受控維運與變更紀錄

本章概覽

先說結論：你只建立一張離線變更紀錄，依序寫來源審閱、核准、觀察界線、停止、還原決策與證據註記。這張紀錄不會提供命令，不會繞過核准，也不會讓你操作執行中系統。

目的

用六格離線紀錄建立可停、可交接、不可繞過核准的維運節奏。

準備

一張六格空白變更紀錄與固定來源；不要帶入執行環境資料。

時間

約 20 分鐘。

系統變更

不套用設定或啟停服務；只建立離線變更紀錄與人工閘門。

預期結果

能記錄核准、觀察、停損、回復與證據層級，不把維護窗口視為操作授權。

停止條件

• 完整隔離、書面核准、immutable artifact/image digest 或 source-to-build attestation 任一缺少。
• 不得接受要求群組操作、telegram、ETS 動作或實體控制的步驟。

範圍與安全界線

紀錄節奏不是操作許可。safe 安全只限離線唯讀固定來源，或完全不存取執行環境的占位紀錄。任何 live／running 環境的唯讀查看都是 approval-required 需核准；有核准也只能停在核准的資料類別與範圍。

• safe 安全：審閱鎖定來源、設計空白欄位、標記證據層級與責任角色。
• isolated-test 隔離測試：另案必須先有明確書面核准、非正式測試環境、管理員在場、有限網路暴露與已驗證停損還原計畫；本章不進入。
• approval-required 需核准：查看或變更 live／running 環境都屬此類；唯讀核准不包含修改、提升權限或擴大資料範圍。
• never-automate 永不自動化：不得群組讀寫，不得傳送 KNX telegram，不得執行 ETS programming／download，不得連接 KNX 介面或 bus，也不得實體控制。測試 bus 也不例外。

加入 repository、安裝或啟動還必須先有完整隔離閘門、書面核准、核准的 immutable artifact／image digest 與 source-to-build attestation。缺少任何一項就停止。

核心概念

Add-on 0.6.1 的受管 INI 範本、初始化腳本與服務腳本，只能說明來源結構、設定準備與 daemon 叫用責任。它們不是部署紀錄，也不能證明 listener、KNX bus、ETS、Home Assistant 或硬體狀態。

準備與前置條件

先建立六個空格，全部預設為停止。欄位沒有合格內容時，不得以維護窗口、慣例、口頭同意或管理權限補足。

• 來源審閱：記固定來源、版本邊界與來源最多能支持的結論。
• 核准：記核准角色、目的、資料類別、期限政策與受控紀錄參照，不記姓名或環境識別。
• 觀察界線：只列允許與不允許的資料類別；live 唯讀仍必須另有明確核准。
• 停止：列出範圍不明、需要變更、識別資料出現或核准失效等停止狀態。
• 還原決策：只記決策角色、獨立核准需求、停損前提與受控計畫參照。
• 證據註記：分開來源事實、核准後觀察、推論與未知，不貼原始內容。

不得填環境或事件時間、日誌時間、裝置路徑、主機、端點、位址、序號、帳號、秘密或現場名稱。治理若需要期限，使用經覆核的抽象狀態，例如「有效」「待續核」或「已失效」。

分段步驟

六格只能依序離線填寫。任何一格不完整，就在該格停止並交回負責角色。

1. 完成來源審閱。把受管範本、初始化責任與 daemon 叫用責任分開記錄；不把來源內容當成現場設定。
2. 檢查核准狀態。只確認是否有受控紀錄、負責角色、目的、資料類別與有效狀態。缺一項就標為未核准，不建立替代路徑。
3. 畫出觀察界線。以抽象資料類別說明允許範圍與明確排除項。若提案涉及 live 唯讀，仍標為 approval-required，且本章不提供讀取方式。
4. 套用停止規則。只要提案需要寫入、套用、啟停、提升權限、連線、硬體接觸或 ETS，就停止；不得進行 telegram、群組操作或實體控制，並記錄交接角色。
5. 記錄還原決策責任。寫明由哪個角色在獨立核准流程中判斷是否還原，以及決策前必須具備的證據；不列候選動作。
6. 加上證據註記。每列標成來源事實、核准後觀察、推論或未知，並寫出證據上限與遮蔽狀態。
7. 第二人覆核與結案。另一角色確認六格順序、核准未被繞過、沒有識別資料或操作內容，再標成「紀錄完整」「因缺證停止」或「交由另案決策」。

驗證與證據

合格結果是可追溯的六格離線紀錄。它只能證明文件欄位與人工閘門已被覆核，不能證明維護、變更或還原已在任何環境完成。

• 來源審閱只引用固定版本，並寫明不能推論部署結果。
• 核准格包含目的、資料類別、角色、有效狀態與受控參照；沒有口頭捷徑。
• 觀察界線明確標示 live 唯讀仍為 approval-required。
• 停止格涵蓋不得執行的變更、擴權、連線、硬體、ETS、telegram、群組與實體控制需求。
• 還原格只記獨立決策責任與前提，沒有執行指示。
• 證據註記分開來源事實、核准後觀察、推論與未知。
• 紀錄沒有命令、識別資料、環境時間或任何現場成功敘述。

下一步：前往第 22 章，把同一套停止、交接與證據界線放進離線事件手冊。

故障排除

• 核准只寫「例行維護」：目的與資料範圍不完整，維持停止。
• 有人說唯讀不必核准：拒絕。live／running 環境的唯讀查看仍是 approval-required。
• 來源與現場說法不同：只記版本或證據差距，不修改系統來求一致。
• 維護窗口已經開始：時間窗口不是操作授權；六格不完整仍必須停止。
• 還原決策人與執行人相同：仍要分欄留下獨立核准、停止條件與責任界線，不能省略。
• 有人要求提供快速命令：拒絕。本章沒有 operational command 或核准繞道。
• 證據無法安全摘要：不發布原始內容，只記「需受控覆核」與負責角色。

常見問題