> For the complete documentation index, see [llms.txt](https://yeasy.gitbook.io/forward_deployed_engineering_guide/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yeasy.gitbook.io/forward_deployed_engineering_guide/fu-lu/appendix/capstone.md).

# 综合实战：从 Discovery 到客户接管

本综合实战把全书能力压到同一个连贯场景中：一家多工厂制造企业需要在不改变现有排产系统最终决策权的前提下，为延迟、缺料和设备异常订单生成“异常订单重排建议”。读者必须沿着从 Discovery 到客户接管的完整路径交付，而不是提交十份彼此无关的模板。

场景的统一边界如下：首期只给出可追溯建议，由调度员审批后写回；客户数据只能在获批环境内处理；高价值客户、人工锁定订单和安全库存规则属于硬约束；任何自动写动作都必须另行审批。评审人应使用同一批需求、样本、架构决策、评测结果、发布记录和运营证据交叉核对前后是否一致。

## 评分规则

总分：100 分。每类交付物 10 分，共 10 类。评分只在没有触发“硬失败条件”时有效；每项应同时满足内容完整、证据可复查、边界明确和 owner 可执行，只有文档标题或空模板不得分。

## 阶段一：Discovery

### CAP-01 现场事实与约束包（10 分）

提交访谈计划、现场流程图、事实/意见/假设/约束表和来源索引。至少覆盖调度员、生产计划、设备运维、数据 owner、安全/合规和平台团队；每条关键事实标明时间窗、授权样本、可信度、复查方法与责任人。必须证明团队理解异常订单如何产生、当前如何处置、谁能改变排产结果。

### CAP-02 基线与领域语言包（10 分）

提交统一术语、订单状态机、关键事件、系统边界和可重算基线。基线至少包含异常订单量、人工处理时长、建议采纳率、误改风险和数据缺失率，并说明统计窗口、分母、排除条件和时区。业务口径与系统字段不一致时，应记录裁决 owner，不得用平均值掩盖工厂或订单类型差异。

## 阶段二：问题界定

### CAP-03 价值切片与验收契约（10 分）

提交问题陈述、目标用户、用户旅程、首期范围、不做事项、成功指标、风险护栏和退出条件。首期切片必须形成“发现异常 -> 生成建议与证据 -> 调度员审批 -> 受控写回 -> 结果回收”的闭环。明确哪些情况必须拒绝建议、转人工或停止试点，并让业务、技术和风险 owner 对验收口径签字。

## 阶段三：架构与控制设计

### CAP-04 架构决策与数据契约（10 分）

提交上下文图、关键数据流、接口契约、状态与幂等设计、ADR 及替代方案。架构必须解释数据最小化、证据引用、审批写回、重试、重复事件、部分失败和版本兼容；每项关键决策关联现场事实、验证方式、复审触发与回滚路径。

### CAP-05 威胁模型与评测设计（10 分）

提交权限矩阵、数据分级、威胁模型、滥用案例、离线评测集、回归集和上线门禁。覆盖越权数据、提示注入、错误证据、过期库存、冲突规则、罕见订单、模型或规则版本漂移；说明样本来源、授权、脱敏、保留期和删除责任。评测阈值来自本地风险与基线，不得来自供应商宣传数字。

## 阶段四：受控试点

### CAP-06 影子运行与试点证据（10 分）

提交试点计划、受控用户清单、影子运行记录、失败样本分类、人工复核结果和继续/暂停决定。试点应证明异常订单重排建议可追溯到输入、规则、版本和证据；不得只展示精选 demo。所有范围扩大都要有门禁结果、残余风险接受人和可执行停止条件。

## 阶段五：生产化

### CAP-07 发布、回滚与供应链证据（10 分）

提交可复现构建、测试报告、依赖与制品清单、签名或校验和、变更单、灰度步骤、回滚演练和恢复验证。发布流程必须默认拒绝、最小权限并区分构建与写入权限；失败不能被 `continue-on-error` 或等价做法吞掉。

### CAP-08 生产门禁与责任矩阵（10 分）

提交性能、可靠性、安全、隐私、成本、业务价值和人工接管门禁，以及 RACI、风险台账和例外审批。每个门禁写明证据、阈值、owner、阻断行为和复审触发；例外必须有有效期、补偿控制和批准人，不能以“试点紧急”为由永久豁免。

## 阶段六：运营闭环

### CAP-09 可观测、事件与价值复盘包（10 分）

提交 SLI/SLO、业务与质量指标、成本归因、告警、运行手册、一次故障或演练时间线、错误预算策略和价值复盘。观测链路应能按工厂、订单类型、规则/模型版本和审批结果定位问题；同时证明指标下降时如何冻结变更、降级只读、转人工或回滚。

## 阶段七：客户接管

### CAP-10 客户接管与产品反哺包（10 分）

提交客户接管清单、权限移交、资产与数据责任清单、运行手册、开放风险、培训记录、后续支持边界和产品反馈。必须完成一次客户接管演练：客户 owner 独立解释看板、处理模拟告警、执行降级或回滚、审批风险例外并复盘结果。FDE 团队只能观察和记录，不能代替客户完成关键步骤。

## 硬失败条件

以下条件覆盖分数，任一项触发即不得通过；修复并重新提供证据后才能再次评审。

1. 使用未授权客户数据或 secret，或无法说明数据来源、访问范围、保留期与删除责任。
2. 存在生产写动作却没有回滚、降级、幂等保护或经过验证的人工接管路径。
3. 把供应商结果数字直接作为本地验收目标，未基于本地基线、风险和样本重新设定阈值。
4. 测试或试点只使用精选 demo，关键失败模式、权限边界或高影响例外没有进入回归集。
5. 上线门禁没有明确 owner，或高风险例外没有批准人、有效期和补偿控制。
6. 客户无法独立完成看板解释、告警处置、降级/回滚和风险升级中的任一关键接管动作。
7. 关键结论、建议、制品或发布记录无法追溯到来源、版本、时间窗和验证结果。

## 提交与复核顺序

评审应按阶段顺序进行，但最终决定必须反向抽查：从生产指标回到试点样本，从发布制品回到源码与依赖，从客户接管演练回到运行手册和权限，从验收阈值回到 Discovery 基线。任何前后矛盾都应回到对应阶段修正，不能靠补一段说明绕过。

配套字段可直接复用[交付证据包模板](/forward_deployed_engineering_guide/fu-lu/appendix/templates.md)；引用第十四章行业案例时，应同时核对[声明账本](/forward_deployed_engineering_guide/fu-lu/appendix/claim_ledger.md)，保持来源类型和不可外推边界。