系统、数据与权限

10.1 权威源和状态机

CRM对线索权威，合同系统对签约版本权威，SIS对学员项目关系权威，教务对计划课次权威，LMS与线下证据共同支持实际教学，评价系统对成绩权威，ERP对会计权威。报表不自造事实，只消费带版本、时间和血缘的数据。跨系统状态以事件同步，失败可重放且幂等；不得靠员工在多个Excel手工改成一致。

10.2 最小权限与职责分离

招生可建立线索和发起合同，不得改成绩或批准退款；教师可提交出勤和评分，不得改收款；教务可排课和审核服务事实，不得记账；财务可确认收入和付款，不得创造课次；IT管理员可恢复系统，不得替业务批准；数据分析看去标识数据，不默认看身份证、电话和求职材料；内审只读抽样且访问留痕。

冲突权限	风险	控制
顾问建合同又批折扣	虚假价格	独立价格授权
教师评分又发证	放水或卖证	证书运营复核
教务造课又确认收入	虚假消课	财务独立核验
客服改账户又付款	退款欺诈	回拨与资金复核
管理员改库又删日志	隐匿证据	临时权限、不可变审计

10.3 教育数据最小化

报名阶段只收适配与签约必要数据；入学后按教学和安全需要扩展；就业服务另说明简历、岗位与企业共享；未成年人和敏感个人信息采用更严格保护。人脸、声音、视频、健康、家庭和职业测评不是“提升体验”即可无限收集。每字段登记目的、法律依据或同意、访问角色、共享方、保存期和删除规则。[SRC-NPC-PIPL-2021]

10.4 在线监考与AI

在线监考先证明必要性和比例性，提供清晰告知、设备要求、申诉和合理替代；算法异常不能自动认定作弊。生成式AI可辅助教案、练习与反馈，但教师核事实、版权、偏差和适龄性；不得输入无授权学员、企业或考试敏感资料。AI评分、招生推荐和就业匹配记录模型版本、输入范围、人工复核、偏差与退出。

10.5 数据质量门禁

学员必须关联有效合同和产品版；课次教师与场地有效；出勤不能超过开课时长；退款累计不超过可退金额；成绩有评价版和评分人；证书条件全部满足；就业去向有观察期和证据；收入不超过可履约对价；班级人数与资源容量一致；删除和更正保留事件。门禁失败阻断下游，而不是月底静默修表。

10.6 灾备业务复演

01教学平台灾备演练中

02两套系统切换后团队逐一复演合同

03课表

04出勤

05成绩

恢复后抽取未签约、已付款待入学、学习中、转班、退款中、已结业和证书申诉七类学员；检查课程版本、教师、出勤、作业、评分、专户、收入和通知。系统能登录不等于业务恢复。线下兜底数据双人导入，重复事件幂等，任何无法复演的课次暂不消课或确认收入。

10.7 状态与事件模型

学员、合同、付款、班级和学习各有独立状态，不能用一个“在读”字段承载全部。学员可能合同有效但付款待核，可能已付款但开班取消，可能学习中但退款争议，可能结课但评价申诉。每次状态变化写事件ID、原状态、新状态、业务依据、操作者、发生与记录时间。跨系统消费同一事件，重复消息不产生第二次入学、消课、发证或退款。

事件更正用冲正或补充，不删原事件。时区、夏令时和跨境直播统一保存UTC与本地显示；课次计划时间、实际开始结束、教师确认和学员活动分开。批量任务标批次和算法版，能够重跑并比较结果。系统迁移保存旧新ID映射与未迁移例外。

10.8 排课与资源约束引擎

排课同时验证教师获准课程、工时与冲突，教室容量与许可用途，设备维护，学员先修和时间，课程顺序与节假日。硬约束失败禁止发布，软约束如通勤和连续课程给出警告。人工覆盖需理由、期限和批准，不能让超级管理员常态跳过。

课程取消或教师替换后，系统找到全部学员、合同和通知偏好，生成改期、转班与退款任务。资源释放后更新容量，防止重复占用。排课优化目标不能只有场地利用率，还要加入教师疲劳、学员间隔、反馈时间和安全上限。

