> For the complete documentation index, see [llms.txt](https://yeasy.gitbook.io/forward_deployed_engineering_guide/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yeasy.gitbook.io/forward_deployed_engineering_guide/fu-lu/appendix/templates.md).

# 交付证据包模板

FDE 项目的交付质量，最终要落到一组可复查、可移交、可复用的证据包上。证据包不是为了增加文档负担，而是为了让客户 Owner、平台团队、安全/合规、值班人员和后续接手者能回答同一个问题：这个系统为什么可以上线，出了问题谁能处理，下一次变更要重新检查什么。

本附录把正文中分散出现的字段收敛成可复制模板。真实项目应按客户合同、行业监管、数据分级和内部流程裁剪；涉及客户数据、截图、日志、trace、工单或聊天记录时，必须先写清敏感级别、脱敏/最小化、访问范围、保留期和删除责任。

## A.1 事实与约束表

发现阶段不要把访谈意见、系统事实和未验证假设混在一起。每条记录都应能追溯来源，并指向下一步验证动作。

| 字段         | 填写要求                                        |
| ---------- | ------------------------------------------- |
| record\_id | 使用稳定编号，例如 `FACT-001`、`HYP-003`。             |
| 类型         | `fact`、`opinion`、`hypothesis`、`constraint`。 |
| 主题         | 业务、系统、数据、权限、合规、组织、口径冲突等。                    |
| 结论         | 只写一条可讨论的陈述，避免把多个判断塞进一行。                     |
| 来源         | 系统名、日志查询、工单、访谈对象、会议纪要、截图或授权样本。              |
| 时间窗        | 说明数据或观察覆盖的时间范围。                             |
| 数据边界       | 样本范围、脱敏方式、访问人、保留期和删除责任。                     |
| 可信度        | 高、中、低；低可信记录不得直接进入需求承诺。                      |
| 可复查方式      | 查询语句、仪表盘、工单链接、样本路径或复查负责人。                   |
| 下一步动作      | 补样本、找 owner、对账、做离线回放、废弃假设等。                 |
| 决策影响       | 是否影响需求切片、架构边界、上线门禁或风险接受。                    |

示例：

| record\_id | 类型         | 主题 | 结论                  | 来源            | 时间窗    | 可信度 | 下一步动作           |
| ---------- | ---------- | -- | ------------------- | ------------- | ------ | --- | --------------- |
| `FACT-001` | fact       | 业务 | 异常订单人工归因中位时长为 18 分钟 | 授权工单样本与运营日报   | 最近 4 周 | 高   | 抽样复核口径并建立基线     |
| `HYP-002`  | hypothesis | 数据 | 支付失败原因可由交易事件和退款案件复现 | 支付系统字段说明、运营访谈 | 待验证    | 中   | 选 50 条样本做证据链回放  |
| `CON-003`  | constraint | 合规 | 客服聊天原文不得进入模型上下文     | 安全/合规评审       | 当前试点   | 高   | 只保留脱敏原因片段和证据 ID |

发现阶段还应把事实表接到一组执行产物，避免调研结果停留在会议记录里。

| 产物       | 最低字段                                 | 进入下一阶段的门槛                      |
| -------- | ------------------------------------ | ------------------------------ |
| 现场地图     | 业务目标、触发事件、参与角色、关键系统、数据流、决策点、失败补救、未知项 | 能解释问题如何在真实流程中发生，且每个关键角色有 owner |
| 领域语言包    | 术语、状态、事件、边界上下文、歧义、裁决 owner           | 同一个词在业务、数据和系统中含义一致，或已记录冲突      |
| 需求切片画布   | 用户故事、输入、输出、验收阈值、不做事项、高风险触发、退出条件      | 切片小而完整，能形成价值闭环而不是单点功能          |
| 风险假设验证计划 | 假设、失败后果、验证方法、样本、owner、停止/继续条件        | 最大不确定性有可执行实验，失败时不会扩大生产风险       |

