项目架构评审口述与交叉追问

本册用于训练“能评审、能裁决、能口述、能被交叉追问”的架构表达。主线不是罗列技术组件，而是从事实等级、业务不变量和候选方案出发，用反例验证、组织 Owner（负责人）、ADR（架构决策记录）、实施门禁和复盘证据形成闭环，并绑定 WMS（仓储管理系统）、支付、履约、异步导出、Runner（执行器）、IoT（物联网）与跨境物流项目。事实边界参考项目串讲事实卡，评审方法承接架构设计项目口述和架构权衡组织治理追问。

PlantUML（开源建模工具）图解读： 总图把评审分成事实、候选、反例、裁决、实施和复盘六层。七类项目共享评审框架，却由各自领域 Owner（负责人）定义权威事实与业务终态；任何证据不足、反例击穿或门禁越界都会回到上一层，而不是靠继续放量掩盖风险。

一、事实等级与评审口述开场

1. 先报事实等级，再报问题与结论

热门面试题

1. 问题（基础题）：架构评审口述为什么不能从技术组件开始？

   • 考点：评审叙事、业务目标、事实等级与结论前置。
   • 回答思路：用“业务问题、事实边界、推荐结论、主要代价”建立共同语境。
   • 详细答案：组件只是手段。开场先说明要保护的业务结果、当前异常或机会、证据来自哪里，再给推荐方案和最大代价，听众才能判断后续细节是否相关。若一上来罗列中间件，业务方无法确认问题，技术方也无法区分生产事实与个人设想。合格开场应在一分钟内交代对象、量级区间、业务不变量、当前事实等级、推荐方向和需要评审裁决的问题。
   • 进阶追问：如果项目数据不完整，开场会不会显得不专业？
   • 进阶回答：不会。主动标出 E0（待核对）、E1（直接证据）、E2（已有材料映射）、E3（演练设计），同时给出补证据动作，比用无来源数字制造确定性更专业。

2. 问题（原理题）：事实等级如何影响方案承诺与上线范围？

   • 考点：证据强度、可逆性、暴露面与验证门禁。
   • 回答思路：说明证据越弱，越要缩小范围、增强观测并保留退出路径。
   • 详细答案：事实等级不是写作标签，而是风险控制输入。E1（直接证据）可以支持当前问题判断，但仍要检查时间和口径；E2（已有材料映射）只能证明方案与现有边界相容；E3（演练设计）用于推导容量和故障，不能冒充生产收益；E0（待核对）必须成为门禁项。证据越弱且动作越不可逆，越应采用影子验证、小流量、人工审批和停止线。
   • 进阶追问：直接证据是否可以免除反例验证？
   • 进阶回答：不可以。直接证据只证明某个时间和口径下发生过什么，不能证明未来峰值、组合故障和迁移路径一定成立。

3. 问题（项目题）：怎样用事实等级讲 WMS（仓储管理系统）防超卖项目？

   • 考点：职责边界、库存不变量、证据与演练数字。
   • 回答思路：把真实职责、材料映射、演练推导和待核对收益分开。
   • 详细答案：先讲可确认职责，例如库存预占、释放、流水和对账边界；有源码、需求或监控支持的标 E1（直接证据）。根据现有架构提出条件更新、稳定业务键和差异收敛，可标 E2（已有材料映射）。为了演示峰值热点而构造每秒请求数，应标 E3（演练设计）。真实超卖下降比例、峰值和事故次数若没有原始材料，就保持 E0（待核对），并说明需从库存流水、订单差异和告警记录核对。
   • 进阶追问：面试官逼问具体收益怎么办？
   • 进阶回答：给出可复算的方法、所需分子分母和取证位置，不编造结果；可以说明演练区间，但必须再次声明其事实等级。

flowchart LR
    A[业务问题] --> B[事实分级]
    B --> C{证据足够}
    C -- 否 --> D[缩小暴露面]
    C -- 是 --> E[推荐结论]
    D --> F[补证据计划]
    E --> G[代价与裁决点]
    F --> G

Mermaid（图表语法）图解读： 图从业务问题进入事实分级，证据不足不会阻断思考，但会改变试点范围、观测强度和承诺措辞；最终必须落到可裁决的结论与代价。

数据演绎与排查流程 1： E3（演练设计）设库存预占峰值每秒 1800 次，热点货品占 35%，其中 90% 落在单仓。热点键每秒约 567 次请求；若单键稳定处理能力为每秒 420 次，则净等待每秒 147 次，一分钟积压 8820 次。评审必须把热点比例、单键能力和持续窗口列为待验证输入，而不能只报总吞吐。

二、评审口述骨架与时间分配

2. 用固定骨架控制深度与节奏

热门面试题

1. 问题（基础题）：五分钟架构评审口述应如何分段？

   • 考点：时间盒、结论前置、失败路径与验收。
   • 回答思路：按背景、约束、候选、决策、落地、结果六段组织。
   • 详细答案：建议先用四十秒交代背景和业务损失，再用四十秒说明量级、边界和不变量；用一分钟比较候选方案，一分钟讲推荐方案的关键数据流和失败路径；再用一分钟讲灰度、回退、监控与 Owner（负责人），最后用四十秒给结果、事实等级和复盘。时间不是平均分配，面试官追问哪一段，就沿该段证据展开。
   • 进阶追问：只有两分钟怎么办？
   • 进阶回答：保留背景、约束、结论、最大风险和结果五点；组件细节等追问再展开，绝不删除事实等级和失败语义。

2. 问题（原理题）：为什么评审必须同时讲正常流、失败流和恢复流？

   • 考点：状态机、未知态、补偿与可运营性。
   • 回答思路：正常流证明能做，失败流证明不乱，恢复流证明能收敛。
   • 详细答案：只讲正常流容易把超时误判为失败，把重试当作万能恢复。失败流要说明重复、乱序、部分成功、资源耗尽和依赖不可用时状态如何裁决；恢复流要说明查证、重放、补偿、人工接管和完成证明。三条流共用稳定业务身份与状态版本，才能避免恢复动作制造第二次事故。
   • 进阶追问：恢复流可以上线后再补吗？
   • 进阶回答：不应。没有恢复流的系统尚未完成设计；至少要在上线前定义停止线、人工接管和证据保留。

