建立正式评估范围
在“ASPICE 评估”中创建项目，选择适用 PAM、目标 CL1 或 CL2，并只勾选客户或评估计划覆盖的过程。范围外过程保留为关联背景，不进入评级矩阵和正式报告。
AuditFlow AI · v8.9.0
面向评估师的操作手册
AuditFlow 用于组织项目级 Automotive SPICE、ISO 26262 功能安全和 ISO/SAE 21434 网络安全审核活动：建立范围、分配职责、登记可定位证据、生成候选判断，并在人工复核和质量门通过后形成受控报告。
结论边界AI、本地规则和跨过程分析只生成候选判断与补证方向。正式过程属性评级、能力等级和报告结论必须由评估师基于已确认的证据链作出。
评估闭环
ASPICE 的评估对象通常是项目。先定义项目中哪些过程需要达到何种能力等级，再将工作产品、执行记录、访谈和闭环信息组织为可复核的证据链。
01定范围目的、目标等级、正式过程域
02建计划实例、样本、角色、访谈与日程
03纳证据来源、定位、版本、状态与责任
04做评估BP / GP、访谈、发现与候选评级
05验追溯双向关系与跨过程闭环
06复核关闭定稿、质量门、报告与改进
将评估活动计划化
在“计划和日程”维护过程实例、样本、评估师、访谈和里程碑。对于 CL2，应能说明绩效目标、过程计划、资源、监控调整和接口管理与 MAN.3 的关系。
只依据可回溯的事实形成结论
每一个 BP / GP 候选都需要回到工作产品、执行记录或访谈定位。发现应描述客观事实、影响、所属过程和后续补证或关闭动作。
范围、能力与评级
过程维度回答“哪些过程被评估”，能力维度回答“这些过程达到什么能力”。能力等级由过程属性（PA）的评级组合决定，而不是由文件数量或单个平均分决定。
| 评级 | 达成度 | 评估含义 |
|---|---|---|
| 0% - 15% | 未达成：结果不存在，或内容不足以证明实践已执行。 | |
| >15% - 50% | 部分达成：已实施部分结果，但不能支持稳定满足质量、进度或资源目标。 | |
| >50% - 85% | 大部分达成：实践有显著实施证据，但仍存在影响目标实现的不足。 | |
| >85% - 100% | 完全达成：没有与目标相关的显著风险，允许存在孤立的不完善点。 |
关注 PA 1.1。BP 的实施、工作产品及结果应构成充分证据链。
在 PA 1.1 的基础上，检查 PA 2.1 绩效管理与 PA 2.2 工作产品管理。
目标、计划、资源、监控调整和接口管理须能支持各过程的绩效管理。
质量保证、工作产品控制、标识、基线与一致性支撑 PA 2.2 的判断。
产品边界：AuditFlow 的本地引擎提供 CL1 / CL2 的候选结论。CL3 涉及组织标准过程、角色能力、资源和部署监控，需采用组织批准的外部评估方法；本地引擎不对 GP 3.x 作正式评级。
十个评估阶段
项目页左上方的顶部阶段导航遵循评估工作流。每个阶段都有可恢复的 URL；可在各阶段之间往返，但关闭前必须重新检查范围、证据充分性、人工复核和开放问题。
项目概况
集中查看项目进度、证据解析、追溯覆盖、人工复核、开放弱项和 BP / PA / GP 矩阵。
操作：先确认正式范围和待评过程是否完整，再用看板识别证据、复核或弱项的阻塞项。
计划评估
管理过程实例、计划卡片、评估活动、访谈安排和进度状态。
操作：为每个正式范围过程确定样本与评估活动；记录角色、日期、输入和预期输出，保留计划调整依据。
范围与资料 / Scope
左侧选择正式过程域，在当前过程上下文中导入 DOCX、PPTX、XLSX/XLSM、PDF、CSV、JSON、HTML、Helix 或文本；右上角 Audit Master 可对已上传来源做四遍交叉过程分析。
操作：确认过程实例、资料主过程、Direct/Corroborating/Index-only、解析状态和定位信息。Audit Master 回流项始终是 Index-only AI 意见。
逐条评审 / Grid View
左侧固定过程域，中间逐项审查 BP / GP，右侧持续显示当前指标的候选评级、证据链和 C/R/O/W/S/Q 记录。
操作：对每项指标记录直接事实、引用定位、访谈问题和发现；人工改定应写明与证据相符的理由。
证据溯源 / Tree View
