# ADR-003 告警轮 + 案件轮

- 状态：已接受
- 日期：2026-08-17

## 背景

Dropzone 在告警生成后立即调查，保证每条有结论。XSIAM / TIN 在编组或等待迟到事件后再看故事。MSS 客户栈散，大量告警编不成 Case；MDR 又必须看同一主机短时间多告警。

## 决定

两轮都做，都只追加分析行：

| 轮 | `trigger_mode` | 何时 | 产出 |
|---|---|---|---|
| 告警轮 | `ALERT` | 告警写入后，可选等待 2–5 分钟 | 单条有效性建议 |
| 案件轮 | `CASE` | 挂上 `case_id` 或 `correlation_id` 聚合成案 | 故事级结论，可推翻单条 |
| 重跑 | `REPLAY` | 新证据、人改结论、手动 | 新 `analysis_id` |

不成案的告警以告警轮为交付；成案后以案件轮为升级依据。

## 后果

分析表必须同时能挂 `alert_id` 和 `case_id`。完整 Agent 只打漏斗底部和案件轮，避免输出 token 被全量告警拖垮。