hunjing/docs/operations/release-evidence.md

发布证据台账

状态：模板
作用：为每个发布门提供可复核、可过期、可阻断的证据记录。本文不预填“已通过”。

1. 证据记录格式

每条证据必须包含：

字段	要求
gate_id	稳定门编号，例如 IDENTITY-SEAT-001
发布门	指向 release-gates.md 的具体条目
适用范围	产品版本、提交/镜像、部署档位、区域和能力
责任角色	执行、复核与批准角色；不在模板预填个人
方法	自动测试、契约测试、端到端、故障注入、恢复演练、扫描或人工验收
结果物	日志、报告、trace、测试产物、截图或监控查询的不可变链接
通过标准	可判定阈值，不使用“基本正常”“专项完成”等模糊描述
实际结果	通过、失败或受限通过；受限通过不得用于核心禁域
时间与有效期	执行时间、证据过期时间和提前复审触发条件
例外与阻断	例外批准、限制、回退和未通过时阻断范围

2. 首批硬门证据包

gate_id	场景	最小通过标准	必须保留的结果物
IDENTITY-SEAT-001	在线命台迁移	网络分区、重复提交、目标崩溃和源端恢复均不能产生双命台；旧 epoch 写入全部被拒绝	状态机测试、故障注入日志、协调记录与审计水位
IDENTITY-RESTORE-001	备份恢复	达到 RPO/RTO；谱系连续、唯一命台、删除墓碑和撤销授权恢复后生效	隔离恢复报告、实际 RPO/RTO、核心旅程记录
DATA-DELETE-001	永久删除	主存储、索引、上下文、主动行为和派生使用均停止；墓碑不含被删原文	删除前后查询、索引验证、恢复重放和审计记录
ACTION-SAFETY-001	高风险外部动作	拒绝、超时、取消、重复投递均不执行；获准动作最多执行一次且行动账完整	端到端测试、幂等记录、外部系统对账和 trace
REGION-RESIDENCY-001	固定区域驻留	数据库、对象、索引、日志、备份、KMS 和 Provider 请求符合地区矩阵，路由故障不造成静默跨区	数据流审计、网络策略、存储位置与故障切换测试
ADULT-CONSENT-001	成人/现实人物/声音授权	资格、用途、期限、传播范围、撤回和失败处理均可验证；无资格或撤回后能力不可用	流程测试、授权记录、撤回传播延迟与人工复核记录
ACCESSIBILITY-001	核心无障碍	键盘、屏幕阅读器、焦点、非颜色状态和流式控制覆盖核心旅程并通过既定标准	自动扫描、人工测试脚本、缺陷清单与复测结果
DOC-CONTRACT-001	文档与契约	Markdown 链接、Mermaid 渲染、稳定标识引用和机器契约兼容性检查通过	CI 运行链接与产物

3. 判定规则

• 核心禁域、身份唯一性、区域驻留、删除、RPO/RTO 和法律运营门不接受“受限通过”。
• 失败证据不可删除或覆盖；修复后新增复测记录并关联原失败。
• 依赖版本、部署拓扑、地区规则或契约版本改变时，相关证据立即转为待复核。
• 发布批准必须列出所有适用 gate_id 及其当前证据；缺失即阻断，不以会议口头结论替代。