22. 告警、通知、留存、导出与操作审计

完整版章节。内容按 2026.10 主线代码与运行环境界面核对；具体入口以当前许可、账号权限和交付环境为准。

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章面向租户管理员、运营与审计人员，覆盖四件事：把调用异常变成能推送到值班群的告警；决定调用记录留多久；把用量数据导出做对账；查询审计、校验完整性并导出证据。

告警规则与通知渠道由租户管理员与运营维护；报表导出与操作审计按成员持有的权限显示（3.5.2）；「数据留存」页签属于租户设置，只由租户管理员修改。普通成员访问以上页面会被送回成员侧页面，调用审计接口返回 403 PERMISSION_DENIED。

22.1 告警由哪几部分组成

「告警规则」页有四个页签，告警记录在「运行总览」中查看：

配置顺序：先建渠道、订阅「告警」并确认收到测试消息，再启用内置告警或新增规则，最后演练一次处置；顺序颠倒的后果是规则已触发却没有渠道能收到。

告警发往哪里：规则没有指定通知渠道时，告警发往本租户所有已启用、已确认收到测试消息并订阅了「告警」事件的渠道；规则指定了通知渠道时，只发往指定的渠道。没有满足条件的渠道，或渠道订阅了告警但尚未确认收到时，「告警规则」页与「通知渠道」页签顶部常驻提示，并点名尚未确认的渠道。

22.2 创建并验证通知渠道

适用场景：告警需要发到值班群、值班邮箱或自建接收端。新建渠道的验证状态为「待确认收到」，发送测试消息并确认收到后才能承担真实告警。

1. 进入「管理后台 › 运行与排障 › 告警规则」，切到「通知渠道」页签，点「新建渠道」。
2. 填写「名称」与「类型」（钉钉、飞书、回调地址、企业微信、邮件）及接收地址，邮件类型可选择人员、部门或填写外部邮箱；钉钉与回调地址可填加签密钥，供接收方校验来源。在「事件类型」中勾选该渠道接收的事件，默认只勾「告警」；勾选「告警」即表示该渠道接收本租户的告警。
3. 点「创建」，在该行「⋯」菜单中点「发测试消息」；到接收端确认收到后，在同一菜单中点「确认收到」，验证状态变为「已验证」，该渠道从这时起开始接收告警。

你会看到：列表的列是名称、类型、验证状态、最近投递、事件类型、创建时间与操作，名称下方显示掩码后的地址；投递失败写明原因，如「失败 · 网络不可达」。事件类型共 9 种：告警、配额软/硬超限、用量日汇总、智能体运行完成、导出完成、预算超限、会话诊断周报、公告。

注意：告警规则的「通知渠道」只列出已启用、已验证并订阅了「告警」事件的渠道，选不到时先核对这三项；回调地址受平台出站策略约束，域名不可解析或指向内网受限地址时投递直接失败。测试成功只说明当时可达，正式启用前再触发一条真实规则核对。取消订阅「告警」或删除渠道后，规则不再指定该渠道；规则因此不再指定任何渠道时，改为发往订阅了「告警」的渠道。

22.3 新增告警规则

适用场景：策略拦截占比升高、规则执行出错、故障转移变频繁或模型调用失败率升高时收到通知。

1. 在「告警规则」页签点「新增规则」，填写「规则名称」（必填），在「指标」中选择要判定的指标；下拉只列出本租户可用的指标。
2. 指标带有维度时出现「分组维度」。不勾选时按整个租户合并判定；勾选后按所选维度分别判定，每组单独告警。例如策略类指标勾选「策略规则」，每条规则各自判定。比例类指标分组后每组的样本更少，建议同时填写「最少样本数」。
3. 选择「取值方式」并填写「统计窗口」（默认平均值、5 分钟），选择「比较方式」（默认「大于」）并填写「阈值」。所选指标可设样本门槛时（见下方「注意」），「统计窗口」下方出现「最少样本数」，可留空。
4. 填写「持续时长」：条件持续满足该时长后才触发，填 0 表示首次满足即触发。选择「严重级」（「警告」或「严重」），勾选「通知渠道」，点「创建」。

