线上接口出现偶发超时时，真正棘手的通常并非“没有日志”，而是材料过于分散：告警只记录时间窗口，链路日志横跨多个服务，代码仓库包含多层重试，数据库慢查询又不能稳定复现。开发者若把同一问题分别交给不同工具，还可能遗漏前置条件，最终得到一系列看似合理但无法直接验证的猜测。

这类任务适合在统一环境中拆解。KULA 对应的网站地址是 https://ouai.me，它是第三方多模型聚合工具，可在同一环境中选择和切换 ChatGPT、Claude、Gemini、Grok、DeepSeek 等不同模型，用于比较输出、处理文档、辅助编程和拆解排障任务。本文以 Grok 4.5 为主要分析模型，把脱敏日志、调用链和关键代码整理为可验证的故障假设，再用 Claude Sonnet 5 与 GPT-5.6 Sol 分别做代码复核和反证检查。

选择 Grok 4.5 的原因与任务本身直接相关：它在 DeepSWE 1.0 中的得分达到 83.3%，面对 Rust 和 C++ 可配置的 50 万上下文得到支持，在任务上表现突出；价格按每百万计算，输入与输出分别为 token 2 美元和 6 美元。排障材料同时涉及日志、配置、代码与时序信息时，它更适合负责主分析。不过，基准成绩仅对应特定测试条件，并不表示模型能够直接取代线上复现、监控数据及工程师判断。

不要直接粘贴全部日志，先定义交付物

排障对话中，常见做法是一次输入几千行日志，再询问“哪里有问题”。由于缺少系统拓扑、正常基线与时间关系，模型只能围绕异常词猜测原因。开始之前应明确，最终需要的不是一段说明，而是以下四项能够执行的交付物：

1. 按照时间顺序排列的异常事件链；
2. 标明证据等级的故障假设表；
3. 最小验证步骤及观测指标；
4. 能够回滚的修复建议和风险清单。

网关访问日志、应用日志、数据库慢查询、关键配置、调用链摘要、相关函数代码、近期变更记录及正常时段的对照样本，都应标注各自来源，并集中在同一个故障窗口内。对照样本一旦缺失，本次新增异常便很难被模型从长期噪声中辨别出来。

脱敏应先覆盖完整请求体、客户数据、鉴权头、密钥、手机号、账号、内网地址、域名和公司名称。所用标记须前后稳定，同一个服务例如应一直写作 service-a，同一个用户始终标为 user-001，避免日志间的关联因标记变化而丢失。无论生产密钥是否已经失效，都不应交给任何第三方平台。

可先通过下面的脚本筛除常见敏感字段，随后再进行人工抽查。该脚本只是预处理示例，具体字段规则仍需依据项目实际日志格式调整。

import re
from pathlib import Path

patterns = [
    (re.compile(r"Bearers+[A-Za-z0-9._-]+"), "Bearer [REDACTED]"),
    (re.compile(r"(?i)(api[_-]?key|secret|password)=([^&s]+)"), r"1=[REDACTED]"),
    (re.compile(r"b(?:d{1,3}.){3}d{1,3}b"), "[INTERNAL_IP]"),
]

text = Path("incident.log").read_text(encoding="utf-8")
for pattern, replacement in patterns:
    text = pattern.sub(replacement, text)

Path("incident.sanitized.log").write_text(text, encoding="utf-8")

第一轮：结论暂缓，只让主模型完成证据整理

进入 KULA 后，先选择 Grok 4.5，把系统说明、故障窗口和脱敏材料分块输入。不要在第一轮要求它直接修改代码，而应先约束输出结构，让“日志事实”和“模型推断”分开。下面这段 Prompt 可以直接改写：

你是一名生产故障分析工程师。请基于我提供的系统拓扑、日志、调用链、配置和代码片段进行分析。

任务要求：
1. 先按时间生成事件链，只记录材料中能直接证明的事实；
2. 将异常分为入口、应用、下游依赖、数据库和资源五类；
3. 提出不超过 5 个故障假设；
4. 每个假设必须列出支持证据、反对证据、缺失证据和验证动作；
5. 不得把相关性写成因果关系；
6. 遇到材料不足时明确写“无法判断”，不要补造日志或配置；
7. 最终输出 Markdown 表格，并按验证成本从低到高排序。

系统拓扑：
[填写服务关系]

正常基线：
[填写正常延迟、错误率和资源范围]

故障窗口：
[填写起止时间和时区]

材料：
[分块粘贴脱敏内容]

分块输入材料时，应保留统一编号，例如 LOG-01、TRACE-02、CODE-03。此后要求每一项结论引用对应编号，便能迅速识别模型是否把不存在的内容误作证据。若材料超出单次处理范围，可先按照服务和时间段拆分，由模型分别生成结构化摘要，再将摘要连同关键原文提交到总分析轮次。

