消息 · 2026-10-18 12:15:46

某园区气体监测后台的搜索日志里出现一条陌生词条:神兽牛牛房卡游戏代理。值守人员第一反应不是点开看,而是先看它落在了哪个检索入口——是点位检索、报警记录检索,还是设备台账里的模糊匹配。
结果很明确:它出现在点位检索框,用户连搜了两次,间隔不到四十秒。第一次返回空,第二次返回的还是空。系统没有报错,但对值班员来说,这已经构成了一个需要判定的小事件。
气体监测后台的点位检索有个特点:允许模糊匹配。好处是运维人员记不全编号时也能找到探头,坏处是任何形近词、谐音词都可能触发一次查询。判定一个词该不该进黑名单,我们内部看三条:
三条都指向同一个结论:这是卡牌类娱乐词误入工业检索框,与监测业务无关。类似情况此前也遇到过,比如有人把游戏房卡相关的词敲进搜索框,误以为这里是某个充值或入口页面。
判定完成后的动作分三层,按影响面从小到大排:
第一层,把「神兽牛牛房卡游戏代理」及同词根变体加入检索前置过滤表。过滤表的作用不是惩罚用户,而是让这类查询直接返回「未匹配到点位,请检查编号格式」的提示,减少无效检索对日志的污染。
第二层,保留该账号的查询记录但不做账号处置。从行为看,这是一次个人误操作,没有持续扫描迹象。贸然冻结账号反而会打断正常的运维登录。
第三层,在周度日志复核里标注该词条,观察两周内是否出现同词根的其他变体。如果出现,再考虑把过滤规则从「精确词」升级为「词根正则」。
有同事提议把所有疑似娱乐词一次性拉黑。我们没有这么做,原因是过滤表本身也需要维护成本。规则写得太宽,可能误伤真实的点位别名——比如某些厂区习惯用简称称呼探头,简称和娱乐词在字面上未必分得清。
更稳妥的做法是让规则跟着证据走:先有日志记录,再有判定结论,最后才落规则。GMG这边的检索日志支持按账号、时间、返回结果数回放,判定时可以直接调出上下文,这也是我们敢于「先观察再落规则」的底气。
这次事件从发现到落规则用了不到一个班次,没有影响任何一次真实报警的接收与推送。对气体监测系统来说,搜索框只是入口之一,真正不能出错的是浓度数据的采集链路与报警触达。把误入词挡在检索层,本质上是在保护这条链路的注意力不被无关信息稀释。
继续读