系统、数据与权限

10.1 权威源与事件总线

客户与机会以 CRM 为权威，规格与生命周期以 PLM 为权威，设计对象和构建以受控仓库为权威，订单库存与采购以 ERP 为权威，质量放行与投诉以 QMS 为权威，收入和银行以财务系统为权威，身份权限以 IAM 为权威。系统之间传递事件而不是覆盖对方主数据；接口必须带对象ID、版本、发生时间、发送时间、幂等键、来源、状态和错误队列。

正在绘制业务流程…

10.2 主数据最小集合

主对象	稳定键	关键属性	变更控制
客户/交易方	CUSTOMER-C09-*	法人、地址、信用、用途、关系	销售发起，财务/合规批准
产品	PRODUCT-C09-*	规格、生命周期、应用、负责人	产品变更委员会
销售料号	SKU-C09-*	封装、温度、等级、标签、状态	PLM批准并同步ERP
设计版本	哈希＋稳定版本ID	RTL/网表/GDS/PDK/IP/签核	发布管道，不可覆盖
晶圆批	LOT-C09-*	工艺、投片、晶圆号、状态、地点	供应WIP事件
封测批	TESTLOT-C09-*/FGLOT-C09-*	来源批、程序、设备、数量、良率	封测导入＋质量复核
价格	PRICE-C09-*	客户、料号、阶梯、币种、期限	商务财务双批准
分类	CLASS-C09-*	产品/软件/技术、参数、地区、版本	合规有效期与变更复核

10.3 设计数据发布使用双人、短时和不可变证据

设计者提交不能自行批准最终发布。推荐流程：命名身份提交；自动构建记录工具与依赖；同行审查；验证关闭；物理签核；质量、IP/许可和数据路径检查；发布A签署；系统以服务身份导出唯一包；对文件计算摘要；在受控通道传给获批接收方；回传收件和制造版本；到期撤销临时访问。紧急ECO也不能绕过身份、版本、独立复核、回退和事后批准，只能缩短路径并提高记录密度。

01业务起点

02协作与交接

03结果与复盘

图7：最敏感的设计发布需要把“谁、哪一版、为什么、给谁、到何时、如何验证和如何撤销”固定成证据。

10.4 职责分离矩阵

冲突组合	风险	预防控制	小团队补偿
设计提交＋最终发布批准	未验证版本流片	独立A和流水线门	外部同行/主管复核＋全日志
测试程序修改＋良率放行	通过放宽限值美化良率	程序版本与质量批准	修改前后盲样比较和复核
供应收货＋报废	数量挪用或掩盖损耗	不同身份与周期盘点	视频/供应证明＋财务抽检
销售报价＋价格主数据	越权降价	商务财务批准	阈值审批与事后差异报表
客户创建＋银行账户修改	欺诈付款/退款	主数据双人核验	回拨验证与冷静期
合规筛查＋交付释放	风险交易自行放行	合规A与仓储执行分离	第二复核且交付系统硬门
开票＋收款核销	隐藏差额	银行独立导入与核销规则	月度未核销清单由主管复核

10.5 数据分级与跨境路径

数据级别	示例	默认访问	对外前问题	退出证据
C09-L4核心设计	GDS、密钥、未公开架构、PDK	项目最小组、强认证	权属、许可、分类、接收方、目的地	下载日志、回收与销毁证明
C09-L3敏感经营	客户BOM、良率、成本、用途	角色与项目范围	合同、最小化、加密、期限	对账、删除、权限回收
C09-L2内部	路线图、一般流程、汇总指标	员工按需	保密和版本	归档/到期删除
C09-L1公开	已发布数据手册、公告	公开	发布批准与一致性	发布记录

数据中心在中国大陆不代表没有出境：境外晶圆厂接收设计包、境外EDA远程支持读取日志、跨地区团队访问代码、海外客户上传故障转储，都需要画真实数据路径。中国大陆个人信息出境要先识别个人信息、处理者、数量、目的、接收方和适用机制；《促进和规范数据跨境流动规定》提供当期判断入口，但程序豁免不等于免除告知、授权、安全和合同等基础义务（SRC-CAC-CROSS-BORDER-DATA-2024、SRC-NPC-PIPL-2021）。技术和设计数据还要分别核知识产权、许可、保密和出口管制，不能用个人信息结论替代。

10.6 接口失败世界

供应商WIP接口不能只定义“成功返回200”。它要处理批次重复、事件乱序、部分晶圆完工、数量修订、测试程序晚到、单位变化、时区、同一晶圆跨批、供应商重传、文件摘要不一致、主数据不存在和人工补录。对账规则例如：期初WIP＋投入−完工−报废−转出＝期末WIP，差异必须进入队列并有责任、时限和证据；不能用“接口重跑成功”关闭历史差异。