33. 平台运行与日常维护

完整版章节。内容按 2026.10 主线代码核对；具体入口以当前许可、账号权限和交付环境为准。

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章面向平台管理员、运维人员，以及需要了解平台运行方式的租户管理员。内容包括：如何判断平台是否正常、控制面与数据面的边界、网关节点与入口维护、智能体运行管理、部署配置、平台日志、备份恢复与系统更新、应急停用、运行参数调优和多节点高可用。读完后，你可以把日常巡检、维护窗口与故障止血写进自己的运维手册。

关于停机与全局影响：本章涉及停机、重启、切换的操作会影响正在使用平台的成员与调用方。执行前请确认影响面（谁受影响）、停机时长（可接受多久）、验证方式（怎么确认恢复），并在维护窗口内执行。

平台有两套管理界面：租户管理员使用的「管理后台」，以及平台管理员使用的「平台控制台」。平台控制台的侧栏依次是「平台首页」「租户」「运行监控」「网关」「扩展」「平台账号与登录」「通知渠道」「集成与导出」「系统维护」。

33.1 判断平台是否正常

适用场景：值班交接、每日巡检，或收到「平台是不是出问题了」的询问。

操作步骤

1. 打开平台状态页 https://<访问地址>/platform-status。该页公开、无需登录，适合放进值班手册或监控大屏。
2. 租户管理员登录管理后台，查看「运行总览 › 总览」的数据面指标与最近告警。
3. 平台管理员进入「平台控制台 › 运行监控」的「总览」页签，查看部署本身的状态。

你会看到

• 平台状态页按组件列出 24 小时探活时间线（数据库、权限服务、容器运行时、身份认证、模型网关、数据分析、对象存储等，按部署实际包含的组件显示），绿色为健康，红色表示该时段不健康。
• 运行总览给出网关耗时、实时并发与请求结果分布。时间范围过大时，部分卡片提示「这个时段的数据量太大，请缩短时段」，切到 24 小时即可显示。
• 「运行监控 › 总览」顶部是请求速率、首字延迟 P99、拒绝率与入库最老积压四个关键数，下方依次是：
• 网关容量：容量基线与当前积压；
• 正在告警：平台当前正在发生的告警，点一行查看详情；
• 网关节点、控制面进程：按实例列出状态、请求/秒、在途、拒绝率、处理器与内存等，点一行进入实例详情；
• 依赖：平台数据库、分析数据库、对象存储等的状态与响应耗时。

注意：控制台打不开时，部署管理员可在主机上执行 zenova status 查看各服务状态，执行 zenova doctor 做一次自检。「运行监控」选「最近 1 小时」这类滚动时段时自动刷新，也可以点「刷新」立即读取。

33.2 控制面与数据面的职责边界

适用场景：规划维护窗口；或控制台打不开而业务仍在运行，需要判断属于哪类故障。

控制面以主备方式运行，主实例通过 45 秒租约维持身份，超期后由其他副本接管。控制面不可用期间，网关节点继续按最近一次下发的配置处理调用，已签发的 API 密钥照常可用，因此短暂重启控制面不会中断网关调用。分析数据库不可用时，调用也继续转发，调用明细在本地保留，恢复后补写。

注意

• 「控制台打不开」与「调用不通」是两类故障：前者通常不影响网关调用，后者一定影响业务。报障时先分清。
• 员工对话、文件、知识库与智能体运行依赖控制面；控制面切换期间，这些功能会短暂不可用或变慢。
• 数据面能脱离控制面运行的前提是节点上已有可用配置；从未成功连接过控制面的新节点不具备这个能力。
• 产品不给出统一的 RTO、RPO 承诺值。切换时间与数据丢失量取决于部署拓扑与数据库方案，以客户环境的演练结果为准。

33.3 网关节点与入口

适用场景：新增节点分担流量、节点维护、入口地址与证书变更。

入口：平台控制台 › 网关。页面分「入口与证书」「节点」「运行参数」「出口与代理」「性能测试」页签；节点的运行数据在「运行监控 › 总览」的「网关节点」中查看（见 33.1）。

扩容（添加节点）

1. 在「节点」页签点「添加节点」，填写节点名、地址、地域、回连地址与安装方式。
2. 点「创建并生成安装命令」，在目标主机上以管理员身份运行该命令。安装命令 24 小时内有效。
3. 节点上线后，在「更多操作」中选择「加入入口池」。加入前平台会先做入口自检，通过后节点才开始承接公开访问地址的流量。

