通用监控与自动处置平台

2026-09-29 · 架构设计工作稿；不是实现、部署或生产验收结论。 已确认方向：先建立不依赖具体业务的通用系统，再通过场景包扩展；普通使用者无需理解PromQL；可采用Prometheus作为底层引擎。 本文主讲平台对象、转译、检测、响应与自动处置。业务接入另见鼎味场景包。不新增REQ，不修改原型、业务状态机或Runtime。 文档维护：主架构会话；正式平台、插件、安全和运行负责人须落实，见定案条件D-15。

1. 目标、边界与设计依据

平台在没有零售、设备或某个业务领域知识时也必须成立：接入观察，定义判断，发现需要关注的情况，组织责任，执行获准动作，核验结果。结果可以是异常恢复，也可以是达标后的协作任务完成，不能把所有触发都解释成故障。删除全部专用场景包后，仍能配置一个HTTP探测或通用计数信号，检测条件、通知值班人员、执行获准流程并核验结果。

平台拥有配置、观测接收、评估、告警事件、通知、处置工单和自动化执行记录；不拥有被监控系统的事实与合法状态迁移。监控不是源系统正常流程的替代调度器；自愈调用源系统公开的受控能力，不直接写源数据库。

通用性来自稳定的对象模型和扩展契约，不来自任意SQL、任意脚本或在核心代码里不断增加领域分支。指标目录由数据接入与语义登记产生，不作为推导平台的起点。

参考与取舍：

• 蓝鲸作为采集、监控、路由、自动化协作的能力组织参考，不预设部署整个蓝鲸或承诺其插件可以直接复用。2026-09-29核读官方架构说明、设计理念、代码分层：借鉴独立可复用服务、场景组合和适配边界，不照搬其部署拓扑。上述overview资料不能证明最新版本所有界面行为。
• 蓝鲸标准运维官方说明将流程编排与自助执行分开，提供插件、参数及分支组合。本平台借鉴“维护者编排、使用者绑定参数”的分工，不把整套编排复杂度交给客服；其通用任务的跳过/重试能力不直接成为鼎味资金或履约动作的授权。
• Prometheus将规则评估与告警通知分层，Alertmanager承担归并、静默、抑制和通知等能力，见官方告警概述。本平台仍需自己的策略模型、对象级核验、工单与执行记录。
• Prometheus规则支持持续触发和防抖，见官方规则说明。这些是可采用的引擎能力，不自动满足本平台的来源完整性及恢复验收要求。

2. 逻辑结构与责任

flowchart TD
  U[通用配置界面或场景化引导] --> C[规范策略与版本管理]
  C --> V[类型 权限 成本 依赖校验与试算]
  V --> B[版本化执行计划与发布协调]
  S[指标 日志 事件 探测 外部告警] --> A[接入适配与数据质量]
  A --> E[指标引擎或对象检测器]
  B --> E
  E --> G[评估归一化与告警事件]
  G --> R[响应计划与处置工单]
  R --> N[通知 值班 升级]
  R --> X[获准的自动处置流程]
  X --> T[目标系统受控能力]
  T --> F[回源验证]
  F --> G
  F --> R

这是逻辑责任分离，不要求四个微服务。Platform是横向技术能力，不新增零售业务域。身份权限通过既有Identity接缝取得；密钥使用引用，不进入策略文本、指标标签或通知正文。

3. 核心对象与关系

下列名称是语义模型，不是已冻结的数据库表、HTTP路径或SDK类型。

重要告警必须有可追踪响应记录。通用响应计划可为通知、工单、自动化或其组合；严重级别与风险政策限制允许组合。场景包可要求全部告警自动建单，但内核不把每个普通观察都强制变成工单。

3.1 配置与运行不是同一条记录

查询修订 → 策略修订 → 响应计划修订 → 套餐修订，组成可复用配置依赖；评估 → 触发记录 → 响应实例 → 投递/工单/步骤尝试，组成运行证据链。响应实例固定依赖版本和当时的目标集合。编辑配置不能改写历史实例；删除依赖须检查有效策略和未结实例。

