常见问题
按症状找原因：页面、模型、许可、权限、结果、集成、性能。
先看三处：App 页面顶部横幅（许可 / 引擎 / 通道的即时提示）、调用审计里那次调用的错误码、index=_internal sourcetype=splunkd component=PersistentScript copilot（handler 的 Python 异常）。
| 症状 | 原因 / 处理 |
|---|
| App 打开是空白或旧界面 | Splunk Web 缓存静态资源，App build 号变了才换。浏览器强制刷新（Ctrl+Shift+R）；升级后没变 build 的话 splunk restart splunkweb |
| 顶部出现 Splunk 自己的「Something went wrong」灰条 | 1.6.0 之前的加载器让懒加载的页面起了两份 React。升到 1.6.0+ |
| 弹窗或下拉点了没反应 | 同上，1.6.0 前的加载器隐藏了弹层。升级 |
| 语言切了不生效 | 切换会刷新页面；AI 输出语言另由 response_language 决定 |
| 症状 | 原因 / 处理 |
|---|
| 「测试连接」失败 | URL 要带版本路径（方舟 …/api/coding/v3，不是 …/api/v3）；key 对该模型无权限；搜索头到端点的 443 不通 |
| 每次调用 30 秒起 | 思考模式没关。AI 配置 → provider 卡 → 思考模式「关闭」；方舟同一提示词 29 s → 5.8 s |
| 某模型一调就 400 | 该模型不认思考参数（方舟上的 kimi / glm / minimax）。1.8.0+ 按模型家族发参数；旧版把思考模式设「跟随模型默认」 |
| 调查 / 平台解读超时 | 一轮工具调用没有上限（< 1.8.0）。升级；或调小 [agentic] max_tool_calls。requests 引擎退回只试一次 |
引擎显示 requests fallback | fallback 包、Splunk < 10.2、或 bin/lib/ 依赖缺失（AI 配置页写明原因）。功能不缺 |
| 输出语言不对 | [llm] response_language：auto 跟浏览器，zh / en 固定 |
llm_error | 模型返回不是 JSON。模型偶尔用单引号 Python 字面量作答，1.7.0+ 已兜底；连续出现换模型或关思考 |
| 症状 | 原因 / 处理 |
|---|
| 激活成功后立刻「绑定到另一台机器」 | 1.6.0 前 phone-home 用了许可里的占位 GUID 算指纹。升级后撤销再激活 |
machine_id_unreadable | 容器没有 /etc/machine-id。启动时写一个固定 32 位十六进制进去（不要每次随机） |
检测规则 feature_sealed 而许可有效 | 许可不含检测，或离线许可签发时没带密钥（--with-keyring），或功能密钥没随激活下发（撤销后重新激活一次） |
| 「宽限期内」 | 24 小时没有成功心跳。检查到 license.reallysec.com:443 的出站；[license_server] url 被 local/ 覆盖过的话改回 |
试用申请 trial_already_requested | 一台主机只能一次（按指纹）。延长找销售 |
试用申请 trial_server_unreachable | 许可服务器不可达或尚未开放自助试用接口 |
| 症状 | 原因 / 处理 |
|---|
所有 AI 请求 forbidden | 用户没有任何 rst 角色（缺 copilot_use）。分配 rst_copilot_viewer 及以上 |
| 按钮点了说「需要分析员 / 管理员权限」 | 档位不够，见角色与权限 |
存为 Report 报 forbidden（1.8.0） | copilot_deploy 整端点被 admin 闸挡住。升 1.8.0 验证修复版及以上 |
平台健康多项 unknown | 用户对 licenser / cluster 等端点无读权限；Free 许可下集群端点 402 |
| 症状 | 原因 / 处理 |
|---|
| 结果永远为空 | 索引白名单没包含目标索引；数据不在时间窗内（卡片给出索引数据范围）；日志原文用词与问法不同（卡片列出放宽条件后的条数） |
| 模型编造字段 / 负责人 | 它不知道本实例有哪些 lookup / 宏。处置手册 → 同步 Splunk 对象 |
| 同一句两次结果不同 | 生成是非确定性的；要固定就把 SPL 复制出来或存为常用查询 |
| 纠错后下一次还是老样子 | 确认条点了「忽略」；或缓存命中（1.9.0 已把知识库命中折进缓存 key） |
| 症状 | 原因 / 处理 |
|---|
| Incident Review 没有「用 Copilot 调查」 | workflow_actions.conf 需要 splunk restart 生效；ES 的 Incident Review 只显示对 event_id 字段有效的动作 |
写回 ES es_not_installed | 这台没有 ES；或 SplunkEnterpriseSecuritySuite 对当前用户不可见 |
部署规则 deploy_rejected: alert.severity | Splunk Free 许可不支持告警。Enterprise 正常 |
| 通道试发失败 | 行内显示通道原话：签名错（飞书 19001）、域名不在白名单、URL 已失效 |
工单 tickets_not_configured / ticket_auth_failed | 对外通道 → 工单系统未配或凭据被拒；本地实例要列进 [tickets] allowed_hosts |
| 定时任务（基线 / KB 同步 / 自动分诊）不跑 | 脚本输入以 splunk-system-user 跑，Free 许可没有这个用户；Cloud 看脚本输入策略 |
| MCP 全 401 / 未响应 | 见 MCP 接入 → 排障 |
1.9.0 真机（火山方舟 ark-code-latest，思考关，agentic）：NL→SPL 5–25 秒（缓存 0.4 秒）、解读 15 秒、检测规则 19 秒、分诊 100 条 35 秒、调查 51–58 秒（9–10 次工具调用）、平台解读 25–32 秒、数据接入生成 21–29 秒。明显慢于这个量级先看思考模式和 [agentic] max_tool_calls。
