系统、数据、接口与权限

01运单

02分拣

03车次

04末端

05即时调度

10.1 系统架构以事件为骨架

正在绘制业务流程…

系统不应各自创造“已完成”。网络快递的完成通常由符合规则的末端交付事件驱动；即时配送由经核验的交付事件驱动；计费从事件总线消费，却无权回写原始签收。客服可发起更正工单，但不能直接覆盖轨迹。事件更正保留原值、新值、理由、申请人、审批人和时间。

10.2 六类主数据

主数据	所有人	变更门禁	错误后果
客户与合同	销售运营/法务	合同审批和生效日	错主体、错信用、错SLA
产品与服务区域	产品/网络	产能、许可、合规会签	接到不能送或不该收的单
费率与计费规则	定价/财务	双人审批、版本、回归测试	批量少收、多收和争议
地址与路由	网络规划	路由仿真、班次生效	错分、延误、成本跳变
网点、车辆、人员	运营/人力/合规	资质、培训、权限同步	无证经营、责任不清、账号冒用
品类与禁限寄规则	安全合规	法规更新、专家复核	安全事件或错误拒收

10.3 事件模型

每个事件至少包含事件ID、运单/任务号、事件类型、业务时间、系统接收时间、地点/节点、执行主体、设备/账户、前后状态、证据引用和版本。业务时间与接收时间分开，可识别断网补传；事件ID和幂等键防止重复；状态机拒绝“未揽收直接签收”等不合理跳跃。

事件	前置条件	后续允许	异常校验
ACCEPTED 已收寄	订单有效、验视通过	集包/即时取货	身份、品类、重量证据
CONTAINER_CLOSED 集包关闭	件已扫入且容器开放	装车、交接	件数、目的路向
DEPARTED 发车	车次、车辆、封签有效	到达、在途异常	早发/晚发、资质
ARRIVED 到达	存在发车或批准旁路	解封、分拣	时间、位置、封签
OUT_FOR_DELIVERY 派件	责任清单核点	签收、拒收、二派	账户、实物、路线
DELIVERED 妥投	符合授权与POD规则	结算、申诉	定位、时间、证据重复

10.4 接口控制

客户API必须有身份认证、签名、时间窗、防重放、幂等、限流、字段校验和错误码；回调应允许重试但不得重复生成运单或退款。地图距离、支付、短信、身份服务和加盟系统是第三方依赖，要有超时、熔断、降级与对账。

上线变更先在测试环境使用脱敏样本做回归，至少覆盖正常、取消、退回、超重、偏远、接口超时、重复回调、服务抵扣和跨月订单。费率、路由和状态机变更要有生效窗口与回退，不在大促高峰直接“热改试试”。

10.5 权限矩阵

操作	一线	网点/调度	客服/质量	财务	IT管理员
查看完整电话地址	任务期最小必要	授权区域	有工单、脱敏优先	原则上不需要	运维不默认明文
修改地址	不可直接改	发起/小额规则复核	身份验证与审批	只读费用影响	按批准工单执行
修改重量	现场复称留证	复核	查看争议	锁账前复核申请	不直接决定业务值
更正签收事件	不可覆盖	发起工单	质量批准	只读	保留原值后执行
修改费率	无	无	无	定价/财务双批	按版本发布
批准赔付	无	事实说明	定责建议/授权审批	会计复核	无
导出明细	默认禁止	限区域限量	工单和审批	财务字段最小化	高危操作审计

账户必须实名唯一，多因素认证用于管理和高风险操作；人员转岗、加盟退出或合作终止要同步回收账户、证书、API密钥和设备。共享骑手账号会同时破坏劳动报酬、保险、交通事故、用户安全和反舞弊证据，不能以“换班方便”为理由容忍。

10.6 数据质量与对账

每日跑四类规则：状态完整性（是否缺关键节点）、物理一致性（同一包裹是否同时出现在两地）、商业一致性（产品和费率是否匹配）、隐私安全（是否越权查询或批量导出）。规则命中进入队列，有明确负责人、时限和处置结果；不得让脚本静默修改原始数据。

对账	A侧	B侧	差异含义
订单—支付	有效订单金额	支付/退款流水	漏单、重复、盗刷、退款差
运单—实物	运单事件	容器/车次/盘点	空单、漏扫、丢失
发车—到达	发车容器件数	到达解封件数	在途差、错卸、封签风险
签收—客服	完成事件	投诉/拒收工单	伪签、错投、规则冲突
计费—合同	账单行	费率版本/SLA	多收少收、版本错
客户账—总账—银行	业务账单	应收、发票、收款	财务完整性和核销错误

10.7 留存、删除与跨境

不同数据的法定、合同、争议和审计留存期不同。数据团队应建立字段级目录：目的、来源、使用岗位、共享对象、存储地、留存、删除和跨境情况。到期删除要可验证；诉讼、索赔或监管调查触发合法保全时暂停删除。跨境传输地址、电话、轨迹或员工数据前，按适用的数据跨境规则、目的地法律和合同边界完成专项评估，不能因集团系统在境外就默认同步。

<a id="g04-ch11"></a>