并排展示 Assessment Scope、Records & confirmed links 和 Evidence Inventory。
操作：确认 direct、corroborating 或 index-only 作用；确认关系不改变原始证据强度，也不能绕过评级护栏。
记录合并
将多位评估师的记录收敛到 Consolidated 工作区并定稿。
操作：处理分歧、重复、冲突证据和未决问题；只把一致且可回溯的结论移入定稿记录。
AI 评审
集中显示正式范围内全部 BP / GP 的 AI 初稿、证据充分性和人工改定状态；可导入 aspice-audit-master 导出的评审 JSON，在每个过程域下修改或确认。
操作：导入文件只更新未人工复核的候选，不覆盖已有人工结论；若候选与原始证据冲突，以评估师判断和直接证据为准。
版本与基线
评估版本用于比较候选变化；受控基线冻结文件、条目、正式范围、责任、时间和变更原因。
操作：先确认原子条目，再创建 Draft；由 Independent Reviewer 完成独立复核，最后由 Lead Assessor 或 Configuration Manager 批准。
关闭评估
运行证据、复核、记录、弱项和 Guideline 质量门并冻结正式结论。
操作：先完成 SUP.9 → SUP.10 → 工作产品更新 → 验证 → SUP.8 基线闭环，再关闭。
报告
预览或生成 Word、PowerPoint、Excel 与评估计划输出。
操作：门禁未通过时报告标记 Draft；正式报告只展示正式范围和已人工复核结论。
范围内嵌 ASPICE Audit Master
进入项目的“范围与资料”，点击右上角小型 Audit Master 按钮。弹窗只列出当前项目已经上传的文件及 Helix 原子条目，评估师决定选哪些来源，并逐项确认 Direct、Corroborating 或 Index-only。
Qualified flow、Agree & summarize、Divide & control 和 Trace consistency 同时执行；正式范围在本次分析中不可扩张。
启用在线 AI 时只发送所选摘要、定位、正式范围和现有候选，不发送原始文件 Blob。关闭开关则完全使用本地专业规则。
结果保存为 AI Review Opinion，并强制标记 Index-only；同时进入 AI 评审历史和独立参考版本。
回流意见不会自动修改人工评分、建立虚假直接证据、批准基线、关闭问题或声明认证结论。
评定结果：BP + GP AI 初稿与人工改定
AI 预评估完成后自动进入“AI 评审”。该页沿用当前评估版本中的 BP / GP 数据，不复制结果，因此评分、证据链、人工复核、PA 聚合和版本记录保持一致。v7.4 还可导入 `auditflow-ai-review/v1` 文件，所有导入内容始终作为待审核候选。
先看范围和阻塞
顶部摘要显示范围内 BP / GP 数量、人工复核进度、证据充分项和项目候选等级。项目等级受 PA 否决门禁约束，不由简单平均分决定。
按过程和 PA 核对
结果按“过程 → PA 1.1 / PA 2.1 / PA 2.2 → BP / GP”分组。每行显示 AI 候选、置信度、Direct / Corroborating / Index-only 数量、主要缺口和当前人工评分。
复核并留下改定依据
评分下拉用于快速改定，并立即标记为“人工改定”。需要完整复核时打开“核对详情”，核实标准意图、证据定位、四遍跨过程分析和关闭证据，再填写人工复核意见与 O/W/R。
受控运行 Codex 参考评审
只有 Consolidated 已定稿记录会进入 Codex 上下文。模型只能返回正式范围内已知 BP / GP 候选；无证据不得编造事实，范围外过程只形成“关联观察·不评级”。每次运行保存独立版本且不覆盖人工结论。
评分边界：AI 初稿和 Codex 候选均不是正式评估结果。关联证据不能替代目标过程直接证据；F 必须由评估师依据多来源、代表性、受控且稳定闭环的直接证据确认。
MAN.3 / SUP.8 支持域专项子项目
该功能适用于原项目范围较大、但当前只需要核查 MAN.3 项目管理或 SUP.8 配置管理材料的场景。它把问题文件作为筛选入口，建立一个保留父项目上下文的轻量评估工作区；专项结果必须回到父项目完成正式证据核实和结论定稿。