3. 问题（项目题）：支付项目串讲中怎样避免陷入事务名词堆砌？

   • 考点：资金不变量、未知态、对账与口述取舍。
   • 回答思路：围绕一次支付意图和四方事实讲清裁决。
   • 详细答案：先定义同一支付意图至多一个有效成功、累计退款不超可退金额等不变量，再讲本地支付单、渠道请求、订单和账务流水的关系。渠道超时进入未知态，以原请求号查单；回调、查单和对账都经过条件状态迁移。技术名词只在解释为何守住不变量时出现，最后补人工复核阈值、停止线和审计证据。
   • 进阶追问：为什么不能把最终一致当结论？
   • 进阶回答：因为最终一致没有说明最终多久、由谁发现差异、依据什么修复以及超窗如何接管；必须给出收敛窗口和责任。

sequenceDiagram
    participant 评审者
    participant 事实
    participant 方案
    participant 运行
    评审者->>事实: 背景 约束 量级
    事实->>方案: 候选与淘汰条件
    方案->>运行: 正常流 失败流 恢复流
    运行-->>评审者: 指标 停止线 结果

Mermaid（图表语法）图解读： 时序强调口述不是组件游览，而是从事实推到方案，再从方案推到运行与结果；任何跳步都会留下无法解释的承诺。

数据演绎与排查流程 2： E3（演练设计）设支付渠道 10000 个请求中，明确成功 9700 个、明确失败 180 个、超时 120 个。若把超时直接重试且其中 70 个实际已扣款，最多可能形成 70 次重复风险；改为原请求号查单，查回 68 个成功、48 个失败、4 个仍未知，则人工只接管 4 个，风险暴露从 120 个缩到 4 个。

三、候选方案与淘汰条件

3. 让方案比较可证伪、可退出

热门面试题

1. 问题（基础题）：架构评审为什么至少要有两个候选方案？

   • 考点：选择空间、权衡透明与反事实。
   • 回答思路：候选方案用于证明推荐结论来自约束裁决而非个人偏好。
   • 详细答案：至少两个完整候选，才能比较正常行为、故障行为、成本、团队能力、迁移和退出路径。陪跑方案也必须能真正落地，不能故意写成明显劣解。评审先用硬约束淘汰，再对软目标排序，并说明哪些变量变化会导致结论反转。
   • 进阶追问：候选越多越好吗？
   • 进阶回答：不是。通常两个到三个足够；过多会稀释关键差异。应围绕真正影响结论的架构分歧组织。

2. 问题（原理题）：为什么硬淘汰条件优先于加权总分？

   • 考点：不可接受风险、平均分陷阱与底线。
   • 回答思路：任何破坏业务不变量的候选不能靠其他高分抵消。
   • 详细答案：加权矩阵适合比较剩余候选，却会把资金错误、越权、不可恢复迁移等硬风险平均掉。先把法规、数据主权、业务不变量、恢复承诺和团队不可运营项写成淘汰条件；通过后再比较成本、性能、交付速度和学习曲线。每个淘汰项必须有证据或验证计划，不能借硬约束包装个人偏好。
   • 进阶追问：团队不会某技术算硬淘汰吗？
   • 进阶回答：取决于交付时限、培训成本和外部支持。若窗口内无法形成运营能力，可以是阶段性淘汰项，但要记录重新评估条件。

3. 问题（项目题）：异步导出应如何比较同步、整表异步和分片快照三种方案？

   • 考点：工作负载、隔离、快照语义与交付。
   • 回答思路：先冻结行数、行宽、并发、时效和数据变化语义。
   • 详细答案：同步方案适合小结果但受请求时限限制；整表异步避免接口超时，却可能把内存溢出和数据库压力搬到后台；分片快照按稳定游标读取、流式写文件并隔离资源，复杂度更高但更可控。若业务要求同一时点口径、百万宽行和并发任务，前两者可能触发硬淘汰。还要比较取消、重试、文件过期、权限变更和退出路径。
   • 进阶追问：分片越小是否越安全？
   • 进阶回答：不是。过小会增加调度、元数据和对象合并成本，应由单片内存、查询耗时、失败重做成本共同决定。

flowchart TD
    A[冻结工作负载] --> B[候选甲]
    A --> C[候选乙]
    A --> D[候选丙]
    B --> E{硬约束通过}
    C --> E
    D --> E
    E -- 否 --> F[淘汰并留证]
    E -- 是 --> G[软目标排序]
    G --> H[退出与反转条件]

Mermaid（图表语法）图解读： 候选先共享同一工作负载和口径，再过硬门禁；加权比较只发生在门禁之后，最终还要说明退出路径与结论反转条件。

数据演绎与排查流程 3： E3（演练设计）设单行平均 2.5 千字节，导出 120 万行，原始数据约 3 吉字节。整表加载即使只产生 1.8 倍对象放大，也需约 5.4 吉字节，还未计文件缓冲；按 2 万行分片，单片原始约 50 兆字节，按 2.5 倍安全系数约 125 兆字节。四并发约 500 兆字节，更容易设置隔离上限。

四、反例注入与失败路径评审

4. 用最小反例击穿隐含假设

热门面试题

1. 问题（基础题）：什么是架构评审中的最小反例？

   • 考点：假设、证伪、边界输入与不变量。
   • 回答思路：寻找能以最小输入破坏核心主张的场景。
   • 详细答案：最小反例不是堆砌极端故障，而是针对关键假设设计最小破坏条件。例如“旧 Runner（执行器）不会再写”可用租约过期后旧任务迟到提交验证；“报警聚合不漏高危”可用一个高危事件混入普通风暴验证。反例必须绑定主张、不变量、注入方式、观测点和预期裁决。
   • 进阶追问：反例没击穿就能证明方案正确吗？
   • 进阶回答：不能，只能说明当前覆盖下未被击穿；要记录未测组合、强度和上线观测。

2. 问题（原理题）：如何从正常流程系统地产生交叉追问？

   • 考点：重复、乱序、超时、部分成功、资源耗尽与权限变化。
   • 回答思路：沿每个跨边界动作追问身份、状态、证据、责任和恢复。
   • 详细答案：对每个箭头依次问：重复到达是否有稳定身份，乱序是否会倒退状态，超时后事实归谁，部分成功如何补偿，队列或线程耗尽如何降级，权限变化是否影响已生成结果。再问谁观测、谁批准、谁执行、谁证明恢复。这套追问可跨 WMS（仓储管理系统）、支付、履约、导出、Runner（执行器）和 IoT（物联网）复用。
   • 进阶追问：所有项目都用同一答案吗？
   • 进阶回答：追问维度可复用，业务裁决不可复用；支付未知态、库存释放和报警高危旁路有不同不变量。