你会看到：新规则创建后即启用，列表中规则名下方显示由指标、统计窗口、取值方式、比较方式与阈值组成的条件；填写了「最少样本数」时，条件末尾注明「统计窗口内策略命中少于 20 时不判定」这类说明。选择比例类指标时，阈值下方提示「该指标为比例，请填写 0 到 1 之间的小数，例如 0.2 表示 20%。」

常用的策略类指标（均可按「策略类别」「策略规则」分组）：

取值方式怎么选：下拉只列出所选指标支持的方式。计数类指标（如「策略拦截」）可选「增量」「合计」「每秒速率」；「策略拦截占比」这类指标可选最新值、平均值、最大值、最小值与分位数；「模型服务尝试失败率」这类按窗口内总数计算的比例只有「平均值」。多数指标还可选「相对基准的变化比例」，用于判断突增或突降。选它时另填「基准窗口」（不短于统计窗口）；比值是统计窗口读数除以基准窗口读数，「大于 3」表示涨到基准的 3 倍以上，「小于 0.3」表示降到基准的 30% 以下。基准读数很小时比值容易失真，可填「基准下限」排除这类时段：计数类指标按每秒速率填写，其余指标与指标单位相同。

注意

• 统计窗口越短越灵敏，也越容易误报，低流量时段尤其明显：两次调用中一次被拦截，拦截占比就是 0.5。按组计算时更明显，只有 1 次样本的分组占比只能是 0 或 100%。比例类指标建议填写「最少样本数」：统计窗口内的样本数少于该值时不判定，规则显示「无数据」，原因写明「样本数少于设定的最少样本数」；样本持续不足时，已触发的告警按「无数据」结束，不发恢复通知。样本按该指标的分母计数，表单说明中写明计数名称：能力调用失败率、能力调用成功率按「能力调用量」，策略拦截占比、策略执行出错占比按「策略命中」，API 错误率按「API 请求量」，模型分组尝试失败率按「模型分组尝试数」。取值方式为「相对基准的变化比例」时不能设置。其余比例类指标（例如故障转移占比）没有「最少样本数」，按单条规则告警时用次数类指标，或拉长统计窗口与持续时长。
• 规则创建后可以修改阈值、持续时长、最少样本数（可清空）、严重级、通知渠道与启停；规则名称、指标、分组维度、取值方式与统计窗口不能修改，需要调整时新建规则。
• 没有选择通知渠道的规则发往本租户订阅了「告警」的渠道。指定的渠道全部停用或尚未确认收到时，告警记为「规则指定的渠道当前不可用」，不会改发其它渠道。

22.4 启用内置告警、静默与查看告警记录

1. 在「告警规则」页签用「类型」筛选「内置」。内置告警只能启停和选择通知渠道：在该行「更多」菜单中点「选择渠道」，再打开「启用」开关。例如「护栏拦截了一次内容」在护栏规则命中时记录一条告警，覆盖全部护栏类别与入口。
2. 核对新租户预置的两条规则，按业务量在「更多」菜单中点「编辑」调整阈值：「模型服务调用失败率高」（模型服务尝试失败率 5 分钟平均值大于 0.2，持续 2 分钟）与「供应商调用失败且无成功」（按模型服务与供应商分组，15 分钟内最新值大于或等于 5），严重级均为「严重」。需要按外部 MCP 调用量或月度费用判定告警时，点工具栏的「容量与预算」，填写外部 MCP 基准 QPS 与月度预算（元）。
3. 压测、变更窗口等已知时段，在规则行「更多」菜单中点「静默」只静默这一条规则，或在「静默」页签点「新增静默」静默本租户全部规则。选择「静默时长」（30 分钟、2 小时或到指定时间）并填写「原因」。需要提前恢复时在「静默」页签对该行点「提前结束」。
4. 在「运行总览」的「告警」页签按「状态」（正在发生、最近 24 小时已恢复）与「严重级」筛选告警记录，点记录查看详情；规则行「更多」菜单的「查看记录」直接打开该规则的记录。