数据类型、检测方式、事件模式、响应方式是四个独立选择轴。累计量不自动意味着“通知备勤”；温度指标也不自动授权调节设备。组合是否成立由能力、类型和权限校验决定，模板仅提供推荐组合。兼容性不能只判断数据源和套餐是否来自同一个场景包。

4. 数据接入与观察完整性

支持拉取指标、订阅事件/日志、主动探测和外部告警接入。每个适配器声明认证、能力、时间语义、分页/游标、重试、速率限制、重复及错误行为；入站观察必须验来源和空间。远程地址受白名单与网络隔离约束，不能通过探测或Webhook访问任意内网地址。

• 指标用受控维度聚合；高基数对象身份放在授权明细/证据索引，非默认时序标签。空间设置序列、查询成本、存储、接入速率与并发配额，超限明确拒绝或降级并告警，不静默截断为正常。
• 区分事件时间与接收时间，声明窗口、水位、可接受迟到、时钟偏差和数据覆盖率。累计量需声明去重、重启/重置与源版本更正行为；事件重放不能二次累计。
• 区分无对象、零值、无数据、过期、连接失败和查询错误。空集合只有在对象清单与数据范围完整时才可解释为零；局部数据不得输出整个范围健康。
• 迟到观察可以补历史，但不能倒转当前事实或重新触发已执行副作用；对乱序按源版本/序列裁决，无法裁决则挂起核验。
• 事件流负责及时感知，周期性回源核对负责查漏。断点、去重和水位持久化；回放默认仅重建观察与评估，不自动重放处置动作。
• 证据包含可核对的对象集合/查询快照引用，必须标明“触发时对象”和“当前对象”的差异。明细查询再次鉴权，不能通过告警摘要泄漏受限身份。
• 数据质量作为独立健康信号。采集失败导致规则不能判断时，原告警不自动恢复，同时产生采集链路问题。

5. 扩展契约：不依赖具体业务

插件登记、审查、测试、发布、停用分别留痕。执行器隔离凭据、网络、资源与运行时间；输入输出校验，日志脱敏。普通使用者不获得任意代码/SQL执行能力；专业自定义扩展也必须经相同注册、审计和安全边界。

场景包安装只登记能力与模板；启用需绑定本空间的数据源、责任和动作授权。升级提供兼容检查与差异预览，既有策略和运行实例固定原依赖版本，不能热替换步骤语义。停用/卸载前盘点有效策略和未决执行，禁止留下悬空依赖；回退包版本也不撤销已发生的外部效果。

6. 规则模型、无代码转译与发布

6.1 双层交互，同一个规范模型

通用配置：对象范围 → 信号 → 条件与组合 → 评估窗口 → 触发/恢复 → 响应。可配置阈值、持续时间、变化、缺失检测、事件匹配和对象期限检查；每种条件须有已验证的检测器能力，不承诺任意表达式都能跨引擎执行。

场景引导：通过场景包提供词汇、模板和默认约束，但保存为同一PolicyRevision。没有场景包也能用通用编辑器完成监控；装入场景包只是降低认知成本，不形成第二个策略事实源。

类型化条件树至少表达：稳定信号引用/版本、目标选择、运算符、单位、窗口、最小样本或覆盖要求、AND/OR分组、触发与恢复条件、无数据策略、时区/日历、严重级别和响应引用。多个信号联算必须声明对齐窗口和关联键，未知采用显式逻辑，不把缺项按false处理。

6.1.1 查询先于判断，不能把接入来源当作唯一查询

查询编辑需要区分以下内容；它们不能合成一个“周期”字段：

信号声明可用的统计函数和精确度。不支持的组合解释原因而非生成看似有效的表达式。对于精确商业订单日累计，优先消费由业务/Analytics按身份去重、带统计日起点和水位的指标；Prometheus increase会处理counter重置并外推区间，可能返回非整数，不能未经验证冒充精确商业单据计数，参见官方函数说明。Prometheus counter重置也不是业务日切。

查询预览返回分组序列、单位、覆盖、水位和受权证据引用。同一QueryRevision用于预览和检测，执行时重新鉴权；历史图可能随迟到数据修订，触发证据快照不随之重写。缺失数据的策略显式配置：未知时阻止依赖该数据的危险动作，可另触发数据质量事件；不是自动补零。