排空与退役

1. 在节点详情选择「排空」：节点停止接收新请求，等待进行中的请求（含流式响应）、回传积压与本地暂存清空。期间可随时「取消排空」。
2. 同时由网络管理员把该节点从 DNS 或负载均衡器中摘除。
3. 排空完成后选择「退役」。退役后节点的实例身份全部作废，需要时重新添加节点。

其他操作：「离开入口池」让节点不再承接新流量、已有连接不受影响；「轮换实例密钥」在节点在线时自动换用新密钥，期间请求不受影响；「编辑网络」「编辑运行参数」随配置下发，节点在线时数秒内生效。

注意

• 「强制退役」只用于已离线、确认不再恢复的节点：它会立即吊销节点的全部实例身份，并永久丢弃尚未回传的请求记录，需要输入节点名确认。
• 只有从未上线的节点可以「删除」；已上线的节点请先退役。
• 节点离开入口池、排空或离线时，控制面会标记状态并告警，但不会自动修改 DNS，也不提供虚拟 IP 漂移；摘流由负载均衡器基于 /readyz 完成，或由运维调整 DNS。
• 排空要等在途流式响应结束，长连接场景下可能耗时较长，安排维护窗口时把这段时间算进去。
• 对外访问地址与入口端口在「系统维护 › 部署配置」中维护（见 33.6）；网关域名的生效状态，租户管理员可在管理后台的「网关域名接入」页查看（该页不在侧栏中：在「运行总览 › 会话」打开一场会话，会话详情的网关提示条显示「本会话没有经过网关的请求。……」时，点提示条上的「查看接入方式」进入）。

33.4 健康检查与优雅上下线

适用场景：为负载均衡器配置探测，或安排节点滚动重启。

注意

• /readyz 只在网关节点的监听端口上提供，经控制台地址访问会落到控制台页面，负载均衡器应直接探测节点端口。
• 节点停机分两段：先摘流量，/readyz 返回未就绪、负载均衡器停止派发；再关闭接入，新请求以 503 gateway_draining 拒绝（提示 1 秒后重试），等流式响应完成后退出。
• 滚动重启时，对每个节点依次执行「排空 → 重启 → 入口自检 → 加入入口池」，确认恢复后再处理下一个；事后可在「运行总览 › 请求」核对操作前后各 10 分钟的请求结果。

33.5 管理智能体运行

适用场景：智能体无响应、配置变更后需要重新下发，或运行时版本升级期间需要控制节奏。

入口：管理后台 › 智能体 › 智能体运营。

你会看到：列表列出智能体、工作区、节点、运行时、服务状态、升级状态与创建时间；运行时版本落后时标注「运行时落后」。点开一行进入「智能体详情」，分「概览」「身份」「运行时」「最近错误」「事件」几个区，可看到所有者、模型、副本、重启次数、最近重启、停止原因、运行镜像等信息。

可执行的动作

标准处理步骤

1. 用搜索框按智能体名称定位，查看「服务状态」「运行时」与「最近错误」。
2. 先查看生命周期事件，再决定重新下发配置、重启或停止。
3. 执行动作后点「刷新」，等待状态稳定。
4. 用对话发送一条最小请求，确认智能体恢复正常回复。

运行时版本升级：平台分批把智能体更新到新的运行时版本时，页面顶部显示「运行时版本升级进行中」卡片，列出目标版本与进度。

• 用「同时升级上限」控制并发影响面，修改后约 30 秒内生效，无需重启服务；
• 连续失败触发保护时，状态变为「已自动暂停」；排除原因并适当降低上限后，点「恢复升级」继续。

注意

• 按钮的成功提示只表示指令已下发，不表示智能体已恢复服务；以服务状态和真实对话结果为准。
• 重新下发配置后，运行中的任务可能仍使用原配置，新任务使用新配置；修改后同时验证长任务与新任务。
• 停止时平台会停止接收新的任务回合，并尝试取消正在运行的模型调用、工具与子任务；外部调用已经产生的业务结果不会因停止而自动撤销。

