ai-contract-platform/project-docs/pilot-operations-p1-07.3-governance-runbook-2026-08-25.md

试点运营 P1-07.3 治理运行手册

1. 发布顺序

1. 暂停 Contract API 与治理 worker 的新写入并完成数据库备份；
2. 执行 python -m alembic -c alembic.ini upgrade head，确认版本为 20260825_0068；
3. 运行 schema check、全量 API 测试、Web 类型检查和生产构建；
4. 启动 API、Web、审查 worker 和治理 worker；
5. 保持 slo_alerts_enabled=false 与外部通知关闭，先执行一次扫描并核对样本；
6. 配置最小样本和燃烧率阈值，经值班负责人批准后再开启告警；
7. 使用隔离租户导出并验证一个测试证据包，不使用真实合同正文。

2. 值班例外操作

• 请假：选择原值班账号和时间窗；未填替班账号时，确认值班表已配置兜底负责人；
• 换班：必须填写不同的替班账号，必要时限制影响队列；
• 创建后立即核对三类“当前值班人”中的来源标签；
• 如创建错误，使用“撤销”，不要删除数据库行；
• 自动路由后抽查工单事件的 assignment_source、exception_id 和 counts_as_first_response=false；
• 人员离职时先结束例外，再更新值班成员表和外部通知通讯录。

3. 错误预算告警处置

级别	含义	处置
预警	燃烧率达到预警阈值	核对样本量、近期发布和依赖波动，指定负责人
严重	燃烧率达到严重阈值	暂停高风险变更，进入故障处置并核对外部升级通道
预算耗尽	周期内失败数已用尽允许预算	启动事件指挥，记录恢复计划和业务影响
已恢复	指标回到健康状态	验证至少一个完整周期，关闭事件并复盘根因

“无样本”和“样本不足”不是达标。不要通过删除失败扫描、死信或缩短观察周期来恢复预算。

4. 起草证据提醒处置

• 即将过期：用户应在 expires_at 前完成四项核对，或重新生成当前版本；
• 已过期：不能人工修改时间或补写确认；重新生成当前版本，或完成合同审查；
• 提醒重复：检查同一事件的 notification_type + resource_id，不得手工重复插入；
• 新版本后仍提醒旧版本：核对旧通知的合同链接与事件 ID，旧证据不应被当成当前可用证据；
• 大量过期：先检查 worker 是否长期停运，再按租户和行业漏斗定位积压来源。

5. 外部审计验证

1. 由具备下载权限的用户在合同详情导出证据包；
2. 通过受控渠道交付 JSON 文件，验证令牌按审计材料敏感级别管理；
3. 审计方访问 /evidence-verification 导入文件；
4. 必须同时看到包完整性、令牌和实时账本三项通过；
5. 不通过时保留 export_id、结果码和验证时间，由平台运营查询导出与验证账本；
6. 不接受截图代替原始 JSON，也不要把验证令牌发布到公共工单或群聊。

6. 回滚与数据保全

回滚前关闭自动扫描、错误预算告警和证据提醒。0068 -> 0067 会删除值班例外、SLO 告警、导出与验证账本，并移除新增策略字段。正式环境 downgrade 前必须先导出审计记录并取得变更批准；代码回滚优先保持数据库前向兼容，不把 downgrade 当作普通故障恢复步骤。