专项边界：子项目只评估上传文件中实际出现的 Issue。它不补齐未出现的 BP/GP，不声明过程能力等级；Action Plan 或问题记录是问题佐证，不等于目标过程直接实施证据。
从项目列表生成
在“审核总览”或“ASPICE 评估”项目列表找到父项目，点击图层图标“生成 MAN.3 / SUP.8 专项子项目”。选择过程和需要继承的证据后，创建并进入子项目证据页。父项目已有 MAN.3 / SUP.8 Action Plan 问题会自动带入。
上传问题和支持材料
上传 DOCX、DOC、PDF、XLSX、CSV、JSON、HTML 或粘贴文本。系统按来源文件折叠展示，并把需求 ID、观察、段落和表格行拆为文档条目；逐条评审中可调整 SYS/SWE/MAN/SUP 分类及直接、佐证、仅索引角色。对旧版 DOC 或解析警告文件，必须打开原件核对页码与表格。
识别文件中的实际 Issue
点击“识别问题并配对 BP/GP”。系统从 Issue 编号、过程域、严重度/状态、原始问题、ASPICE 审核说明、风险、行动和最小关闭证据中建立问题记录；选择 MAN.3/SUP.8 后，其他过程的问题被排除，不生成无来源评定项。
核对 AI 初稿
打开“评定结果（BP + GP · AI 初稿，可复核改定）”。每一行对应一个来源 Issue，查看候选 BP/GP、AI 候选评分、问题来源定位、证据角色、风险、访谈问题和最小关闭证据。使用“核对详情”改定评分、理由、引用和 O/W/R，保存后才算人工复核。
一键回写父项目
当所有专项评定项均已人工复核时，“一键回写原项目”才可用。回写会追加父项目草稿弱项和候选追溯；新增证据会复制并建立来源映射。父项目已有评分、人工复核状态和历史版本不会被候选结论覆盖。
父项目完成正式 ASPICE 流程
回写后继续在父项目中核对目标过程直接证据、评估师记录、访谈、版本/基线、状态、批准和关闭有效性。专项子项目标记“已回写”只说明数据移交完成，不代表问题已关闭，也不代表 MAN.3/SUP.8 达成目标能力等级。
问题驱动评定的证据护栏
| 证据作用 | 可以证明什么 | 不能替代什么 |
|---|---|---|
| Direct | 目标过程内、可定位、直接证明活动执行及结果的受控工作产品或记录。 | 不能只用文件名、模板或问题清单证明完整实施。 |
| Corroborating | 上下游、MAN.3、SUP.1、SUP.8、SUP.9、SUP.10 的接口、一致性、配置、问题或变更佐证。 | 不能替代当前目标过程的直接实施证据。 |
| Index-only | 文档、对象或链接存在。 | 不能证明内容、执行结果、评审批准或关闭有效性。 |
证据与双向追溯
有效证据既要说明工作产品存在，也要说明相关过程已经实施并产生结果。对需求、设计、验证、问题与变更，应检查一致性和双向追溯是否持续成立。
Direct 直接证据
正式范围内目标过程的可定位事实，直接证明某项 BP 或 GP 已执行。例如受控评审记录、可复现的测试结果、已批准的基线或已执行的活动记录。
Corroborating 佐证
说明接口、依赖、一致性、配置、问题、变更或治理关系的相关信息。它提高可信度，但不能替代目标过程的直接实施证据。
Index-only 仅索引
仅证明文档、对象或链接存在。尚未检查内容、执行结果或定位时，应保持为索引，不应用它单独支持充分实施的结论。
至少保留文件、表、章节、对象 ID、版本或记录时间等能让评估师回到原始事实的信息。
检查输入、工作产品、评审结果和后续使用对象是否匹配；发现矛盾应形成观察、弱项或补证请求。
从需求到设计、实现和验证结果，也从结果或问题回到需求和受影响工作产品，均应可验证。
工作产品变化应能关联变更请求、影响分析、授权、实施、验证和关闭状态。
跨过程闭环
对正式范围内过程的直接证据评级，不应被关联过程取代；但评估师需要利用下列过程检查管理、质量、配置、问题与变更闭环是否可信。
范围、生命周期、可行性、计划、资源、接口、监控、纠正与状态沟通。
独立性、质量准则、工作产品与过程保证、不符合项解决和升级。
配置项、属性、控制、基线、状态、完整性、备份与恢复。
问题记录、根因和影响、解决、验证、关闭、状态与趋势。
变更登记、影响分析、授权、实施验证、追溯和关闭。