多条件在对齐的对象/分组与时间上求值。未知不能当false；错误保留诊断。即便某个OR分支已足以判断命中，动作所需的对象身份、授权和前置证据仍须完整，不能以逻辑短路绕过安全要求。

6.2 编译与解释

规范策略 → Schema/类型/单位校验 → 权限与目标范围校验 → 数据质量和成本预检 → 引擎能力匹配 → 生成执行计划 → 历史试算 → 影子评估 → 审核发布。

• 生成物绑定策略、依赖、编译器和引擎版本及内容摘要。前台自然语言回读、实际执行计划与命中解释均从同一模型生成。
• 普通使用者无需PromQL。专业人员可诊断生成表达式；若需修改，回到规范模型/受审扩展，禁止另改引擎配置成为隐藏权威。
• 试算展示命中频次、对象、样本覆盖和无数据时段，不承诺历史表现即未来正确。影子评估禁止外部通知、真实工单及自愈副作用。
• 参数超界、空范围歧义、指标过期、未配责任、套餐缺权限、未知单位或不支持语义时阻止相关发布，给出可理解的原因。

6.3 发布一致性与Prometheus接缝

Prometheus为候选时序采集/查询与规则引擎；对象期限检查由独立适配器承担。阈值恢复滞回、来源健康等不能一一映射为PromQL语义时，执行计划须声明补充检测步骤，不把缺失序列视为恢复。

本设计选择平台告警服务拥有事件身份、响应、通知路由和生命周期；不同时运行另一套面向用户的Alertmanager路由。Prometheus输出经评估适配器进入平台；需独立获取评估结果及健康信息并持久化，不能仅依赖可能被静默/归并的通知Webhook获取完整告警历史。未来引入Alertmanager必须明确委托边界与唯一策略权威，避免双重防抖和重复通知；协议验证见D-15。

发布不是“上传配置成功”：先准备并校验全部必需产物，收到引擎加载确认，再以受版本保护的激活代际切换副作用授权。旧代际结果可留档，不得继续产生新响应。部分部署失败保留旧有效计划，新计划不显示生效；激活后依赖失效则标记降级并停止危险自动执行。运行时配置漂移报警，不将外部修改静默回写成用户策略。

回退通过新的激活代际指向已验证旧修订；不删除告警、工单和已执行事实。发布前必须声明已有事件是沿用固定版本还是逐一受控交接；切换期间不能两版同时对同一目标自愈。停用策略停止新检测/处置授权，不把未决事件改成恢复；删除前须交接存量责任。

7. 告警、工单与执行的独立生命周期

以下为本轮语义级约束，尚非可直接生成生产枚举的完整命令合同；精确迁移、错误与竞争测试归D-15。

告警“是否被认领”“是否静默”“是否被关联根因抑制”是独立属性，不改变问题真假。维护窗口可抑制通知；自动处置是否同时禁用必须显式配置，默认不因静默而执行危险动作。抑制须有依赖证据和有效期，不能隐藏互不相关的故障。

持续时间以有效观察覆盖的窗口为依据，不以页面打开时长计时。待触发期间出现来源未知，不能继续累加为“持续异常”；恢复观察遇到未知，不能继续累加为“持续正常”。重启保留已知证据和水位，只有能证明缺口期间连续有效才延续窗口；否则重新建立连续窗口，同时保持已有告警未恢复和数据质量问题可见。

持续异常事件去重键至少包含空间、策略连续性身份、目标/受控维度和异常发生代次；其他模式的身份见§7.1。策略修订与样本时间作为证据，不因每个样本换时间戳而制造新事件。修订交接必须显式维护连续性，不能简单因修订变化重复建单。同事件创建主工单有唯一约束；聚合通知可以关联多个事件，但不得吞掉各对象处理结果。

检测恢复可发生在自愈之外，不证明某套餐产生了效果。自动执行成功必须完成其验收；工单关闭需对应响应计划的完成证据、无未决外部副作用和完整处置结果。故障修复型工单还需源恢复证据；协作型工单需任务完成依据，不要求累计量下降。未知、误报裁决、范围失效不能伪装“已恢复”；允许受权登记误报/退役处置，但保留诊断依据并隔离未结义务，不能用其绕开事实核验。