你会看到

• 告警记录列出开始时间、告警、状态、最近取值 / 阈值、严重级与通知结果；「通知」列写明「已外发」「已静默，未外发」，或未外发的原因，例如「没有接收该级别告警的通知渠道」「规则指定的渠道当前不可用」；未外发的记录在详情中提供配置通知渠道的入口。平台规则产生的告警在「通知」列显示「平台告警，不经本租户渠道发送」。
• 详情给出本次告警的对象、持续时长、结束原因、同规则触发趋势、状态变化与同规则的其它记录；调用失败类告警另列「主要错误」，可点「查看调用」。在「处理备注」中记录排查过程与处理结果。
• 条件解除后告警自动结束，不需要手动关闭。

用模板保存值班基线：在「告警规则」页签勾选若干条自定义规则，点「存为模板」；需要切换时在「模板」页签对目标模板点「应用」，核对每条规则将变更的内容后点「确认应用」。规则已删除或渠道不可用的条目会被跳过。

注意：静默期间告警照常记录，但不外发。平台规则产生的告警由平台运维接收，租户不能静默，处理备注也由平台运维填写。

22.5 查询操作审计

适用场景：追查某次配置是谁改的、改了什么；提供合规所需的操作证据。需要许可包含「全链路审计」模块。

1. 进入「管理后台 › 审计与合规 › 操作审计」，默认「最近24小时」，可切换「最近1小时」「近7天」等。
2. 在搜索框按操作人、动作或对象搜索，点「＋ 筛选」添加条件（多个同时生效），点击记录看详情。

你会看到：列表每行显示时间、操作人、操作、对象、来源（地区与 IP）、结果与变更摘要。详情分两个页签：「变更」以「字段 / 变更前 / 变更后」三列列出每一项修改；「操作信息」显示操作人、时间、对象、来源 IP 与保留期，写作「在线可查至某年某月某日，之后转入归档」。

注意：普通成员访问该页面会被重定向回成员侧设置页，这是权限设计不是故障。模型供应商、模型、模型分组、MCP 服务等详情中另有「操作审计」页签，只列出该对象自身的变更；页面地址带筛选条件，存为书签即可固化巡检视图。

22.6 校验审计完整性与查看归档

适用场景：需要证明审计记录没有被删除或篡改，或把审计与调用日志按天封存留档；审计记录按哈希链串联，校验逐段核对这条链。

1. 在操作审计页右上角点「归档与校验」。
2. 在「完整性校验」区查看运行状态与最近一次结果；需要立即核查时点「立即校验」并等待结束。再在「归档批次」区按类别查看批次。

你会看到：未配置归档存储时，对话框顶部显示红色提示「未配置归档存储，审计记录未封存」，归档批次为空；校验结果为「完整」或「发现问题 · 发现 N 项问题」。全量校验耗时与记录总量相关。

注意：平台按固定周期对新增记录做增量校验，「立即校验」是额外的全量校验，不必频繁执行。结果为「发现问题」时只给出问题项数量，当前版本不提供分片与序号明细及下载；需逐项核对时导出该时段审计证据 CSV 交平台侧比对。

22.7 导出审计证据

1. 在操作审计页设置时间范围与筛选条件。
2. 选择导出方式：「导出审计证据 CSV」（提示「操作记录已导出」后由浏览器下载）、「证据 PDF」（后台生成带签名的证据）、「复制当前可见行 CSV」（只复制当前页）；点「导出历史」查看已生成的 PDF 证据。

你会看到：CSV 为 UTF-8（带 BOM），可直接用表格软件打开，字段包括 id、timestamp、tenant_id、user_id、action、resource_type、resource_id、outcome、ip_address、request_id、detail 等。导出内容已脱敏：不含密钥明文、密码或令牌，detail 只保留请求路径、状态码与对象标识，护栏命中只记录类型与次数。证据 PDF 在完整性校验未通过时不会生成，提示「生成审计证据 PDF 失败」并说明原因。「导出历史」只列出 PDF 证据任务，CSV 直接下载、不进入历史。

