用途：针对 Splunk 转发器、输入、传输、解析、时间戳、事件边界、元数据或索引路由、HEC、队列、事件缺失/延迟/重复等摄取问题，做端到端设计检查、基于证据的诊断或事故安全的判别。不改变生产环境，保留部分与矛盾证据，并区分设计、诊断与活动事故。
主要能力：按模式（设计/诊断/活动事故）分阶段处理；绘制真实的 source -> input/sender -> forwarder 或 receiver -> transport -> parsing/typing -> routing -> indexing -> bounded search 路径；用证据台账逐阶段标注 supplied/observed/inferred/unknown；按症状分道追踪缺失数据、延迟数据、队列与背压、重复数据、边界/时间/sourcetype/host/index 错误、非预期外部路由。
使用方式：先记录已提供信息，仅索取做出待定决策所需的最小缺失子集；不索要凭证、HEC token、授权头、私钥或未脱敏数据。可建议运行本地只读检查，仅限相关 stanza 级命令，如 $SPLUNK_HOME/bin/splunk btool inputs list <stanza> --debug 等，输出需脱敏并注明来源。SPL 模板仅对授权索引、最窄时间窗和稳定事件选择器使用。
限制：该技能仅用 web 获取当前公开 Splunk 文档，不运行命令、不向 Splunk 认证。Cloud 场景除非特定界面已公开说明可供客户访问，否则不建议文件系统或 CLI 访问。不得重启、重载、编辑、部署、重置文件跟踪状态、排空或调优队列、删除数据、停用输入、轮换凭证或对不确定写入重试。接收器未恢复监听、队列占用持平或上升、持久队列接近上限、或源到索引对账无法排除缺口时应升级。已知文档行为：接收器超过 stopAcceptorAfterQBlock 无法插入队列会关闭 splunktcp 端口并在队列解除阻塞后恢复监听；需引用具体版本的 inputs.conf 与转发器/接收器排障文档，不得仅凭连接断开推断。
路由：涉及部署应用分配、HEC 启用与 token、搜索时字段提取与 CIM、Cloud 内部等跨边界部分，分别移交给对应技能、Splunk Support 或文档化 Cloud 负责人。其他具体价格、平台、效果信息暂未提供。