、timestamp、tenant_id、user_id、action、resource_type、resource_id、outcome、ip_address、request_id、detail 等。
• 导出内容已脱敏：不含密钥明文、密码或令牌；detail 只保留请求路径、状态码与对象标识；护栏命中只记录类型与次数。
• 完整性校验未通过时，「证据 PDF」不会生成，页面提示「生成审计证据 PDF 失败」并说明原因。

注意：每次导出本身也会写入操作审计。未设置时间范围时，CSV 默认取最近 30 天。「导出历史」只列出 PDF 生成任务，CSV 直接下载、不进入历史。需要带签名的文件时，先处理完整性校验问题；CSV 可以先交付并注明签名件待补。

32.10 导出调用与用量数据

适用场景：把调用明细或用量汇总交给财务对账、成本分摊，或同步到企业数据平台。

前提：导出到对象存储或回调地址时，先准备好存储桶或 HTTPS 接收端及凭据。

操作步骤

1. 进入「管理后台 › 审计与合规 › 报表导出」，点「新建导出」，填写「名称」。
2. 在「数据」中选择「完整调用记录」或「用量汇总」。选「用量汇总」时，在「归集方式」中选择逐条明细、按模型、按部门、按用户、按接入凭据或按标签。
3. 在「频率」中选择单次、每天、每周或每月。单次需填写起止日期；定时任务导出前一个周期的数据。
4. 在「去向」中选择「收件箱」「对象存储（S3）」或回调地址，点「提交」。

你会看到

• 列表显示名称、数据、范围、频率、最近一次（状态与行数）、去向与创建时间；定时任务按计划持续执行。
• 失败任务显示「失败」，详情抽屉给出中文原因。
• 用量汇总为 CSV，按归集方式增加维度列；完整调用记录为 NDJSON。
• 新建导出会记入操作审计，归类为「报表导出 · 新建导出任务」。

注意

• 收件箱中的文件有保留期限，需要长期保存时请下载转存，或直接导出到对象存储。
• 大范围导出（数十万行以上）的文件可达百 MB 级，建议按天定时导出或缩小范围；某次导出失败时，先缩小时间范围重试。
• 导出在后台执行，接收端不可用只会使任务失败，不影响业务调用。为渠道勾选「导出完成」事件，可以第一时间知道任务结果。

32.11 日志留存

适用场景：按合规要求决定调用记录与正文留多久，或控制存储占用。数据留存设置对全租户生效，修改前应与审计、安全负责人确认。

操作步骤

1. 进入「管理后台 › 系统设置 › 全局设置 ›「数据留存」页签」。默认正文为「全部留存」，内容与调用记录均为「永久留存」。
2. 选择「正文留存」方式，分别设置「内容留存时长」与「调用记录留存时长」（关闭「永久留存」后填写天数）。
3. 点「保存」，在确认对话框中核对影响后确认。

注意

• 系统默认「全部留存」且「永久留存」，不会自动删除数据，存储容量需按调用量与报文大小规划。
• 缩短留存期后，超期数据由清理任务删除，不可恢复。
• 「按比例留存」只影响正文；调用记录、Token 与费用始终全量记录。
• 数据留存设置对保存之后的新调用生效。
• 操作审计不受数据留存设置控制，在线可查两年，之后转入归档。
• 平台自身的运行日志（平台运行日志、组件日志、监控与链路数据）的保留天数与容量目标由平台管理员维护（见第 33.7 节）。

32.12 核查管理员登录

适用场景：核查某个账号是否在异常时间、异常地点登录过。登录、退出与会话刷新都记录在操作审计中。

操作步骤

1. 进入「操作审计」，点「＋ 筛选」，选择「按操作筛选 = 认证」，列表列出登录、退出、刷新等记录。
2. 再添加「按结果筛选 = 客户端错误」，单独查看失败登录。
3. 点击记录，在「操作信息」中查看完整来源 IP。

你会看到：失败登录记录的详情中，detail 为 {"method":"password","reason":"invalid_credentials"}，操作人显示为「系统」。

注意：失败登录记录不包含尝试使用的账号，因此按账号搜索查不到失败尝试；账号维度的核查以成功登录记录与来源 IP 为准。成员自己的登录历史与设备会话可在个人设置的「账户安全」中查看。

能力说明

---

上一章：31. 问题诊断与处理 · 下一章：33. 平台运行与日常维护