AI-3.5-04 高风险场景双轨复核 · 实现策略 TDD

摘要

PRD V1.4 §5.4 FR-3.5-04 验收要点（原文）：「高风险译文 100% 经人工复核后生效；复核留痕可查；抽检机制覆盖接入后翻译。」 需求本体（原文）：法务、财税、医疗、专利、合同等高风险专业场景采用「AI 智能初译＋日本本地专业机构人工复核」双轨机制，复核通过方对外生效—— 五专业域（法务/财税/医疗/专利/合同）为本卡风险域枚举的唯一合法来源。用户价值：用专业兜底控制 AI 误译风险，直接呼应总纲「智能辅助、人工兜底」原则。

现状判定（负证据坐实）：rg -i "translation.*review|dual.?track|双轨" 于 backend/src 0 业务命中——无复核工作流、无比对界面、无版本表； 上游 Translation Module（@medusajs/translation）为 upsert 覆盖式写、无版本历史（node_modules 边界排除，结论沿用 findings）——译文被覆盖后不可回溯（NFR-3.9-03 差距栏坐实）； 人工仅能事后编辑间接覆盖（POST /admin/translations/batch）。两套可复用范式在位：队列认领原子占位（translation-job）＋表驱动把关状态机（qualification-state-machine，经 AI-3.9-04 泛化为共享工具）。

共享声明（禁止两套状态机）：本卡为 AI-3.9-04 把关框架引用方——消费共享迁移表工具、通用审核实体 ai_review_record（artifact_type=translation_batch）、『draft→confirmed 未确认不生效』门禁语义； 译文批次生命周期状态集按其 A-2 覆盖条款参数化定制，零状态机本体设计。本卡 owns：复核工作流、三栏比对 UI、translation_revision 版本表、高风险路由门禁、复核维度审计埋点消费。

关键概念

方案设计

共享关系声明与分段总览

双轨数据流与译文批次生命周期

统一点不变：对外生效＝confirmed（工具级共享的统一门禁语义）。生命周期七态（forward-only 白名单）：

迁移表为本卡参数化实例（transitions 参数传入共享工具，工具不强绑定状态集）；last_transition 轨迹（{from,to,reason,actor_id,at}）落 ai_review_record。认领超时释放（in_review 长期无进展回 submitted）节奏＝基线立项定（DEC-5）。

版本表 translation_revision（首切片字段级，从零新建）

新本地模块 backend/src/modules/translation-revision/（models/services/workflows/index），表 translation_revision：

约束与索引：UNIQUE(reference, reference_id, locale, revision_no)；INDEX(reference, reference_id, locale)（版本历史查询热点）；INDEX(source_type)；INDEX(reviewed_by)。migration 走 medusa db:generate。

高风险场景路由与『未复核不对外生效』门禁

风险域枚举（五专业域，PRD 需求描述原文）：risk_domain ∈ {legal(法务), tax(财税), medical(医疗), patent(专利), contract(合同)}。路由判定（两级）：

门禁实现（生效点只认 confirmed）：高风险场景译文的对外生效点＝写入上游 Translation Module——该写入在 review-translation-revision Workflow 的 confirmed step 内执行；场景路由层（AI-3.5-03 fail-closed）已拦「未就绪场景的生产路由」，本卡拦「已启用场景批次未 confirmed 不落上游」——两级门禁串联，负向测试各一。专利/医疗域当前无直接场景枚举对应：医疗经商品类目扩展位承载，专利域为场景枚举扩展候选（随 AI-3.5-03 场景迁移扩展，本卡不新增场景）。

手动编辑通道治理（缺口⑥）：高风险场景译文的手动修正必须经复核工作流 revise 动作承载（产生 manual_edit revision 行并走 confirmed）；admin 既有批量编辑通道（POST /admin/translations/batch）对高风险批次禁用（场景路由元数据判定，UI 置灰＋API 校验）；绕过行为经版本表链路可审计（revision 链断裂可检测）。

机构对接协议层（独立节——X-review-agency 外部前置，references_only 边界）

定位声明（RK-05 缓解：框架设计与参数值解耦）：日本本地专业机构合作（PRD §7.6⑤）为业务侧配套资源，机构通道未落不阻塞复核机制本体——先行形态＝人工内部复核（平台复核员经 admin 工作台全流程操作），机构通道后接。机构接入协议层预留设计（架构级，X-review-agency 落地后细化为字段级）：