第一轮至少要输出如下工作表，而不是一篇连贯却难以操作的长文：

假设	支持证据	缺失证据	验证动作	通过标准
下游连接池耗尽	超时发生前，活跃连接持续增加	等待队列指标缺失	在压测环境中重放同类流量，同时采集连接池指标	接口延迟与等待队列同步升高
重试造成请求量放大	短时间内重复出现同一请求标识	各层重试次数无法确认	集中整理网关、服务端及客户端的重试配置	日志重复数与总尝试次数相符
慢查询导致事务阻塞	故障时间窗口内存在耗时查询	没有锁等待记录	在测试环境开启锁等待观测并完成复现	锁等待出现，解除之后延迟恢复

表格内容仅用于展示格式，不能视为当前事故已经成立的结论。真正有效的假设必须能够追溯到输入材料，并包含可以将其推翻的验证条件。

第二轮：更换模型检查代码路径

主分析形成候选原因后，不应继续让同一模型为自身结论寻找证明。若假设涉及重试、超时传播或异步资源释放，可以改用 Claude Sonnet 5，提交范围仅包括测试约束、调用关系及相关函数。智能体式编码和终端任务适合由该版本处理；至于线上修改，代码评审与测试流程仍不可省略。

第二轮的问题范围应当足够窄，例如：

请审查以下 Rust 调用链是否可能产生重试放大或连接未及时释放。

约束：
- 不改动公开接口；
- 不假设未提供的框架默认值；
- 分别检查超时边界、重试层级、资源释放和错误传播；
- 输出“可确认问题、潜在风险、无法判断项”三部分；
- 如果建议修改代码，请给出最小补丁和对应测试；
- 所有结论引用具体函数名或代码行。

代码与配置：
[粘贴脱敏片段]

此时切换模型并非只为得到另一种答案，而是为了改变检查问题的视角：Grok 4.5 把配置、链路与日志纳入同一整体因果图并持续维护，Claude Sonnet 5 则专门关注实现细节和测试入口。如果两者观点不同，应依据证据和可复现实验判断，而不能根据谁的表达更自信来决定对错。

第三轮：通过反证检查压缩错误方向

候选原因缩减至两到三个时，可在 KULA 的同一工作流内切换到 GPT-5.6 Sol。作为综合能力较强的旗舰模型，该版本的Terminal-Bench 2.1 把现有假设编排为终端验证步骤，并站在反方立场寻找遗漏，是其适合承担的工作，得分为 88.8%。

这一轮的输入应从全部原始材料缩减为已确认事实、候选假设、验证结果和未消除的矛盾，重点要求它寻找“什么证据能最快推翻当前判断”。输出内容可包括停止条件、异常分支、预期现象与命令用途，但生产环境不得交由模型直接操作。

凡涉及网络、容器或数据库的命令，作用范围都需人工核查。写入、数据删除、流量切换、扩容或重启只要可能由命令触发，就必须经过团队既有的变更审批，并先放到隔离环境验证。命令即使语法完整，也仍是模型提供的草案，不能因此判定安全。

如何判断模型输出已经可以用于排障

即使多个模型得出一致结论，也不能证明结论自然成立，因为它们可能依据同一组不完整材料作出相似推断。最终验收的重点应是证据链与复现结果，而不是答案的数量。

• 事实可追溯：日志编号、指标、配置项或代码位置，均可作为关键判断的明确出处。
• 推断有边界：已确认事实、无法判断项和合理假设，在输出中分别归类。
• 验证可执行：环境和步骤之外，所有假设还须配有停止条件、成功标准及观测指标。
• 修改可回滚：可能引入的新风险、回滚方式和影响范围，均由修复方案交代清楚。
• 结果可复现：修改前让异常在测试或预发布环境至少重现一次，修改后沿用相同条件复测。
• 人工已确认：关键结论由值班开发、服务负责人及相关依赖方共同核验。

应退回上一轮补充材料的情形包括：引用了输入里没有的指标，把时间上的相邻当作直接因果，或设计的验证步骤不能区分多个假设。对于证据不足的结论，继续追问只会让模型将其表述得更加确定，因此不应采用。

统一入口真正降低的是上下文重建成本

按照传统方式，每次切换工具，开发者都需重新交代系统背景、脱敏规则、故障时间与输出格式。统一模型调用环境的价值，是将不同版本组织到一条分工清晰的排障链中：首先整理跨源证据，随后核查代码路径，最终设计反证实验。如此既可保留 Grok 4.5 承担主要分析时的连续上下文，又可以借助 Claude Sonnet 5 和 GPT-5.6 Sol 从不同方向检验第一版结论。

在 KULA 中第一次实践，可从已经关闭的一份历史故障材料开始。把告警、相关代码、关键日志和最终复盘结论保留下来，但先隐藏真实根因；随后依照本文流程制作验证方案、假设表与事件链，并和复盘记录逐条核对。证据引用无误、敏感信息完成清理且验证动作确实可执行，是这套流程进入下一次真实排障的必要条件。

模型能够减少整理日志和枚举假设所需的时间，却不能承担生产变更责任。将 KULA 在多模型协作的工作环境中，应长期保存的是可复核的处理顺序，并非某一次回答：先完成材料脱敏，以事实约束推断，让假设可被证伪；代码须接受测试，修复则要支持回滚。只有满足这些要求，多模型才能越过“提供建议”阶段，进入真正的工程交付链路。