10.9 出勤与消课控制

线下签到可用教师点名、学员确认、门禁或其他相称方式交叉验证；线上看认证、实际活动、互动与课程记录，不把页面挂着等同学习。生物识别若非必要不用，能用低侵入方式就不扩大数据。迟到、早退、中断、补课和合理请假有清楚规则。

消课引擎读取有效课次、学员关系、服务条件和异常，不直接读取销售计划。大批相同时间签到、教师在两个地点、课次超过场地容量、停机期间全员满勤等触发拦截。教务复核事实，财务独立使用批准批次；任何手工调整出现在次日异常报表。

10.10 评价和证书系统控制

题库按岗位、目标、难度、版本和保密等级管理，作者与批准者分离；考试生成记录抽题规则，监考事件和系统异常进入同一案件。评分保留评分标准、评分人、时间和意见，自动评分规则可解释并有人工复核。学员只看本人结果和允许反馈。

发证系统读取不可变完成条件，不接受Excel名单直接批量发证。编号、姓名、项目、性质、日期和验证链接一致；电子签章和模板限权；补发关联原证，撤销在验证页显示合法状态。第三方发证接口失败时暂停，不能由机构先打印“等效证书”。

10.11 就业系统与口径血缘

岗位从企业主体、联系人和职位开始，经过审核、有效期和风险标签；学员投递记录授权和版本；面试、录用、到岗和稳定观察分别事件化。薪酬证明、劳动合同或企业确认等证据最小化保存，报表使用去标识汇总。无法联系者仍在分母中按既定口径处理，不能删除提高比例。

公开就业数字可从页面反查指标版、统计批次、项目、学员集合、去向事件和验证证据。修改口径产生新版本并并列历史。企业撤回岗位或被发现风险时，系统通知全部相关学员并停止推荐，历史事件不删除。

10.12 身份与访问治理

入职基于岗位模板开权，临时任务按工单和到期时间加权，转岗重新评估，离职当天撤销。高权限使用多因素认证、受控终端和操作录屏或日志；数据库紧急访问双人批准，事后业务负责人复核。共享账号、教师借用班主任账号和渠道使用内部账号一律禁止。

每季度业务负责人确认人员仍需访问哪些项目和校区，安全团队检查异常下载、夜间查询和批量导出。第三方教师只看自己班级必要信息，企业导师只看获授权学员和任务，平台供应商远程运维在窗口内临时开放。权限撤销不等于数据删除，另核导出副本。

10.13 集成与供应商

支付、电子签、直播、LMS、题库、云、短信、背景核验和就业平台供应商进入前评估服务、数据、连续性、分包、财务健康和退出。合同写可用性、事件通知、审计、数据位置、返还删除、知识产权和迁移协助。机构不能说“数据在大厂所以安全”，仍对选型、配置和使用负责。

接口使用稳定ID、认证、签名、限流、幂等和重试；生产与测试隔离，测试不用真实敏感数据。供应商改变模型、地区、分包或条款触发复核。退出演练验证课程、作业、成绩、证书和日志可导出，替代平台能在允许停机内恢复关键教学。

10.14 日志、监控与告警

基础设施看容量和错误，应用看接口与队列，业务看签约、排课、课次、退款、发证，权益看异常消课、批量下载、账户错付和投诉。告警有负责人、影响、阈值、行动手册和升级，不用无人处理的红点装饰大屏。重大事件时间线使用可信时钟。

日志不记录完整身份证、密码、认证码、儿童影像或简历正文。需要调查时通过受控查询关联学员、合同、课次和事件ID。留存期限按目的、法规和争议需要设置，到期自动删除并生成报告；冻结保全有案件、范围和解除条件。

10.15 变更与发布

课程、价格、话术、评价、消课规则、退款、就业口径和系统都进入统一变更管理。变更单写目的、影响学员、许可合同、数据、财务、测试、培训、灰度、回滚和通知。高风险变更由跨职能委员会批准，紧急修复先限权止损并在规定时间补审。

上线前在模拟学员上走正常、退费、转班、缺勤、补课、申诉和系统失败；财务重算收入与合同负债；安全做权限和数据检查。上线后观察首批并比较预期，超过阈值自动暂停扩量。发布完成的定义是业务指标稳定和证据归档，不只是代码部署成功。