初始化提交

docs/operations/release-evidence.md

@@ -0,0 +1,41 @@
+# 发布证据台账
+
+> 状态：模板  
+> 作用：为每个发布门提供可复核、可过期、可阻断的证据记录。本文不预填“已通过”。
+
+## 1. 证据记录格式
+
+每条证据必须包含：
+
+| 字段 | 要求 |
+| --- | --- |
+| `gate_id` | 稳定门编号，例如 `IDENTITY-SEAT-001` |
+| 发布门 | 指向 `release-gates.md` 的具体条目 |
+| 适用范围 | 产品版本、提交/镜像、部署档位、区域和能力 |
+| 责任角色 | 执行、复核与批准角色；不在模板预填个人 |
+| 方法 | 自动测试、契约测试、端到端、故障注入、恢复演练、扫描或人工验收 |
+| 结果物 | 日志、报告、trace、测试产物、截图或监控查询的不可变链接 |
+| 通过标准 | 可判定阈值，不使用“基本正常”“专项完成”等模糊描述 |
+| 实际结果 | 通过、失败或受限通过；受限通过不得用于核心禁域 |
+| 时间与有效期 | 执行时间、证据过期时间和提前复审触发条件 |
+| 例外与阻断 | 例外批准、限制、回退和未通过时阻断范围 |
+
+## 2. 首批硬门证据包
+
+| `gate_id` | 场景 | 最小通过标准 | 必须保留的结果物 |
+| --- | --- | --- | --- |
+| `IDENTITY-SEAT-001` | 在线命台迁移 | 网络分区、重复提交、目标崩溃和源端恢复均不能产生双命台；旧 epoch 写入全部被拒绝 | 状态机测试、故障注入日志、协调记录与审计水位 |
+| `IDENTITY-RESTORE-001` | 备份恢复 | 达到 RPO/RTO；谱系连续、唯一命台、删除墓碑和撤销授权恢复后生效 | 隔离恢复报告、实际 RPO/RTO、核心旅程记录 |
+| `DATA-DELETE-001` | 永久删除 | 主存储、索引、上下文、主动行为和派生使用均停止；墓碑不含被删原文 | 删除前后查询、索引验证、恢复重放和审计记录 |
+| `ACTION-SAFETY-001` | 高风险外部动作 | 拒绝、超时、取消、重复投递均不执行；获准动作最多执行一次且行动账完整 | 端到端测试、幂等记录、外部系统对账和 trace |
+| `REGION-RESIDENCY-001` | 固定区域驻留 | 数据库、对象、索引、日志、备份、KMS 和 Provider 请求符合地区矩阵，路由故障不造成静默跨区 | 数据流审计、网络策略、存储位置与故障切换测试 |
+| `ADULT-CONSENT-001` | 成人/现实人物/声音授权 | 资格、用途、期限、传播范围、撤回和失败处理均可验证；无资格或撤回后能力不可用 | 流程测试、授权记录、撤回传播延迟与人工复核记录 |
+| `ACCESSIBILITY-001` | 核心无障碍 | 键盘、屏幕阅读器、焦点、非颜色状态和流式控制覆盖核心旅程并通过既定标准 | 自动扫描、人工测试脚本、缺陷清单与复测结果 |
+| `DOC-CONTRACT-001` | 文档与契约 | Markdown 链接、Mermaid 渲染、稳定标识引用和机器契约兼容性检查通过 | CI 运行链接与产物 |
+
+## 3. 判定规则
+
+- 核心禁域、身份唯一性、区域驻留、删除、RPO/RTO 和法律运营门不接受“受限通过”。
+- 失败证据不可删除或覆盖；修复后新增复测记录并关联原失败。
+- 依赖版本、部署拓扑、地区规则或契约版本改变时，相关证据立即转为待复核。
+- 发布批准必须列出所有适用 `gate_id` 及其当前证据；缺失即阻断，不以会议口头结论替代。