这个品类的数据长什么样
本品类数据主要来自SIEM、EDR、NDR及威胁情报源，更新节奏为实时或每日。日常文档包含告警处置单、值班记录、威胁情报通报、日报周报，单份文档字段涵盖告警ID、威胁等级、处置状态、关联IP、上报时间等。其中告警处置单会记录误报标记、处置步骤与最终结果，值班记录包含值守时段、异常事件流转情况，威胁情报通报包含最新的攻击手法与IOC信息。
这些特征在「重排与混合检索」这一环带来什么约束
实时更新的告警数据要求检索响应不能有明显延迟，混合检索需兼顾实时告警与历史处置记录。多源异构数据包含结构化日志与非结构化通报，需要适配不同格式的检索逻辑。告警处置单中的误报标记与威胁等级字段会影响重排优先级，需将已确认误报的文档权重调低。每日更新的日报周报需按时间戳排序，避免陈旧数据干扰当前研判。SOC分析师的检索需求多为快速定位同类告警或历史处置方案，重排需优先匹配告警等级与处置场景。
配置怎么定
本页适用FastGPT v4.17.0版本。
| 配置项 | 建议取法 | 这样取的依据 |
|---|---|---|
| 相似度阈值 | 0.72–0.85 | 过滤低关联度的告警日志与情报通报，避免无关信息干扰研判 |
| 单次搜索上限 | 前10条 | 适配SOC分析师单次研判的信息承载量，避免信息过载 |
| 重排开关 | 开启 | 对召回的告警与处置记录按威胁等级、关联度重新排序，优先展示高优先级内容 |
| 检索模式 | 混合检索 | 结合向量检索与关键词检索，适配结构化日志与非结构化通报的混合数据 |
| 重排模型调用超时 | 300秒 | 避免重排模型响应过慢影响实时告警的研判效率 |
| 结果缓存时长 | 86400秒 | 适配每日更新的日报周报数据，减少重复检索的资源消耗 |
容易做错的三处
- 现象为检索结果未触发重排，知识库测试正常但大模型调用时失效，重排标识为空。原因是大模型调用的检索链未启用重排环节，或重排模型的配置未同步至渠道模型设置。
- 现象为混合检索的结果未按告警等级排序，误报条目占比过高。原因是未配置重排的权重规则，未将告警处置单中的误报标记纳入重排参考维度。
- 现象为商业版部署后，渠道模型仅支持重排模型调用，其他语言模型无法正常使用。原因是未在渠道模型配置中开放对应语言模型的权限，或重排模型的绑定配置覆盖了其他模型的调用链路。
怎么确认配好了
- 进入FastGPT的知识库测试页面，输入包含威胁等级或告警ID的查询词，查看检索结果是否带有重排后的排序标识。
- 查看检索日志，确认重排开关已启用，且重排模型的调用日志存在正常返回结果。
- 调整相似度阈值的取值，观察检索结果的数量变化，验证配置是否生效。
- 模拟SOC分析师的查询场景，输入包含误报标记关键词的问题，确认已标记误报的条目未优先展示。
问题素材取自公开社区提问（2026-09-11 去重 4,834 条）。文中的配置项名称与取值区间需以所用版本的实际界面与文档为准；本页核验日 2026-10-19，文中适用性按 FastGPT v4.17.0 基线讨论；部署前需核对实际版本。