系统、数据与权限

10.1 主数据最小集合

主数据	关键字段	唯一A	变更影响
客户/最终用户	法人、地址、用途、信用、筛查	ROLE-C10-18/ROLE-C10-17分域	合同、贸易、信用
产品/版本	产品ID、设计版次、等级、生命周期	ROLE-C10-06	路线、测试、客户资格
工艺路线	站点、设备组、配方、返工、有效期	ROLE-C10-05	WIP、容量、质量
材料/BOM	料号、供应商、批次、替代、储存	ROLE-C10-15	成本、质量、EHS
设备/腔体	位置、能力、校准、状态、维护	ROLE-C10-09	产能、追溯、异常范围
测试程序/bin	版本、摘要、平台、限值、处置	ROLE-C10-12	良率、等级、交付
批次	父子、数量、所有权、位置、状态	ROLE-C10-08	全部下游事实
成本中心/驱动	设备组、路线、小时、费率	ROLE-C10-17	报价、成本和利润

10.2 事件模型比“当前状态”更重要

MES记录的关键事件包括创建、释放、到站、开始、完成、hold、拆批、合批、返工、重测、报废、放行和发运。每个事件应有 event_id、lot_id、event_time、recorded_time、站点/设备、数量前后、单位、原因、操作身份、审批与来源摘要。当前状态可由事件重放得到；若只保留当前状态，审计无法知道批次为何从100变成96、为何曾被hold、谁批准返工。

10.3 设备参数与业务批次握手

EAP/设备系统可能以秒或毫秒产生大量数据，MES按批次/步骤管理业务事件。两者通过批次、设备、腔体、recipe版本、开始结束时间和摘要关联。不能把所有原始传感数据都塞进ERP，也不能只保存一张平均参数报表。关键参数需不可变归档、时间同步、版本化解析；算法标记异常后，最终批次处置仍由受权岗位记录，模型不能静默改质量状态。

10.4 权限与职责分离

冲突组合	风险	正常控制	小团队补偿
建路线＋批准路线	自审配方	独立同行与A批准	限时双人见证
改测试程序＋放行批次	通过改限值提良率	程序发布与质量分离	摘要、重测前数据、事后复核
释放投片＋改订单	无有效需求过投	APS与合同权限分离	日投片清单第二人签
执行维修＋批准复机	未验证即生产	维修与复机A分离	基准片、质量/EHS会签
改收货＋做应付	虚假采购	仓储与财务分离	三单匹配与抽盘
建客户银行＋付款	欺诈	主数据双审＋付款分离	回拨验证和限额
建交付＋确认收入	提前收入	物流、质量、财务分离	合同/交付样本复核
申请资料外发＋批准	越权跨境	业务与合规分离	临时审批人＋日志抽查

10.5 特权访问

工程师排故需要高权限，但共享管理员账号不可追责。PAM流程应为具名申请、事件/工单关联、最小范围、短时授权、会话记录、命令或变更摘要、自动到期、事后复核。生产紧急账号要密封托管，启用即报警；使用后改密钥并检查被改对象。供应商远程访问必须有实名、设备、时间、允许系统、数据边界和现场/远程见证，不因签了NDA就获得永久网络通道。

10.6 接口的失败世界

失败	示例	控制
重复	MES完成事件重发两次	幂等键与事件ID
乱序	发运先于质量放行到达数据湖	事件时间与状态规则
部分成功	数量更新成功、成本对象失败	事务/补偿与差异队列
单位错	片、颗、千颗混用	单位主数据与换算版本
时区错	跨境测试站日期错月	UTC＋业务时区
版本错	新程序结果挂到旧版产品	版本摘要与有效期
主数据缺失	新设备没有成本中心	阻止入账/受控临时映射
人工补录	离线班报批量录入	原事件时间、补录人、复核
摘要不符	文件名相同内容变化	加密摘要与接收确认
回放失败	无法从事件重建WIP	日对账与灾备演练

10.7 数据分级与保留

设计/工艺/测试与客户失效数据按商业与管制敏感度分类；设备原始数据按质量追溯价值分类；人员访问日志可能含个人信息。保留期由合同、产品生命周期、质量、会计、许可和争议事实共同决定，不能全局写“永久保存”。到期删除要冻结诉讼/事件保全对象，保留批准、对象清单、摘要和执行证据。向客户交报告时用最小字段，不把其他客户、设备全局参数或人员信息一并导出。

01工程师通过具名短时权限进入生产系统

02发布

03审批

04执行与审计四个角色各自独立

05敏感工艺资料沿受控通道传递并自动回收