生产踩坑
与工程化门禁同域的事故翻车专篇：八组共 65 卡（K 前缀）。回答「线上真实怎么翻车、如何识别与止血」——门禁在 G，叙事与值班动作在 K。
事故是反器；骨架见 核心方法论。
与方法论、工程化门禁并列，专记事故怎么认、怎么停。门禁在 G，翻车叙事在 K；思维纪律在 M06。
- M06：为什么要有纪律（思维）。
- G：上线前勾什么（门禁）。
- K：线上真实怎么翻车、如何识别与止血（事故模式）。
- 八组与工程化要点 G01～G08 一一对应，便于互链对照「门禁被绕过会怎样」。
- 每卡三层：事故叙事 → 识别要点 → 止血与复盘（对齐 G 的洞察 / 原理 / 表达）。
- 导图：生产踩坑心智地图；细节与值班顺序以本页「止血与复盘」层为准。
- 按事故域选组：发布 K01、可观测 K02、容量 K03、数据 K04、缓存 K05、调用 K06、AI K07、安全 K08。
- 先读同行 G 卡门禁，再用本卡核对若门禁被绕过的信号与回滚窗。
- 值班时优先抄「止血与复盘」层的顺序，事后把缺口写回 G 门禁字段与变更单模板。
阅读建议：先扫八组标题建立索引；出事时按组打开对应 K 卡跟值班顺序走。细节门禁与变更单字段以工程化 G 页为准，本页只补事故模式与止血路径。
一、K01 发布变更事故
发布变更事故组：覆盖灰度未卡点直推全量、回滚演练造假（只演镜像未演配置）、金丝雀阈值该回没回/乱回、比例表被绕过、观察指标选错误判健康、回滚镜像与配置版本不一致、窗口外强发、回滚后未做数据补偿。识别信号看卡点指标与回滚窗；止血先缩流量再对齐版本与补偿。
变更在观察窗口未结束时被人工扩到全量，错误率在扩量后 3 分钟才被业务投诉发现；回滚镜像可用但配置中心仍是有毒开关。
门禁缺一：没有卡点指标就没有否决权；回滚只退镜像不退配置等于假回滚。爆炸半径 = 批大小 × 暴露时长；观察窗口要覆盖依赖传播与缓存刷新。
值班顺序：①冻结扩量 ②看卡点看板（成功率/P99/依赖饱和）③三维回滚（镜像+配置+流量）④保留现场 Trace/变更单号 ⑤复盘写清「谁拥有否决权」。互链 G01.01 / M11.01。
预发只演了 kubectl undo，生产事故时配置中心仍是有毒版本，回滚「成功」但故障仍在。
回滚三维：镜像 + 配置 + 流量。演练缺任一维 = 假合格。
止血：三维回滚；复盘：演练清单强制三联勾选。互链 G01.01 / K01.01。
自动回滚阈值阈值写错或信号选错，导致故障继续全量或正常流量被误杀回滚。
看：金丝雀错误率与业务成功数是否同向；回滚是否绑定变更单；人工覆盖是否留痕。
止血：立刻人工接管比例/回滚；复盘改信号与阈值演练。互链 G01.05。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
有人用紧急通道绕过灰度比例直接全量，故障面瞬间扩大。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看变更单是否走加急、有无比例与观察窗。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：立刻切回旧版；复盘封堵绕过路径。互链 G01。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
金丝雀只看 CPU 健康，业务错误率已炸仍放量。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看业务成功数/资金类指标是否同向。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：按业务指标回滚；复盘改信号。互链 G01.05。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
回滚了应用镜像却留下新配置，二次故障。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看配置中心版本与镜像 digest 是否配对。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：配对回滚；复盘变更原子性。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
大促/错误预算红线仍强推功能，放大事故。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看预算板与窗口表。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：冻结变更；复盘问责加急滥用。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
代码回了，脏数据/半成功单仍在。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看对账与状态机残留。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：冻结写入并跑补偿；复盘强制修复门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
二、K02 可观测失灵
可观测失灵组：有监控找不到人（告警不可行动）、采样过低关键故障无跨度、TraceId 跨 MQ/线程池断裂、告警风暴淹没关键告警、仪表盘无可下钻、错误日志无变更单号、临时 Debug 忘关、Runbook 链接 404。先恢复可行动告警与证据链，再谈根因。
凌晨告警风暴：CPU/存活探针全绿，但下单成功率已掉到 80%；值班不知先看哪块板、Runbook 链失效、Oncall 路由到已离职账号。
指标发现异常、追踪定位路径、日志给上下文；告警必须绑定责任人与 Runbook。业务成功率优先于资源指标放行。
值班顺序：①先确认用户可感指标（成功率/关键路径）②用 TraceId 抽一条失败请求 ③对照 Runbook 止血动作 ④告警降噪（合并/静默非行动项）。互链 G02 / M15.02。
事故时段采样率过低，只有日志碎片，无法拼出跨服务路径，排障靠猜。
错误与慢请求应必采；成本优化不能牺牲事故可复盘性。
止血：临时提高采样/全量错误；复盘：改采样 ADR。互链 G02 / G02.04。
