基线对比：让故障智能体拥有正常状态参照

在运维故障排查中，人的核心思路往往是对比：现在和正常的时候比、故障节点和健康节点比、当前配置和基线配置比。但绝大多数 Agent 故障排查流程，缺少这个关键能力。fix-system-agent 当前大多只拿到故障现场的孤立数据，没有“什么是正常”的参照标准，只能依靠内置经验规则去猜测异常，很容易把正常波动识别成故障，或是把偏离基线的异常当成默认常态。

前面几篇我们依次完善了工具权限、参数校验、失败降级、证据链隔离，解决了执行安全与推理信息污染问题。本篇向上延伸到诊断能力本身：引入系统基线，建立标准化的对比框架，让 Agent 可以基于差异而不是孤立指标判断问题。

当前存在的痛点

1. 无基线参照，单样本推断极易误判
   Agent 只采集故障主机当前状态，不知道该服务、该节点的正常范围。例如 Nginx 连接数 800，是高负载还是日常常态，没有基准，只能靠模糊的 prompt 阈值判断，误报、漏报概率很高。
2. 基线形态单一，缺少多维度基线分类
   很多方案只简单保存一份静态配置基线，忽略动态指标基线、同集群对等节点基线、历史时段基线。静态配置正常，不代表运行时状态正常。
3. 基线和证据库相互独立
   基线数据没有纳入证据体系，对比结果不能变成带置信度的证据，无法参与后续假设推演，对比只是一次性输出，不能串联进整条证据链。
4. 基线漂移无法识别
   集群持续迭代、配置分批变更后，基线本身慢慢漂移。Agent 拿着过时基线做对比，会产出大量无效差异，干扰排查。
5. 差异缺少分级，全部差异同等对待
   配置注释变更、日志时间戳这类无害差异，和监听端口丢失、进程参数变更这类高危差异混在一起，Agent 难以优先聚焦高风险项。

基线数据分类模型

我们把基线划分为四类，统一存储并绑定资源标识（host、service、cluster）：

1. 静态配置基线
   文件原始配置、服务 unit 配置、内核参数、防火墙规则。变更频率低，版本化管理，每一次变更保留基线版本。适合对比配置篡改、误修改。
2. 常态指标基线
   CPU、内存、连接数、QPS、延迟、错误率等时序指标。不固定为一个定值，保存分时段的统计分布（均值、P95、上下阈值区间），支持工作日/周末、业务高低峰区分。
3. 对等节点基线（集群基线）
   同角色、同规格、同机房健康节点的实时状态。适合分布式场景：单实例异常，但集群其余节点表现一致，差异就是强故障信号。
4. 历史快照基线
   该节点自身历史健康快照，也就是故障发生前最近一次正常会话采集的证据快照。适合单点独立主机，没有对等节点的场景。

每条基线元数据包含：基线类型、绑定资源、生成时间、有效期、最后校验时间、基线来源（自动采集/人工确认）、置信度标签。

基线对比流水线

基线对比作为一种特殊诊断动作，嵌入到 Agent 的排查流程中：

1. 匹配基线
   Agent 采集当前现场数据后，系统根据资源标签自动匹配对应基线；优先使用同集群对等基线，其次历史快照基线，最后静态配置基线。基线不存在时，标记基线缺失，提示对比不可用，避免强行对比。
2. 结构化差异提取
   不直接返回大段 diff 文本，对差异做结构化解析：

• 新增项 / 删除项 / 修改项
• 差异路径、旧值、当前值
• 差异风险等级：低（注释、空白、无害格式）、中（非核心参数调整）、高（监听端口、权限、核心开关）
• 差异是否在允许变更白名单内

3. 差异证据入库
   对比结果生成一条特殊的 fact 类型证据，加入证据链，携带 diff 详情、风险等级、基线版本、对比时间。Agent 后续推理可以直接引用“与基线存在高风险差异”这个事实，用来生成假设。
4. 差异过滤与摘要
   自动过滤白名单内允许变动的字段，压缩低风险差异，优先向模型推送高风险差异摘要，减少 token 浪费。

核心原则：基线对比不是直接判定故障，而是产出差异证据；最终根因推断依然由 Agent 基于多条证据综合判断。

与已有模块联动

• 证据链管理模块：对比结果作为一等公民证据，可以被引用、过期、标记冲突、纳入假设分支；基线本身也作为只读证据存入证据库；
• 参数语义校验 & 权限网关：基线采集任务同样走工具校验和权限管控，采集基线的操作单独分配只读权限；
• 失败降级机制：基线拉取失败时按 A 类瞬态故障处理，重试失败后标记基线不可用，Agent 自动降级为无基线模式排查；
• 上下文快照：快照同步绑定当前使用的基线版本，复盘时可以复现当时用哪一份基线做的对比；
• 可观测链路：新增指标：基线对比次数、高风险差异数量、基线缺失次数、基线漂移告警。

基线漂移治理

基线不是一成不变的，需要配套基线更新策略，避免基线老化失效：

1. 人工确认更新：运维审核变更后，手动触发基线刷新，置信度最高；
2. 静默自适应（受控开关）：长时间稳定、多次验证无故障的新状态，在测试环境可以自动更新常态指标基线；生产环境默认关闭自动更新；
3. 基线版本保留：每次更新保留历史版本，支持回退到旧基线重对比；
4. 基线健康巡检：定期校验基线对应的资源是否还存在，下线资源自动归档基线。

工程取舍

• 基线存储轻量化：静态配置基线做版本diff存储，时序指标基线保存分位数区间，不存储全量原始时序；
• 可开关设计：支持会话级别关闭基线对比，适合临时变更、压测等不需要基线校验的场景；
• 区分“参考基线”和“强制标准”：基线是诊断参考，不是硬阻断规则，不利用基线直接阻止工具执行（安全拦截依旧交给权限网关和语义校验）；
• 差异化阈值：测试环境基线容忍度更高，生产环境差异风险分级更严格。

后续扩展方向

• 差异学习：沉淀历史差异库，自动识别已知无害变更，自动归类常见风险差异；
• 根因关联：把基线差异和历史工单根因关联，给出差异对应的排查建议；
• 预基线采集：故障发生前定时后台采集集群基线，故障发生时可以立刻取用，不占用故障排查窗口时间。

小结

孤立的数据很难判断异常，差异才是故障最好的信号。基线对比给 fix-system-agent 补齐了“正常状态参照”这一环，把模糊的经验判断，转化为可追溯、可分级、可融入证据链的结构化差异事实。
至此整套体系又往前补齐诊断层：安全层（权限网关）→入参约束（语义校验）→异常收敛（失败降级）→推理可信（证据隔离）→诊断参照（基线对比）。