33.6 维护部署配置

适用场景：修改对外访问地址或入口端口、调整资源容量、配置对象存储与归档存储、设置运维通知或链路导出。

入口：平台控制台 › 系统维护 › 部署配置。

操作步骤

1. 找到要修改的配置项，点「修改」，填写「新值」。页面会说明保存后的影响，例如「保存后控制面会重启，期间控制台暂时不可用，网关请求不受影响」。
2. 保存后页面提示「已保存，正在让新值生效」。
3. 等待提示「『配置项』的修改已生效，已重启 N 个服务」。

你会看到：生效失败时页面提示「修改未生效，已恢复原配置」，原配置保持不变。修改入口监听的管理端口后，当前页面所在地址会失效，页面给出「生效完成后请访问 <新地址>」与「前往管理入口」。

注意

• 涉及域名变更时，先核对 DNS、TLS 证书及单点登录回调地址白名单；这些外部配置由部署方维护。
• 「使用现有服务」的依赖由客户自行维护，本页不提供它们的凭据轮换。
• 显示「不支持在线修改：请备份后按新的选择重新安装，再恢复数据」的配置项，只能通过重装改变。
• 升级进行中或上一次修改正在生效时，修改按钮不可用，完成后再改。
• 多台应用宿主的部署，访问配置由集群统一发布：页面按「正在检查全部应用宿主 → 正在准备新入口 → 等待外部切换 → 正在切换默认访问地址 → 全部已生效」推进，并显示「已完成 N/M 个应用宿主」；使用独立负载均衡时，需要在外部切换完成后点「确认外部切换完成」。
• 本页底部的「最近一次验收」卡片展示部署验收的检查结果，可点「立即验收」重新执行（见第 36.1 节）。

33.7 查看平台运维日志与日志保留

适用场景：排查平台自身的运行问题，或控制平台日志的磁盘占用。

入口：平台运维日志不在侧栏中，以平台管理员登录平台控制台，在「网关」的「节点」页签打开节点详情，点「查看节点日志」进入。

操作步骤

1. 按级别筛选「调试」「信息」「告警」「错误」或「跟踪」，点一条日志的「查看详情」查看扩展字段与关联标识。
2. 在日志保留区域查看各日志类型的用量与应用状态，核对全局「保留天数」与容量目标。
3. 需要缩短保留策略时，修改后在「确认缩短日志保留策略？」对话框中确认。
4. 需要立即释放空间时，点「清理可立即回收日志」，在确认对话框中点「执行清理」。
5. 在清理历史中核对每次清理的时间、类型、结果（成功、部分成功、失败、无可清理）与回收量。

你会看到：容量区分为「平台按策略清理」与「由组件清理」两类。平台运行日志、分析数据库的系统日志与任务临时日志由平台直接清理；容器输出日志、聚合原始日志、监控数据与链路数据由对应组件按策略后台回收。保存策略后，相关组件会自动重建以应用新策略（状态显示「待自动应用」→「已生效」）。

注意

• 「保留天数」与容量是一组全局目标，不按日志来源分别配置。
• 应用组件保留策略不会重启业务服务，但日志采集或监控查询可能短暂中断。
• 操作审计与安全记录使用独立的留存规则，不参与这里的清理（见第 32.11 节）。

33.8 备份与恢复

适用场景：升级前留底、定期备份、迁移到新主机，或从故障中恢复数据。

入口：平台控制台 › 系统维护 › 备份与恢复。

你会看到：页面顶部说明当前版本与备份目录的可用空间，以及「备份包含平台数据库、分析数据库、本机对象存储与安装状态；只能恢复到同一版本」。备份列表列出创建时间、版本、包含内容、大小、发起人与操作。

备份

1. 点「立即备份」，页面提示「备份已开始，完成后会出现在列表中」。
2. 在任务进度中查看当前步骤（准备、平台数据库、分析数据库、对象存储、安装状态、校验），完成后备份出现在列表中。
3. 需要异地保存时，在该行点「下载」，把备份文件转存到组织认可的存储；迁移到其他主机时，在目标主机上点「上传备份」上传 .zbackup 文件。

恢复

1. 部署管理员先在主机上用命令行停止控制台服务。
2. 在备份行点「恢复」，阅读提示「将用备份覆盖本机数据。恢复期间控制台服务会停止，备份之后写入的数据将丢失」，输入确认词 RESTORE，点「开始恢复」。
3. 页面显示「正在恢复」，期间请勿关闭页面；完成后提示「恢复已完成」。
4. 恢复后验证登录、对话、文件与知识库、模型调用、操作审计与智能体运行。