3. 问题（项目题）：如何反例评审 Runner（执行器）租约方案？

   • 考点：租约代次、旧执行者、重复执行与副作用。
   • 回答思路：重点验证租约过期后的写权限，而不只验证重新调度。
   • 详细答案：构造执行者暂停、租约过期、新执行者接管、旧执行者恢复并提交结果的时序。若只靠时间判断，旧执行者仍可能覆盖新结果；应让每次租约带单调代次，结果写入和外部副作用都校验代次。还要注入续租失败、数据库延迟、任务超时和取消并发，检查任务身份、尝试身份与业务幂等键是否分离。
   • 进阶追问：外部接口不支持代次校验怎么办？
   • 进阶回答：通过本地出站门禁、稳定幂等键和结果查证缩小风险；不可控副作用必须限制任务类型或改为人工接管。

stateDiagram-v2
    [*] --> 假设
    假设 --> 反例注入
    反例注入 --> 守住: 不变量未破坏
    反例注入 --> 击穿: 不变量被破坏
    击穿 --> 改方案
    改方案 --> 假设
    守住 --> 扩大组合
    扩大组合 --> 反例注入

Mermaid（图表语法）图解读： 反例回路没有一次性终点。守住最小反例后还要扩大强度和组合；被击穿则修改方案并重新审查新的隐含假设。

数据演绎与排查流程 4： E3（演练设计）设 Runner（执行器）租约 30 秒，执行者甲在第 25 秒暂停 20 秒；第 30 秒租约过期，执行者乙取得代次 12 并于第 42 秒完成；甲在第 45 秒恢复。若结果只按任务编号更新，甲会覆盖乙；若条件要求当前代次等于 11，甲更新影响行数为零，保留乙的结果。

五、组织 Owner（负责人）与评审裁决

5. 把架构结论落到责任与门禁

热门面试题

1. 问题（基础题）：架构评审中 Owner（负责人）到底负责什么？

   • 考点：单点责任、协调权、证据与结果。
   • 回答思路：Owner（负责人）不是包办者，而是确保问题最终有人推进和裁决。
   • 详细答案：Owner（负责人）负责组织事实、推动候选比较、确认依赖承诺、记录裁决、跟踪风险和验收结果；具体开发、业务批准、财务复核和运维执行可以由不同角色承担。每个风险应有唯一推进 Owner（负责人），同时列出批准者、协作者和被通知者，避免多人负责等于无人负责。
   • 进阶追问：Owner（负责人）可以自己批准高风险变更吗？
   • 进阶回答：不一定。资金、权限、合规和大范围发布通常需要独立批准，推进责任与批准权应分离。

2. 问题（原理题）：跨团队争议应如何从观点冲突变成可裁决问题？

   • 考点：共同口径、决策权、实验和期限。
   • 回答思路：先冻结争议变量，再明确谁依据什么在何时裁决。
   • 详细答案：把“方案好不好”改写为具体争议：工作负载、失败成本、接口承诺、资源预算或数据所有权。双方共享输入和指标，列出各自主张与反例；可实验的进入限时验证，不可实验的由业务或治理角色承担取舍。裁决结果写入 ADR（架构决策记录），包含异议、剩余风险和重审条件。
   • 进阶追问：意见无法统一是否应该继续开会？
   • 进阶回答：不应无限讨论。若信息不足就指定补证据 Owner（负责人）和截止时间；若价值取舍不同就提交有权承担结果的人裁决。

3. 问题（项目题）：跨境履约涉及订单、仓库和承运商时怎样划分责任？

   • 考点：数据所有权、外部依赖、查证与人工接管。
   • 回答思路：按事实所有权和恢复动作划分，而不是按接口调用划分。
   • 详细答案：订单域拥有客户承诺，库存域拥有预占流水，仓储域拥有仓单作业，承运商拥有面单和轨迹事实。本地履约 Owner（负责人）负责保存稳定请求号、查单、差异清单和升级，不得替外部系统猜终态。还要明确面单失败谁切换渠道、库存何时允许释放、轨迹停滞谁联系承运商、超窗后谁对客户承诺。
   • 进阶追问：外部供应商没有明确 Owner（负责人）怎么办？
   • 进阶回答：合同和接口层必须指定内部供应商 Owner（负责人）作为唯一升级入口，并建立超时、配额和故障通报机制。

flowchart LR
    A[评审议题] --> B[推进 Owner]
    B --> C[事实提供者]
    B --> D[批准者]
    B --> E[实施者]
    B --> F[验收者]
    C --> G[裁决记录]
    D --> G
    E --> G
    F --> G

Mermaid（图表语法）图解读： 一个议题只有一个推进 Owner（负责人），但事实、批准、实施和验收可以分离；所有角色的输入最终汇入可追溯裁决。

数据演绎与排查流程 5： E3（演练设计）设跨境履约差异 240 单：仓单未知 90、面单未知 70、轨迹停滞 60、库存差异 20。若统一交给一个开发排查，平均每单 12 分钟需 48 小时；按事实所有权四路并行，最慢一组 90 单仍需 18 小时。再将明确可查单的 120 单自动化到每单 1 分钟人工复核，总人工可降至约 25 小时，且责任更清楚。

六、ADR（架构决策记录）与实施门禁

6. 记录为什么选、何时撤销、怎样验收

热门面试题

1. 问题（基础题）：ADR（架构决策记录）至少应包含哪些内容？

   • 考点：上下文、候选、决策、代价、状态与重审。
   • 回答思路：记录决策发生时的事实与选择逻辑，而不只是最终结论。
   • 详细答案：最小内容包括问题背景、事实等级、约束和不变量、候选方案、淘汰理由、最终决策、正负后果、Owner（负责人）、验证计划、停止线、退出路径和重审条件。还要记录状态是提议、接受、废弃还是被替代，并链接证据。这样未来看到结果时能理解当时为何合理。
   • 进阶追问：记录太多会不会没人维护？
   • 进阶回答：采用短模板和链接证据，重点记录会影响未来判断的内容；流水细节留在监控、工单和测试报告中。

2. 问题（原理题）：可逆决策与不可逆决策的门禁为何不同？

   • 考点：决策可逆性、迁移成本、试点范围与审批。
   • 回答思路：越难撤销的动作，越需要更强证据和更小步实施。
   • 详细答案：可逆决策如调整任务并发，可通过配置、小流量和自动回退快速验证；不可逆决策如删除历史数据、改变资金口径或迁移后停写旧模型，需要双写校验、完整备份、回放演练、独立审批和明确不可逆点。评审应先识别撤销成本，而不是用同一发布流程处理所有变更。
   • 进阶追问：所有不可逆动作都应禁止吗？
   • 进阶回答：不是，但必须把收益、替代方案、证据、批准者和恢复极限说清，并在跨越不可逆点前完成验证。