## A.2 架构决策记录

ADR 要解释为什么选择某条路径，而不是只记录“决定了什么”。FDE 场景中，ADR 还要把现场证据、客户责任和复审触发写进去。

| 字段      | 填写要求                                     |
| ------- | ---------------------------------------- |
| adr\_id | 稳定编号，例如 `ADR-ORDER-001`。                 |
| 状态      | proposed、accepted、superseded、deprecated。 |
| 决策标题    | 一句话说明架构取舍。                               |
| 背景证据    | 关联事实表、领域模型、风险假设、现有系统约束。                  |
| 决策      | 选择的方案和明确不做的方案。                           |
| 备选方案    | 至少列出 1-2 个可行替代方案及放弃原因。                   |
| 影响范围    | 用户、系统、数据、权限、成本、运维和迁移影响。                  |
| 验证方式    | 契约测试、影子运行、回放样本、压测、人工验收。                  |
| 风险接受人   | 哪个业务、技术或合规 owner 接受残余风险。                 |
| 回滚/退出   | 触发回滚或重新决策的条件。                            |
| 复审触发    | 扩大用户范围、引入写动作、替换模型、改变数据源、事故行动项到期等。        |

示例：

| 字段      | 示例内容                                                           |
| ------- | -------------------------------------------------------------- |
| adr\_id | `ADR-ORDER-001`                                                |
| 决策标题    | 异常订单重排先采用只读建议 + 人工审批写回                                         |
| 背景证据    | `FACT-001` 显示人工归因耗时高；`CON-003` 限制原始聊天进入模型；支付和履约事件可授权查询但不能直接写回。 |
| 决策      | 系统生成重排建议和证据链接，调度员审批后由排产系统受控接口写回。                               |
| 备选方案    | 直接自动写回：学习速度快但责任和回滚边界不足；只做报表：风险低但无法验证闭环价值。                      |
| 验证方式    | 影子运行 2 周；至少 100 条样本可复查证据链；写回前全量人工审批；回归集覆盖权限、证据缺失和高价值客户例外。      |
| 回滚/退出   | 出现越权证据、写回错误、无法解释的建议集中出现，立即降级为只读建议。                             |

## A.3 参与模型与决策台账

FDE 交付需要把节奏、角色和决策显性化。否则现场团队会在会议、聊天和临时承诺之间漂移，后续无法复盘为什么继续、暂停、扩面或回滚。

| 模板                           | 最低字段                                                    | 失败信号               |
| ---------------------------- | ------------------------------------------------------- | ------------------ |
| Engagement Operating Model   | 项目目标、阶段、节奏、关键会议、输入输出、升级路径、决策 owner                      | 例会很多，但没有明确进入/退出条件  |
| FDE RACI Matrix              | FDE、平台/SRE、业务 Owner、数据 Owner、安全/合规、客户 Sponsor 的 R/A/C/I | 所有人都参与评审，但没人能批准风险  |
| Project Decision Log         | decision\_id、背景、选项、决定、证据、反对意见、owner、复审触发                | 决策只留在聊天记录，换人后无法解释  |
| Weekly Value and Risk Review | 本周价值证据、风险变化、阻塞、下一步实验、停止/扩面建议                            | 只汇报任务进度，不更新价值和风险判断 |

示例决策台账行：

| decision\_id    | 背景                     | 决定                    | 证据                   | owner      | 复审触发                  |
| --------------- | ---------------------- | --------------------- | -------------------- | ---------- | --------------------- |
| `DEC-ORDER-004` | 异常订单重排建议在高价值客户样本中解释不稳定 | 高价值客户保持只读建议，不进入自动写回灰度 | 影子运行样本、人工改写记录、客户风险偏好 | 客户运营 Owner | 回归集通过且业务 Owner 接受残余风险 |