入口有 Trace，过了 MQ 或线程池后全断，排障只能猜下游。
看：生产者/消费者、线程池包装、定时任务是否传递上下文；采样是否只采入口。
止血：临时提高采样+按业务键搜日志；复盘修上下文传递。互链 G02.01/G02.05。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
低价值告警刷屏，真正致命信号无人看。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看告警量、抑制与路由。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：临时抑制噪声；复盘可行动化。互链 G02.03。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
有图不能点到 Trace/日志，排障空转。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
抽一条请求验证钻取。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：按业务键搜日志；复盘修联动。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
故障期无法关联最近发布。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看 baggage/字段字典。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：人工对照发布时间线；复盘 G02.05。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
磁盘与成本打满，或泄敏感字段。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看采样与级别配置。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：立刻降级日志；复盘门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
告警可行动字段指向失效文档。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
点开告警附属链接。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：口述止血并修链接；复盘链接巡检。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
三、K03 容量假可用
容量假可用组：池子与 K8s limit 不一致、HPA 抖动无冷却、单副本假高可用、只扩副本不扩连接池、虚拟线程打穿 DB、依赖单点未标故障域、限流预发/生产不一致、弹性扩容启动风暴。假可用的共性是「副本绿了、池子/依赖已红」。
HPA 加副本后吞吐不升：应用线程池/连接池仍按旧配额，Pod limit 已到顶；探针 Ready 但业务线程全堵在池等待。
应用池化与编排配额必须同一容量模型；拒绝路径要可观测（队列长度、拒绝计数、等待时间）。假可用 = Ready 真但工作队列已死。
值班顺序：①看池拒绝/等待指标 ②对照 Limit/Request 与池 max ③临时扩池或降流量 ④修齐容量模型再扩副本。互链 G03 / M12.04。
指标毛刺触发频繁扩缩，连接重建风暴，比不扩更糟。
弹性需要冷却与稳定窗口；扩缩本身也有成本。
止血：冻结 HPA / 固定副本；复盘：冷却参数与稳定窗口。互链 G03。
服务声明高可用但关键依赖单副本（DB/Redis/队列），峰值一抖全站不可用。
看：依赖拓扑是否单点；HPA 扩的是无状态副本还是带状态单点。
止血：降流量/切备；复盘补副本与配额。互链 G03。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
Pod 多了，DB 连接打满集体超时。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看连接使用与拒绝。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：降副本或扩连接并限流；复盘联合预算。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
VT 海量并发把连接池打空。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看活跃连接与 VT 数。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：信号量限流；复盘 G03.07。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
服务多副本，依赖 Redis 单机。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看拓扑。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：切备/降级；复盘标故障域。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
预发宽松生产收紧或相反，误判容量。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
比对配置。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：统一阈值；复盘配置同源。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
冷启动慢+扩容风暴导致更不可用。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看启动 SLO 与扩容事件。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：限扩容速率；复盘启动与冷却。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