3. 问题（项目题）：支付方案的上线门禁应怎样写？

   • 考点：资金正确性、对账、灰度与停止线。
   • 回答思路：把指标和动作绑定，避免只写观察看板。
   • 详细答案：门禁至少包括支付意图唯一约束生效、回调与查单幂等、账务分录可追溯、差异对账演练通过、未知态年龄不超阈值、退款上限校验和人工复核可用。灰度按渠道、商户或金额限制范围；出现重复确认、账务不平、未知态持续增长立即停止放量并冻结高风险动作。
   • 进阶追问：成功率下降但资金正确是否回退？
   • 进阶回答：按预先阈值判断。资金正确是硬门禁，成功率是重要护栏；持续下降仍应暂停扩量，查明是否由限流、超时或流程缺陷造成。

flowchart TD
    A[上下文与事实] --> B[候选与反例]
    B --> C[决策与代价]
    C --> D[实施门禁]
    D --> E{指标通过}
    E -- 是 --> F[扩大范围]
    E -- 否 --> G[停止或回退]
    F --> H[重审条件]
    G --> H

Mermaid（图表语法）图解读： ADR（架构决策记录）贯穿实施，不是会议纪要。门禁把决策假设与运行指标连接起来，结果又反向触发重审。

数据演绎与排查流程 6： E3（演练设计）设支付灰度从 1% 开始，每小时约 3000 个意图。门禁规定重复确认必须为 0，未知态超过 10 分钟的比例低于 0.05%，即最多约 1 个；若观察到 3 个，则比例约 0.1%，超过门禁两倍，应停止扩量、保留当前流量并按请求号查证，而不是等总成功率明显下降。

七、项目串讲交叉追问

7. 在七类项目之间切换不变量与证据

热门面试题

1. 问题（基础题）：项目交叉追问最想验证候选人的什么能力？

   • 考点：迁移方法、领域差异、证据与取舍。
   • 回答思路：验证能否复用决策框架，同时尊重不同业务不变量。
   • 详细答案：面试官从 WMS（仓储管理系统）切到支付、履约、导出、Runner（执行器）或 IoT（物联网），不是只测项目数量，而是看候选人能否快速识别权威事实、失败成本、状态身份、恢复方式和 Owner（负责人）。方法可以复用，但不能把支付查单答案机械套到报警聚合。
   • 进阶追问：怎样快速切换？
   • 进阶回答：先复述该项目的不变量和权威事实，再从重复、乱序、超时、容量、权限、恢复六个维度选择最相关项。

2. 问题（原理题）：跨项目比较为什么要使用同一组坐标？

   • 考点：可比性、权威事实、错误损失、恢复和成本。
   • 回答思路：统一问题维度，不统一业务答案。
   • 详细答案：建议固定比较业务不变量、事实所有者、峰值形态、错误方向、外部依赖、隔离单位、恢复窗口、人工接管和单位成本。这样可以说明库存重在条件裁决，支付重在资金未知态，履约重在外部查证，导出重在资源隔离，Runner（执行器）重在代次写权，IoT（物联网）重在风暴压缩与高危召回。
   • 进阶追问：比较表会不会简化复杂业务？
   • 进阶回答：会，所以表用于定位差异，不替代项目状态机和证据；发现异常项后必须回到具体链路展开。

3. 问题（项目题）：从 WMS（仓储管理系统）追问到 IoT（物联网）时如何回答共同点与差异？

   • 考点：热点、幂等、背压、事实保留与错误代价。
   • 回答思路：先讲共同治理，再讲不变量差异。
   • 详细答案：共同点是都可能出现热点与突发，都需要稳定身份、分区隔离、背压、原始事实和恢复水位。差异是库存裁决必须防止可售量因并发变负，报警治理可以聚合低危通知但不能删除高危原始事件；库存过度保守会少卖，报警过度聚合会漏报。两者的停止线、Owner（负责人）和验收指标因此不同。
   • 进阶追问：能否共用同一个限流平台？
   • 进阶回答：可以共用配额和观测能力，但策略必须由领域定义；库存和高危报警不能被同一普通丢弃规则处理。

flowchart LR
    A[统一坐标] --> B[WMS库存]
    A --> C[支付]
    A --> D[跨境履约]
    A --> E[异步导出]
    A --> F[Runner调度]
    A --> G[IoT报警]
    B --> H[差异化不变量]
    C --> H
    D --> H
    E --> H
    F --> H
    G --> H

Mermaid（图表语法）图解读： 统一坐标让面试官能横向比较，但输出必须回到各领域的不变量；平台治理可复用，终态裁决仍由领域负责。

数据演绎与排查流程 7： E3（演练设计）统一观察五分钟突发：WMS（仓储管理系统）入口每秒 1800 次、Runner（执行器）任务每秒 600 个、IoT（物联网）事件每秒 8000 条。若稳定处理能力分别为每秒 1500、700、5000，则五分钟净积压分别为 9 万、0、90 万。相同“流量上涨”在三项目中的动作不同：库存限流保不变量，Runner（执行器）仍有余量，报警需租户隔离和聚合。

八、复盘与跨项目架构演进

8. 用复盘校准决策，而不是追责收尾

热门面试题

1. 问题（基础题）：架构复盘与事故复盘有什么区别和联系？

   • 考点：决策质量、运行事实、组织学习与行动闭环。
   • 回答思路：事故复盘聚焦事件，架构复盘还检查长期假设和边界。
   • 详细答案：事故复盘还原时间线、影响、处置和根因；架构复盘进一步检查当初约束是否变化、候选是否遗漏、门禁是否有效、Owner（负责人）是否清晰、技术债是否到期。没有事故也应在规模、成本、团队或供应商变化时触发架构复盘。两者都要求无责取证、行动 Owner（负责人）和验证期限。
   • 进阶追问：没有事故是否说明架构正确？
   • 进阶回答：不说明，可能只是流量未触发边界或观测缺失；还要看演练、护栏和未验证假设。

2. 问题（原理题）：如何判断复盘行动是真改进而不是文档堆积？

   • 考点：可验证行动、到期时间、风险变化和关闭证据。
   • 回答思路：每项行动必须改变控制或证据，并能证明风险下降。
   • 详细答案：行动写成“优化监控”不可验收，应写明新增哪个业务身份、覆盖哪个失败场景、由谁完成、何时演练、通过线是什么。关闭时附代码、配置、看板、演练或对账证据；若风险被接受，也要记录批准者和重审日期。跨项目共性问题可平台化，但先证明至少两个项目共享稳定需求。
   • 进阶追问：所有事故项都要最高优先级吗？
   • 进阶回答：不需要。按失败成本、复发概率、可发现性和可逆性排序，避免低价值修复挤占硬不变量治理。

