附录 L：十二张一页式值班 Runbook#

Runbook 用于时间压力下安全处理已知事故类型。值班者先保护事实、权利、预算和发布状态，再恢复生产。若现场情况超出适用范围，停止在安全状态并升级，不擅自扩大权限。

L.1 主角身份突然漂移#

**触发：**主角稳定锚点变化、自动身份分低于门槛，或人工认为不可辨。

**立即动作：**暂停该身份版本的新生成；保存候选、输入、Prompt Manifest 和证据帧；查询同批次与同参考的全部任务；不要覆盖或删除失败资产。

**诊断顺序：**确认是否水平镜像；核对参考生命周期和角度；检查疲惫、年龄、雨湿是否污染身份；检查运动与表情幅度；检查是否连续使用生成末帧派生；确认模型和适配器版本。

**恢复：**从黄金参考重编上下文；保持状态、减少身份冲突；先静态验证，再小批量视频；通过后只恢复受影响任务。

**关闭证据：**身份锚点、人工评审、回归集、影响对象为零、参考选择器修复。若涉及模型升级，保留旧路由作为回滚。

L.2 道具持有者或状态错误#

**触发：**道具瞬移、复制、开合跳变、左右手不一致或所有权误用。

**立即动作：**冻结相关镜头的剪辑晋升，读取前镜终态、后镜初态和事件；确认错误来自生成、Take 选择、状态提交还是重复事件。

**诊断：**若批准 Take 已有正确状态，路由剪辑替换；若所有候选错误，回 Action Contract；若数据库状态错，创建纠正事件，不覆盖历史；若重复事件，检查幂等。

**恢复：**使用正确 Take、补保险覆盖或重做起点—峰值—终点；提交道具事件；重算依赖。

**关闭证据：**相邻镜状态差为零、逐帧接触通过、道具时间线正确、音乐和时长回归完成。

L.3 会议室空间和视线崩坏#

**触发：**门窗换位、人物看错方向、反打同向、未经说明越轴。

**立即动作：**停止用水平翻转快速修复；打开地点平面图、席位、世界坐标和轴线；标记错误镜头及前后建立镜。

**诊断：**检查镜头是否来自错误地点版本；机位是否落在批准区；视线是否写成屏幕方向而非目标；人物移动是否更新坐标；背景 plate 是否混用。

**恢复：**优先换正确候选；其次加入中性插入或可见再定轴；必要时重做反打。翻转仅在身份、文字、伤势与背景全部允许时使用。

**关闭证据：**静音空间测试、目标视线、轴线图、背景地标和相邻镜回归。

L.4 长旁白声线或结构失控#

**触发：**段落像换人、情绪一路升高、拼接突兀、观众无法复述判断变化。

**立即动作：**保留所有分段与上下文；暂停整段重新生成；按思想单元标声线、音区、速度、距离、呼吸和认知出口。

**诊断：**检查是否按字数机械切；情绪描述是否改变身份年龄；每段是否使用同一声线锚；旁白是否重复画面；音乐是否只加不减。

**恢复：**只重做失败单元并携带前后思想；统一底噪与空间，不用混响掩盖音色；做删掉 30% 版本；重新分配画面、旁白和音乐权限。

**关闭证据：**纯旁白、加音乐、配画面、手机低音量四次通过，目标听众能复述认知弧线。

L.5 锁画后音乐需要重剪#

**触发：**镜头延长或缩短、Cue 小节断裂、对白被音乐遮蔽、主题语义不再匹配。

**立即动作：**记录 Picture Lock 变更和受影响 Cue，不直接拉伸整曲；读取主题、速度、调性、小节和分轨状态。

**诊断：**确认变化是局部时长、场景结构还是情绪意义；查合法循环、保持音和退出小节；检查对白、拟音与下一 Cue。

**恢复：**优先移动小节出口、增删纹理小节、延展保持音或重新编排分轨；意义改变时重作 Cue。任何替代音乐先查权利。

**关闭证据：**Cue Sheet 新版本、对白可懂、主题连续、手机外放、整集与连续播放回归、权利记录更新。

L.6 Prompt、模型或供应商迁移#

**触发：**模型升级、服务停用、价格或条款变化、适配器重写。

**立即动作：**冻结当前能力卡与旧组件；列受影响任务和未发布资产；不在生产中直接替换 API 名称。

**诊断：**运行项目私有评测集，比较身份、状态、动作、表演、可剪性、批准秒成本、延迟和权利；检查不支持能力是否静默丢失。

**恢复：**更新适配器和 Prompt 回归；先影子、再 10% 灰度；关键镜头人工全检；保留旧路由和回滚条件。条款不兼容时即使画面更好也不得迁移。

**关闭证据：**能力卡、盲评、灰度报告、权利审查、回滚演练和新旧资产血缘。

L.7 预算失控或批准秒成本突升#

**触发：**批次预测超上限、失败尝试集中、人工修复激增或供应商涨价。

**立即动作：**暂停低优先级和无假设调用，保留关键路径；核对预留、实际、重复扣费、人工分钟和已批准秒。

**诊断：**按镜头类型分失败；找共同资产、模型、动作或审批瓶颈；区分价格上涨、通过率下降、重做传播和在制品过多。

**恢复：**删无职责镜头、改低风险覆盖、修共同根因、降低并发、换兼容路由或申请新预算。不可静默降分辨率、身份门槛或权利标准。

**关闭证据：**新预测在上限内、批准秒恢复、停止规则执行、变更经制片授权。

L.8 肖像、声音或音乐权利撤回#

