# V2 P1-07 试点运营后台实施与验收说明

> 实施日期：2026-08-25  
> 状态：P1-07 已实现；SLA、扫描、分页、批量分派和严格决策口径已由 P1-07.1 升级  
> 适用角色：平台超级管理员、试点运营、技术支持、产品经理

> 后续实施基线：[`V2-P1-07.1-pilot-operations-automation-2026-08-25.md`](./V2-P1-07.1-pilot-operations-automation-2026-08-25.md)。本文件第 2.2 节的代理口径及第 5 节限制仅用于说明 P1-07 的历史状态，不再作为当前系统口径。

## 1. 目标与边界

P1-07 将分散在租户、产品体验事件、审查任务和电子签署流程中的运行信号聚合为一个平台级试点运营中枢，用于回答六类问题：

1. 哪些租户已激活、近期是否持续使用；
2. 起草、审查、签署关键旅程是否达到试点目标；
3. 哪些任务失败且尚未首次响应；
4. 哪些电子签署流程异常结束、卡住或缺少证据；
5. 哪些审查任务已请求人工接管；
6. 谁负责处理、何时响应、如何关闭，以及来源异常是否已经恢复。

权限边界为强约束：所有 `/api/v1/admin/pilot-operations/*` 接口均由服务端实时校验 `platform_admin` 权限；普通租户管理员不能访问页面或接口。前端隐藏入口只是体验优化，不是安全边界。

## 2. 已交付能力

### 2.1 跨租户总览

- 活跃租户数、租户总数和成员数；
- 注册后 3 分钟内生成草稿或发起审查的激活率；
- 可靠决策代理指标；
- 开放、超时未响应、未分派、签署异常和人工复核工单；
- 首次响应时间中位数；
- 按租户列出合同、起草、审查、签署、可靠决策和异常用量。

### 2.2 关键旅程

| 旅程 | 当前口径 | 目标 |
| --- | --- | ---: |
| 新租户激活 | 租户创建后 3 分钟内首次 `draft_generated`，或首次创建审查任务 | ≥ 60% |
| 草稿生成 | 已开始起草旅程中生成成功的比例；“未成功”包含显式失败和周期内未完成 | ≥ 95% |
| 审查技术成功 | `completed / (completed + failed)`，不计取消 | ≥ 99% |
| 电子签署完成 | 完成流程占已进入终态或完成流程的比例 | 试点观察值 |
| 运营首响 | 工单首次确认、分派、开始、解决或忽略的耗时 | ≤ 30 分钟 |

无样本时显示“暂无样本”，不将 0/0 展示为达标。

“可靠合同决策”目前采用可验证代理：周期内合同进入 `approved`、`signed`、`archived`，或审查任务完成。该代理尚不能完整证明“关键风险已由用户处理并进入审批、下载或归档”，后续应在合同决策事件模型中补充风险确认和下游动作证据，再替换代理口径。

### 2.3 异常和人工复核队列

扫描器会幂等发现以下来源：

- 失败的审查任务；
- `manual_requested` 且尚未人工解决的审查任务；
- 没有后续成功事件的草稿生成失败；
- 失败、拒签、过期或取消的电子签署流程；
- 签署已完成但证据失败、不可用，或超过 5 分钟仍为待同步；
- 超过 24 小时仍处于签署中的流程。

工单支持确认收到、分派并开始处理、解决、记录并忽略、重新打开。首次响应和每次状态变化写入事件账本。扫描不会重置人工处理状态；来源恢复时会把仍在处理的工单自动关闭；已恢复来源再次异常时会重新打开。

运营工单是旁路读模型，不会静默改写原始审查任务、合同或电子签署状态。人工接管真实业务任务仍应从相应业务页面或运行手册执行。

## 3. 隐私与安全设计

- 页面仅展示租户名称/标识、合同标识、状态、次数、时间和经过筛选的错误码；
- 不复制合同标题、合同正文、审查原始错误、签署人账号、临时签署链接、回调原文或密钥；
- 工单说明限制为 2,000 字符，界面明确提示不要粘贴合同正文或签署凭据；
- 平台权限在每个 API 请求上实时检查，不能依赖陈旧会话声明；
- 工单事件保留操作者用户标识、前后状态、说明和时间，支持追责审计。

## 4. 数据与接口

新增数据表：

- `pilot_operation_cases`：每个来源异常唯一一条可恢复、可重开的运营工单；
- `pilot_operation_case_events`：工单发现、响应、分派、关闭、恢复和复发的事件账本。

新增接口：

- `GET /api/v1/admin/pilot-operations/dashboard`
- `POST /api/v1/admin/pilot-operations/refresh`
- `POST /api/v1/admin/pilot-operations/cases/{case_id}/actions`
- `GET /api/v1/admin/pilot-operations/cases/{case_id}/events`

前端页面：`/admin/pilot-operations`。

## 5. 当前限制与下一迭代

1. 30 分钟首响当前按自然时长计算，不扣除夜间、周末和节假日；因此不能对外宣称已经实现“工作时间内 SLA”。在需要正式值守统计前，应把 P1-04.6 的租户工作日历抽象扩展为平台运营日历。
2. 异常刷新目前由平台人员手动触发；试点量级足够，但生产应增加定时扫描任务、扫描水位和失败告警。
3. 队列当前最多返回 500 条，适用于试点；扩大租户规模前应增加游标分页和服务端导出。
4. 可靠决策仍为代理指标，应通过风险确认、审批、下载、归档等显式产品事件升级为严格口径。
5. 工单事件已有查询接口，当前页面优先交付处理主流程；后续可增加事件抽屉、批量分派和告警路由。

## 6. 发布验收门禁

- 数据库迁移升级到 `20260825_0065`；
- 普通租户管理员访问接口返回 403；
- 超级管理员可以打开后台、刷新队列、筛选并处理工单；
- 同一来源重复扫描不重复创建工单；
- 来源恢复时，处理中工单自动关闭并写入事件；
- 返回载荷不含测试中的原始错误正文；
- OpenAPI YAML 可解析且所有 `$ref` 可解析；
- Contract API 全量测试、Web 全量测试、类型检查和生产构建通过；
- Chrome UAT 验证桌面布局、交互反馈和浏览器控制台无新增错误。