智能查询
自然语言查询日志。模型生成只读 SPL，试跑后自动执行；结果为空时给出原因和修正方式；对话中的纠错成为知识库约定。
智能查询是首页，所有版本可用，不需要许可。本页说明查询流程、输入选项、结果操作、空结果处理、纠错与多轮追问。
查询流程
| 阶段 | 内容 |
|---|---|
| 理解问题 | 判断索引、sourcetype、时间范围、统计维度。输入框左侧选择索引（可细到 sourcetype）；保留自动时在白名单内选择数据最新的一个 |
| 生成 SPL | agentic 引擎先调用只读工具查看真实字段名和样例值，再写 SPL，以 | head 0 试跑校验语法；requests 引擎按提示词一次生成。只读校验拒绝 delete、collect、outputlookup、sendemail、script、rest 等写命令和外发命令 |
| 执行 | 生成的 SPL 自动执行。stats 类结果为聚合表，事件结果为明细表。卡片头部显示索引、命中数、耗时、可信度自评 |
可信度为高时结果可直接使用；中建议展开核对 SPL；低通常需要换一种问法。
生成过程显示理解问题、生成查询、执行三段进度。一轮中模型最多调用 8 次工具（[agentic] max_tool_calls），超过后用已有证据作答。1.9.0 实测 NL 到 SPL 一般 5 到 25 秒，命中缓存 0.4 秒。
输入
首页空态上方是运营概览四格（今日告警、待处置、分析记录、平台异常）和六类起始问题，每类几条现成问法，选中即发送。
| 项 | 说明 |
|---|---|
| 发送 | 回车发送，Shift+Enter 换行。发送即继续当前会话；换话题选择新话题 |
| 时间 | 问题中的「最近 1 小时」进入 earliest=；没有说明时间时默认按索引数据范围 |
| 解法库 | 卡片标明参考了 N 条已验证解法：同一 index 上问过且跑出过结果的问题作为示例提供给模型，相似度门槛按 embedding 实测校准 |
结果
| 结果类型 | 操作 |
|---|---|
| 聚合表 | 选中一行下钻到该分组的原始事件，返回统计回到聚合表；导出 CSV；列集按索引记忆 |
| 明细表 | 单行解读由模型解释该条日志（日志类型、关键字段、风险） |
| 生成的查询 | 默认折叠在查看生成的查询下：编辑后重跑、复制、在 Splunk Search 中打开、解释这条 SPL（含优化建议）、存为常用查询 |
| 保存到 Splunk | 存为 Report 或 Alert（带 cron 与触发条件），写入 search app 的 saved searches，提示中可直接打开 |
结果下方的操作：解读这批结果由模型总结整批；送去分诊把命中的事件送到批量分诊；正面与负面反馈进入审计，负面反馈的会话可在调用审计中复审。
结果为空
网关区分数据确实不存在与问法或数据的问题：
| 情况 | 表现 | 处理 |
|---|---|---|
| 时间窗不匹配 | 问最近 1 小时，索引最新数据在十天前 | 先查索引的数据跨度：给出范围和改查该范围的按钮 |
| 条件过严 | 多个条件，结果为空 | 逐个放宽条件试跑，列出去掉某条件后的命中数，选中一条按放宽后的条件重跑。典型原因是日志原文用词与问法不同（Failed password 与 authentication failure） |
| 索引选错 | 该索引无匹配 | 在白名单内的其他索引中试同样的条件，选中索引名只查该索引 |
| 多源部分未命中 | 问题涉及多个 sourcetype | 指出哪个 sourcetype 未命中 |
纠错
追问是纠错句时（「不对，登录失败要看 sshd 的 Failed password」），模型把它提炼为一条约定，回复顶部显示确认条询问是否记住该约定。选择记住后写入知识库（来源标记为 correction，关联 index 与 sourcetype），之后每次生成都注入；本轮的 SPL 也按纠错后的版本记到上一问名下。选择忽略则不做任何操作。
约定在处置手册中按来源筛选纠错可查看、修改、删除。
多轮追问
同一会话中继续提问时沿用索引，理解「第一名」「那个 IP」这类指代。会话保存在 KV store，可在其他浏览器继续。左上角会话下拉列出历史，按第一问命名。
脱敏
数据发送给模型前按系统设置的档位处理，包括模型通过工具自行拉取的样例：云端模式 IP 归到 /24（结果中的 10.0.0.x）、邮箱只留域名；私有模式放宽；离线模式不脱敏。