AI系统的业务连续性：依赖、备份、退出

AI系统的业务连续性：依赖、备份、退出本文档提供：四模块连续性速查表（表1）；AI依赖链五层映射与单点故障识别表（表2）；关键性-可替代性分级矩阵（表3）；RTO、RPO与TimetoSafeState设定表（表4）；备份分层与回滚验证表（表5）；供应商退出可移植性资产清单与就绪判定表（表6）；七级回退层级与切换判定表（表7）；连续性演练设计与通过判定表（表8）；业务连续性排查表（表9）；完整示例与变量表（表10）；三套版本检查项增减对照表（表11）；数据来源与时效说明表（表12）。

2026-11-08这一节的标题读完你能拿到什么这一节在全文中的功能一、技术在线不等于业务可用：先分清两种失效表1四模块速查表把“AI挂了”拆成技术不可用、静默退化、合同中断和退出无门四种形态二、依赖：从业务服务往下拆五层，标出单点表2依赖链五层映射表；表3关键性-可替代性矩阵把AI依赖拆到模型、数据、工具、基础设施和人工恢复，按可替代性分级三、时间指标：RTO、RPO之外，再加一个TimetoSafeState表4RTO/RPO/TTSS设定表给每个AI依赖的业务服务设定三个时间边界，写清数值和依据四、备份：模型可回滚、数据可回滚、配置可回滚表5备份分层与回滚验证表按模型、索引、提示词、配置、状态五类分别设定备份方式和回滚验证方式五、退出：合同里要写清可移植的资产和退出路径表6退出可移植性资产清单与就绪判定表逐项核对输入、输出、提示词、嵌入、微调工件和状态的可导出性六、回退：七级阶梯，从重试到安全暂停表7七级回退层级与切换判定表按失效类型匹配回退层级，写清触发条件和责任人七、演练：桌面推演到端到端切换，按阶梯升级表8连续性演练设计与通过判定表设计演练场景、注入条件和通过标准，记录实际切换时间八、卡住的时候先查这张表，再按规则走表9排查表；6条决策规则；2处矛盾四段式；完整示例与表10变量表为依赖遗漏、备份未验证、退出条款空壳、演练走过场提供退路九、三套场景：完整版、精简版、极简版查什么表11三套版本检查项增减对照表按AI依赖的关键程度和监管暴露选择跑哪些表按第一列在正文找对应那节，按第二列判断这节是否包含所需成品块，按第三列判断这节是否对应当前卡住的位置。一、技术在线不等于业务可用：先分清两种失效AI系统的业务连续性最容易出错的位置，是把“API返回200”当作“业务还在运行”。2026年7月的连续性白皮书把这一区分写得很直接：一个客服代理持续回复、预测系统持续出数、API调用全部成功、状态页全绿、延迟指标干净、没有告警触发——但客服答案不完整，因为检索索引六小时前就停止刷新了；预测已经越出容忍区间，因为上下文窗口被静默截断；供应商推荐使用的是陈旧的风险数据，因为连接器认证成功但返回了缓存结果。系统在技术上线着，业务能力已经失效。连续性计划要覆盖的失效面因此不止“服务不可用”。AI依赖的失效分四类：可用性丧失（供应商API宕机、限流、区域不可达）、连接性丧失（组织到AI服务的链路断裂）、合同或商业中断（供应商改条款、废弃模型、涨价、被收购、产品线下线）、静默退化（模型可达但行为改变，准确率漂移、输出格式变化、策略调整）。前两类是经典灾备的对象；第三类在AI市场是反复发生的真实类别；第四类最安静也最危险，因为它不触发宕机告警，流程继续运行，只是运行错了。表1四模块连续性速查表模块回答的问题翻哪张表第一动作完成标志责任人依赖业务服务依赖哪几层、哪一层不可替代表2、表3从重要业务服务往下拆到模型、数据、工具、基础设施、人工恢复每个关键服务有五层依赖记录和可替代性分级业务连续性负责人时间指标多久必须恢复、最多容忍丢多少、什么时候必须进入安全状态表4给每个关键AI依赖设定RTO、RPO、TTSS三个数值有依据和批准记录业务负责人＋技术负责人备份模型、索引、提示词、配置、状态能否回滚表5按五类分别核对备份方式和最近一次回滚验证记录五类均有备份和验证证据工程负责人退出合同结束时能带走什么、多久带走表6逐项核对可移植资产清单和退出路径资产清单每一项有导出方式和验证记录法务＋技术负责人回退与演练失效发生时按什么顺序切换、演练到了哪一级表7、表8按失效类型匹配回退层级，按演练阶梯安排测试回退层级有触发条件和责任人，演练有实际切换记录危机管理负责人二、依赖：从业务服务往下拆五层，标出单点依赖评估的起点是重要业务服务，不是模型端点。