**触发：**授权到期、撤回通知、条款变更、来源无法证明。

**立即动作：**隔离相关资产，停止新任务和发布；保存通知与现有证据；吊销访问和生成能力，不删除历史记录。

**诊断：**依据权利 ID 查询所有候选、成片、语言、素材、平台和备份；区分未发布、已发布和合同允许继续保留的证据。

**恢复：**替换声线、音乐或视觉资产；重做派生；按法务意见下线或更新已发布内容；向客户与平台通知。处理供应商删除请求。

**关闭证据：**新使用查询为零、替代版本通过、平台状态确认、删除或保留依据归档、权利快照更新。

L.9 错误版本已经发布#

**触发：**旧字幕、错误图形、错误集、未批准封面或 Manifest 不匹配的文件上线。

**立即动作：**停止或限制流量；保存平台回执、错误文件、远端 ID 和发现时间；通知发布负责人，不先删除证据。

**诊断：**确认平台、地区、语言、用户范围和缓存；比较远端哈希与签署 Manifest；找出选择、上传、核对和门禁哪一层逃逸。

**恢复：**回滚已知批准版本；小流量验证播放、声音、字幕和事件；再扩大。若无可用回滚，先停止分发。

**关闭证据：**正确远端哈希、影响清单、通知、根因、双人门禁修复和回归测试。

L.10 人工审批队列拥堵#

**触发：**等待超过 SLO、发布关键项被普通候选淹没、上游继续生产导致版本过期。

**立即动作：**按不可逆性、关键路径、预算、截止和安全重排；启动上游背压；聚合共同根因与重复候选。

**诊断：**检查审批包是否缺差异和证据；规则能否安全预筛；是否同一人承担过多批准；是否批次并行超过容量。

**恢复：**关键事实与发布逐项审；低风险环境按校准规则抽样；增加受训评审或降低并行；优化审批界面。禁止自动降低门槛。

**关闭证据：**等待恢复、关键项无逃逸、人类负荷可持续、背压规则和容量模型更新。

L.11 投放指标突然下降#

**触发：**点击、首集完成、继续、付费或广告价值显著变化。

**立即动作：**先查事件完整、口径、版本、平台、竞价、人群和落地点，不立即改故事；冻结本轮实验解释。

**诊断：**定位漏斗：点击低查素材；点击高首秒退查落地；完播低查理解和节奏；下一集低查卡点偿还；支付低查价值与摩擦；退款高查误导。

**恢复：**修确定性数据或落地问题；创作问题形成带时间码的 Issue 和最小测试；慢变量进入批次 Change Request，不日更 Series Bible。

**关闭证据：**数据质量通过、实验登记完整、修复版本与对照、保护指标无恶化、适用边界记录。

L.12 状态数据库或工作流灾难恢复#

**触发：**数据库不可用、物化视图损坏、事件消费停滞、任务状态与预算不一致。

**立即动作：**停止新写入和不可逆发布；保存日志、事件偏移、对象存储和最近快照；确认是否安全只读。

**诊断：**区分权威事件、快照、物化视图和媒体对象；确认最后一致点、RPO、重复消息和未结算调用。不要从缓存猜状态。

**恢复：**在隔离环境恢复快照并重放事件；重建视图；核对任务、预算、资产、审批和发布不变量；抽样媒体校验和；小流量恢复 Worker。

**关闭证据：**RPO/RTO、恢复对比、重复处理安全、未决调用处置、非原作者复演、Runbook 修订和下一次演练日期。

L.13 Runbook 通用纪律#

1. 先描述可观察事实，不猜根因。
2. 先停止扩散，不先追求恢复速度。
3. 保存输入、日志、版本、远端回执和时间线。
4. 确认谁有决定权限，值班者不越权。
5. 修复最早错误层，不只改最终文件。
6. 依据依赖图设计回归范围。
7. 小流量或隔离环境验证后恢复。
8. 关闭必须有证据、责任人和后续测试。

L.14 Runbook 演练记录#

drill:
  drill_id:
  runbook_version:
  scenario:
  injected_fault:
  participants: []
  detected_in_s:
  contained_in_s:
  recovered_in_s:
  evidence_preserved: true
  unauthorized_actions: 0
  duplicate_cost: 0
  data_loss:
  missed_steps: []
  runbook_changes: []
  regression_tests: []
  next_drill_date:

每月至少演练两类，季度覆盖权利、发布和灾难恢复。演练不是表演“团队很快”，而是发现控制、证据和文档在哪些地方仍依赖个人。