ai-contract-platform/project-docs/pilot-operations-runbook-2026-08-25.md

试点运营中枢运行手册

1. 值守入口与角色

平台超级管理员访问 /admin/pilot-operations。租户管理员不应获得该入口或对应 API 权限。正式值守建议使用独立平台运营账号，不共享超级管理员账号。

2. 每次值守流程

1. 选择观察周期，点击“刷新异常队列”；
2. 先处理严重级别为“紧急”的签署异常，再处理超时未响应和人工复核；
3. 点击“确认收到”记录首次响应，或直接分派负责人并开始处理；
4. 转到对应业务模块核实源任务，只在业务模块执行重试、证据回补或人工复核；
5. 回到工单填写不含合同正文或凭据的处理说明，标记已解决或记录并忽略；
6. 再次刷新，确认源异常恢复；如源状态尚未恢复，工单会保留 source_active=true。

3. 队列处理准则

队列	优先检查	允许的运营动作	禁止事项
失败任务	重试次数、恢复状态、模板、耗时	确认、分派、转业务模块重试	在说明中复制原始错误或合同正文
签署异常	提供方、状态、法律效力、证据状态、错误码	核实提供方、回补证据、通知业务负责人	复制签署账号、签署链接、回调原文或密钥
人工复核	任务负责人、恢复状态、业务时限	分派人工处理并在审查模块回填结论	仅关闭运营工单而不处理源任务

法律效力签署流程失败或证据缺失按紧急事件处理。开发模拟流程不得误标为具有法律效力。

4. 状态语义

• open：已发现，尚未首次响应；
• acknowledged：已确认收到，可尚未分派；
• in_progress：已经分派或开始处理；
• resolved：已处理，或来源恢复后由扫描器自动关闭；
• ignored：确认无需处理并留下理由；
• source_active：来源异常在最近扫描中仍存在；它与工单状态相互独立。

手工解决一个仍然活跃的来源异常不会修改源任务。后续刷新不会立即重开该工单；只有来源先恢复、之后再次异常时才会作为复发重新打开。因此关闭前必须先核实业务源状态。

5. SLA 与升级

• 试点目标：首次响应 ≤ 30 分钟；
• 当前计时：从异常检测时间到首次确认/分派/开始/关闭的自然分钟；
• 超时且未响应：立即在试点值守群升级；
• 法律效力签署异常：不等待一般队列顺序，立即通知签署运营和法务负责人；
• 大面积起草或审查失败：暂停批量重试，先查看 AI API、Contract API 和依赖服务健康状态。

当前实现尚未接入平台工作日历和外部通知适配器。对客户或内部管理层提供 SLA 报告时，必须注明这是自然时长试点口径。

6. 数据保护

工单标题和说明只能记录可操作元数据。不得记录：

• 合同正文、条款、当事人身份信息；
• 手机号、邮箱、身份证号等签署账号；
• 临时签署 URL、回调原始载荷；
• OAuth、KMS、Webhook 或电子签署密钥；
• 未脱敏的异常堆栈和第三方响应正文。

如误填敏感信息，应立即按安全事件处理，不要只用后续事件覆盖；数据库事件账本仍可能保留历史说明。

7. 健康检查与回滚

发布后检查：

Invoke-WebRequest http://127.0.0.1:8100/health
Invoke-WebRequest http://127.0.0.1:3000/login

数据库迁移版本：20260825_0065。应用回滚前先停止写入。降级会删除 pilot_operation_case_events 和 pilot_operation_cases，属于不可恢复的数据删除；正式环境不得在未导出工单与事件账本、未取得变更批准时执行 downgrade。

8. 建议的值守报表

每周至少记录：活跃租户、3 分钟激活率、关键旅程成功率、可靠决策租户数、开放/超时/未分派工单、首响中位数、签署异常数、人工复核数，以及各指标口径或数据源的变更。