操作日志审计
改量、改配置、导入导出、审批、放行、回滚、权限变更全部留痕：谁、什么时间、从哪个 IP、把什么对象从什么值改成了什么值、理由码是什么、谁批的，一条都不能少。日志本身只追加、不可修改、不可删除。
今日操作记录
1,284条
含改量 29 条 · 配置变更 3 条
改量留痕
29行
模型值与人工值双轨留存（E7）
配置变更
3次
含 1 次灰度回滚（rule-model v2.4→v2.3）
导入导出
7次
导入 2 · 导出 5，全部带水印与责任人
审批记录
12条
含 3 张超阈值改单复核
异常操作
1条
删除审计日志尝试，已拒绝并告警
审计日志主表（全量留痕）
数据源：审计库 audit_log（append-only）· 记录数 1,284 条（本页展示 12 条代表记录）导出 CSV（留痕）只看异常
| 操作类型 | 对象类型 | 对象 / 内容 | 操作人 | 角色 | 操作时间 | IP | 变更前 | 变更后 | 理由码 / 依据 | 审批链 | 记录哈希 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 改量 | 决策表 | B20251021-D01 · 24AW-3182 · 浙江杭州武林银泰店 | 王运营 | 商品运营 | 2025-10-21 09:14:22 | 10.20.31.55 | M 码 3 件 / 合计 7 件 | M 码 5 件 / 合计 9 件 | M-03 陈列补足 | 张主管 · 10-21 09:22 | a3f1…9c2d |
| 改量 | 决策表 | B20251021-D01 · 25SS-1377 · 浙江绍兴银泰城店 | 王运营 | 商品运营 | 2025-10-21 09:18:05 | 10.20.31.55 | 合计 3 件 | 合计 0 件（剔除该行） | M-07 该店不参与 | 张主管 · 10-21 09:26 | b71c…4e08 |
| 改配置 | 模型约束参数 | rule-model · 单店最大发出包裹数 | 李工 | 数据平台 | 2025-10-20 15:22:08 | 10.20.31.18 | 12 个 | 15 个 | M10 口径确认单 2025-10-20 | 张主管 → 平台负责人 | c20a…77b1 |
| 改配置 | 齐码规则 | rule-size · 主码长度范围 | 王运营 | 商品运营 | 2025-10-19 11:05:41 | 10.20.31.55 | 2–4 | 2–3 | C-02 尺码曲线回测 | 张主管 | d93e…10fa |
| 导入 | 人工修改导入 | io-import · 29 行改量 Excel | 王运营 | 商品运营 | 2025-10-21 08:12:03 | 10.20.31.55 | —（新增 29 条人工值） | 4 步校验通过（格式/主数据/保护期/阈值） | E6 人工修改导入 | 自动通过（阈值内） | e44b…2c65 |
| 导出 | 决策导出 | io-export · 330 行 × 134 列（保留约束色） | 王运营 | 商品运营 | 2025-10-21 08:40:19 | 10.20.31.55 | — | 导出文件加隐水印（工号 + 时间） | E5 决策导出 | — | f01d…88a4 |
| 审批 | 调拨单 | TR20251021-003 · 超阈值改量 +38 件 | 张主管 | 商品运营负责人 | 2025-10-21 10:02:55 | 10.20.31.42 | 待审批 | 通过 | 超阈值复核（金额 > ¥50,000） | 王运营 → 张主管 → 财务 | 0b7f…d512 |
| 放行 | 数据质量放行 | DQ-009 · POS 延迟 51 家门店 · 8,976 行候选 | 张主管 | 商品运营负责人 | 2025-10-21 02:22:10 | 10.20.31.42 | 阻断 | 放行（降级：改用上一日流水） | G-15 恢复前放行 | 李工（数据）→ 张主管（业务） | 1c8e…6f93 |
| 回滚 | 规则版本 | rule-model v2.4 → v2.3 | 李工 | 数据平台 | 2025-10-20 16:40:33 | 10.20.31.18 | v2.4 生效中（灰度 10%） | 回滚至 v2.3，灰度撤回 | 灰度门店约束命中率 -8.2pp | 平台负责人 | 2d90…3ab7 |
| 权限 | 数据权限 | 角色 商品运营-华东 · 可见门店 32 → 41 家 | 系统管理员 | 系统管理员 | 2025-10-18 17:20:14 | 10.20.30.9 | 32 家门店 | 41 家门店 | S1 组织调整 | 管理员 → 数据 owner | 3ea2…5d16 |