白皮书把AI连续性拆成八层栈，从业务服务、工作流与决策层、代理或应用、模型与路由、数据与记忆、工具与身份、供应商基础设施到人工恢复。对多数组织可操作的是其中五层：业务服务、模型与路由、数据与记忆、工具与身份、人工恢复。每一层都要回答两个问题：这一层失效时业务服务还能不能运行；这一层是否只有一个供应商或一条路径。arXiv2026年7月的AIResilienceFramework提出了关键性-可替代性矩阵（CSM）作为依赖分级的核心工具：关键性衡量该依赖失效对重要业务服务的影响程度，可替代性衡量在可接受的时间和成本内切换到替代方案的能力。两个维度交叉后，依赖被归入四个象限：关键且不可替代（最高优先级，必须有回退路径或人工恢复能力）、关键但可替代（必须有经过测试的切换路径）、非关键且不可替代（监测并接受残余风险）、非关键且可替代（常规监控）。表2AI依赖链五层映射与单点故障识别表层级本层包含什么失效形态单点识别问法合格示例不合格形态业务服务客服、信贷审批、路由、定价、供应链调度等服务不可用或输出不可接受该服务停机一小时，业务损失是多少；有没有人工替代路径退款咨询自动回复停机，人工坐席可接管，但日处理量下降60%写“有AI客服”无人工接管路径和容量评估模型与路由基础模型、微调模型、路由策略、供应商API模型废弃、API宕机、限流、静默行为变化当前路由是否只有一家供应商；是否有经过测试的备用模型主模型供应商A，备用供应商B；切换演练耗时38分钟，在RTO内写“使用某供应商API”，无备用模型或备用未测试数据与记忆检索索引、向量库、上下文缓存、训练数据快照索引停止刷新、缓存过期、数据血缘断裂索引最后一次刷新时间能否被监控；缓存失效时业务输出偏差多大检索索引每小时刷新，延迟超过2小时触发告警；缓存TTL30分钟无索引刷新监控，缓存无TTL工具与身份工具调用、API凭证、身份认证、权限令牌凭证过期、工具调用越权、身份服务不可用工具调用失败时AI是继续输出还是安全暂停工具调用连续失败3次，AI转入安全暂停并通知人工工具调用失败后AI仍输出猜测结果人工恢复人工接管流程、人员技能、手动操作手册无人工可接管、接管人员未培训、手册过期人工恢复需要多少人、多久能上手、最近一次演练是什么时候关键服务保留20%人工容量；接管演练每季度1次，上手时间≤30分钟写“有人工兜底”，无容量评估和演练记录表2第五行人工恢复是连续性计划中最容易被写成一句空话的位置。合格示例要求“人工容量数值”和“上手时间”，而不是“有人工兜底”。第二行模型与路由的合格示例把切换演练的实际耗时（38分钟）写入，与表4的RTO对照。成品块：输入：重要业务服务清单、供应商合同、架构图、工具调用日志、人员排班表。动作：按表2五层逐服务映射依赖，用表3的CSM归入四象限。输出：依赖链底稿，每个关键服务一份。判定：五层均有依赖记录；关键且不可替代的依赖有回退路径或人工恢复能力；单点识别有具体供应商或路径名称，算通过。