第19章 故障自查、安全与红线

你将学会

• 用「三处体检报告」在 60 秒内判断项目到底卡在哪一层
• 把八类最常见故障（项目不动、任务待执行、预算熔断、兜底暂停、实例离线等）照着步骤定位到底
• 分清一条错误提示是「你操作错了」「功能没开」还是「系统真出故障了」
• 改坏之后知道怎么回滚、怎么走恢复评估，而不是推倒重来
• 背下安全红线，并且能当场回答「发布 / 上线 / 发邮件 / 花钱之前要检查什么」
• 知道哪些问题自己能解决、哪些必须立刻找人工支持，以及求助时该递什么信息

第 18 章是「问答体」——你带着一个问题去，拿一个答案走。这一章不一样，它是排查手册体：你带着一个症状来，跟着决策树一层层往下走，直到定位到那一个原因，然后按处置步骤动手。所以这里的每一节都写成「现象 → 决策树 / 步骤 → 处置 → 还不行怎么办」四段式，目标是能单独打印、贴在电脑边上用。

症状速查：我看到的症状，跳到第几节

先扫这一张表。左边找你看到的现象，右边直奔对应小节。表里给了 20 条最常遇到的症状。

一、先学会看三处「体检报告」

不管什么问题，先别急着点按钮。打开三处地方各看一眼，你就能把「项目在哪一层卡住」缩小到一个很小的范围。这三处分别回答三个问题：循环转不转（控制台）、任务排得对不对（任务列表）、到底跑到哪一步、报了什么（日志面板）。

自动运营控制台：先看这一屏

这是项目 AI 的「驾驶舱」。打开后先看三样东西，顺序不要乱：

1. 右上角的大状态标签

   它只可能是四种值之一，每种的含义和处理方向完全不同：

   界面显示	含义	你该做的第一件事
   运行中	循环在转，正在按时间片推进任务	去看日志面板，确认是不是在等人工节点
   已暂停	循环停在原地，等你处理	看预算运行态和兜底横幅，找暂停原因
   已停止	循环没在被驱动	确认是否忘了点「启动」，或项目被停过
   未知	还没取到状态，或取状态失败	点「刷新」再看；仍未知就看页面顶部报错

   这一版的改进：兜底暂停时，顶部大标签不再「骗人」地显示绿色「运行中」了，它会跟随真实状态变成暂停类，红色横幅上的文案也直接指向「恢复」（不再让人去点那个已被禁用的「启动」）。看到红色横幅就知道该去处理触发原因、再点恢复，详见 2.4。

2. 「预算运行态」的三个 tag

   这是最快看清「钱有没有出事」的地方，三个 tag 分别是：

   • 熔断：是 / 否 —— 是，说明预算被击穿，循环被强制暂停。这是花钱问题，优先级最高。
   • 降级：是 / 否 —— 是，说明到了预警线，系统主动降强度（切低成本模型、压缩非核心任务）省着跑，还在跑。
   • 已终止：是 / 否 —— 是，说明项目已置终止态（目标达成、负面终止或手动终止），不再推进。

3. 「AI 预算消耗」进度条

   文字形如「本轮预算: ¥X / 已用 ¥Y」。当用度到预警线时会亮一个「预警」tag——这条线和「计费明细」页用的是同一条后端预警线（默认 80%），不再有"80% 降级、90% 亮标签"两套口径。看到它，就该准备补预算了，别等熔断。

任务列表：看状态分布，不看单个任务

不要只盯一个任务。先看整张表的状态分布——分布会告诉你问题在「排队」还是「执行」。任务状态一共六种：

日志面板：最后一层，看清「跑到哪、报了什么」

日志面板分上下两半。上半是日志绑定列表，列有「任务 / 轮次 / 状态 / 日志文件 / 更新时间」；下半是你点某一行后展开的日志详情。

上半那张表的「状态」列只有两种值，别看错：

• 运行中 —— 这一轮的日志正在实时写入，可以开着看。
• 已结束 —— 这一轮跑完了，日志是历史，不再增长。

点进某一行，下方会显示「任务 X · 轮次 Y 日志」，右侧有一个「自动刷新」开关。想让日志跟着执行进度滚动，就把它打开；想安静地看历史，就关掉。这一版的改进：关掉自动刷新（或它自己暂停）时，面板会提示「内容可能已过期」，提醒你手动刷新一下再看，别拿着旧日志下结论。

日志面板加载失败时，这一版做了区分：404 属于「正常空态」（这一轮还没生成日志，不是故障）；其它错误才单独当作错误展示，并带上 HTTP 状态码、提示你去「检查实例是否在线」。所以看到 404 不用慌，看到带状态码的报错才需要往 2.5 实例那一层查。

