🚨 泄漏哨兵：防回退警报器（内存盘 3 图）

场景 1 · 三只哨兵的告警规则（YAML 可直接抄）

恒 0 型用 >0 即报，归零型加一个持续爬升判据，水位型盯占比。

# 告警规则：防回退哨兵（口径来自内存盘口径卡：沙箱跟踪 >0 即报）
groups:
- name: siliang-leak-sentinels
  rules:
  - alert: SandboxSentinelViolated
    expr: max_over_time(siliang_sandbox_tracked_threads{job="siliang_backend_worker"}[5m]) > 0
    for: 5m           # 抓取毛刺容忍 5 分钟，持续非零才是回退
    labels:
      severity: critical
  - alert: DirectorSentinelRising
    expr: deriv(siliang_director_tracked_messages[1h]) > 0
    for: 30m          # 台账持续 30 分钟净增长 = 只进不清
    labels:
      severity: warning

判读收尾：告警触发后第一步是看形态（刺 vs 斜线），第二步对照发布记录，而不是重启。

场景 2 · 哨兵响了：回退排查 SOP

哨兵的价值是"指路"：它直接告诉你哪次修复出问题了。

# 第 1 步：确认是哪只哨兵、哪条线（m108 双线口径）
max_over_time(siliang_sandbox_tracked_threads[5m]) by (instance)
max_over_time(siliang_sandbox_cleanup_tasks_pending[5m]) by (instance)
# 第 2 步：找异常起点时刻，对照发布/合码时间轴
#        异常起点 ≈ 某次发布时间 → 该次改动范围内的清理逻辑逐个核对
# 第 3 步：恢复清理逻辑后，盯哨兵回落归 0（验收）
max_over_time(siliang_sandbox_tracked_threads[5m])
# 判读：回落并贴地 = 修复完成；仍非零 = 没修干净，继续查

场景 3 · H3 水位比：离上限还有几条

登记簿类哨兵要看"占座率"，而不是绝对值。

# 提交结果窗口占座率（上限 1024）
max_over_time(siliang_minimax_h3_tracked_entries{kind="submission_results"}[10m])
  / 1024
# 已释放任务 ID 窗口占座率（上限 4096）
max_over_time(siliang_minimax_h3_tracked_entries{kind="released_task_ids"}[10m])
  / 4096
# 判读：长期 <30% 健康；持续 >80% = 终态没收敛，先查终态逻辑再谈扩窗口

场景 4 · 修复验收单：上线后 30 分钟盯哨兵

泄漏修复的完成标志不是代码合入，是哨兵归位。

# 验收查询：三条哨兵一起盯（上线后观察 30m）
max_over_time(siliang_sandbox_tracked_threads[5m])          # → 应回 0
max_over_time(siliang_sandbox_cleanup_tasks_pending[5m])    # → 应回 0
max_over_time(siliang_director_tracked_messages[5m]) by (kind)  # → 应恢复回落形态
# H3 水位型验收：占座率应从高位回落
max_over_time(siliang_minimax_h3_tracked_entries{kind="submission_results"}[10m]) / 1024
# 验收标准：恒 0 型归零；归零型恢复清空节奏；水位型回落到低位

场景 5 · 每日巡检加入哨兵三问（2 分钟版）

主图谱"每日例行巡检"路径的最后一站就是哨兵——三问走一遍。

# 巡检三问对应的查询
# 问 1：应恒 0 的图有没有非零？
max_over_time(siliang_sandbox_tracked_threads[5m])
# 问 2：贴上限的登记簿有没有降温？
max_over_time(siliang_minimax_h3_tracked_entries{kind="submission_results"}[10m]) / 1024
# 问 3：只涨不落的台账有没有回落？
max_over_time(siliang_director_tracked_messages[5m]) by (kind)
# 全部过关（0 / 低位 / 会回落）→ 今日哨兵巡检完成