4. 基线定义与分类：性能基线、安全基线、容量基线、合规基线

在镜像供应链安全容量水位巡检体系中，基线（Baseline）是衡量系统状态是否异常的参考基准。没有基线，巡检便失去了比较的锚点，无法判断当前水位是“正常波动”还是“风险信号”。本章将系统定义四类核心基线，并阐明其区别与联系。

4.1 基线的通用定义

基线是指在特定时间窗口内，通过对系统关键指标进行持续观测、统计与建模后，形成的可接受运行区间。它通常包含三个要素：

• 指标对象：如镜像拉取延迟、漏洞修复时长、存储占用率、许可证合规率。
• 统计口径：如 P50/P95/P99、均值±标准差、最大值/最小值。
• 阈值边界：如“P95 拉取延迟 ≤ 800ms”、“高危漏洞修复时间 ≤ 48h”。

4.2 四类基线的定义与区别

根据巡检关注维度的不同，基线可划分为以下四类。下表从定义、核心指标、典型阈值、更新频率四个维度进行对比：

4.3 四类基线的层次关系

四类基线并非孤立存在，而是构成一个从运行效率 → 风险控制 → 资源规划 → 合规治理的递进层次。下图展示了它们在镜像供应链中的位置与关联：

4.4 四类基线的核心区别

在实际巡检中，四类基线容易混淆。以下从关注对象、触发条件、修复目标三个维度进一步区分：

• 关注对象不同：
  • 性能基线关注速度与吞吐（如拉取延迟、构建时长）。
  • 安全基线关注风险暴露（如漏洞数、恶意文件）。
  • 容量基线关注资源水位（如存储占用、API 请求数）。
  • 合规基线关注策略符合度（如许可证、签名、SBOM）。
• 触发条件不同：
  • 性能基线通常在持续集成/持续部署（CI/CD）流水线中实时触发。
  • 安全基线在每次镜像扫描后触发。
  • 容量基线按固定周期（如每日/每周）触发。
  • 合规基线在版本发布或审计周期触发。
• 修复目标不同：
  • 性能基线超标 → 优化缓存策略、升级网络带宽、调整并发限制。
  • 安全基线超标 → 修复漏洞、移除恶意文件、轮换密钥。
  • 容量基线超标 → 扩容存储、清理过期镜像、限流 API 请求。
  • 合规基线超标 → 更新基础镜像、补充签名、生成 SBOM。

4.5 基线验证的通用流程

无论哪种基线，其验证流程均遵循以下五个步骤。下图展示了基线验证的完整闭环：

4.6 基线分类在巡检中的实际应用

在镜像供应链安全容量水位巡检中，四类基线需协同工作。以下是一个典型场景：

通过上述分类与流程，团队可以精准定位问题类型，避免“一刀切”式的盲目修复，从而提升巡检效率与供应链安全性。