表3关键性-可替代性分级矩阵象限判定条件连续性策略演练要求示例关键且不可替代失效导致重要业务服务中断或输出不可接受；短期内无可用替代必须有回退层级（表7）或人工恢复路径；设定最严格的RTO/TTSS端到端切换演练，每半年1次唯一的信贷审批模型，无备用模型；必须保留人工审批全流程关键但可替代失效影响重要服务；有备用模型或供应商，切换在可接受时间内备用路径必须经过测试；切换时间写入RTO切换演练，每季度1次客服路由模型，有备用供应商；切换演练耗时38分钟非关键且不可替代失效影响有限；无替代但业务可降级运行监测＋接受残余风险；降级方案写入计划桌面推演，每年1次内部知识检索工具，停用后员工可手动查找非关键且可替代失效影响有限；有替代方案常规监控年度检查会议纪要摘要工具，可换用另一模型三、时间指标：RTO、RPO之外，再加一个TimetoSafeStateAI依赖的时间指标不能只沿用传统灾备的RTO和RPO。mickai.co.uk2026年7月的指南把RTO和RPO映射到AI依赖上，同时指出经典灾备没有定义第三个指标：TimetoSafeState（TTSS，进入安全状态的时间）——当AI输出已经不可接受、但系统技术上仍在运行时，从触发条件被满足到AI停止输出或转入人工控制的时间。静默退化的场景中，RTO和RPO都不适用，因为“恢复”的对象不是宕机的服务，而是“不可接受的输出”；TTSS衡量的是组织多快能让系统停止做错事。RTO衡量从失效发生到业务服务恢复到可接受水平的时间；RPO衡量可容忍丢失多少数据或状态；TTSS衡量从检测到不可接受输出到系统进入安全状态（停止输出、降级到确定性规则或转人工）的时间。三个指标的关系是：RTO和RPO约束“恢复有多快、丢多少”，TTSS约束“停止做错有多快”。表4RTO/RPO/TTSS设定表指标定义取数/判定合格示例不合格形态设定依据RTO失效发生到业务服务恢复到可接受水平的最长时间演练中的实际切换时间；供应商SLA中的可用性承诺客服路由：RTO2小时；切换演练实际38分钟，在RTO内写“尽快恢复”无小时数业务影响分析中该服务停机的每小时损失RPO可容忍丢失的数据或状态量备份/快照频率；演练中丢失的数据量对话状态：RPO1小时；最近备份42分钟，在RPO内无备份频率，或备份从未验证恢复状态丢失对业务决策的影响程度TTSS从检测到不可接受输出到系统进入安全状态的时间检测机制（质量阈值、置信度、人工复核触发）到执行停止/降级/转人工的时间信贷评分：置信度低于阈值或连续5次超时，TTSS5分钟内转人工无TTSS，或检测到异常后系统继续输出不可接受输出对客户权益或合规的不可逆程度表4第一行RTO的合格示例把“2小时”和“实际38分钟”并列，RTO的设定依据来自业务影响分析中的停机损失。第三行TTSS的合格示例把触发条件（置信度低于阈值或连续5次超时）和动作（5分钟内转人工）绑定；WPSComate的回退预案中也有可参照的熔断阈值写法：“连续5次模型调用超时即降级”“错误率超过10%触发熔断”。TTSS的设定依据不是技术可行性，而是不可接受输出对客户权益或合规的不可逆程度。成品块：输入：业务影响分析、供应商SLA、检测机制配置、演练记录。动作：按表4为每个关键AI依赖设定RTO、RPO、TTSS，写清依据。输出：时间指标底稿。判定：三个指标均有数值；RTO和TTSS有演练或检测机制对应；RPO有备份频率和恢复验证记录，算通过。四、备份：模型可回滚、数据可回滚、配置可回滚AI系统的备份不等于“备份服务器”。2026年的工程实践把回滚的对象拆到五类：模型权重或版本、检索索引/向量库、提示词和路由配置、业务状态和会话上下文、工具调用和外部依赖的兼容状态。回滚的工程目标在ofox.ai的版本治理实战中被写成一个可检验的数：从告警触发到流量100%回到稳定版本，控制在5分钟内。回滚必须演练到数据回滚这一层，旧版本可切、镜像/模型/提示词/知识库均可回退。只回滚模型权重而不恢复兼容的索引或状态，回滚本身会制造新的不一致。