四、K04 数据变更翻车
数据变更翻车组：在线 DDL/修复不可回滚、回滚脚本未测二次损坏、大表未分批锁表、控制台手改无工单、回滚 SQL 未在类生产验证、主从延迟下切读错账、批量更新无限速、备份成功但恢复演练跳过。数据面事故优先停写与评估回滚窗口，禁止继续「再修一把」。
高峰锁表改列导致写入堆积；数据修复 SQL 无备份窗口，误删后只能从昨日冷备恢复，RPO 不可接受。
DDL/数据修复默认按发布：可回滚或可补偿；在线 DDL 工具与锁等待监控是门禁。不可逆变更必须写补偿方案而非口头「再改回来」。
值班顺序：①停变更/杀长事务 ②看锁等待与复制延迟 ③回滚或切只读止血 ④用备份/补偿恢复 ⑤补门禁字段。互链 G04 / M08.05。
前向 DDL 失败后执行未演练的回滚 SQL，造成二次数据损坏。
回滚脚本与前向脚本同等门禁；不可逆则走补偿而非回滚。
止血：停变更、切只读、从备份恢复；复盘：回滚演练证据。互链 G04。
在线大表 DDL/数据修复不分批，锁表或长事务拖垮业务。
看：变更窗口、锁等待、复制延迟、是否可回滚脚本。
止血：杀会话/回滚变更；复盘强制分批与影子表。互链 G04。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
紧急手改留下不可追溯状态。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看审计。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：对账修复；复盘禁手改。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
回滚脚本加错条件二次损坏。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看演练。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：停脚本并恢复备份；复盘强制演练。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
延迟很大仍读从库做资金判断。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看延迟指标。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：切主读/冻结；复盘延迟门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
一条 UPDATE 扫全表。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看锁等待。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：杀会话；复盘分批。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
真要恢复时发现权限/空间不够。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看最近恢复记录。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：开紧急备份通道；复盘演练门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
五、K05 缓存误判
缓存误判组：穿透击穿雪崩值班误判、逻辑过期长期脏读、缓存与 DB 双写顺序反了、空值未缓存穿透、热点 key 未拆分、对账缺失、本地缓存 TTL 过长、大 key 阻塞。先区分穿透/击穿/雪崩再动手；一致窗口与回源配额必须同时看。
把击穿当穿透：热点 key 过期瞬间打爆 DB；或雪崩时关掉缓存「直打 DB」二次放大；大 key 驱逐引发局部抖动被当成全网故障。
穿透=无数据乱查；击穿=热点过期；雪崩=大批同时失效。处置不同：空值/布隆、互斥重建/逻辑过期、随机 TTL/预热；失败可降级写进契约。
值班顺序：①分型（穿透/击穿/雪崩/大key）②看 DB QPS 与缓存命中 ③开互斥/降级开关 ④禁「关缓存直打」除非配额确认。互链 G05 / M07.02。
逻辑过期开关打开后异步刷新失败，用户长期读到脏数据却无告警。
逻辑过期必须有刷新失败告警与降级路径。
止血：关闭逻辑过期或强制重建；复盘：刷新失败告警。互链 G05。
先删缓存再写库或相反顺序不统一，并发下长期脏读或击穿。
看：写路径顺序是否契约化；逻辑过期是否在刷。
止血：缩短 TTL/旁路读库；复盘统一顺序与对账。互链 G05。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
恶意/不存在 key 打爆 DB。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看回源 QPS。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：空值短 TTL/布隆；复盘护栏。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
单 key 打满分片。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看热点榜。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：本地缓存/拆 key；复盘预热。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
长期脏数据无人知。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看对账任务。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：抽检修复；复盘对账 SLA。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