记录方式：跨过程观察应明确来源过程、目标过程、关系类型、证据编号、已支持的事实、缺口或风险，以及需要的后续证据或访谈问题。范围外过程只作为非评级观察呈现。
功能安全与网络安全审核
从顶部“自定义审核”选择内置方案。两类安全审核采用同一套六阶段交互，但审核问题、工作产品和生命周期范围分别依据 ISO 26262:2018 与 ISO/SAE 21434:2021 的项目活动组织。
范围
确认适用标准、项目/Item、生命周期阶段、组织边界、供应商接口、审核目标和排除项。未纳入范围的支持关系只形成关联观察。
计划
为审核活动指定 Lead Assessor、Assessor 和 Data Logger，明确独立复核、访谈、样本、时间、输入输出和升级路径。
证据
上传 DOCX、DOC、PPTX、XLSX、PDF、CSV、JSON、HTML 或粘贴文本，核对作用域、抽取内容和定位。旧版 DOC 可能丢失表格与页码，需回到原件复核。
AI 分析
按审核问题匹配 Direct、Corroborating 与 Index-only，生成八档候选、证据充分性、缺口、访谈问题、O/W/R 和最小关闭证据。
人工复核
评估师打开每一项核对标准意图、原始证据、跨过程关系和未证明事项，必要时改定评分并留下理由、引用和发现。
关闭
全部项目已人工复核、证据充分且弱项受控关闭后，由 Lead Assessor 执行关闭；系统记录操作人、时间和协作修订号。
总体/项目安全管理、Item Definition、HARA、FSC/TSC、系统/硬件/软件安全开发、V&V、配置与变更、供应商管理、生产发布和 Safety Case。
治理与能力、项目 Cybersecurity Plan、职责与培训、TARA、Cybersecurity Concept、产品开发与验证、持续监控、漏洞/事件/更新管理、发布和 Cybersecurity Case。
需要可定位内容证明活动已执行及结果已评审、批准、配置受控或验证完成；仅有模板、目录或文件名不构成充分实施证据。
项目管理、质量保证、配置、问题和变更信息用于核对责任、状态、影响和关闭一致性，但不能替代目标审核项的直接证据。
方法边界：内置模板用于内部审核准备和证据复核，不自动声明 ISO 26262 或 ISO/SAE 21434 合规、认证或独立评估结论。
功能操作索引
下表覆盖 AuditFlow 的主要入口、用途和推荐操作顺序。正式范围、人工复核和数据边界对所有功能均适用。
| 功能 | 入口 | 推荐操作 |
|---|---|---|
| 审核总览 | 顶部“审核总览” | 浏览项目状态、证据和复核进度；用作评估资源和阻塞项的管理看板。 |
| ASPICE 评估 | 顶部“ASPICE 评估” | 新建项目，明确 PAM、目标等级和正式范围；进入九阶段工作流完成评估。 |
| 自定义审核 | 顶部“自定义审核” | 选择功能安全、网络安全或组织方案，按六阶段工作流上传材料、运行分析并逐项人工复核。 |
| 标准知识库 | 更多 → ASPICE 标准知识库 | 查看和维护 PAM、过程 BP、通用实践 GP、审核要素、评分规则和报告输出配置。 |
| 专业工具 | 更多 | 打开原工作区、专业能力或关联工具。使用外部工具所得材料仍需按本项目范围重新登记和判定。 |
| 账户与角色 | 设置 → 账户与角色 | 维护报告签署、记录创建人与职责边界。仅 Lead Assessor 可关闭评估和确认 PA。 |
| 项目多人协作与 ECS / MySQL | 设置 → 多人协作 | 维护审核员、Microsoft 用户 ID、项目角色、过程域权限、修订号、同步端点及服务端用户目录隔离。 |
| Codex / Virtual Key | 设置 → Codex / Virtual Key | 仅在组织授权后配置企业网关与本机服务会话中的 Virtual Key；不将密钥写入工作区。 |
| AI / MCP | 设置 → AI / MCP | 启用或检查本机 AI 服务；模型不可用时保留本地规则和人工评估工作流。 |
| Helix 表格解析 | 设置 → Helix 表格解析 | 设置唯一标识与字段识别策略，导入后核对解析结果、范围和原始文件定位。 |
| 反馈建议 | 设置 → 反馈建议 | 记录功能、页面和改进建议，条目保存在本地工作区并可按需删除。 |