## A.4 生产准入门禁矩阵

生产门禁应把“是否可以上线”拆成 owner、阈值、证据、回滚和复审。下表示例延续正文的异常订单重排场景，数值为教学假设，真实项目应由客户 Owner 和平台团队按风险校准。

| 门禁               | Owner             | 通过阈值                                                                  | 验证证据                           | 回滚边界              | 风险接受人      | 复审触发                   |
| ---------------- | ----------------- | --------------------------------------------------------------------- | ------------------------------ | ----------------- | ---------- | ---------------------- |
| Prototype Exit   | FDE Tech Lead     | 关键字段 `Order`、`ExceptionEvent`、`ReplanProposal` 可从授权样本复现；至少一类异常能形成只读建议 | 样本回放记录、字段契约草案、用户访谈确认           | 停止原型，不进入客户真实流程    | 客户运营 Owner | 样本口径变化或字段 owner 变更     |
| Hardening Ready  | 平台/SRE Owner      | 接口契约、trace 字段、权限策略、数据保留策略和评测集版本化                                      | 契约测试、权限评审、trace 样例、评测报告        | 限制到内部环境或离线回放      | 技术负责人      | 新增写动作、替换数据源、评测回归失败     |
| Pilot Ready      | 客户运营 Owner        | 一个区域、固定班组、少量高频异常类型可灰度；所有写回走人工审批                                       | 灰度计划、RACI、回滚演练、人工兜底流程          | 降级到只读建议或暂停扩面      | 业务负责人      | 扩大区域、增加异常类型、客户承诺受影响    |
| Production Ready | 客户业务 Owner        | SLO、告警、运行手册、成本上限、审计字段和安全负例均通过                                         | SLO 卡、告警配置、运行手册演练、红队/负例回归、成本看板 | 关闭写回、切回旧流程、保留影子运行 | 业务与合规批准人   | 模型/提示/工具/schema/权限策略变化 |
| Handover Ready   | 客户 Owner + 平台/SRE | 客户能独立解释看板、处理告警、执行回滚、批准例外和关闭复盘行动项                                      | 接管演练记录、培训记录、权限申请流程、开放风险清单      | FDE 延长陪跑或缩小生产范围   | 客户 Sponsor | 值班失败、重大事故、关键人员变更       |

## A.5 AI 资产清单

AI 功能上线时，要把 prompt、模型、检索、工具、评测和 trace 当作同一组生产资产治理。缺少资产清单时，事故复盘很难回答“哪个版本造成了变化”。

| 资产     | 最低字段                                            | 上线前证据                  |
| ------ | ----------------------------------------------- | ---------------------- |
| Prompt | prompt\_id、版本、owner、适用场景、禁止用途、变更记录              | Prompt diff、评测报告、回滚版本  |
| 模型路由   | provider、model\_id、区域、项目/API key 边界、fallback、限流 | 路由配置、供应商配额、降级演练        |
| RAG 索引 | index\_id、source owner、ACL 字段、刷新 SLA、保留/删除策略    | 索引契约、权限过滤测试、旧索引回滚方案    |
| 工具调用   | tool\_id、权限范围、幂等键、审批要求、补偿动作                     | 工具 schema、越权负例、写动作审批记录 |
| 评测集    | eval\_set\_id、样本来源、覆盖场景、评分函数、失败处置               | 基线报告、回归阈值、人工判分样本       |
| Trace  | trace schema、敏感级别、采样率、保留期、访问角色                  | 脱敏样例、查询权限、删除流程         |
| 成本预算   | token 上限、租户/功能预算、硬上限、降级策略                       | 成本看板、预算告警、账单对账流程       |

## A.6 发布与安全证据清单

发布和安全证据要能被接收方独立验证。只把 SBOM、签名或扫描报告放进附件，不等于客户能拒绝被篡改、越权或缺少责任人的交付物。

| 模板                           | 最低字段                                                                                             | 接收方验收动作                                                            |
| ---------------------------- | ------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------ |
| Release Manifest             | release\_id、artifact digest、source revision、builder、SBOM/ML-BOM、provenance、测试报告、eval set、审批、回滚版本 | 校验 digest、签名、provenance subject、builder/source/buildType、测试与审批是否匹配 |
| Promotion Record             | 环境、候选版本、准入门禁、变更窗口、观察指标、回滚 owner、暂停条件                                                             | 确认推广范围、观察窗口和回滚路径均已演练                                               |
| Threat-to-Acceptance Card    | 威胁、攻击路径、受影响资产、控制措施、测试证据、残余风险                                                                     | 风险未关闭时必须有到期日、补偿控制和接受人                                              |
| Residual Risk Register       | risk\_id、影响、概率、补偿控制、风险接受人、到期日、复审触发                                                               | 无 owner、无到期日、无复审触发的风险不得进入生产                                        |
| Compliance Evidence Manifest | 法规/合同条款、证据路径、owner、更新频率、适用范围、缺口                                                                  | 审计前能定位证据，且不会把旧证据误用于新范围                                             |