注意

• 只能恢复同一版本、同一产品与同一部署形态的备份；不满足时，恢复按钮会给出原因（例如「该备份来自 X 版本，本机是 Y，需先安装为同一版本再恢复」）。
• 使用现有 PostgreSQL 或 S3 兼容存储时，这些组件标注为「未纳入」，请用数据库或存储自身的备份机制，并与平台备份对齐到同一时间点。
• Kubernetes 部署的数据层由集群侧负责备份，本页不提供本机备份。
• 平台不提供定时备份计划。请在运维手册中写明备份频率、保留份数与异地转存方式，并按计划手动执行或由部署方安排；至少在每次升级前备份一次，并定期在隔离环境演练恢复。
• 升级与备份、恢复不能同时进行；删除备份后不可找回。

33.9 系统更新

适用场景：升级到新版本，或启用、停用可选能力（智能体运行环境、知识库、文档解析等）。

入口：平台控制台 › 系统维护 › 系统更新。页面分「当前版本」「升级包」「升级」「升级历史」几张卡片。

你会看到

• 「当前版本」显示版本与部署方式（例如「本机部署 · Linux · x86」），并列出可选能力及其状态：已启用、本机已有未启用、需要获取、许可证未包含此能力。能力包括智能体运行环境、知识库、文档解析、数据高可用等，可在此「启用」或「停用」。
• 「升级历史」列出版本（如「A → B」）、开始时间、操作人、用时、切换用时与结果。

操作步骤

1. 上传升级包：点「选择升级包」上传交付人员带到现场的 .zpkg 文件（上传中断后可「继续上传」）。平台不提供在线获取升级包。
2. 升级前检查：升级包就绪后，页面逐项检查版本顺序、可直接升级的最低版本、平台匹配、磁盘空间、许可证、部署配置、分析数据库、基础设施版本、能力包齐全、数据库变更耗时、网关节点兼容性、网关节点所需节点包齐全等。未通过的项给出原因与处理入口，例如「前往部署配置」「重新检查」。许可证检查未通过时只提供「重新检查」，页面提示由租户管理员在「系统设置 › 全局设置 ›「授权许可」页签」更新许可证；平台控制台不管理许可证。
3. 确认影响：页面说明本次影响。快速切换时例如「控制台切换约 N 秒，期间操作稍慢、不会报错；网关调用不受影响」；需要停机迁移时为「本次需要停机迁移，预计约 N 秒；期间控制台与中心节点的网关调用暂不可用，远端网关节点照常服务」，须在维护窗口执行。
4. 开始升级：点「升级到 <版本>」，输入当前账号密码，点「开始升级」。
5. 观察进度：升级依次经过准备、网关节点滚动更新、控制台切换、界面更新、中心网关更新、能力更新、智能体滚动更新、数据整理、收尾等阶段，页面显示「已完成 N / M」。
6. 验证：结果为「已完成」后，按四项核对恢复：平台状态页全绿、最小模型请求返回 200、未授权密钥仍被拒绝、操作审计记录连续；再发起一次员工对话与一次智能体任务。

结果说明

某一步失败时，可点「重试此步骤」。

注意

• 升级前先在「备份与恢复」中创建备份（见 33.8），记录备份标识。
• 在线网关节点由升级自动逐台更新，且先于控制台切换；任一节点失败时控制台不切换，升级结果为「未成功，已恢复到原版本」并列出失败节点与原因。升级前检查提示「升级包缺少以下在线网关节点所需平台的节点包」时，换用包含这些平台节点包的升级包。
• 跨多个版本升级时，可能提示「需要先升级到中间版本」，按提示获取中间版本的升级包。不支持降级。
• 升级开始后由系统自动完成，期间请勿关闭服务器。页面提示「智能体滚动更新已暂停，确认后可继续」时，先在「智能体运营」中查看失败的智能体（见 33.5），确认后再继续。
• 「升级服务未响应」时，稍后刷新；持续出现时，在服务器上执行 zenova status 查看。

33.10 应急停用

适用场景：密钥泄露、账号异常、上游不可用，或某条规则产生错误拦截，需要立刻止血。

操作步骤（停用一把泄露的密钥）

1. 在「模型分组 › API 密钥管理」搜索密钥名称或前缀。
2. 勾选目标密钥，核对「已选择」数量，点「批量禁用」。
3. 发一次调用确认被拒绝，再到「操作审计」确认出现「API 密钥 · 吊销」记录。

