English course · 简体中文版（扩展课程）
人工智能与制度 · 第 4 课，共 8 课
识别哪些能力必须在常规工作自动化之后继续保留。
建议约 75 分钟，包括练习。
配套阅读 Better Answers, Worse Decisions（《更好的答案，更差的决策》，暂译）： 第5、6、7及11章. 该书另行销售。本课程不提供书稿或章节下载。
自动化改变了人们积累经验所依赖的工作。如果系统处理了常规情况，留给人的任务就可能变得不常见、时间紧迫，而且平时缺少练习。这并不意味着每一种过去的人工操作都必须保留。真正需要问的是：要识别故障、诊断原因，并采用安全的替代方式运行，需要保留哪些知识？
要区分三种能力：察觉结果可能有误、找出原因，以及恢复有用的服务。一个人可能非常擅长其中一种，却无法完成另外两种。管理者即使发现异常，也仍然需要获得证据，并找到能够调查的专业人员。专业人员即使理解了故障，也可能没有暂停流程的权限。
备用方案应该在真正需要启用它的条件下接受测试。如果演练时所有记录都可用，而且原系统仍在提供答案，那么测试的可能只是日常运行，而非恢复能力。应模拟一种具体中断，在保障安全的前提下，记录不依赖该不可用环节完成一项明确任务所需的时间。
演练应当用于学习，而不是惩罚发现薄弱环节的人。应记录缺失的文档、无法访问的工具、不明确的职责，以及那些需要无人保留的信息才能作出的决定。如果一次失败的演练促成了具体修复，它也能提供有价值的证据。成功的演练也有其适用范围：它不能证明能够应对另一种故障或更大规模的中断。
当日常练习机会消失时，组织可能需要通过模拟、轮岗、在监督下处理例外情况，或定期开展独立工作，来重新培养诊断技能。每一种方式都有成本。应将这些成本与需要该能力的可能性及缺失该能力的后果进行比较，同时承认其中的不确定性。不要用一个含糊的灾难性情景，为无限增加培训投入辩护。
要持续跟踪人员能否完成所需的恢复任务。信心调查和课程出勤记录，都不能很好地替代实际表现的证明。随着系统变化，还应审查所保留的技能是否仍然适用。保留过时流程会浪费资源，正如丧失关键专业能力会带来风险一样。
在一次虚构的服务中断中，每小时新增60件个案，而经过训练的备用团队每小时能够完成40件。在起初没有积压的情况下，如果个案到达率和完成率保持不变，持续三小时的中断就会产生60件待处理个案。假设服务恢复后，每小时能够完成90件，而新增量仍为60件，那么每小时净减少的积压量为30件，清空积压还需要两小时。恢复正常界面，并不等于服务已经恢复到原有状态。
这项计算假设个案是同质的、处理能力持续可用，而且无须返工。它没有考虑等待时间的分布或优先级规则。如果紧急个案的处理时间更长，简单统计个案数量就可能掩盖工作量差异。应采用一致的单位，例如标准化处理分钟数，或将不同类别的个案分别计算。在没有检查中断和波动情况之前，不要根据平均速率推断出恢复保证。
使用合成记录，设计两轮安全演练。第一轮不提供建议服务；第二轮还要让一个参考信息来源不可用。记录已完成的工作、违反约束的情况、未解决的个案，以及经过的时间。判断失败究竟源于专业能力缺失、信息无法获取、权限不明确，还是处理能力不足。这些诊断对应着不同的修复方式。
向学员提供三项拟议的补救措施：一次培训、一份持续维护的离线参考资料，以及在服务中断期间收窄服务范围。要求他们结合观察到的失误，作出有理由支持的选择。文档缺陷不应自动被归咎于员工缺乏能力；工作量激增时，额外培训也无法凭空增加处理能力。
交付成果是一份恢复分析工作表，列明个案到达率与完成率的假设、队列增长情况、恢复条件，以及一个不利的敏感性情景。请小组说明这次演练没有测试哪一种能力。承认这一局限，也是制定有用的业务连续性计划的一部分。
本课程虚构示例
一个虚构的计划团队能够借助自动化建议服务处理常规订单。其业务连续性计划规定，如果该服务失效，员工将转为人工分配。
由此可得： 恢复运行依赖由人员、信息和权限构成的系统。它不是一种仅凭职位名称就可以假定具备的个人特质。
先作答，再查看反馈
明确一种故障、恢复所需的能力、安全的演练方式、成功标准，以及负责根据演练发现采取行动的人。