3. 问题（项目题）：如何通过七类项目复盘提炼架构师能力？

   • 考点：跨项目模式、领域差异、组织治理与证据边界。
   • 回答思路：从重复问题中提炼平台能力，从差异中证明领域判断。
   • 详细答案：可提炼稳定业务身份、状态版本、对账、配额、观测、决策记录和演练等共同能力；同时明确 WMS（仓储管理系统）、支付、履约、导出、Runner（执行器）、IoT（物联网）和跨境物流的终态、错误损失与人工接管不同。口述还要说明自己推动了哪些决策、与谁协作、拒绝了什么方案、留下哪些未决风险。
   • 进阶追问：怎样避免把团队成果都说成个人成果？
   • 进阶回答：使用“我负责、我推动、团队共同完成、其他角色批准”的边界表达，并以决策记录和交付物说明个人贡献。

flowchart TD
    A[运行事实] --> B[复盘时间线]
    B --> C[假设是否失效]
    C --> D[控制改进]
    C --> E[组织改进]
    D --> F[Owner与期限]
    E --> F
    F --> G[演练与验收]
    G --> H[更新决策记录]

Mermaid（图表语法）图解读： 复盘的终点不是结论，而是有 Owner（负责人）、期限和关闭证据的行动；运行事实还要回写决策记录，形成下一轮评审输入。

数据演绎与排查流程 8： E3（演练设计）统计一季度 24 个复盘行动：8 个无 Owner（负责人），6 个无期限，5 个只有“加强监控”描述，真正可验收仅 5 个，闭环率约 20.8%。补齐 Owner（负责人）、期限、指标和演练后，若 18 个按期关闭、4 个延期有批准、2 个取消有依据，则有效闭环率为 75%；复盘质量应看关闭证据，不看行动条目数量。

九、项目架构评审综合题库

1. 问题（综合题）：如何在五分钟内完成一次项目架构评审口述？
   • 考点：评审骨架、时间分配、结论前置与证据。
   • 回答思路：先用业务目标和事实等级定场，再讲候选、失败路径、门禁和结果。
   • 详细答案：五分钟不是压缩组件清单，而是展示从事实到决策再到运行验证的完整链路。
   • 进阶追问：若面试官中途打断，你怎样保持主线？
   • 进阶回答：先直接回答，再用一句话回扣当前处于约束、方案、失败或验收哪一段。
   • 口述答案：面对“一次完整评审口述”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确认目标、量级与业务不变量，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：同步强裁决、本地受理异步、分阶段演进，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入超时被误判、重试放大和单点资源耗尽。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由业务 Owner（负责人）裁决取舍，技术 Owner（负责人）推进证据，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）保留候选、代价、停止线与重审条件，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察业务成功率、未知态年龄、差异数与恢复时长。不变量越界立即停止放量，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：架构设计项目口述与综合题库

2. 问题（综合题）：项目数字不完整时，怎样使用事实等级回答而不失深度？
   • 考点：事实等级、证据来源、承诺边界与补证据。
   • 回答思路：把已知、映射、演练和未知分开，并让等级影响上线动作。
   • 详细答案：深度来自推理可复算和风险可控制，不来自虚构精确数字。
   • 进阶追问：面试官坚持要收益百分比怎么办？
   • 进阶回答：说明分子、分母、时间窗和取证位置；无证据就保持 E0（待核对）。
   • 口述答案：面对“数据不完整的架构评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先把职责、源码、工单、监控与口述推导分层，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：直接补采证据、小范围试点、保持可逆方案，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入旧数据过期、口径漂移和演练数字冒充生产事实。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由资料 Owner（负责人）补证据，决策 Owner（负责人）限制承诺，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录每项主张的等级、来源和失效日期，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察证据覆盖率、待核对项年龄、试点差异与口径一致性。关键未知未核对不得跨越不可逆点，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：项目串讲事实卡与学习路线

3. 问题（综合题）：候选方案都能实现功能时，怎样做有说服力的选择？
   • 考点：工作负载、硬淘汰、软权衡、反转条件。
   • 回答思路：冻结同一输入，先过硬门禁，再比较成本、运营和退出。
   • 详细答案：方案选择要证明推荐结论来自约束，而不是熟悉度或流行度。
   • 进阶追问：评分最高是否一定选择？
   • 进阶回答：不一定；任何硬不变量失败都应淘汰，加权总分不能抵消底线。
   • 口述答案：面对“多候选方案评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先冻结峰值、热点、查询、错误损失、团队和预算，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：保守演进、引入新能力、采购外部能力，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入热点退化、迁移失败、供应商限流和团队无法运营。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由领域 Owner（负责人）给不变量，平台 Owner（负责人）给运营成本，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录淘汰证据、剩余风险和结论反转条件，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察通过线、资源成本、迁移差集、恢复时间与人员负担。硬淘汰项触发立即终止候选验证，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：候选矩阵与淘汰条件

4. 问题（综合题）：如何用反例证明方案不是只在正常路径成立？
   • 考点：隐含假设、最小反例、不变量和组合故障。
   • 回答思路：针对关键主张注入重复、乱序、超时、部分成功和耗尽。
   • 详细答案：反例不是故障清单，而是主张、注入、观测、裁决和改进的闭环。
   • 进阶追问：一次反例通过后还要做什么？
   • 进阶回答：扩大强度和组合，记录未覆盖边界，并把同一反例纳入持续演练。
   • 口述答案：面对“反例驱动评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先写主张、不变量和最脆弱假设，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：单点注入、组合注入、生产影子观测，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入观测缺失、注入无效、恢复动作制造二次故障。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由测试 Owner（负责人）设计注入，领域 Owner（负责人）裁决业务结果，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录反例覆盖、失败证据与修正，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察不变量违规数、注入命中率、恢复时长和残留差异。任何不可逆副作用出现即停止实验，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：方案评审失败路径与演进

5. 问题（综合题）：多个团队对边界和方案有争议，架构师如何推动裁决？
   • 考点：组织 Owner（负责人）、数据所有权、决策权与期限。
   • 回答思路：把观点改写成可验证主张，明确推进者、批准者和截止时间。
   • 详细答案：架构师不替所有角色拍板，而是让事实、权力和责任在同一决策上闭环。
   • 进阶追问：如果批准者拒绝承担风险怎么办？
   • 进阶回答：记录未决风险和影响，缩小范围或停止推进，不能让技术团队暗中承担业务取舍。
   • 口述答案：面对“跨团队边界争议”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确定权威事实、接口承诺与错误损失由谁定义，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：共同实验、上级裁决、缩小范围的临时方案，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入双写互相覆盖、超时无人查证和责任长期悬空。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由唯一推进 Owner（负责人）组织，业务批准者承担取舍，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）保留异议、裁决人、期限和重审条件，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察争议关闭时间、差异年龄、升级次数和恢复责任命中率。无批准者或无恢复 Owner（负责人）不得上线，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：边界、数据所有权与集成