最小制品验收清单：

1. 校验制品 digest 与 release manifest 中记录的 digest 完全一致。
2. 校验签名身份或本地信任根，确认签名者被允许发布该制品。
3. 校验 provenance 的 subject digest、builder、source revision、build type 和外部参数符合发布策略。
4. 校验 SBOM/ML-BOM、测试报告、eval 报告和安全扫描均绑定到同一 release\_id。
5. 将 pass/fail 输出、执行人、时间、工具版本和例外审批写入 promotion record。

## A.7 运营证据包

运营证据包把 SLO、告警、事件、成本和价值证明连成同一套语言。下面继续使用 `ApprovalRecommendationQualityDrop` 作为示例。

### SLO 定义卡

| 字段       | 示例内容                                                            |
| -------- | --------------------------------------------------------------- |
| slo\_id  | `SLO-APPROVAL-QUALITY-001`                                      |
| 用户旅程     | 采购审批建议从生成到可被审批人审核                                               |
| SLI 公式   | 可审核通过建议数 / 全部高金额审批建议数，按 `model_version`、`prompt_version` 和金额段分组 |
| SLO      | 30 天滚动窗口内，高金额审批建议可审核通过率不低于 95%                                  |
| 数据来源     | 审批建议 trace、人工复核结果、审批系统状态                                        |
| 排除条件     | 客户审批系统不可用、人工标注缺失且无法复查的样本                                        |
| 服务 owner | FDE Tech Lead，移交后为客户平台 Owner                                    |
| 业务 owner | 客户采购运营负责人                                                       |
| 错误预算策略   | 预算快速消耗时冻结模型/提示/工具变更，优先处理质量回归                                    |
| 告警       | `ApprovalRecommendationQualityDrop`                             |
| 运行手册     | `runbooks/approval-recommendation-quality.md`                   |
| 复审触发     | 模型切换、prompt 变更、审批策略变化、金额阈值变化、SEV-2 及以上事件                        |

### 事件台账行

| 字段           | 示例内容                                               |
| ------------ | -------------------------------------------------- |
| incident\_id | `INC-2025-05-14-approval-quality`                  |
| SEV          | SEV-2                                              |
| 时间线          | 10:18 发现；10:24 回退；11:05 恢复；次日完成复盘                  |
| 影响范围         | 高金额采购审批建议质量下降，18% 新建审批单进入人工复核队列                    |
| 关键动作         | 切回 `model-a + approval-v17`；保留 `model-b` 影子运行；冻结扩面 |
| 执行人          | FDE Tech Lead、平台 SRE、客户采购运营 Owner                  |
| 数据/权限影响      | 无越权审批；failed 样本标记为 `confidential` 并限制访问            |
| 残余风险         | `model-b` 在长尾供应商类别上仍需补评测样本                         |
| 行动项          | 补影子评估门槛、扩充失败样本、更新运行手册和客户报告                         |

### 成本告警卡

| 字段        | 示例内容                                                                                                                        |
| --------- | --------------------------------------------------------------------------------------------------------------------------- |
| alert\_id | `ApprovalAgentCostBurnRateHigh`                                                                                             |
| 预算口径      | 月预算按自然月折算；日预算 = 月预算 / 当月天数；统一使用客户财务时区                                                                                       |
| 快速燃烧      | 1 小时内消耗超过月预算 2%（约匀速 14 倍）且高金额审批占比异常上升                                                                                       |
| 慢速燃烧      | 6 小时内消耗超过月预算 5%（约匀速 6 倍），进入工单排查                                                                                             |
| 归因维度      | tenant、feature、model\_id、prompt\_version、cache\_hit、tool\_name、sku/resource\_type、session\_or\_container\_id、storage\_class |
| 止血动作      | 降低 top-k、关闭低价值解释、切到低成本模型、转人工或暂停非关键批量任务                                                                                      |
| 禁止动作      | 不得为降成本关闭审计、权限过滤、红队回归或必要人工复核                                                                                                 |

