yuqei
1d85329a6a
Build and Test Quality Gate / Contract Web typecheck and build (pull_request) Successful in 9m12s
Build and Test Quality Gate / Isolated Alibaba and Tencent KMS gateway (pull_request) Failing after 4m53s
Build and Test Quality Gate / Python tests and Contract API migration (pull_request) Failing after 24m55s
Security Quality Gate / npm audit, Bandit, pip-audit, detect-secrets (pull_request) Failing after 8m42s
53 lines
3.3 KiB
Markdown
53 lines
3.3 KiB
Markdown
# 试点运营 P1-07.3 治理运行手册
|
||
|
||
## 1. 发布顺序
|
||
|
||
1. 暂停 Contract API 与治理 worker 的新写入并完成数据库备份；
|
||
2. 执行 `python -m alembic -c alembic.ini upgrade head`，确认版本为 `20260825_0068`；
|
||
3. 运行 schema check、全量 API 测试、Web 类型检查和生产构建；
|
||
4. 启动 API、Web、审查 worker 和治理 worker；
|
||
5. 保持 `slo_alerts_enabled=false` 与外部通知关闭，先执行一次扫描并核对样本；
|
||
6. 配置最小样本和燃烧率阈值，经值班负责人批准后再开启告警；
|
||
7. 使用隔离租户导出并验证一个测试证据包，不使用真实合同正文。
|
||
|
||
## 2. 值班例外操作
|
||
|
||
- 请假：选择原值班账号和时间窗；未填替班账号时，确认值班表已配置兜底负责人；
|
||
- 换班：必须填写不同的替班账号，必要时限制影响队列；
|
||
- 创建后立即核对三类“当前值班人”中的来源标签；
|
||
- 如创建错误，使用“撤销”，不要删除数据库行；
|
||
- 自动路由后抽查工单事件的 `assignment_source`、`exception_id` 和 `counts_as_first_response=false`；
|
||
- 人员离职时先结束例外，再更新值班成员表和外部通知通讯录。
|
||
|
||
## 3. 错误预算告警处置
|
||
|
||
| 级别 | 含义 | 处置 |
|
||
| --- | --- | --- |
|
||
| 预警 | 燃烧率达到预警阈值 | 核对样本量、近期发布和依赖波动，指定负责人 |
|
||
| 严重 | 燃烧率达到严重阈值 | 暂停高风险变更，进入故障处置并核对外部升级通道 |
|
||
| 预算耗尽 | 周期内失败数已用尽允许预算 | 启动事件指挥，记录恢复计划和业务影响 |
|
||
| 已恢复 | 指标回到健康状态 | 验证至少一个完整周期，关闭事件并复盘根因 |
|
||
|
||
“无样本”和“样本不足”不是达标。不要通过删除失败扫描、死信或缩短观察周期来恢复预算。
|
||
|
||
## 4. 起草证据提醒处置
|
||
|
||
- 即将过期：用户应在 `expires_at` 前完成四项核对，或重新生成当前版本；
|
||
- 已过期：不能人工修改时间或补写确认；重新生成当前版本，或完成合同审查；
|
||
- 提醒重复：检查同一事件的 `notification_type + resource_id`，不得手工重复插入；
|
||
- 新版本后仍提醒旧版本：核对旧通知的合同链接与事件 ID，旧证据不应被当成当前可用证据；
|
||
- 大量过期：先检查 worker 是否长期停运，再按租户和行业漏斗定位积压来源。
|
||
|
||
## 5. 外部审计验证
|
||
|
||
1. 由具备下载权限的用户在合同详情导出证据包；
|
||
2. 通过受控渠道交付 JSON 文件，验证令牌按审计材料敏感级别管理；
|
||
3. 审计方访问 `/evidence-verification` 导入文件；
|
||
4. 必须同时看到包完整性、令牌和实时账本三项通过；
|
||
5. 不通过时保留 `export_id`、结果码和验证时间，由平台运营查询导出与验证账本；
|
||
6. 不接受截图代替原始 JSON，也不要把验证令牌发布到公共工单或群聊。
|
||
|
||
## 6. 回滚与数据保全
|
||
|
||
回滚前关闭自动扫描、错误预算告警和证据提醒。`0068 -> 0067` 会删除值班例外、SLO 告警、导出与验证账本，并移除新增策略字段。正式环境 downgrade 前必须先导出审计记录并取得变更批准；代码回滚优先保持数据库前向兼容，不把 downgrade 当作普通故障恢复步骤。
|