表5备份分层与回滚验证表备份对象备份方式回滚方式验证方式合格示例不合格形态模型权重/版本版本化存储；保留最近N个可用版本路由切换或版本回退实际回滚演练，记录从触发到流量完全切回的时间保留最近3个模型版本；回滚演练耗时4分20秒只保留当前版本，或旧版本未保留推理镜像检索索引/向量库索引快照或版本化对象存储恢复快照或切换到旧索引恢复后检索结果与回滚前一致；耗时记录索引每小时快照；恢复耗时8分钟，在RPO内索引原地覆盖，无快照提示词与路由配置版本化配置文件；热更新回滚配置项，不重启服务回滚后路由比例和提示词版本可查流量分桶比例作为独立可热更新配置；回滚无需重启配置硬编码在代码中，回滚需发版业务状态/会话上下文状态快照或可重放日志从快照恢复或重放恢复后会话状态与中断前一致；丢失量在RPO内会话状态RPO1小时；恢复后丢失最近42分钟状态状态只在内存中，重启即丢失工具调用兼容状态工具schema和依赖版本记录回退到兼容版本回滚后工具调用成功率恢复工具调用schema版本化；回滚后成功率从0%恢复到98%工具升级未记录兼容版本，回滚后调用失败表5第一行模型权重的验证方式是“实际回滚演练耗时”，不是“有备份文件”。第三行提示词与路由配置的合格示例强调“回滚无需重启”，因为配置回滚如果还需要发版，5分钟的目标无法达成。第五行工具调用兼容状态是智能体场景中特有的一层：模型回滚到旧版本，但工具schema已经升级，旧模型可能无法调用新工具。成品块：输入：版本管理记录、索引快照记录、配置版本、状态持久化方案、工具schema记录。动作：按表5五类逐项核对备份方式和最近一次回滚验证记录。输出：备份与回滚核验底稿。判定：五类均有备份方式；至少三类有实际回滚验证记录；回滚耗时与RTO/TTSS对照，算通过。五、退出：合同里要写清可移植的资产和退出路径AI供应商退出的风险不在于“合同到期”，而在于合同结束时组织发现自己带不走运行这个AI服务所需的资产。redresscompliance的2026年合同红线清单把退出与可移植性列为八条关键条款之一，并给出可移植资产的清单：输入、输出、提示词、嵌入（embeddings）、微调工件（fine-tuningartifacts）。Lexology2026年2月的分析进一步指出，AI合同中的退出机制常被写成模糊概念，前瞻性的合同把退出当作一个定义清晰的工作流，包括过渡期（时间表和责任）、按合同终止方式区分的退出权（到期、便利终止、违约终止），以及在签约时（谈判杠杆最高时）就约定“接下来发生什么”。退出就绪的判定不是“合同里有退出条款”，而是“可移植资产在退出时确实能被导出，并且导出的格式在新环境可用”。金融监管场景下，“可信退出就绪”和集中度风险管理是控制性法律测试，正确的目标是有分层可移植性并经过测试的退出运行手册，而非对每个用例都维持双供应商运行。表6退出可移植性资产清单与就绪判定表可移植资产退出时能否导出导出格式验证方式合格示例不合格形态输入数据（客户提供的文本、文件、结构化数据）是/否/部分原生格式或开放格式合同约定导出时限；实际导出测试合同约定终止后30天内导出；测试导出100%记录可读合同未约定导出格式和时限输出数据（模型生成内容、决策记录）是/否/部分JSON/CSV/原始格式抽样验证导出内容的完整性输出数据含决策记录和置信度；导出测试通过只导出文本，不导出决策记录提示词与提示词库是/否/部分文本/JSON导出后在备用模型上复现行为提示词库可完整导出；在备用模型上关键用例通过率≥90%提示词托管在供应商平台内，不可导出嵌入/向量是/否/部分向量文件或可重建索引导出向量并在新环境重建索引嵌入可导出，索引重建后检索质量偏差≤5%嵌入绑定供应商模型，换模型后向量不可比微调工件（LoRA/适配器/检查点）是/否/部分标准格式或供应商专有格式在目标环境加载并验证微调工件可导出，在兼容基座上加载后行为一致微调产物只能在供应商平台内使用运行状态与配置是/否/部分配置文件/状态快照在新环境恢复并运行路由配置和状态快照可导出状态不可导出，退出即丢失表6第四行嵌入/向量的合格示例包含“检索质量偏差≤5%”的量化验证；如果嵌入绑定特定供应商的模型，换模型后向量空间不可比，导出等于没有导出。