# 06 · 风险登记表（跨项目）

> 规划者视角的风险集中管理。每个风险：触发信号 → 影响 → 应对（已有/待做）→ 责任人。
> 更新时机：每次验收打回、每次事故、每月复盘。

---

## 一、执行体系风险（多模型协作特有）

| # | 风险 | 触发信号 | 影响 | 应对 | 状态 |
|---|---|---|---|---|---|
| R1 | **模型交付伪造/夸大**（说全绿实际没跑） | PROGRESS 缺原始输出；验收命令重跑失败 | 坏代码进主干 | ① 03-协议红线 1；② 模板 7 复核模型交叉验证；③ 关键卡（D-01/C-03）强制第二模型复核 | 已有 |
| R2 | **模型越界改动**（夹带重构/删测试） | diff 超出卡范围；测试数减少 | 引入无关缺陷 | ① 协议红线 2/3；② 验收时 diff 检查；③ 打回模板 | 已有 |
| R3 | **任务卡漂移**（执行中需求被私自改） | 交付物与卡不符 | 规划失效 | ① 卡只由规划者修订；② 发现漂移打回 | 已有 |
| R4 | **多卡并行冲突**（同文件并发改动） | merge 冲突；行为互相覆盖 | 返工 | 依赖关系图（02）+ 一卡一模块原则 | 已有 |
| R5 | **新模型能力误判**（没有评估就派关键任务） | 首次交付质量差 | 关键路径延误 | **I-04**（评估题库 + registry + 入职 SOP）；新模型先派低风险卡 | 待做（I-04） |
| R6 | **模型上下文丢失**（长任务断点） | partial 交付、超时 | 重复劳动 | 模板 3 断点续接 + Handoff Bundle（I-04 交付物） | 部分（I-04） |

## 二、基础设施风险

| # | 风险 | 触发信号 | 影响 | 应对 | 状态 |
|---|---|---|---|---|---|
| R7 | **无 CI**（改动靠手工验证） | 模型说绿就信 | 坏代码累积 | **I-02** Gitea Actions 四项目 CI | 待做（I-02） |
| R8 | **无备份**（数据丢失不可恢复） | 误删/盘故障 | 灾难级 | **I-02** 备份脚本 + 恢复演练 | 待做（I-02） |
| R9 | **密钥泄露** | 密钥进仓库/报告/截图 | 安全事件 | 03-协议红线 4；`.gitignore` 审查；`(服务器数据)` 物理隔离 | 已有 |
| R10 | **DSH 配置被破坏**（重演 09-08 事故） | 模型能力声明被剥离 | 全 agent 请求报错 | I-01 只读探测；settings.yaml 改前备份铁律 | 待做（I-01） |
| R11 | **PG 环境缺失**（并发/测试类任务阻塞） | 用例 skip；D-02 卡死 | 测试矩阵缺口 | D-02（半天的活，优先级高） | 待做（D-02） |

## 三、项目风险

| # | 风险 | 触发信号 | 影响 | 应对 | 状态 |
|---|---|---|---|---|---|
| R12 | 可乐工具路由冲突未修致分享流量流失 | 用户反馈链接打不开 | 获客损耗 | C-01（M1 首位） | 待做（C-01） |
| R13 | EnglishDrill 登录墙持续砍首访 | 首访转化低 | 增长停滞 | E-02（M1） | 待做（E-02） |
| R14 | dealerhub 授权层缺失致多租户数据串 | 跨租户可见异常 | 商业信任崩塌 | D-01（设计先评审） | 待做（D-01） |
| R15 | DSP 无统一回归 → 推荐迭代翻车 | 线上 feed 异常 | 用户流失 | S-01 统一入口 → S-03 升级 | 待做（S-01/S-03） |
| R16 | 单服务器单点（192.168.5.7） | 硬件故障 | 全部服务停 | I-02 备份演练；关键数据异地副本 | 待做（I-02） |

## 四、流程风险（操作员侧）

| # | 风险 | 触发信号 | 影响 | 应对 | 状态 |
|---|---|---|---|---|---|
| R17 | **验收积压**（模型交了一堆没人验收） | PROGRESS 堆积 | 状态失真 | 05-模板 4 打回机制；每周固定验收窗口 | 已有工具 |
| R18 | **派单过载**（同时派太多卡） | 冲突/质量下降 | 返工 | 一次最多 3 张（M1 建议 2-3 张） | 建议 |
| R19 | **免费池滥用**（关键任务派给 C 级） | 交付质量差 | 返工 | 01-矩阵派单规则 1（关键路径 A 级以上） | 已有 |

---

## 五、风险响应预案（事故时照做）

**场景 A：模型交付被判定伪造**
```text
1. 打回（模板 4）+ 记录该模型 registry 降级（I-04)
2. 该卡换模型重派（建议升级一级）
3. 复核模型全量重验该卡
```

**场景 B：误删/数据损坏**
```text
1. 立即停止该项目的所有派单
2. 从最近备份恢复（I-02 脚本）；无备份 → 从 git 历史恢复
3. 复盘：该操作为什么没有备份保护 → 补进本表
```

**场景 C：settings.yaml 类热配置被破坏**
```text
1. 用最近 .bak_<日期> 恢复
2. 校验 YAML 解析 + 跑 I-01 探测对照
3. 涉事工具/插件禁用
```

**场景 D：任务卡执行中大火烧了（模型反复失败）**
```text
1. 连败 2 次 → 换模型（升一级）并让上一模型交出 partial + 断点
2. 连败 3 次 → 规划者重审任务卡本身（拆分/降级/换方案）
```

---

## 六、风险复查节奏

| 频率 | 动作 |
|---|---|
| 每次验收打回 | 更新对应行 + 记录 |
| 每周 | 扫一遍"待做应对"看是否有该提前的 |
| 每月 | 全表复查 + 归档已闭环项 |