7.1 三种事件模式与三个不同的“重复”

事件去重、重复提醒、动作重试是不同机制。重复样本不得新建同一事件；重复提醒针对既有未响应实例，受渠道预算约束；动作重试保留原操作身份并遵循UNKNOWN核验。它们不得共用一个“重复间隔”字段。

边沿模式在首次启用时已经命中，默认仅建立基线；若用户明确选择“当前已命中也触发”，发布预览必须列出受影响对象。周期首次模式在启用当期已命中时允许产生该期首次响应，但必须展示预估影响。静默/停用结束后的补发行为必须显式选择，默认不追补历史协作任务；下一次新鲜评估可按当前模式触发，不能回放过期任务。

周期触发身份包含空间、策略连续性身份、模式、范围/分组键、周期ID；去重账必须覆盖迟到/重放保留期。编辑阈值、日历、分组、模式需差异检查：普通修订不清空已触发账；身份语义变化需明确切换与旧责任处理，不能用复制/改版暗中绕过去重。跨策略可能重复动作，仍由§9目标/动作族互斥及响应计划预算约束。

日切后只收到昨日样本：判为当前周期数据缺失，不把昨日216单归入今日。今日计数更正下降：保留已发生通知，追加修正证据；不撤销现实增援，也不重新开放本期首次触发。任务不再需要时按有权撤销流程处理，不能伪造已完成。

8. 通知、值班、工单与升级

响应计划按空间、级别、对象范围、日历、时区和策略选择渠道、值班与套餐。支持站内、即时通信、邮件、短信、电话等连接器能力；具体供应商、成本和启用范围不在本轮预设。

• 分派固定事件发生时适用的排班和路由版本；轮班交接记录发起及接受，旧责任在接收前不消失。没有唯一有效值班人时保留待分派并升级到明确兜底责任，不能丢单或猜测人员。
• 建单、通知和自动执行各自持久意图与结果。建单失败保留原事件和原请求重试；外部工单返回编号后绑定，不换请求身份重复建单。
• 低风险可先自动处置，重要问题可通知与自动处置并行；人工接管与自动执行竞争同一处置权，接管后阻止后续自动写步骤，并核验已经在途的调用。
• 接单、响应、解决预算分别计时。升级沿预设责任链推进，不自动解除原工单；渠道失败触发备用路由，发送成功不等于有人接手。
• 外部工单关闭只是观察，需要平台按关闭门禁核验；不允许外部状态直接写源结果。聚合页按权限读取事件和工单，不产生第三套状态。

8.1 响应方案的可组合性

响应计划分别引用接收人规则、渠道/备用渠道、通知模板、工单模板、套餐版本、响应时限与升级规则。输入绑定来自类型化触发上下文（空间、目标/分组、窗口、数值、证据），不能靠解析中文通知正文传递业务参数。

普通使用者可选择已批准方案并填写范围、责任组、等待预算等允许参数；维护者在独立工作面编排步骤、错误出口与授权。两者操作同一版本化模型，不各维护一份逻辑。套餐兼容按输入Schema、目标能力、动作权限和风险检查；不同场景包的兼容只读能力可复用，同一包内也可能不兼容。

通知、等待响应和建单不是必然串行：可先建单再通知，也可并行。每个分支明确完成、失败、未知、超时出口及汇合条件；只有所有必需义务满足才完成响应。仅通知方案的“投递完成”不等于“问题解决”。重要响应缺责任兜底时禁止启用，不把通知组多人名单等同于有人负责。

手动补发、自动升级和备用渠道竞争时，检查当前响应版本与接单事实，保留每个渠道请求身份；已接单后停止未开始的催接单动作，核对已经发出的通知。外部回执迟到不能把已完成任务退回待接单。策略静默不默认解除既有响应超时责任；若需同时暂停响应，必须独立授权并交代已有义务。