第五行微调工件的关键问题是基座兼容性：LoRA/适配器导出后，目标环境是否有兼容的基座模型加载它。成品块：输入：供应商合同退出条款、资产清单、导出测试记录、备用环境兼容性评估。动作：按表6六项逐项核对可导出性和验证方式。输出：退出就绪底稿，每项资产一行。判定：六项均有导出方式和验证方式；至少嵌入和微调工件有一项在备用环境验证过；合同约定导出时限，算通过。六、回退：七级阶梯，从重试到安全暂停连续性计划的核心动作不是“恢复”，是在失效发生时按预先定义的阶梯逐级切换。白皮书提出了七级回退层级：重试、熔断、备用模型、备用供应商、确定性流程、人工恢复、安全暂停。阶梯的设计逻辑是：每一级比上一级成本更高、速度更慢，但更可靠；切换不是“跳到最底层”，而是从最低成本的那一级开始，按触发条件逐级上升。表7七级回退层级与切换判定表层级回退动作触发条件切换时限责任人恢复后如何切回1重试单次调用超时或瞬时错误立即系统自动重试成功后维持正常2熔断/限流错误率超过阈值（如10%）或连续5次超时自动，≤1分钟系统自动错误率回落并稳定后3备用模型主模型错误率持续超过阈值，或质量指标越界≤5分钟工程值班主模型恢复并通过质量验证后4备用供应商备用模型也不可用，或供应商层面故障≤RTO工程负责人原供应商恢复并通过切换演练级验证5确定性流程（规则引擎/模板）模型输出质量不可接受，但业务不能停≤TTSS业务负责人模型质量恢复到容忍区间后6人工恢复确定性流程也无法覆盖，或决策不可规则化按人工接管容量运营负责人自动化路径恢复并验证后7安全暂停继续运行会造成不可逆损害或合规违规≤TTSS危机管理负责人根因消除并经批准后表7第三行备用模型的切换时限“≤5分钟”与ofox.ai的回滚工程目标一致。第五行确定性流程的切换时限与TTSS绑定，而不是RTO：当模型输出不可接受时，业务需要的是尽快进入安全状态，不是恢复模型。第七行安全暂停是最后一级，触发条件是“继续运行会造成不可逆损害或合规违规”，恢复条件不是“技术恢复”，而是“根因消除并经批准”。七、演练：桌面推演到端到端切换，按阶梯升级演练不是“开个会讨论一下”。mickai.co.uk给出了可运行的桌面推演格式，SyntheticUsers2026年3月的演练报告则展示了端到端切换的实际记录：场景是Render平台区域宕机与OpenAIAPI严重降级同时发生（请求失败率>50%，延迟30秒以上）；检测阶段的目标是5分钟内确认平台宕机、5分钟内确认API降级、10分钟内激活响应团队、20分钟内通知高管并触发BCP；实际恢复结果中，AI供应商切换在38分钟内完成，在2小时RTO内，数据完整性确认最近备份42分钟，在1小时RPO内。演练的通过判定不是“大家知道了流程”，而是“实际切换时间落在表4的时间指标内”。表8连续性演练设计与通过判定表演练级别场景设计注入条件通过标准记录要求频率桌面推演供应商API不可用、模型静默退化、合同终止通知按剧本逐节点提问，不实际切换每个决策点有人做出选择并记录理由决策记录、暴露的缺口每年至少1次组件级切换主模型切备用模型、索引恢复、配置回滚在测试环境实际执行切换切换时间≤表7对应层级时限切换耗时、失败步骤每季度1次端到端切换主供应商不可用＋备用供应商切换＋业务验证生产流量或准生产流量实际切换RTO和RPO实际值落在表4设定内；TTSS触发后系统进入安全状态完整时间线、客户影响、恢复验证每半年1次（关键且不可替代的依赖）退出演练合同终止或便利终止场景按表6资产清单实际导出并在备用环境恢复可移植资产导出完整；备用环境关键用例通过率≥90%导出耗时、格式兼容性问题、恢复结果每年1次或合同续签前表8第三行端到端切换的通过标准要求“RTO和RPO实际值落在设定内”和“TTSS触发后进入安全状态”，不是“流程跑通了”。第四行退出演练的通过标准落在“关键用例通过率≥90%”上，退出不是“能导出文件”，是导出的东西在新环境能跑。