采集
仅纳入采集前议定的数据源、时间范围和位置。
01
证据分析流程
事件会规范化为统一时区和时间戳格式，同时保留源时钟元数据和检测到的时钟偏差。
分类
将源日志行解析为带版本的事件结构，并保留原始证据。
关联
对齐应用程序、客户端、网关和基础设施数据源中的相关事件。
复核
向工程师呈现候选和引用证据，由工程师确认或否决每项发现。
事件会规范化为统一时区和时间戳格式，同时保留源时钟元数据和检测到的时钟偏差。
02
可能的数据源
采集前会议定足以回答问题的最小数据源集合。
- 应用程序和基础设施日志、客户端日志和变更记录
- 故障转储、Windows 错误事件、Bridge／Gateway 与服务输出
- 主机、容器、集群和网络事件
03
可行性样本
具有代表性的样本通常足以进行初步可行性评估；我们会在采集前确认所需时间范围和数据源。
具有代表性的样本通常足以进行初步可行性评估；所需时间范围和数据源会在采集前确认。
04
以适当证据进行评测
只有在具备带标签的评测集时，才能与误报审查、证据覆盖率、复核者意见分歧和版本记录一起测量精确率和召回率；没有带标签评测集时，我们只报告证据覆盖率和复核结果，不宣称精确率或召回率。
只有在具备带标签的评测集时才宣称精确率和召回率；否则报告使用证据覆盖率和复核结果。
05
部署按客户数据政策决定
部署位置和模型或供应商按客户数据政策选择，并遵循议定的变更流程运维。
06
操作边界
AI 协助审查证据，不操作生产系统。
- AI 提出或汇总证据；发现由工程师确认。
- 不提供交易信号、策略设计或交易逻辑设计。
- 不执行自主生产环境变更，也不自主判定根因。
- 数据源、保留期限、部署位置和模型／供应商均在采集前议定。
AI 提出或汇总证据；发现由工程师确认。
AI 分析不提供交易信号或策略设计，也不执行自主生产环境变更或自主判定根因。