| 回收站 | 设置 → 回收站 | 恢复误删项目；彻底删除不可撤销，应先导出工作区备份。 |
| 数据与隐私 | 设置 → 数据与隐私 | 导出本地备份、恢复演示数据、调整证据文本保留策略和检查本地数据说明。 |
项目多人协作与 ECS / MySQL 部署
v7.4 在本地工作区提供三人左右的协作模型，用于提前验证职责、权限和操作轨迹。它不会把浏览器本地数据自动变成公司级多用户系统。
| 角色 | 可执行操作 | 限制 |
|---|---|---|
| Lead Assessor | 证据、分析、人工复核、角色协调、关闭与重新打开 | 仍须满足质量门并对正式结论负责 |
| Assessor | 登记证据、运行分析、核对详情、评分改定与发现维护 | 不能关闭或重新打开安全审核 |
| Data Logger | 上传、粘贴和整理证据 | 不能运行分析、改定评分或关闭审核 |
| Viewer | 查看项目、证据索引、候选结果与操作记录 | 所有写入动作被本地角色护栏阻止 |
本地验证
在设置中添加成员，为各项目分配角色，再切换当前操作人验证权限。每次证据或结论修改都会增加项目修订号并记录用户与时间。
配置 ECS / MySQL 目标参数
录入同步端点、Tenant ID、SPA/API Client ID 和工作区 ID。页面只保存非敏感参数；机密、证据原件和数据库连接串不应写入扩展本地存储。
公司部署
使用 Microsoft Entra ID/OIDC 登录，Node 服务实施 RBAC、项目权限和编辑锁，MySQL InnoDB 保存项目快照、成员及修订事件，并按用户分离服务端目录。原始证据文件默认不上传，密钥只放在服务器环境变量。
当前状态：网站部署支持 ECS / MySQL、本地协议预览、角色护栏和修订事件；Microsoft Entra 正式身份仍需由公司租户管理员配置。
关闭与报告
关闭动作应当发生在评估结论已经可追溯、开放问题已处置并且质量门通过之后。关闭不是报告导出的快捷入口，而是评估状态的正式转换。
完成逐项人工复核
确认每个范围内 BP / GP 的正式评级、证据充分性、引用定位和评分理由。AI 候选、未确认追溯和草稿记录不能替代人工复核。
处理质量门与弱项
关闭或受控处置证据不足、未处理 Guideline / TAA Broken、未定稿记录和开放弱项；验证 SUP.9 / SUP.10 关联的关闭结果。
生成受控报告
导出前复查正式范围过滤、评级矩阵、发现和跨过程观察。Word 文档中的目录字段可在打开后使用 Ctrl+A、F9 刷新页码。
本地数据与 AI
AuditFlow 采用本地优先工作流：项目、评分、记录、协作角色和设置保存在浏览器本地工作区，附件 Blob 位于 IndexedDB，证据文件在浏览器中解析。服务器协作同步需要显式启用，原始证据默认不上传。
只有在显式配置企业网关和 AI 服务后，才向该服务发送复核所需的评估上下文。
Virtual Key 仅保留在本机服务进程内存中，不写入浏览器存储、扩展包或报告。
在“数据与隐私”关闭证据文本保留；导出前按组织数据分类规则复查报告内容。
恢复演示数据或彻底删除项目前，先导出本地工作区，保留可恢复的审计轨迹。
常见问题
为什么关联过程证据不能提高目标过程的评级？
它只能支持接口、配置、治理、问题或变更关系。目标过程的 BP / GP 必须由目标过程内可定位的直接证据来证明已经实施。
为什么有文件仍然显示证据不足？
文件索引不能证明内容、执行或结果。请检查是否能定位到相关指标、是否有版本/基线、执行记录、评审结论、验证结果和关闭信息。
什么时候使用 AI 评审？
在证据已解析、评估师记录已初步完成后，用它生成候选、发现建议和访谈问题。它不取代评估师的范围判断、证据判定和正式评级。
审核员现在可以在不同电脑上同时修改吗？
网站服务支持项目成员、过程域权限、五秒事件轮询和九十秒编辑租约。用户编辑一条证据链时，服务端会根据直接上下游和支持过程冻结相关条目，并显示当前编辑人。正式部署仍应接入 Microsoft Entra，避免把浏览器手工身份当作企业认证。
CL3 为什么不能在本地引擎中直接给结论？
CL3 需要评估组织标准过程及其在项目中的部署、能力、资源和监控。AuditFlow 明确将 GP 3.x 的正式评级留给组织批准的评估方法。