成品块：输入：演练剧本、测试环境、备用供应商配置、表6资产清单。动作：按表8四级设计演练，记录实际切换时间和暴露的缺口。输出：演练报告，含实际RTO/RPO/TTSS值、失败步骤、改进项。判定：演练级别覆盖当前关键依赖；端到端切换有实际时间记录并与表4对照；退出演练有备用环境恢复结果，算通过。八、卡住的时候先查这张表，再按规则走排查表第一行指向依赖链的完整性。打开表2，数“关键且不可替代”的依赖中，有多少有经过测试的回退路径或人工恢复能力。第二行指向时间指标：TTSS是否存在，还是只有RTO和RPO。第三行指向备份：索引和状态是否有回滚验证记录，还是只有模型权重备份。第四行指向退出：合同里的退出条款是否包含表6的六类资产，嵌入和微调工件是否验证过导出。第五行指向演练：端到端切换的最近一次实际时间是否在RTO内。表9业务连续性排查表第一检查点打开文件/记录数什么判定标准换哪条路关键依赖的回退能力表2、表3关键且不可替代的依赖中无回退路径或人工恢复能力的项数0项算通过有的，补回退层级或人工恢复容量，列入最高优先级TTSS设定表4有TTSS数值的关键依赖数÷总关键依赖数100%算通过缺的，按“不可逆损害或合规违规”的触发条件补设定索引和状态回滚验证表5有实际回滚验证记录的索引/状态项数≥1项算通过无验证的，安排一次恢复演练，记录耗时和丢失量退出可移植性表6嵌入和微调工件中在备用环境验证过导出的项数≥1项算通过无验证的，在合同续签前做一次导出和加载测试端到端切换时间表8演练报告最近一次端到端切换的实际RTO≤表4设定值算通过超过的，定位卡在哪一级回退，补该级的切换时限和责任人决策规则规则1（关键且不可替代依赖的底线）：如果表3中任一依赖落入“关键且不可替代”象限，该依赖必须有至少一条经过测试的回退路径或人工恢复能力，且TTSS有数值。判定失效条件：替代方案在可预见期内确实不可得，退路是保留人工恢复的全流程能力，将人工容量和上手时间写入表2，并每季度演练人工接管。规则2（静默退化的检测与TTSS）：如果AI依赖存在静默退化风险（模型行为变化不触发宕机告警），必须有独立于技术可用性的质量监测（表4的TTSS触发条件），不能只依赖API状态页和延迟指标。判定失效条件：质量监测本身不可用，退路是增加人工抽检频率，抽检结果作为TTSS的触发信号。规则3（备份的验证边界）：如果模型、索引、配置、状态中任一类的回滚从未被实际验证过，该类的“备份”只是文件存在，不能计入连续性能力。判定失效条件：生产环境无法做回滚验证，退路是在准生产环境做，记录环境差异对结论的限制。规则4（退出条款的可执行性）：如果合同退出条款只写“客户有权导出数据”而未列明表6中的六类资产和导出格式，该退出条款在嵌入和微调工件上不可执行。判定失效条件：供应商以商业秘密为由拒绝导出微调工件，退路是在签约时约定“退出时供应商须以托管方式提供可加载的工件副本”，或接受该风险并写入残余风险登记册。规则5（演练级别的选择）：如果依赖属于“关键且不可替代”，演练级别至少达到端到端切换；如果属于“关键但可替代”，至少达到组件级切换。桌面推演不能替代切换演练。判定失效条件：端到端切换风险过高，退路是用准生产流量做切换，并记录与生产环境的差异。规则6（回退层级的切换记录）：如果实际失效中使用了表7的某一级回退，切换时间超过该级时限，即使业务最终恢复，该级回退判“未达标”。判定失效条件：超时由外部供应商响应时间导致，退路是记录供应商实际响应时间，并将其纳入供应商SLA评估，不将外部延迟归因于内部流程。矛盾四段之一矛盾陈述：表4要求设定TTSS，即从检测到不可接受输出到系统进入安全状态的时间；但不可接受输出的判定本身依赖质量监测阈值，阈值设得紧，误报多，系统频繁暂停，业务连续性受损；阈值设得松，真正的不可接受输出可能已经造成损害才被检测到，TTSS形同虚设。