【摘要】
FDE 的权限是"看起来很大，实际很有边界"：客户把你当专家，什么都问；公司把你当现场代表，希望你什么都能扛。两边的期待加起来，很容易把人推到越权的位置。
一次越权的代价，可能是产线停线、可能是一个项目终止、也可能是职业生涯的一次硬伤。所以这篇文章把边界做成三色清单：绿灯照做、黄灯先报、红灯一律不接。
【核心要点】
- 绿灯：可逆、影响面限于配置、有测试环境验证过的改动
- 黄灯：影响生产数据、影响其他系统、需要停机窗口的变更——必须有书面授权 + 回滚方案
- 红灯：改产品核心逻辑、绕开审计、替客户背生产责任、私下承诺工期——一律不接
- 判断标准只有一条：出事时，你能不能拿出书面依据说明"这个决定是经过谁同意的"
- 越界之后不要瞒，24 小时内上报 + 出影响评估，比事后被发现损失小一个量级
---
一、绿灯：可以当场决定的事
特征：可逆、影响范围限于本系统配置、不触碰生产数据、不依赖未验证的假设。
具体清单：
| 类别 | 例子 |
|---|---|
| 查询与诊断 | 写只读 SQL、拉日志、抓 SECS 消息、看数据库快照 |
| 配置调整（测试环境） | 改告警阈值、调采样频率、加报表字段 |
| 脚本工具 | 写临时分析脚本、做数据比对、生成核查报告 |
| 文档与沟通 | 出评估报告、画数据流图、写问题清单 |
| 演示与验证 | 在测试环境搭 Demo、跑历史数据回放 |
绿灯的核心是：只读、只测、只在沙箱里动手。 只要不写生产库、不改生产配置，错了也能恢复。
二、黄灯：可以动手，但必须先报备
特征：影响生产环境、影响其他系统、需要停机、或者结果不可完全回滚。
清单：
- 生产配置变更：告警阈值、路由规则、接口参数、权限配置
- 数据修正：补录、批量更新状态、清理异常记录
- 接口变更：新增/修改报文结构，涉及对方系统配合
- 版本发布：哪怕是补丁，也要走灰度与回滚预案
- 机台侧改动：Recipe 参数、联锁条件、通信配置
黄灯的执行要求是三件套：
- 书面授权：邮件或工单，写明改什么、为什么改、影响范围、回滚方式，客户方负责人确认
- 回滚方案：具体到命令/操作步骤，以及回滚耗时
- 窗口期：约定时间，且在改动前后各留一次状态快照
实操经验：黄灯事项最容易被"熟人关系"绕过。客户工程师说"你直接改吧，我担着"——这句话在出事后没有任何效力。正确回应是："我改，但麻烦你在邮件里确认一下，我十分钟就能发给你。"
三、红灯：无论谁要求都不能接
这五类事，接了就是给自己埋雷：
1. 改产品核心逻辑 "你顺手把这个判定规则改成我们要的。"——这是产品改动，必须回研发。现场改核心逻辑，下一个版本升级就覆盖，且无法追溯。
2. 绕开审计与留痕 "能不能把操作日志关掉？"——无论理由多充分（性能、隐私、方便），一律拒绝。Fab 的审计要求是硬约束，绕开等于给客户和自己埋合规风险。
3. 替客户承担生产责任 "你就说这套系统不会影响生产。"——不能做这种保证。系统影响评估是双方共同结论，FDE 只能给技术判断，不能替客户拍板。
4. 私下承诺工期或功能 "下周能上吧？你先答应，走流程再说。"——所有承诺必须走公司流程。私下承诺一次，后面所有进度压力都会堆到你身上。
5. 用生产数据做未授权的事 拿真实良率数据去训练模型、导出到本地分析、发给第三方——这些在多数 Fab 都属于严重违规，签字画押也不能做。
四、判断边界的四个提问
拿不准的时候，问自己四个问题：
- 可逆吗？ 出问题能不能 30 分钟内恢复原状？
- 影响面多大？ 只影响一个 Lot，还是可能影响整条线？
- 有书面依据吗？ 客户的要求有没有落在邮件/工单上？
- 出事我能不能解释？ 如果明天开事故分析会，我的决策链条说得清吗？
四个问题里有两个答不上来，就不要动手。
五、越界之后怎么补救
已经动手了、发现不对，怎么办？最差的处理是瞒。
正确顺序：
- 立即止损：能回滚马上回滚，不能回滚就切断影响面（先 Hold 相关 Lot）
- 30 分钟内通知：告诉客户对接人和你的直线经理，说清现象、影响范围、当前状态
- 2 小时内出初步分析：根因假设、已采取措施、下一步计划
- 24 小时内出正式报告：时间线、根因、影响量化、改进项
- 主动提改进机制：不是写检讨，是把这类操作的边界补进流程
客户对"出问题"的容忍度，远高于对"隐瞒"的容忍度。前者是技术风险，后者是信任崩塌。
六、一个真实的结构性陷阱：无边界的"能者多劳"
FDE 里最容易出事的是能力强、脾气好、什么都答应的那一类。
- 客户提需求 → 答应
- 客户催工期 → 加班赶
- 别的系统出问题也找他 → 帮
- 总部要现场数据 → 给
半年之后，他手上挂着 30 件事，每一件都没做透；某天一个他没精力关注的配置变更引发停线，所有责任回到他头上。
边界不是用来推卸责任的，是用来保证你能把该负责的那部分做到位。 一个明确说"这件事我不做，因为……"的 FDE，比一个什么都答应的 FDE 可靠得多。
下一篇讲最硬的一条：Fab 现场红线。洁净区权限、网络隔离、数据保密、停机风险、Hold 权限——这五条踩了就不是技术问题，是事故。