### 账单对账行

| 字段              | 示例内容                                                                                                                                |
| --------------- | ----------------------------------------------------------------------------------------------------------------------------------- |
| billing\_period | `2025-05`                                                                                                                           |
| 内部估算            | 按 trace 聚合 input/output/reasoning/cache token、search/grounding 调用、file/vector storage、code/container session、guardrail/eval 和人工复核成本 |
| 供应商账单           | 按项目/API key/SKU/consumed units 聚合                                                                                                   |
| 对账键             | provider\_project、api\_key\_alias、tenant、feature、model\_id、date                                                                     |
| 偏差阈值            | 超过 3% 进入排查；该阈值为本书教学假设                                                                                                               |
| 偏差原因            | 汇率、缓存折扣、后置 SKU 调整、漏采 trace、重试计费、存储滞留、session 续期、search/grounding 或 guardrail/eval 调用未归因                                             |
| 处理动作            | 修正单价表、补 trace 字段、调整预算看板或与供应商确认账单口径                                                                                                  |

### 价值证明卡

| 字段   | 示例内容                        |
| ---- | --------------------------- |
| 业务目标 | 降低高金额采购审批建议返工和人工初审时间        |
| 基线窗口 | 上线前 4 周                     |
| 对比窗口 | 灰度上线后第 2-5 周                |
| 样本量  | 高金额审批建议数、人工退回数、客户确认样本数      |
| 业务指标 | 可审核通过率、平均初审时长、人工改写率、升级比例    |
| 工程指标 | SLO 达成率、P95 延迟、错误预算消耗、回滚次数  |
| 成本指标 | 单建议模型成本、缓存命中率、人工复核成本变化      |
| 风险指标 | 越权/审计缺口、不可解释建议、客户投诉、复盘行动项逾期 |
| 决策   | 扩面、暂停、重做、产品化沉淀或继续影子观察       |

## A.8 客户接管清单

交付完成不是 FDE 团队能运行系统，而是客户组织能接管系统。接管清单应要求客户 Owner 做一次真实演练，而不是只签收文档。

| 接管项  | 验收动作                                | 通过证据                  |
| ---- | ----------------------------------- | --------------------- |
| 看板解释 | 客户 Owner 能解释 SLO、质量、成本和业务指标的含义      | 录屏、会议纪要或验收记录          |
| 告警处理 | 值班人员按运行手册处理一条模拟告警                   | 演练日志、修订 commit、失败步骤记录 |
| 回滚执行 | 平台/SRE 能在权限边界内执行一次回滚或降级             | 变更单、命令摘要、恢复验证         |
| 例外审批 | 业务/合规批准人能批准或拒绝一条风险例外                | 审批记录、有效期、复审触发         |
| 数据治理 | 数据 owner 能说明 trace、截图、日志和样本的访问与删除责任 | 数据契约、访问清单、删除流程        |
| 开放风险 | 每个未关闭风险都有 owner、到期日、补偿控制和风险接受人      | 风险台账、下次复审日期           |
| 后续改进 | 下一阶段投资方向由价值卡和复盘行动项驱动                | 产品 Backlog、平台路线图或项目计划 |

若任一关键接管项无法通过，系统不应从 FDE 陪跑直接进入无人值守生产。更合适的处理是延长观察窗口、缩小用户范围、移除写动作、补演练或把风险正式交给有权限的客户负责人。

完成单项模板后，可进入[综合实战](/forward_deployed_engineering_guide/fu-lu/appendix/capstone.md)，检验十类产物能否在同一个场景中形成闭环。若产物引用第十四章行业案例或供应商结果，应同时核对[声明账本](/forward_deployed_engineering_guide/fu-lu/appendix/claim_ledger.md)，不得把外部案例数字直接变成本地验收目标。