批量分诊
一批告警聚类、评分、排序，每簇给出一条可执行建议。处置状态跨设备保存；按规则统计误报率并给出降噪建议。需要许可。
批量分诊对一批告警聚类、评分并排序，是付费能力。本页说明输入来源、结果表、自动分诊与降噪建议。
输入
| 来源 | 说明 |
|---|---|
| 从索引拉取 | 选择索引（默认告警索引 notable）、可选 SPL 过滤片段、时间窗、最多条数（默认 100） |
| 粘贴 | 一批告警的 JSON 或文本 |
| 从其他页面送来 | 首页的送去分诊、实时告警页的升级到分诊、自动分诊的一批（URL 带 ?run=） |
agentic 引擎对每个簇执行一次只读 SPL 查看历史与影响面（[agentic] tools_triage，大批量慢时可单独关闭）。1.9.0 实测 100 条聚成 2 簇约 35 秒。
结果
顶部为 KPI（簇数、最高级别、疑似误报占比）和分布图，下方为簇表：
| 列 | 说明 |
|---|---|
| 簇 | 规则加主体（rule_id、subject_field、subject_value），簇内告警 id 与首末时间 |
| 级别 | Critical、High、Medium、Low、Info，附理由 |
| 建议 | 一条可执行的处置 |
| 处置 | 下拉：待处理、处理中、已确认、误报、已忽略。状态保存在 KV store（copilot_state），跨设备可见 |
| 动作 | 调查（对该簇代表告警的完整调查）、写回 ES（整簇）、升级（发送通知） |
保存此次分诊把批次存入历史，可回看和对比。模型对证据不足的告警标记为证据不足，不强行给出级别。
自动分诊
告警动作 copilot_autotriage 出现在 Splunk 的 alert action 列表中。任何 saved search 触发时可把结果直接送分诊，结果写入 copilot_triage_results。实时告警页顶部显示最近几批和挂了该动作的规则数，去批量分诊带 run 参数打开对应批次。
降噪建议
页面顶部的降噪建议按规则汇总最近 30 天（[noise] days）的处置：分诊处置、copilot_state 的状态、ES notable 的 status 与 disposition（有 ES 时）。FP 率不低于 60% 且总量不少于 10（fp_rate_threshold、min_alerts）的规则排最前，列出 Top 主体和各自的误报占比。
对一条规则选择建议后给出三类卡：
| 类型 | 内容 | 减少量的计算 |
|---|---|---|
| 阈值 | 修改 where count > N | 新旧 SPL 各在真实数据上执行 | stats count，差值为预计减少 |
| 抑制 | alert.suppress 字段加周期 | 只对带 _time 分桶的规则可测；聚合型标记为不可测 |
| 排除 | NOT src IN (...)，只建议误报占比高于 80% 的主体 | 同阈值。排除放在字段产生之后（rex 后用 | where） |
应用（管理员）修改 saved search，修改前备份到 KV store；行上的已降噪、撤销可回滚。Splunk Free 许可不支持 alert.suppress*，该环境下应用抑制类被拒绝。规则名须与 saved search 名一致才能应用；交互式分诊中 rule_id 退到 sourcetype 的簇没有对应的 saved search，只能查看建议。