你会看到

• 密钥禁用后，调用返回 403、reason 为 PERMISSION_DENIED，含义是「身份不被允许」而不是「密钥不存在」。
• 关闭模型分组的「发布」后，调用在十几秒内开始被拒，返回 401、message 为 Invalid or expired gateway credentials.。重新打开「发布」后需要等配置下发，通常是分钟级。

注意

• 「批量禁用」点下即生效，操作前务必核对勾选数量。
• 关闭「发布」时调用方看到的错误信息不会说明「服务已停用」，停用后请主动通知调用方；恢复期间用最小请求持续探测，不要反复操作开关。
• 需要「暂停而不作废」某个调用方时，不要禁用密钥，改用流量规则的「拒绝本次调用」（第 26 章）。处置完成后，在运维记录中写下原因、范围与恢复时间。

33.11 运行参数调优

适用场景：限制单次请求的大小、调整限流与超时等运行参数。

运行参数主要通过流量规则的处置动作控制，保存后自动下发，无需重启。限流与排队、超时与熔断的配置见第 26 章；网关节点级的运行参数在「平台控制台 › 网关 › 运行参数」中维护，随配置下发，节点在线时数秒内生效。

示例：设置请求体大小上限

1. 进入「管理后台 › 流量 › 流量规则」，点「新建规则」。
2. 条件限定到目标调用方，例如「调用方 = 某个 API 密钥」且「调用类型 = 模型调用」。
3. 添加处置动作「请求体大小上限」，填写上限（KB），保存并「确认并应用」。

你会看到：超过上限的请求返回 413，未超过的正常返回。填写超出取值范围的数值时，字段标红、「保存规则」不可用，按取值范围改正即可。

注意：上限类参数按调用方生效。建议先用只匹配测试调用方的规则验证，再扩大范围。每次调整记录原值、新值、生效方式与回退值。

33.12 多节点高可用

适用场景：规划高可用部署或上线前的故障演练。

以上操作均由平台管理员或部署方执行。

演练建议（上线前在独立环境完成，记录切换时间与失败请求数）

1. 持续调用时停止一个网关节点，观察摘除时间、失败请求数，以及节点在 120 秒内被判为离线并告警。
2. 停止主控制面，确认约 45 秒后主身份转移，网关调用不受影响。
3. 依次停止控制面、平台数据库、分析数据库，确认网关调用持续成功、/readyz 保持 200。

注意

• 产品不提供网关分组：全部节点接收同一份配置、共用一个入口池；按区域就近接入时，用节点的地域标签、按节点出口策略与客户的 DNS / 负载均衡器调度。
• 不要把 /readyz 的降级态当成故障：与控制面失联但仍按本地配置服务的节点返回 200，此时摘除反而损失容量。

33.13 出口与网络范围

适用场景：网关访问上游模型或外部服务需要经代理出网，或排查某个节点出网异常。

• 出口代理与出口策略按网关节点配置：平台管理员在「网关 › 出口与代理」页签的「出口代理」中新增代理，在节点详情的「出口策略」中按目的地（精确主机或域名及子域名）从上到下配置规则，首条命中生效，都不命中时走「默认出口」（直连或经 SOCKS5 代理）。保存后在下一次配置同步时生效。
• 出口判定：「网关 › 出口与代理」页签的「出口判定」按近 5 分钟真实调用与节点探活，汇总各节点到各出口目的地的状况；某节点到某目的地明显差于其他节点（建连失败率高、首字节偏慢、上游按地区拒绝等）时判为「避开」，该节点不再优先走这个目的地。
• 出口连通性：「运行监控 › 出口连通性」按「总览」「探测目标」「诊断记录」展示各节点到探测目标的丢包与延迟，可对任意目标发起逐跳诊断；页面上的「启用出口探测」开关控制周期性探测。
• 模型供应商表单中的「网络范围」（未分类 / 内网 / 公网）只是标注，不决定出口方式。

注意：代理连接失败、目标连接失败、被出站防护拦截在请求详情中有各自的错误类别；测试失败时请检查代理地址、端口与认证。

能力说明

---

上一章：32. 告警、通知、留存、导出与操作审计 · 下一章：34. 常用配置的维护与变更