检测灵敏度和业务连续性在同一组阈值上指向不同方向。实质分析：这个矛盾落在“安全暂停的及时性”和“业务运行的连续性”之间。TTSS的价值在于快速停止做错事，但停止本身也是业务中断。阈值是两者之间的调节旋钮，调紧调松都有代价。权衡规则：质量监测阈值分两层。第一层是预警阈值，触发后进入增强监控和人工抽检，不暂停业务；第二层是安全状态阈值，触发后执行表7的确定性流程或安全暂停，TTSS从这一层触发开始计时。预警阈值设得较紧以捕捉早期信号，安全状态阈值设得较保守以确保触发时损害已经或即将不可接受。判定失效条件：预警触发频繁但安全状态从未触发，退路是复核预警阈值是否过紧，调整记录写入底稿。退路：如果安全状态阈值难以量化，退路是用“连续N次人工复核判定不可接受”作为触发条件，TTSS从第一次人工判定不可接受时开始计时。矛盾四段之二矛盾陈述：退出可移植性要求合同约定嵌入和微调工件可导出，但嵌入与特定供应商的模型空间绑定，微调工件依赖特定基座；导出这些资产在技术上可行，但在替代环境中的行为可能与原环境不一致。要求供应商保证“导出后在替代环境行为一致”超出了其控制范围；不要求，退出条款在技术上可执行但在业务上不可用。实质分析：矛盾的实质是“资产可导出”和“行为可迁移”之间的落差。可导出是合同和格式问题，行为可迁移是模型兼容性和分布偏移问题。两者在同一份退出就绪判定上指向不同的验收标准。权衡规则：退出验收分两级。格式可导出是合同底线：表6六类资产在退出时能以约定格式导出。行为可迁移是退出演练的验证目标：在备用环境用导出的资产重建，关键用例通过率≥90%视为可用；通过率不足时，记录不可迁移的部分并评估是否接受重新微调或人工替代的成本。判定失效条件：行为可迁移的验证成本过高，退路是只验证最关键的2—3个用例，其余用例列入迁移后重新评估。退路：如果嵌入和微调工件在替代环境的行为不可迁移，退路是在合同中约定过渡期内供应商继续提供推理服务，同时组织在过渡期内用自有数据重新训练或微调替代模型。完整示例：一个客服路由系统的连续性从依赖到演练示例案例，细节为合理设定。该主题的判断分叉集中在静默退化、TTSS缺失、索引回滚未验证、退出资产未测试四处，第四次转折后判断依据已穷尽。起点：某零售企业用一个AI系统对客服工单做意图分类和路由。系统依赖供应商A的API（主模型）、供应商B的备用模型（未测试切换）、一个每小时刷新的检索索引、会话状态存储。企业有传统IT灾备计划，但没有AI连续性计划。RTO和RPO只覆盖基础设施，没有TTSS。分步操作：第一步按表2拆依赖：业务服务是工单路由；模型与路由是供应商A主模型、供应商B备用未测试；数据与记忆是检索索引每小时刷新、会话状态存于内存；工具与身份是工单系统API凭证；人工恢复是人工坐席可手动路由。第二步按表3分级：主模型不可用且备用未测试，归入“关键且不可替代”；检索索引归入“关键但可替代”（可切换旧快照）。第三步按表4设定：路由RTO2小时，会话状态RPO1小时，TTSS10分钟（从检测到误路由到转人工）。第四步按表5核对备份：模型有权重版本但未回滚验证；索引有快照但未恢复验证；会话状态只在内存中。第五步按表6核对退出：合同只写“客户可导出数据”，未列嵌入、提示词和微调工件。第六步按表8安排演练。不顺利环节：第一次转折：信号是供应商A的模型在未公告的更新后，对“退款政策”类工单的路由准确率从94%降至78%，但API状态页全绿，延迟正常。当时以为“系统没挂就是好的”。查表1和规则2，这属于静默退化，API可用性不反映业务可用性。试了只看状态页，误路由持续了两天才被人工坐席投诉发现。新信息是质量监测必须独立于技术可用性。换哪条路：增加按工单类别的路由准确率监控，低于85%触发预警，低于75%触发TTSS（转人工）。第二次转折：信号是表4要求TTSS，但团队认为“RTO和RPO已经够了”。查表4第三行和规则2，静默退化场景中RTO和RPO都不约束“停止做错”。