6. 问题（综合题）：怎样写一份真正有用的 ADR（架构决策记录）？
   • 考点：决策上下文、候选、后果、状态和重审。
   • 回答思路：只保留影响未来判断的信息，并链接可核验证据。
   • 详细答案：有用的决策记录应回答当时为何合理、现在何时应撤销。
   • 进阶追问：决策变化后旧记录要删除吗？
   • 进阶回答：不要删除；标记被替代并链接新记录，保留上下文和演进因果。
   • 口述答案：面对“架构决策记录治理”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先写问题、事实等级、约束和决策时点，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：维持现状、渐进改造、一次迁移，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入证据过期、决策孤儿化和实施偏离原假设。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由决策 Owner（负责人）维护状态，相关 Owner（负责人）确认后果，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录候选、代价、门禁、退出和重审，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察记录覆盖率、过期项、偏离项和重审完成率。证据失效或门禁缺失时暂停不可逆实施，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：ADR（架构决策记录）与可逆性

7. 问题（综合题）：评审中如何设计灰度、停止线和回退，而不是只说可以回滚？
   • 考点：实施计划、业务门禁、数据兼容和恢复证明。
   • 回答思路：按对象分批，明确每批输入、观察窗、停止动作和回退后对账。
   • 详细答案：回退不是切回旧代码，还包括数据、消息、副作用和用户承诺。
   • 进阶追问：已经产生的新数据怎么办？
   • 进阶回答：按业务身份和版本分类，能反向转换的补旧，跨越不可逆点的冻结并人工裁决。
   • 口述答案：面对“高风险方案实施门禁”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先识别不可逆点、双写阶段和权威写方，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：配置回退、流量回退、数据反向迁移，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入旧写迟到、消息重放重复和回退后差异扩大。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由发布 Owner（负责人）执行，领域 Owner（负责人）批准业务停止线，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录每批范围、门禁与不可逆点，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察差异数、错误率、未知态年龄、回退时间与数据完整性。主不变量违规或差异持续增长立即停止，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：解决方案评审、实施计划与验收

8. 问题（综合题）：如何评审 WMS（仓储管理系统）库存预占与防超卖方案？
   • 考点：库存不变量、热点并发、流水、对账和补偿。
   • 回答思路：以库存身份和状态公式为主线，验证并发、释放和外部仓未知态。
   • 详细答案：库存项目不能只讲锁，要讲可售、预占、实物和仓单事实如何收敛。
   • 进阶追问：强锁能否彻底解决超卖？
   • 进阶回答：局部并发可控，但跨系统超时、迟到补偿和人工改数仍需状态、流水和对账。
   • 口述答案：面对“WMS（仓储管理系统）库存评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确认货品、仓库、批次、库存口径和承诺时点，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：数据库条件更新、热点串行、分段库存，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入热点键锁等待、重复释放和仓单未知时误释放。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由库存 Owner（负责人）裁决口径，仓储 Owner（负责人）确认外部事实，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录少卖与超卖取舍、补偿边界，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察可售负数、预占年龄、四方差异、热点等待与补偿成功率。可售越界或无证据释放立即阻断，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：WMS（仓储管理系统）库存方案

9. 问题（综合题）：如何评审支付资金一致性方案并回答渠道超时？
   • 考点：支付意图、资金不变量、未知态、查单和对账。
   • 回答思路：用稳定请求号串起本地单、渠道、订单与账务。
   • 详细答案：支付超时不能猜成功或失败，必须保存未知并主动查证。
   • 进阶追问：渠道长期不可查怎么办？
   • 进阶回答：冻结重复扣款和高风险发货，进入对账与人工复核，并按合同升级。
   • 口述答案：面对“支付资金评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先定义支付意图、成功证据、退款上限和账务口径，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：同步确认、本地受理查证、渠道托管，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入超时后换号重试、回调乱序和账务重复入账。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由支付 Owner（负责人）推进，财务 Owner（负责人）独立复核，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录未知态策略、自动修复阈值，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察重复确认数、未知态年龄、账务差异、查单成功率。任何资金不平或重复确认立即停止放量，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：支付资金正确性方案

10. 问题（综合题）：跨境履约、面单与轨迹链路如何做架构评审？

• 考点：外部依赖、本地受理、状态证据、时区和人工接管。
• 回答思路：区分受理、仓单、面单、交运和签收，不越权宣告外部终态。
• 详细答案：履约的核心是让每个承诺都有外部证据、查证责任和超窗动作。
• 进阶追问：承运商接口不稳定时是否直接切换？
• 进阶回答：先按原请求号查证，确认未创建后再切换；已创建则避免重复面单并继续跟踪。
• 口述答案：面对“跨境履约评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确认订单、库存、仓单、面单、轨迹和客户承诺，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：同步外调、本地受理异步、供应商双通道，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入重复仓单、重复面单、时区误判和轨迹长期停滞。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由履约 Owner（负责人）推进，仓库与供应商 Owner（负责人）提供事实，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录渠道切换、库存释放和人工接管条件，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察未知仓单、面单重复、轨迹停滞、库存差异与赔付。外部事实未知时禁止无证据释放与换号重建，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：订单履约项目串讲

11. 问题（综合题）：如何评审异步导出，避免把接口超时搬成后台内存溢出？

• 考点：快照、分片、资源隔离、权限和交付。
• 回答思路：从行数、行宽、并发和快照语义推导分片与资源上限。
• 详细答案：异步只是交互变化，真正设计还包括稳定读取、流式写入和交付安全。
• 进阶追问：文件生成成功是否等于任务成功？
• 进阶回答：不等于；还要校验完整性、权限、对象版本、通知和用户可下载性。
• 口述答案：面对“异步导出评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先固定筛选、快照时点、行宽、并发、有效期和取消语义，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：同步、小任务异步、分片快照、离线数仓，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入全量加载、查询拖垮在线库、链接越权和重试重复文件。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由数据 Owner（负责人）定口径，平台 Owner（负责人）定资源配额，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录分片依据、降级与清理策略，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察任务交付率、内存峰值、查询延迟、分片重试与下载成功率。在线护栏越界或内存持续增长立即暂停大任务，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：异步导出快照与隔离方案