发布后节点间看到旧配置/旧价。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看版本。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：广播失效/重启滚动；复盘广播。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
大 value 阻塞 Redis。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看 bigkey / 延迟。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：拆分/异步删；复盘容量评审。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
六、K06 调用放大
调用放大组：超时×重试放大与双写无对账、幂等缺失重复扣款、熔断误开全站降级过久、超时倒挂、幂等键只用内存、半开探测流量过大、双写无顺序、对账任务失败无人值守。止血先砍重试/收超时/收半开，再补幂等与对账。
下游慢导致超时，客户端重试 3 次 × 扇出 5 = 流量 15 倍；双写库存与消息无对账，出现「库有单、消息无」长时间无人知。
同步链路预算入契约；超时与重试必须乘积可算。双写用 Outbox/CDC + 对账任务；无对账的双写是定时炸弹。
值班顺序：①算放大倍数并降重试/熔断 ②对齐超时预算 ③双写差异走对账补齐 ④改参数可回滚。互链 G06 / M11.02/04。
超时重试成功但业务无幂等，出现重复扣款/重复下单。
重试前提是幂等；否则重试是事故放大器。
止血：停重试、对账补偿；复盘：幂等键门禁。互链 G06。
熔断阈值过敏或半开缺失，长时间全站降级，业务静默受损。
看：熔断打开时长、半开成功率、降级是否用户可感。
止血：调阈值/强制半开观察；复盘 G06.05 观察窗。互链 G06。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
上游超时短于下游，重试风暴。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看预算表。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：降重试/对齐超时；复盘预算门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
重启后重复扣款。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看存储。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：冻结并人工对账；复盘落库幂等。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
刚恢复又被打穿。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看半开比例。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：缩半开；复盘观察窗。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
缓存/搜索/DB 顺序各写各的。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看契约。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：停双写切单路径；复盘 Outbox。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
任务挂了差异累积。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看任务成功率。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：补跑并对账；复盘告警。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
七、K07 AI 静默塌方
AI 静默塌方组：无黄金集上线质量静默跌、索引切换未双跑召回塌、评测集过拟合、Prompt 热改无版本、工具副作用未分级、成本突增无熔断、影子流量对比缺失、评测集被业务刷题、模型别名未固定致静默漂移。AI 事故常「功能看似正常」——用黄金集/影子对比/成本熔断发现。
Prompt/工具/模型小改后线上无报错，但客服工单里「答非所问」翻倍；无黄金集回归，质量塌方靠人工偶然发现。
AI 变更与发版同级：制品版本化、黄金集卡点、工具副作用分级。静默失败比抛异常更危险。
值班顺序：①冻结扩量/回滚制品版本 ②跑黄金集 diff ③看工具调用副作用审计 ④补评测门禁再放量。互链 G07 / M14.01。
索引全量切换后召回率骤降，无双跑对比，客服工单滞后发现。
索引变更要双跑/影子对比与黄金集卡点。
止血：切回旧索引；复盘：双跑门禁。互链 G07 / K07.01。
黄金集分数很高，真实流量质量塌方——集与分布脱节或被「刷分」。
看：集外抽样、影子流量、线上反馈是否同向。
止血：回滚 Prompt/索引；复盘扩集与防刷分。互链 G07.05。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
无法回滚到已知好版本。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看制品库。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：切回上一版本；复盘版本化。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
只读工具与下单工具同权。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看分级表。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：关高危工具；复盘分级。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