数据流 · 状态机 · 时序 · 实体图

数据模型 / API / Workflow

数据模型设计汇总

API 契约汇总

错误码统一：401/403（admin 认证）/404/409（MedusaError(UNEXPECTED_STATE) 非法迁移，母版 :47-52 行为等价）/400（validator）。复核统计指标（人工复核率/驳回率/队列时长）数据源＝ai_review_record＋translation_revision 聚合，数值 DEC-5。

Workflow 设计（业务逻辑必须在 Workflow）

新 Workflow 目录 backend/src/workflows/translation-review/：

review-translation-revision
  steps: load-review-context（ai_review_record ＋ revision 行 ＋ 源字段原文加载）
       → assert-claim-and-transition（认领原子占位两步法 ＋ forward-only 白名单校验——
           消费 AI-3.9-04 共享工具契约，守卫在 step 内；非法迁移抛 UNEXPECTED_STATE）
       → apply-review-outcome
           approve（无修正）：record→confirmed ＋ revision（ai_initial）补 reviewed_by/at
             ＋ 写上游 Translation Module（生效落库）——生效写失败→record 回退 in_review（不半生效）
           approve（revise 有修正）：新 revision 行（manual_edit|agency_review）→confirmed→同上生效
           reject：record→rejected ＋ rejection_reason 回填 revision 行
           claim：record→in_review ＋ metadata.claimed_at/claimed_by
       → emit "translation-review.completed"
  补偿：快照回写（record＋revision 快照式回写，非 Saga 业务回滚——AI-3.9-04 边界同款）

翻译产出侧挂接（初译→revision＋record 创建）随 AI-3.5-03 场景批次落地接线（其管道持久化 step 后置钩子，本卡定义契约：高风险批次先落 revision 再进队列，不直发上游）。

前端触点与 i18n

前端触点（逐端）

i18n 三语言 key 规划（en / zhCN / ja）

改动面仅 admin-panel（admin-panel/src/i18n/translations/{en,zhCN,ja}.json，命名空间 translationReview.*）；三前台/vendor i18n 无新增 key。差异高亮算法为前端实现细节（行级 diff 库选型随实现，非本卡契约）。

验收与测试

验收标准（PRD 要点＋技术口径）

测试策略（分层）与量化占位

风险与降级

风险卡

NFR-3.8-01 张力裁决（把关层 fail-closed——本卡评审重点核验项）

张力陈述：NFR-3.8-01 范式「未配置/故障即跳过不阻断主业务」与本卡「复核服务异常时高风险译文阻断外发而非直发」表面冲突，实为适用域不同，显式裁决如下（沿 AI-3.9-04 §5.3 既有裁决，本卡不另立标准）：

跳过路径测试点（要素 8 必含）：

1. AI 未配置→队列空载＋主业务成功；
2. 复核 Workflow 抛错→高风险批次停留非生效态＋告警＋上游译文无变更（fail-closed 断言）；
3. 同故障下低风险批次直发成功（保留域断言）；
4. flag 关闭→高风险场景路由不可见＋低风险直发（联动断言）。

迁移与回滚

pnpm db:reset / db:reset:demo 兼容：新表空表参与 reset（版本/复核记录为运行时事实非配置，seed 不注入——同 AI-3.9-04 §10.1 口径）；上游 Translation Module 与翻译管道零改动故种子链路行为不变；门禁常量默认关＝现状直发。

上线顺序建议：T1-T4（版本表与比对段，flag 关态交付＝零行为变化）→ DEP-3.9-04 解除（AI-3.9-04 flag 开启）→ T5 挂接（feature 态观察）→ DEP-3.5-03 解除（场景翻译批次产出）→ T6 端到端＋抽检机制 → 高风险场景清单启用（AI-3.5-03 门禁位翻转，两级门禁串联验证）→ X-review-agency 落地后 T7 机构通道接入。全卡不改动翻译管道既有语义与上游模块；本 TDD 为设计文档，不改任何源代码/迁移/配置。

前置决策点

Blocker 二分表（要素 7 强制完整——architectural 级硬要求）

内部依赖与下游引用方

开放数值决策

• DEC-5 抽检采样率与抽检合格率基线/目标——基线立项定，本卡仅引用编号不内联臆造数值。
• DEC-5 人工复核率、驳回率、复核队列滞留时长、认领超时阈值——复核维度统计口径的数值占位。
• DEC-5 机构 SLA 与计费模式——X-review-agency 落地后随立项回填。

附录：溯源表

本文档由 docs/reports/ai-module-prd/tdd/AI-3.5-04-dual-track-review.md（v1.0，2026-10-26）可读化重组生成。章节映射与处理方式如下：