系统、数据与权限

10.1 系统架构的核心是“同一辆车、同一零件、同一版本”

汽车数据跨越项目开发和十年以上售后周期。编码如果只在单个系统里唯一，仍会发生错装、错发和错误召回范围。至少统一客户/供应商、车型平台、零件号、版本、生效断点、工厂、设备、工装、包装、批次/序列、VIN、计量单位、币种和税务主体。

10.2 状态源与接口

业务对象	权威系统	关键状态	禁止做法
RFQ/定点	SYS-C07-CRM	进入、报价、入围、定点、失单	用个人表格替代唯一机会ID
图纸/BOM/软件	SYS-C07-PLM	草稿、审核、生效、废止	在邮件附件上直接生产
客户排程	SYS-C07-EDI＋ERP核验	预测、冻结、拉动、取消	接口数据不核验即下达工单
工单与物料	SYS-C07-ERP	计划、释放、完工、关闭	手工改BOM不留版本
生产序列	SYS-C07-MES	投入、加工、检验、返工、报废	条码重打无审批和日志
质量状态	SYS-C07-QMS	待检、合格、隔离、让步、报废	仓库自行解除隔离
库存与发运	SYS-C07-WMS	可用、冻结、拣配、在途、签收	负库存或跨状态直接出库
结算与应收	ERP财务子系统	待对账、已开票、到期、逾期、争议	用发票系统反推全部业务事实

10.3 最小权限与职责分离

高风险动作	发起	审批/复核	不可兼任原则
生效图纸/BOM	研发	授权技术/质量	作者不能独自发布关键变更
修改客户价格	销售运营	商务授权＋财务复核	对账人不能无依据改价
解除质量隔离	质量工程	授权质量负责人	仓库和生产不得自放行
报废/调整库存	仓库或质量	财务/运营复核	实物保管与账务审批分离
重打序列标签	生产/物流申请	质量或数据复核	原序列关联必须保留
新增供应商和银行账户	采购/供应商	独立主数据和财务核验	询价人员不得独自改收款账户
付款	业务验收/应付制单	授权审批＋银行复核	制单、审批、支付分离

10.4 一次追溯演练

正在绘制业务流程…

成熟追溯同时支持逆向和正向：从故障车辆找到零件与过程，也能从某批原料找到所有受影响零件、车辆、客户和库存。演练要计时并制造“缺一段数据”的情景，验证备用记录与人工应急，而不是只在系统演示最顺利路径。

01售后质量团队从一辆虚构故障车的零件序列反查工位

02设备

03原料批次

04又正向圈定同批次库存和车辆范围

图注：可追溯不是“有二维码”，而是能双向、及时且有证据地界定风险范围和产品流向。

10.5 数据安全与业务连续性

图纸、软件、标定、客户排程、车辆与售后数据可能包含商业秘密、重要运营信息或个人信息。按数据分类分级设置下载、外发、水印、日志、加密和保留期限；跨境协作前识别数据主体、内容、目的地和传输路径。生产系统还要做离线工单、标签、检验与补录方案，避免网络中断直接让全厂停摆或失去追溯。

10.6 主数据治理不是IT代填编码

每类主数据必须有业务所有者、创建规则、审批、生效、变更、停用和质量指标。零件主数据由产品工程对技术语义负责，采购对采购来源负责，计划对策略参数负责，财务对估价和科目负责；IT维护平台和权限，不应替这些岗位判断业务内容。

新增零件号之前先查重和复用；单位要同时管理基础单位、采购、生产、包装和客户单位及换算；版本应与生效日期/序列绑定；停用必须确认库存、在制、售后和开放订单。一个小数位、单位或包装数量错误，可能经过MRP放大为大额错采和错发。

数据质量维度	示例规则	监控指标
唯一性	同一业务对象只有一个有效编码	疑似重复率
完整性	特殊特性必须有关联控制计划和检测	必填缺失率
一致性	PLM生效BOM与ERP/MES下发版本一致	跨系统差异数
及时性	客户批准变更在切换前完成系统生效	超期未生效变更
有效性	单位、日期、枚举和逻辑关系合法	接口拒绝/人工修正数
可追溯性	关键字段知道谁在何时为何修改	无审计日志变更数

10.7 EDI异常不能靠人默默修

客户可能重复发送、撤销、补发或变更排程。接口层保存原始报文、业务唯一键、接收时间、版本和处理结果；业务规则把预测、冻结和拉动映射为内部状态。解析失败、数量突变、未知零件、过期版本、负数或时间窗口异常进入待处理队列并通知责任人。

人工修正必须引用原报文、说明原因、双人复核并保留前后值。若同类错误频繁发生，应修接口或规则，而不是让计划员每天复制粘贴。接口成功率不能只看“技术收到报文”，还要看业务完成核验并进入正确订单的比例。

10.8 追溯数据的最小事件模型

追溯不是一个大表，而是一串事件：接收、发料、投入、加工、检测、返工、完工、包装、发运、客户使用和售后。每个事件至少有对象ID、事件类型、时间、地点/工位、人员或设备、输入对象、输出对象、状态和证据引用。

例如一炉铝料拆成多批压铸件，一批压铸件又拆到多台机加工设备，最后单件装箱。数据模型必须支持“一对多、多对一和返工循环”。若只在完工时抄一个原料批号，就无法判断中途混批或返工；若记录所有参数却不与单件/批次关联，也无法用于范围界定。

保留期限按法规、客户、产品安全、质保和诉讼时效等综合确定。到期销毁也应受控，避免为了节省存储提前删除，或无限保留个人数据。备份要做恢复演练；一份从未验证能恢复的备份不算可靠控制。

10.9 生产账号和设备身份

共享账号会使异常无法追责。操作员、维修、工程、质量和系统管理员分别授权；关键程序发布、参数越界、隔离解除、标签重打和数据导出采用更强认证与复核。自动设备也要有唯一身份、证书和允许调用的接口，不能把所有设备都作为同一个“系统账号”。

临时供应商远程维护应申请、限时、限定设备、全程记录，并在结束后关闭。远程连接不能绕过工厂网络分区直接进入生产线。员工离职、岗位变动和承包商结束时及时撤权，定期复核高权限与长期未使用账号。

---