对于排程工具停机，一次有用的演练可以要求员工在限定时间内，依据保留的输入数据制定可行的分配方案。演练应记录违反约束的情况和尚未解决的个案，而不只是看是否有人做出了一张电子表格。不要仅仅为了让演练逼真，就给真实服务引入风险。
可选扩展 · 约 20 分钟，另计于核心课程用时
一家虚构的订单分配服务在隔离测试环境中演练恢复。全部时刻、目标和结果均为教学构造，不是真实事故记录；不必操作任何生产系统。所有时间均为同一天、同一时区。
演练前约定：恢复时间目标（RTO）为90分钟，从服务中断开始，到规定功能和数据验收完成、获授权重新提供服务为止；本题的验收范围明确包括下表中的日志重放和核对。恢复点目标（RPO）为30分钟，即应能恢复到距中断时刻不超过30分钟的数据状态。这两项是本案例的业务目标，不是NIST规定的统一数值。积压清空另行记录，不纳入本题的RTO终点。
原系统在09:50中断后不再接收新记录。恢复副本先装载09:00快照，再使用另行保留的日志重放。演练记录确认，快照与日志结合后能够完整恢复到09:40；09:40之后的记录仍待核查。请区分一个步骤完成、数据恢复点得到验证，以及服务恢复得到批准。
| 时刻 | 发生的事件 | 数据状态或证据 | 是否可重新提供服务 |
|---|---|---|---|
| 09:00 | 生成一致性快照 | 快照包含截至09:00的完整状态 | 此时尚未中断 |
| 09:50 | 服务中断 | 记录中断时刻；停止接收新记录 | 否 |
| 10:20 | 快照装载完成 | 副本仅恢复到09:00；日志尚未重放 | 否，验收尚未完成 |
| 11:40 | 日志重放与验收完成 | 核对确认完整恢复到09:40；规定功能通过测试 | 是，负责人按既定范围批准 |
| 12:10 | 已知积压清空 | 工作队列记录核对完成 | 已于11:40重新提供服务 |
10:20时，已装载的数据状态仍停在09:00。09:50 − 09:00 = 50分钟，超过30分钟的RPO所允许的回退间隔20分钟。10:20 − 09:50 = 30分钟描述的是中断后已耗费的时间，不是恢复数据的时间位置；两者不能互换。
最终已验证的数据恢复点为09:40，距09:50中断为10分钟，因此达到本题的30分钟RPO。按题目事先约定的验收终点，11:40 − 09:50 = 110分钟，比90分钟RTO多20分钟，未达标。数据恢复点较新与恢复耗时较短，是可以分别通过或失败的要求。不要在看到结果后，把RTO终点改成10:20来制造达标。
积压清空另需30分钟；从中断到清空共140分钟。该表没有给出逐笔记录、到达量或个案处理时间，不能推出遗漏数量、永久损失量或个体等待分布。09:40至09:50是尚未确认恢复的数据时间窗口；其长度不是订单数量，也不能单独证明这些记录已永久丢失。
提高快照频率只是拟议措施。还要检查快照是否完整一致、在目标故障下是否可访问，日志是否连续，重放是否遗漏或重复，以及规定功能能否通过验收。复测应保留恢复点、每一步的开始与结束时间、数据核对结果、功能测试和放行记录。由具备相应权限的负责人依据预定标准作出决定，而不是让备份程序的成功提示代替验收。
例如，在安全隔离环境中让原存储不可用，再从保留副本恢复。如果15分钟快照确实可用，却仍耗时110分钟才通过本题约定的验收，则RTO改进没有通过。若日志有缺口，最近一条记录的时间戳也不足以证明已完整恢复到那个时刻。复测范围和失败条件应在运行前固定；一次通过不保证覆盖所有故障。
核查来源：NIST SP 800-34 Rev. 1第3.2.1节区分恢复时间与恢复点，第4.4节讨论数据和功能验证。这里借用这些区分设计练习；服务情境、时间线、90分钟与30分钟目标、验收范围及计算均由课程自行构造。引用这份美国联邦信息系统指南，不表示本案例获得认证，也不主张其要求普遍适用于其他机构。
可选扩展 · 约 15 分钟，另计于核心课程用时
审查一个人工智能辅助订单规划团队的四份虚构演练记录。所测试的故障会同时使推荐服务及其共享记录库不可用。因此，备用流程必须使用一份单独维护、可以访问、包含必要输入与约束的副本。仅隐藏推荐界面，却仍可访问共享记录库，并没有重现这个故障。本题是纸面练习，不是真实演练报告，也不要求中断任何实际服务。