账单异常后才发现。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看配额。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：降级/限流；复盘配额门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
灰度无对照，质量问题后知后觉。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看影子任务。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：扩对照；复盘门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
为过门禁改评测而非改模型。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看变更。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：冻结发布；复盘防刷分。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
调用侧写的是供应商的模型别名（浮动名）而非 pin 到具体版本快照；供应商侧静默换版后，输出风格、指令遵循度、结构化字段成功率与单位 token 成本同时漂移。本地没有变更单、没有制品版本、也没有可回滚目标——发布记录全绿，质量塌方只能从工单与成本曲线倒推。
典型后果：静默质量劣化被当成「模型正常波动」，缺陷累积数周才暴露，且无法用回滚收敛。
四个同向信号：① 同一 Prompt、同一入参的输出指纹（首 token 分布、结构化字段漂移率、拒答率）偏离上周基线，而代码零变更；② 单位成本变化而非总量变化（换版常伴随计费口径或推理长度改变）；③ 供应商 changelog / 状态页出现未订阅的版本更新；④ 评估回归分数在无发布日下降。
先分区归因（变更/依赖/容量/数据/配置）；其中「依赖」侧漂移最易被误判为「模型正常波动」，须先用输入指纹证明输入未变，再怀疑模型侧。
止血顺序：① 切回上一已知 snapshot（若从未 pin 则临时指定一个固定版本）② 打开输出指纹与结构化字段兜底校验告警 ③ 对高价值链路加规则兜底，避免静默劣化继续放大。互链 G07 / K07.04 / K07.01 / M14.01。
复盘产出：模型版本纳入制品管理（生产 pin 具体 snapshot，别名只用于预发探路）；输出指纹、拒答率、单位成本纳入与发版同级卡点；订阅供应商变更通告并进变更日历；同链路换版走影子双跑 + 黄金集卡点。
八、K08 安全应急踩坑
安全应急踩坑组：密钥/依赖漏洞应急与轮换踩坑、证书到期告警无 Runbook、临时豁免过期未收回、共享超级账号、临时防火墙忘收、密钥进仓库历史、CVE 豁免无到期阻断、证书监控只告警不跑通轮换。应急先缩权限与轮换密钥，再补审计与自动阻断。
CVE 紧急升级跳过最小回归导致启动失败；密钥轮换无双密钥窗口，全球鉴权失败；依赖漏洞修复后 SBOM 未更新，二次排查找不到版本。
密钥必须可轮换（双密钥窗口）；供应链可追溯（SBOM/签名）；CVE 快车道仍要最小回归与可回滚镜像。
值班顺序：①定级（泄漏/CVE/证书到期）②双密钥或回滚镜像止血 ③补最小回归再抬升 ④更新 SBOM 与吊销演练记录。互链 G08 / M10。
证书到期告警响了但无人知如何轮换，临期才发现双密钥窗口未准备。
告警不可行动等于没有告警；证书轮换要有双密钥窗口。
止血：紧急双证书/回滚；复盘：告警绑 Runbook。互链 G08.02。
CVE/权限临时豁免到期未自动阻断，长期带病运行。
看：豁免单截止日、自动阻断是否生效、责任人是否在岗。
止血：立刻收回豁免或补丁；复盘到期自动阻断。互链 G08.04。
识别升级：对照变更单、预算板、拓扑单点与联合预算表，避免只重启当根治。
复盘产出：补门禁字段、演练记录、平台债票；同类问题进季度抽检。
事故无法追责到人。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看审计。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：吊销共享号；复盘个人账号。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
攻击面长期扩大。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看规则到期。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：收回；复盘到期自动删。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
即便轮换，历史提交仍泄露。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
扫仓库。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：轮换+清理历史策略；复盘扫描门禁。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
带病运行数月。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看豁免单。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：补丁或收回；复盘 G08.04。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。
临期才会发现流程不通。
典型后果：故障面扩大、排障空转、或静默资金/体验缺口。
看演练。
先分区归因（变更/依赖/容量/数据/配置），再下钻证据链。
止血：紧急双证；复盘演练。
复盘三问：门禁为何没拦住、演练为何没暴露、下次抽检看什么。