12. 问题（综合题）：Runner（执行器）调度评审如何证明旧执行者不能覆盖新结果？

• 考点：租约、代次、写入栅栏、幂等和恢复。
• 回答思路：区分任务、尝试和业务副作用，所有写入校验当前代次。
• 详细答案：重新调度不等于安全接管，关键是旧执行者恢复后已失去写权。
• 进阶追问：租约时间设置越长越安全吗？
• 进阶回答：不会；过长拖慢接管，过短增加误过期，应由暂停分布、续租延迟和恢复目标共同决定。
• 口述答案：面对“Runner（执行器）调度评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确认任务身份、尝试身份、租约、代次与外部副作用，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：固定分片、租约抢占、中心协调，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入暂停后旧写、续租未知、重复执行和任务池耗尽。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由调度 Owner（负责人）推进，业务任务 Owner（负责人）定义幂等，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录租约依据、接管和不可控副作用边界，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察租约过期数、旧代次拒绝数、任务最老年龄与重复副作用。旧代次写入成功或最老年龄持续恶化立即停止扩容接管，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：Runner（执行器）调度恢复方案

13. 问题（综合题）：IoT（物联网）报警风暴方案怎样兼顾压缩与高危不漏？

• 考点：事件身份、窗口聚合、租户隔离、高危旁路和重放。
• 回答思路：原始事实保留，普通通知可聚合，高危事件独立通道。
• 详细答案：报警数量下降不是成功，必须与高危召回和首次通知时延一起看。
• 进阶追问：聚合窗口越长是否成本越低？
• 进阶回答：可能减少通知，却增加发现时延和影响范围；应按严重度设置不同窗口。
• 口述答案：面对“IoT（物联网）报警评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确认事件时间、设备身份、严重度、租户和控制副作用，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：全量逐条、窗口聚合、根因抑制与分层旁路，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入单租户拖垮公共队列、迟到高危被封窗、通知重复。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由设备 Owner（负责人）保证身份，规则 Owner（负责人）裁决严重度，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录聚合、抑制、静默和旁路边界，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察高危召回、首次通知时延、最老年龄、压缩率与租户公平。高危漏报或旁路积压立即撤销普通优化，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：IoT（物联网）报警风暴方案

14. 问题（综合题）：如何横向比较库存、支付、履约、导出、Runner（执行器）和 IoT（物联网）？

• 考点：统一坐标、领域不变量、错误代价和恢复。
• 回答思路：用同一问题框架比较，再回到不同权威事实做裁决。
• 详细答案：跨项目能力体现在方法可迁移、结论不机械复制。
• 进阶追问：哪些能力适合平台化？
• 进阶回答：稳定身份、配额、审计、观测和演练可平台化；业务终态与补偿由领域负责。
• 口述答案：面对“七类项目横向评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先比较权威事实、错误方向、峰值、外部依赖和恢复窗口，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：领域自治、共享平台、集中大平台，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入统一状态模型抹平业务、公共资源相互拖累和责任模糊。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由架构 Owner（负责人）统一坐标，各领域 Owner（负责人）保留终态权，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）分别记录平台契约与领域例外，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察业务不变量、隔离公平、恢复时间、复用率和例外数量。平台策略破坏任一领域硬不变量立即回退，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：项目组合与追问树

15. 问题（综合题）：容量评审中如何避免只看平均值和总吞吐？

• 考点：峰值窗口、热点、排队、资源边界与恢复时间。
• 回答思路：把入口、服务率、持续时间和热点分布放进可复算模型。
• 详细答案：容量是工作负载在故障和恢复条件下的行为，不是一张机器清单。
• 进阶追问：扩容后为什么积压仍可能增长？
• 进阶回答：瓶颈可能在热点键、外部配额或数据库写入；消费者增加还可能放大下游压力。
• 口述答案：面对“项目容量评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先固定典型、峰值、突发持续、单项成本和单故障域能力，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：扩容、限流、错峰、分片与业务降级，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入平均值掩盖峰值、热点键退化和恢复阶段二次冲击。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由容量 Owner（负责人）维护模型，领域 Owner（负责人）批准降级顺序，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录模型输入、余量和扩容触发条件，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察利用率、队列最老年龄、净积压、热点等待与恢复时长。最老年龄持续上升或下游护栏越界停止放量，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：容量、排队与资源模型

16. 问题（综合题）：如何用可观测性证明架构决策有效，而不是只展示技术指标？

• 考点：业务身份、指标口径、因果链和验收。
• 回答思路：让指标直接对应不变量、失败场景和决策门禁。
• 详细答案：技术资源指标用于定位，业务状态和差异指标用于裁决。
• 进阶追问：成功率很高为什么仍可能失败？
• 进阶回答：分母可能错误、重试可能重复计数、尾部未知态可能被平均值掩盖。
• 口述答案：面对“架构可观测性评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先确定业务键、状态、分子分母、时间窗和数据来源，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：日志中心、业务流水、指标看板与对账，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入采样丢证据、口径漂移、关联键缺失和告警无 Owner（负责人）。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由指标 Owner（负责人）维护口径，值班 Owner（负责人）响应，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）链接指标契约、门禁和告警动作，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察业务成功率、差异、未知态年龄、数据完整性与告警到处置时间。口径失真或证据链断裂时暂停结论与放量，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：指标语义与事实卡

17. 问题（综合题）：事故后怎样复盘架构决策、组织责任和反例覆盖？

• 考点：时间线、决策质量、Owner（负责人）、行动闭环。
• 回答思路：区分触发、放大和未及时发现，再回看当初假设与门禁。
• 详细答案：复盘不是寻找单一责任人，而是让控制、证据和组织同时改进。
• 进阶追问：根因找到后为什么还要查放大因素？
• 进阶回答：同一触发在更好隔离和恢复下影响应更小；放大因素决定系统韧性。
• 口述答案：面对“架构事故复盘”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先冻结时间线、影响对象、运行版本和处置动作，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：修复局部缺陷、改控制、改组织与接受风险，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入只改代码、行动无 Owner（负责人）、指标未验证和旧假设未更新。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由复盘 Owner（负责人）组织，无责提供事实，各行动唯一 Owner（负责人）关闭，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）更新失效假设、门禁和新反例，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察发现时延、影响面、恢复时长、行动关闭率与复发情况。核心证据缺失时不仓促定责，先补取证，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：稳定性事故口述与综合题库