注意：每次导出本身也会写入操作审计；未设置时间范围时 CSV 默认取最近 30 天。需要签名证据文件时先解决完整性校验问题，CSV 可先交付并注明签名件待补。

22.8 导出调用与用量数据

适用场景：把调用明细或用量汇总交给财务对账、成本分摊或企业数据平台。导出到对象存储或回调地址时，需先准备好存储桶或 HTTPS 接收端及凭据。

1. 进入「管理后台 › 审计与合规 › 报表导出」，点「新建导出」，填写「名称」。
2. 在「数据」中选择「完整调用记录」或「用量汇总」；选「用量汇总」时在「归集方式」中选择逐条明细、按模型、按部门、按用户、按接入凭据或按标签。在「频率」中选择单次、每天、每周或每月（单次需填起止日期，定时任务导出前一周期数据）。
3. 在「去向」中选择「收件箱」、「对象存储（S3）」或「回调地址」，点「提交」。

你会看到：列表显示名称、数据、范围、频率、最近一次（状态与行数）、去向与创建时间，成功的定时任务持续按计划执行；失败任务显示「失败」，详情抽屉给出可读的中文原因。新建导出会记入操作审计，归类为「报表导出 · 新建导出任务」。用量汇总为 CSV、按归集方式增加维度列，完整调用记录为 NDJSON。

注意

• 收件箱中的文件有保留期限，需长期保存时请下载转存或直接导出到对象存储；大范围导出（数十万行以上）文件可达百 MB 级，建议按天定时或缩小范围。
• 按模型归集的用量导出在个别场景下可能失败，先按天缩小范围重试；持续失败时改按「逐条明细」导出后自行汇总并向平台侧反馈。
• 导出在后台执行，接收端不可用只会使任务失败，不影响业务调用；勾上「导出完成」事件可第一时间知道失败。选回调地址时字段标签显示「回调地址地址」，属文案问题，不影响填写。

22.9 日志留存与归档

适用场景：按合规要求决定调用记录留多久，或控制存储占用。数据留存设置对全租户生效，修改前应与审计、安全负责人确认。

进入「管理后台 › 系统设置 › 全局设置 ›「数据留存」页签」，默认正文为「全部留存」、内容与调用记录均为「永久留存」。选择「正文留存」方式，分别设置「内容留存时长」与「调用记录留存时长」（关闭「永久留存」后填天数），点「保存」。

注意：系统默认「全部留存」且「永久留存」，不会自动删除数据，容量需按调用量与报文大小规划；缩短留存期后超期数据由清理任务删除，不可恢复。「按比例留存」只影响正文，调用记录、Token 与费用始终全量记录。操作审计不受数据留存设置控制，在线可查两年。当前版本不提供日志存储的容量水位告警与写满后的滚动覆盖。

22.10 管理员登录日志

适用场景：核查某个账号是否在异常时间、异常地点登录过。登录、退出、会话刷新都记录在操作审计中，产品不单独提供登录日志页面。

进入「操作审计」，点「＋ 筛选」选「按操作筛选 = 认证」，列表列出登录、退出、刷新等记录；再添加「按结果筛选 = 客户端错误」单独查看失败登录，点击记录可看「操作信息」中的完整来源 IP。

你会看到：失败登录在列表中可见，详情的 detail 只有 {"method":"password","reason":"invalid_credentials"}。

注意：当前版本的失败登录记录不记录尝试的账号，操作人显示为「系统」。因此按账号搜索查不到「有人试图用我的账号猜密码」，只能看到「某个时间有一次密码错误」；账号维度审计以成功登录记录为准。

能力说明

---

上一章：21. 问题诊断与处理 · 下一章：23. 平台运行与日常维护