9. 自愈套餐与安全执行

套餐为版本化流程：检查、动作、等待、条件分支、验证、审批、升级。允许有界循环，禁止无预算递归、隐式无限重试或通过套餐自我修改权限。

每版声明输入输出、目标选择、授权主体、风险等级、前置条件、动作连接器版本、幂等与查询协议、并发键、超时、总预算、最大影响范围、失败出口、验收与补偿限制。

1. 先验证再行动：来源新鲜度、有效策略代际、对象当前版本、执行授权、目标数量及套餐完整性全部满足；执行时源系统再次检查自身不变量。
2. 只有一个处置权：相同目标/动作族的人工与自动流程共享受保护的执行权。事件去重不替代动作互斥；租约过期也不证明旧调用未发生，源系统须支持业务幂等或fence。
3. 结果未知先查询：外部超时保存原操作身份，查原请求。无安全查询/幂等能力的副作用进入人工核验，不通过增加重试次数求成功。
4. 中止不是回滚：阻止未开始步骤，检查在途步骤；外部或实物效果只可按已声明能力补偿。不能恢复备份后重做未知动作。
5. 验证独立：命令ACK、任务返回码、目标当前健康分别记录；只有验收条件满足才称自愈成功。验证失败或数据失联保留工单与恢复责任。
6. 控制波及范围：单目标、套餐、空间和全局并发/速率预算；失败率过高可熔断。提供停止自动写操作的紧急开关，不同时停止观察和告警。

风险分级按副作用与可恢复性，不按按钮名称。只读查询也需限流与权限；受控重投递需原目标幂等；高影响动作需授权/复核；未声明风险的动作禁止自动执行。具体批准者与预算待D-15，不生成虚构生产授权。

10. 可靠性、安全与平台自监控

• 平台本地事务保护事件去重、主工单唯一性、激活指针与处置权；跨引擎和外部系统使用持久意图、Outbox/Inbox、幂等、对账，不宣称跨系统exactly-once。
• 评估/工单/步骤都有持久检查点。重启先恢复未决目标和原操作结果，不把未收到回执的工作重置成未执行；失联Worker被fence后不能继续写入。
• 配置编辑、发布、动作授权、值班接手与审计读取分权。异步执行复验服务身份与范围；授权撤回阻止新的越权动作，既有未结义务由显式受限恢复主体接手。
• 空间隔离覆盖数据接入、查询、去重、缓存、路由、凭据、导出和执行。下钻及通知字段最小化，审计追加留存；保留时长与数据删除政策待定，不能删掉尚未结清的执行证据。
• 平台监控自己的采集延迟、规则执行错误、部署漂移、事件处理水位、通知/建单失败、无人接单、自动化队列与权限失效。独立外部探针和备用通知链检查平台失联，不能让同一故障域独占自监控。
• 灾难恢复须恢复配置版本、事件代次、幂等账、工单、步骤和外部请求引用；先与引擎/外部回执核对，再逐步开放自动写动作。容量、HA拓扑、RPO/RTO、保留期及独立兜底人员在D-15定案和演练。

11. 通用工作面职责（不是原型映射）

同一事件的观察、处置、证据适合共享上下文；配置与值班等不同任务独立。页面层次后续按模块设计规则推导，本轮不指定路由、菜单数量或重绘原型。

12. 验证覆盖与实施边界

12.1 不带业务词汇的三种设计推演

这三种推演不需要零售对象、资金语义或业务特判；差异由数据源、信号类型、检测能力、动作连接器和参数表达。此为文档层的通用性反证，尚未搭建三套运行场景。

12.2 覆盖与后续验证

以下是必须通过的设计反例及后续验证要求，本轮仅文档走查，不声称引擎或产品测试通过。

交付顺序：通用模型与协议 → 数据接入/检测 → 告警责任链 → 受控自动化 → 非业务场景验证 → 专用场景包。此为架构依赖，不是REQ/TASK计划或新审批流程。

当前仍缺精确字段/迁移合同、引擎适配验证、容量与隔离测试、运行人员和灾备证据；统一登记D-15。协议冻结前完成语义与能力验证，自动执行上线前完成权限、并发、外部效果和恢复演练。原型的三条状态规则不能作为这些覆盖的替代证据。