18. 问题（综合题）：遗留系统迁移评审如何处理双写、回退和不可逆点？

• 考点：权威写、数据版本、差集、兼容和迁移门禁。
• 回答思路：按对象和阶段定义谁主写、如何校验、何时不能回退。
• 详细答案：迁移不是复制完成即成功，而是业务身份、状态和历史证据都可核对。
• 进阶追问：双写期间两边冲突听谁的？
• 进阶回答：预先指定权威写方和版本规则；不能在事故中临时按时间戳猜测。
• 口述答案：面对“遗留系统迁移评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先盘点对象、状态、历史、接口消费者和不可逆转换，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：一次切换、双写迁移、旁路重建，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入循环同步、旧写迟到、字段语义不兼容和清理过早。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由迁移 Owner（负责人）推进，数据 Owner（负责人）批准权威与清理，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录批次、差集、回退矩阵和不可逆点，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察迁移覆盖、差集、旧写拒绝、回退耗时与数据完整性。差集扩大、权威不清或回退演练失败立即暂停，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：成本、退出与迁移决策

19. 问题（综合题）：预算受限时，如何在成本、稳定性和组织能力之间做评审？

• 考点：总拥有成本、失败成本、硬门禁和团队能力。
• 回答思路：先守硬不变量，再消浪费、分级服务，最后比较结构性变更。
• 详细答案：成本优化不能靠删除证据、压缩恢复能力或把人工成本藏起来。
• 进阶追问：预算目标与硬门禁冲突怎么办？
• 进阶回答：提交范围、服务等级或预算取舍给业务裁决，不由技术暗中降低安全。
• 口述答案：面对“成本与组织评审”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先按业务能力拆资源、供应商、迁移、值班和失败成本，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：消除浪费、分级服务、架构调整、供应商替换，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入平均利用率砍容量、观测降采样失证据和低价锁定。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由成本 Owner（负责人）给预算，领域 Owner（负责人）守业务门禁，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）记录节省、风险、回退和重审周期，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察单位业务成本、错误预算、恢复能力、人工时长和供应商集中度。资金、权限、高危召回或恢复承诺受损立即停止，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：成本、容量与预算治理

20. 问题（综合题）：怎样用七类项目组合证明自己具备架构师能力？

• 考点：项目组合、个人职责、跨项目方法与证据。
• 回答思路：以统一决策方法串联项目，用差异化不变量证明领域判断。
• 详细答案：项目多不等于架构能力，关键是能说明为何决策、如何失败、谁负责和怎样验证。
• 进阶追问：怎样避免把团队成果说成个人成果？
• 进阶回答：明确我负责、我推动、团队共建和他人批准的边界，并链接交付物。
• 口述答案：面对“架构师项目组合口述”，我不会从组件名称开始，而会先复述业务结果、影响对象、峰值窗口和不能破坏的不变量，并把现有材料分成 E0（待核对）、E1（直接证据）、E2（已有材料映射）与 E3（演练设计）。当前最先核对的是先选库存、支付、履约、导出、Runner（执行器）和 IoT（物联网）的代表决策，因为事实口径不清时，后续性能数字和成功率都不能支撑裁决。接着我会给出两到三个完整候选：按业务链串讲、按能力矩阵串讲、按事故演进串讲，每个候选都说明正常行为、过载行为、依赖故障、实施成本、团队运营要求和退出路径。硬约束先做淘汰，成本与体验只在剩余候选间比较，避免用平均分掩盖资金、库存、权限或高危事件等底线。

反例评审重点注入每个项目都讲成同一模板、夸大数字和忽略组织协作。每个反例都绑定稳定业务身份、状态版本、观测位置和预期裁决，超时只代表结果未知，不能直接等同失败；补偿也必须受前置状态和幂等条件约束。组织上由候选人说明个人 Owner（负责人）范围，团队角色按事实归属，同时分开事实提供、业务批准、实施和值班验收，确保多人参与但只有一个推进责任。关键结论写入ADR（架构决策记录）与项目材料共同证明决策、实施和结果，内容包括为什么选、为什么不选、接受了什么代价、哪些假设仍未验证、何时重审，以及跨过不可逆点前必须满足什么条件。

实施采用按租户、仓库、渠道、金额、设备组或任务类型的小范围灰度，观察不变量、候选、反例、门禁、结果、复盘和跨项目复用。任何事实无法核对时降级表述，不用演练冒充上线，停止后先固定现场、保留原始流水和版本，再按业务身份查证、重放或人工裁决，不能用删数据、换号重试或全局放开保护来追求表面恢复。结果表达只使用可复算口径：给出分子、分母、时间窗、去重键和证据位置；没有生产材料的收益继续保持 E0（待核对），演练数字只用于说明公式和边界。最后复盘实际偏差是否来自假设失效、控制缺口、责任不清或指标失真，把新反例、行动 Owner（负责人）、期限和关闭证据回写到下一轮评审。这样口述既能给出明确推荐，也能让面试官看到候选比较、失败恢复、组织裁决和事实边界。

• 追问1：如果关键数据只有 E3（演练设计），是否可以直接全量？
• 直答1：不可以；只能支持方法推导，应先小范围补 E1（直接证据），并设置业务停止线。
• 追问2：评审中最容易遗漏的失败语义是什么？
• 直答2：超时后的未知态与部分成功后的责任边界；二者都会让无条件重试扩大副作用。
• 追问3：谁对最终决策负责？
• 直答3：推进 Owner（负责人）保证闭环，业务批准者承担价值取舍，领域事实所有者裁决终态，职责不能混成“大家负责”。
• 追问4：怎样证明复盘行动已经关闭？
• 直答4：必须附实现、指标、演练或对账证据，并证明原反例不再破坏不变量。
• 延伸阅读：架构权衡、成本与组织治理追问

十、复习清单

• 能否在一分钟内说清业务问题、事实等级、推荐结论和最大代价。
• 能否为每个项目指出权威事实、业务不变量、未知态与人工接管。
• 能否给出至少两个可落地候选、硬淘汰条件和结论反转条件。
• 能否用重复、乱序、超时、部分成功、资源耗尽和权限变化构造反例。
• 能否明确唯一推进 Owner（负责人）、批准者、事实提供者、实施者和验收者。
• 能否用 ADR（架构决策记录）保留候选、代价、门禁、退出和重审条件。
• 能否给出按对象灰度、业务停止线、回退后数据处理与恢复证明。
• 能否横向比较 WMS（仓储管理系统）、支付、履约、导出、Runner（执行器）、IoT（物联网）和跨境物流，而不抹平领域差异。
• 能否把生产事实、材料映射、演练推导和待核对信息分开表达。
• 能否让复盘行动具备 Owner（负责人）、期限、指标、演练和关闭证据。