试了只用RTO，误路由在检测到后仍持续了4小时才被人工干预。新信息是TTSS缺失使系统在业务已失效时继续运行。换哪条路：设定TTSS10分钟，触发条件为路由准确率低于75%或连续5次人工标记误路由，动作是自动转人工并通知值班主管。第三次转折：信号是表5核对发现会话状态只在内存中，重启即丢失。当时以为“RPO1小时可以通过重新开始会话满足”。查表5第四行，会话状态丢失量在RPO内的前提是有状态快照或可重放日志；内存状态无法满足RPO。试了接受状态丢失，切换演练中客户会话中断后无法恢复，客户需要重新描述问题。新信息是状态持久化是RPO的实现基础。换哪条路：会话状态增加外部存储快照，每小时持久化一次，切换后从最近快照恢复，丢失量控制在1小时内。第四次转折：信号是表6退出核对发现合同只写“可导出数据”，嵌入和微调工件未列。当时以为“数据导出就够了”。查表6第四行和规则4，嵌入绑定供应商A的模型空间，导出后在供应商B的模型上不可比；微调工件未约定导出格式。试了在演练中只导出输入输出，备用模型的行为与主模型差异显著。新信息是退出条款在嵌入和微调工件上不可执行。换哪条路：在合同续签前补充条款，约定嵌入和微调工件以可加载格式导出，并在备用环境做一次关键用例测试；测试通过前，该依赖的退出就绪判“未完成”。终点：产出依赖链底稿（主模型关键且不可替代，备用未测试）、时间指标（RTO2小时、RPO1小时、TTSS10分钟）、备份核验（模型有权重未回滚验证，索引有快照未恢复验证，状态增加持久化）、退出就绪（补充条款谈判中，嵌入和微调工件未验证）、演练计划（组件级切换优先测试备用模型，端到端切换在备用模型验证后安排）。整改项4项，责任人写入跟踪表。表10完整示例变量表变量案例中情形如果变量不同处置变化主模型可替代性备用未测试，归“关键且不可替代”若备用已测试切换且耗时在RTO内归“关键但可替代”，演练要求降为组件级静默退化检测路由准确率监控缺失，补后触发TTSS若已有按类别准确率监控TTSS可从现有监测触发，无需新增会话状态持久化内存状态，补外部快照若状态已持久化且RPO满足表5状态项通过，无需整改退出资产验证嵌入和微调工件未导出测试若退出演练已完成且关键用例通过率≥90%退出就绪项通过，不列为整改TTSS触发条件准确率＜75%或连续5次误路由若业务对误路由容忍度更高TTSS阈值放宽，但须记录依据表10中权重较高的变量是主模型可替代性和退出资产验证。可替代性决定依赖象限和演练级别，退出资产验证决定合同退出条款是否可执行。九、三套场景：完整版、精简版、极简版查什么版本选择按AI依赖的关键程度和监管暴露判定：AI处于关键业务路径、受DORA或金融监管约束、多供应商链路的选完整版；AI用于内部辅助、单一供应商、监管暴露有限的选精简版；非技术岗位快速理解连续性逻辑的选极简版。三套版本在“关键且不可替代必须有回退或人工恢复”和“静默退化需要独立于技术可用性的监测”两条底线上保持一致。表11三套版本检查项增减对照表版本适用场景保留检查项删掉检查项深度不能妥协的底线完整版AI在关键业务路径、DORA/金融监管、多供应商表2五层全映射；表3四象限；表4三个时间指标；表5五类备份；表6六类退出资产；表7七级回退；表8四级演练无全依赖＋全资产＋全回退阶梯关键且不可替代有回退或人工恢复；静默退化有质量监测精简版AI内部辅助、单一供应商、有限监管表2业务服务、模型与路由、人工恢复三层；表3两象限（关键且不可替代、非关键）；表4RTO和TTSS；表5模型和配置两类；表6输入输出和提示词三类；表8桌面推演和组件级切换表2数据与记忆、工具与身份；表3可替代象限细分；表4RPO；表5索引、状态、工具兼容；表6嵌入、微调工件、状态；表7后三级；表8端到端和退出演练核心依赖＋关键时间指标＋基础回退关键依赖有人工恢复；TTSS有数值极简版非技术岗位理解