| 登录 | 用户会话 | auth-user · 张主管 · MFA 短信验证 | 张主管 | 商品运营负责人 | 2025-10-21 09:58:02 | 10.20.31.42 | — | 登录成功 | — | — | 4bb5…0c72 |
| 删除尝试 | 审计日志 | log-20251018-0042（审计日志不可删除） | 未知账号（IP 203.0.113.77） | — | 2025-10-18 22:11:47 | 203.0.113.77 | — | 拒绝（WORM 锁定 + 只读账号） | 触发安全告警 SEC-20251018-01 | 安全组介入 | 5cf3…91e0 |
共 12 行每页
按对象追责检索
G9 · 追责要能一键定位到"谁改的、改成什么、谁批的"| 检索维度 | 典型用法 |
|---|---|
| 按对象 | 这个 SKC 的建议量被人改过几次、每次改成多少 |
| 按人 | 某人近 30 天所有改量与配置变更 |
| 按审批链 | 哪些改动走了双签、哪些是自动放行 |
| 按异常类型 | 删除尝试、越权访问、非工作时段操作 |
追责链示例 · 24AW-3182 在浙江杭州武林银泰店的改量
E7 模型 vs 人工差异留痕02:12:06 · 模型输出
M 码建议 3 件（合计 7 件）；模型值写入 model_qty 字段，永久保留
08:12:03 · 人工修改导入
王运营 上传 29 行改量 Excel，4 步校验通过；model_qty 与 manual_qty 双轨留存
09:14:22 · 界面改量
M 码 3 → 5 件，合计 7 → 9 件；理由码 M-03 陈列补足；IP 10.20.31.55
09:22:41 · 审批通过
张主管复核通过（改量幅度 +28.6%，未超 20% 自动放行阈值 → 转人工复核）
09:23:02 · 单据生成
按最终值 9 件生成补货单，单据详情页可反查本条审计记录哈希 a3f1…9c2d
事后可复算
决策日快照 + 模型值 + 人工值三份数据齐全，任何时候都能回答"若不加人工干预会怎样"
i留痕的价值：模型迭代需要"反事实"数据。只留最终值，就无法评估人工改量是加分还是减分；双轨留存才能做采纳率与改量收益分析（G7）。
日志留存与不可篡改要求
G9 + S6 + X16 等保基线- 存储方式
- 追加写（append-only）对象存储 + WORM 锁定
- 完整性
- 哈希链：每条记录含前一条 hash，断链即告警
- 留存期限
- 审计日志 3 年；链路日志 30 天；导出文件 1 年
- 合规基线
- 等保 2.0 要求审计日志 ≥ 6 个月，本系统按 3 年执行
- 访问控制
- 审计库仅授予只读账号；系统账号无 delete 权限
- 时间源
- 全部节点 NTP 同步，时间偏差 > 1 秒即拒绝写入
- 脱敏字段
- 手机号、身份证脱敏存储；IP 与工号全量保留
- 导出留痕
- 任何导出都写审计记录，并给文件加隐水印
操作类型分布（今日 1,284 条）
分布本身也是异常检测基线审计日志三不要
① 不要与业务库同库同权限（否则业务账号可篡改）；② 不要只记"操作成功"（失败与拒绝尝试同样是审计证据）；③ 不要用可覆盖的存储（WORM 或哈希链至少择一）。
异常操作与安全事件
失败与被拒的操作同样是审计重点| 时间 | 类型 | 内容 | 处置 | 状态 | owner |
|---|---|---|---|---|---|
| 2025-10-18 22:11:47 | 越权尝试 | 未知账号（IP 203.0.113.77）尝试删除审计日志 log-20251018-0042 | 拒绝（无权限）；IP 加入观察名单；触发 SEC-20251018-01 | 已处置 | 安全组 |
| 2025-10-20 16:40:33 | 配置回滚 | rule-model v2.4 灰度门店约束命中率 -8.2pp，触发自动回滚建议 | 李工执行回滚至 v2.3，灰度撤回；回滚记录写入审计 | 已闭环 | 李工 |
| 2025-10-21 02:22:10 | 降级放行 | DQ-009 阻断转降级放行（POS 延迟 51 家门店） | 双签放行 + 决策表页眉标注 + 10-22 09:00 前复核 | 待复核 | 张主管 |
| 2025-10-21 10:02:55 | 超阈值改量 | 调拨单 TR20251021-003 改量 +38 件（超 20% 阈值） | 转人工复核，三级审批链通过后放行 | 已闭环 | 张主管 |
共 4 行每页
i合规提示：审计日志的不可篡改不是靠"约定"实现的，而是靠技术手段 —— 追加写 + 哈希链 + WORM 存储 + 只读账号 + NTP 时间源。缺任何一项，日志在争议场景下都不具备证据效力。