【摘要】
写代码可以灰度、可以回滚、可以明天再修。动产线设备不行——一次联调把机器搞停两小时，损失按片算，而且后续所有功能都会被设备部门一票否决："上次你们一改机就出事了。"
所以现场工程能力的核心不是技术多强，是变更可控：每一次动到设备的动作，都有分级、有窗口、有回滚、有人在旁边能喊停。
这篇给三级风险分级、变更单六要素、窗口选择、回滚判据，以及一个比任何监控都灵敏的失败信号。
【核心要点】
- 改动分三级：L1 只读（旁路采集）、L2 写配置（采集点/阈值）、L3 下发控制（S2F41/recipe），三级审批与窗口完全不同
- 第一批上线只做"看得见"，不做"管得着"；控制类指令放到第二期
- 变更单六要素：改什么、为什么、谁执行、什么窗口、怎么回滚、失败谁负责
- 窗口优先级：PM 窗口 > 换班 > 低 WIP 时段；避开 Hot Lot、新产品首跑、客户稽核周
- 回滚判据 30 分钟：不达标就回，不讨论、不"再观察一下"
- 最灵敏的失败信号不是报警，是有人在补录
---
一、三级风险分级
| 级别 | 动作 | 例子 | 审批 | 可用窗口 |
|---|---|---|---|---|
| L1 只读 | 旁路采集、只订阅事件 | 读设备状态、抓 SECS 报文、看 PLC 点位 | 设备主管口头同意 | 生产时段可做 |
| L2 写配置 | 增删采集点、改采样周期、改阈值 | 加 SVID、改 RPTID、调报警上下限 | 变更单 + 设备工程师会签 | 换班 / 低 WIP 时段 |
| L3 控制 | 下发指令、改 recipe、自动 Hold | S2F41 远程命令、参数下发、自动锁机 | 变更单 + 生产经理签 + 回滚演练过 | PM 窗口 / 停产 |
分级的意义在于别把 L3 当 L2 干。L1 出问题只是数据不全，L3 出问题是货出问题。很多项目第一版就把自动 Hold 做进去，看着很先进，第二次误锁机之后，整个系统被要求"先把自动动作全关掉"——这一关通常就是半年。
原则一句话：能不下发控制指令就不下发。第一期只做"看得见"，把采集、追溯、报警做实，控制类等到客户主动要求再谈。
二、变更单：六个空不能空
一句话说不清的变更，不许执行。变更单只要六项：
- 改什么：设备编号、系统模块、参数名，精确到点位；
- 为什么：对应哪条需求/哪个故障，没有需求编号的变更不批；
- 谁执行：一个人负责，不是"我们团队"；
- 什么窗口：具体日期时段，以及窗口内设备的归属（谁说了算）；
- 怎么回滚：设备参数快照存哪、系统配置怎么切回、多久内必须回；
- 失败谁负责：设备侧损失算谁的，这条必须在执行前谈好。
第 6 项最容易被跳过，也是最容易在出事后变成扯皮的。谈的时候不愉快，比出事后赔钱好。
三、窗口怎么选
优先级很清楚：PM 计划停机窗口 > 换班时段 > 低 WIP 时段。
三种必须避开的时段：
- Hot Lot 在制——加急批卡在你手上，压力会全部转成对你的指责；
- 新产品首跑（first run）——首跑的工艺参数还在调，任何额外变量都会污染分析；
- 客户稽核周——稽核员看到有人在动机台，会写进观察项。
窗口长度按动作估，然后乘 1.5。所有联调都会超时，超时的时候如果后面排着生产，压力会逼你跳过回滚验证——这是事故的标准起点。
四、回滚：30 分钟内拍板
回滚预案分两层，两层都必须提前准备好：
设备侧：改前导出参数快照，EAP 侧存一份、设备本地 U 盘存一份。只存一份等于没存——偏偏就是存快照的那台机器连不上。
系统侧：配置带版本号，回滚是"切回上一版"，不是"手工改回去"。手工改回去在压力下必然漏项。
判据：30 分钟内核心指标不达标，立即回滚。不讨论、不等第二次采样、不"再观察一下"。
"再观察一下"是现场事故的第一句话。它听起来理性，实质是把决策成本推给未来，而未来你手上信息更少、压力更大。
五、值守三分工
联调当天现场必须有三个人，缺一不可：
| 位置 | 职责 | 关键权限 |
|---|---|---|
| 设备旁 | 看面板、按急停、读报警 | 物理停机权 |
| 服务器旁 | 看日志、看链路、看报文 | 断链路权 |
| 指挥 | 判断继续还是回滚 | 唯一决策权 |
最忌讳的配置是"远程指挥 + 现场没人"。远程看不到面板上的黄灯，也听不到机器异响。
通讯用对讲或固定群组，全程一个频道。指挥只能有一个人——两个人同时下指令，现场必然停在半路。
六、验证：别看"能跑通"，看补录
联调通过的判据不是当场演示成功，是连续 3 个批或 24 小时无人工干预、无补录。
补录次数是最灵敏的指标。系统只要还在漏，现场就会有人手工补——补录是人的兜底本能，它不报警、不报错，但它意味着数据链在你不知道的地方断着。所以联调期间每天问一句："今天有人补录吗？补了几条？为什么？"
三个问题的答案，比任何测试报告都真实。
七、可复用点
- 改动分 L1/L2/L3，审批与窗口分级；L3 放到第二期。
- 变更单六要素，缺一项不执行；失败责任在执行前谈清。
- 窗口优先级 PM > 换班 > 低 WIP；避开 Hot Lot、首跑、稽核周；时长乘 1.5。
- 参数快照存两份，回滚靠版本切换不靠手工改。
- 30 分钟判据，到点就回；"再观察一下"是事故的第一句话。
- 值守三人三权，指挥只有一个人，禁止远程指挥配空现场。
- 通过判据是 24 小时无补录；每天问"补了几条、为什么"。
下一篇讲切换与并行运行：双轨几天、什么时候敢停旧系统——并行不是保险，是有成本的过渡。
判断口诀：改机不是改配置，是改产线的确定性；拿不准的时候回滚，成本永远比解释低。