虚构的验收规则在演练前已经确定：从故障发生时起，到第8分钟结束时，必须完成全部12笔测试订单，不违反任何约束，也不得使用题设故障导致不可用的资源。本题中的订单与约束固定。获准使用的离线副本对这些订单而言完整且为当前版本。只有完成必要检查的订单才计入完成数；发出未经检查的方案不算恢复成功。
启动完成后，两个独立的人工操作工位并行工作。每个工位每1分钟完成一笔不同的订单，包括必要检查。一笔订单不能拆分给两个工位；演练期间没有新订单，也没有其他延迟。必须先完成启动，两处工位才能开始处理。这些简化假设仅供计算，并非测得的生产率或通用人员配置规则。每一行都是针对相同12笔订单任务的一次独立演练。
| 演练 | 启动耗时 | 报告结果 | 备用流程的证据 |
|---|---|---|---|
| A | 1分钟 | 第7分钟结束时完成全部12笔；无约束违规。 | 推荐界面被隐藏，但操作人员仍然查询共享记录库。 |
| B | 3分钟 | 第9分钟结束时完成全部12笔；无约束违规。 | 隔离演练中屏蔽了两项不可用服务，并使用获准的离线副本。 |
| C | 2分钟 | 第8分钟结束时完成全部12笔；其中2笔违反约束。 | 两项服务均被屏蔽，但操作人员使用了过时的离线副本，而非获准的当前副本。 |
| D | 2分钟 | 第8分钟结束时完成全部12笔；无约束违规。 | 两项服务均被屏蔽，使用获准的当前离线副本，并保留已检查的结果。 |
在这份虚构记录中，D满足期限、正确性与依赖边界三项条件。A速度快、输出正确，但仍依赖题设故障会移除的记录库。它证明的是记录库可用时的表现，而不是失去记录库后的恢复能力。B采用了正确的依赖边界，结果也正确，但超过期限。C按时完成，且避开了两项服务，却未满足约束条件。把B或C称为成功，就等于看到结果后改变事先确定的验收规则。
两个工位处理12笔订单需要6分钟。B的总耗时为3 + 6 = 9分钟。到第8分钟结束时，工位已经处理5分钟，完成10笔，剩余2笔。在任务及处理率不变时，启动必须最迟在第2分钟结束时完成，因为8 − 6 = 2。本题允许恰好在第8分钟结束时完成，但这样没有余量容纳任何额外延迟。
只有一个工位时，D需要2 + 12 = 14分钟。到第8分钟结束时，只完成6笔。因此，双工位结果不能证明单工位也能满足同一期限。方案可以增加经过测试的备用能力、另行授权缩减后的服务，或由负责决策的人修订要求，但不能悄然省略订单或取消检查，再声称满足了原来的12笔目标。
对于A，应在安全隔离的演练中，使推荐服务及共享记录库均不可用，并核验独立的输入路径。对于B，应调查启动延迟，并测试一项具体修复措施；提出更短的时间不等于已经观察到改善。对于C，应修复当前输入版本的选择与核验流程，再次执行有约束的任务。没有证据，不应把这些不同故障都归因于个人技能不足。访问缺失、数据过时和启动缓慢可能需要不同补救措施。
保留原始失败记录，同时保存修复措施及新的结果。记录流程与输入版本、实际使用的资源、计时起止点、完成订单数与违规情况，以及谁有权接受剩余限制。D通过验收，并不证明能应对更长的中断、新订单、过时输入或人员缺席。要获得实际运行证据，人员必须在题设隔离条件下安全地执行任务，并保留观察记录。阅读情景或讨论答案，并没有完成这项测试。
NIST SP 800-34 Rev. 1（2010，2010年11月11日更新）第3.5.1至3.5.3节区分了测试、培训、以讨论为基础的桌面演练，以及模拟运行环境中的功能演练。NIST AI RMF 1.0（2023）的MAP 3.4与MEASURE 2.3涉及操作人员熟练程度的记录，以及接近使用条件的评估。本题中的故障、记录、时间与验收规则均为原创教学构造，不是NIST的研究结果、通用恢复阈值，也不能证明任何真实团队已经成功恢复。
形成性练习
这是开放式自测，不是保密考试，也不颁发证书。下方提供答案与解析。你填写的答案不会发送到服务器。
笔记仅保留在当前标签页中，不会提交或自动保存。离开前请下载副本。请使用虚构或公开信息，不要填写个人或客户机密。