每条日志前面有一个标签，对应 AI 一条记录的类型，含义如下：

状态组合 → 最可能原因（对照表）

把三处体检报告的结论拼起来，绝大多数情况可以直接跳到原因。下表按「控制台状态 + 任务分布 + 日志特征」给出判断。

二、八类常见故障的排查流程

接下来八节，覆盖你自己能处理的绝大多数情况。每节的写法统一：先说现象，再给决策树 / 步骤，然后给处置，最后给「还不行怎么办」。请严格按顺序走，不要跳步——跳步就会变成「一次改三个变量」。

项目「不动了」

现象：盯着看半天，没有新轮次、没有新日志、任务状态一成不变。这是被问得最多的一句话，而它其实对应七八种完全不同的原因。按下面这棵树从顶往下走，走到「是」就停，那就是答案。

1. 项目本身的状态是什么？

   去项目详情页看头部状态。如果是「已暂停」或「已停止」，问题在项目层，不是 AI 层——先用头部按钮把它恢复/启动，再看有没有反应。如果是「开通中」，再等等；如果是「开通失败」，走 2.5 实例排查。

2. 自动运营到底启没启动？

   看控制台右上角。若是「已停止」或「未知」，说明循环压根没被驱动——先点启动。注意：项目「运行中」不等于自动运营「已启动」，这是两个开关，新手最容易混。

3. 运行模式是不是「人工审核」？

   看「运行模式」卡片。如果是人工审核，那么 AI 产出方案后必须你点头才会执行——它不是在偷懒，是在等你。到人工处理节点页处理掉待办，或把模式调成半自动 / 全自动。详见第 4 章。

4. 任务是不是全完成、进入了空闲等待？

   到任务管理页看：如果所有任务都是「已完成」，那就不是故障，而是正常待命。你会在通知或日志里看到这句话——请记住它的原文：

   界面消息原文

   「项目已完成全部任务并空闲等待 N 轮（不再消耗 LLM）。如需继续运营，请注入新信息并触发 review 重排任务」

   处置：这恰恰是「不花钱」的好状态。想让它继续干活，就给项目注入新信息（新任务、新资料、新目标），然后触发一次 review 让它重排任务集。什么都不做也不会扣钱。

5. 有没有被兜底保护按下暂停？

   看控制台上有没有红色横幅「项目已因兜底保护暂停」。有，就转 2.4。

6. 是不是预算熔断了？

   看「预算运行态」的「熔断」tag。是「是」，就转 2.3。

7. 是不是在等人工节点 / 等 review？

   到人工处理节点页看有没有「待处理」的节点——有，就是在等你（或同事）点确认。 另外，系统默认每 20 轮左右触发一次 review（复盘重排），review 期间没有任务轮日志是正常的。看「运行轮次」页，如果最新一轮的「状态」是 review 相关或还没结束，耐心等它跑完。

任务一直「待执行」

现象：单个任务或一批任务卡在「待执行」，从不变「运行中」。

按顺序排查这六条原因：

第 4 条要展开说一下：系统默认有 10 个「时间片」，任务按各自的「时间片权重」排队轮流获得处理时间。所以「待执行」很多时候只是还没轮到——特别是当列表里已经有任务在「运行中」时，这是完全正常的排队，不是卡死。判断方法：等一个轮次的时间，看它有没有往前挪。

预算相关：预警、熔断、余额不足

现象：三种提示都可能出现，含义和处置各不相同，先分清是哪一种。

把这一节涉及的全部原文提示列出来，方便你对照。这些都是真实界面文案：

处置步骤（项目预算熔断）：

1. 先别急着点恢复，先确认是哪条线烧穿了

   控制台「预算运行态」里能看到「总预算 ¥… / 已用 ¥…」和「AI ¥… / 已用 ¥…」。哪条用度 ≥ 上限，就是它。

2. 去正确的页面加预算

   项目预算看项目账本页（副标题是「项目虚拟核算：收入、支出与预算消耗」），用「项目预算」设置调；AI 运行预算在自动运营控制台 → 调整运行模式与预算科目里调。

3. 加完还要手动点一次「恢复」或「启动」

   这是最容易被忽略的一步：补预算不会自动续跑。补充预算后，回到控制台点恢复或启动，循环才会重新转起来。

4. 顺手查一下钱为什么会烧穿

   到计费明细 / 经营驾驶舱看消耗速率，看是不是有任务在反复失败重试、或某个非核心任务吃掉了大部分预算。补钱是止血，调任务才是治病。

处置步骤（公司余额告急）：去公司账本页充值，点充值；余额恢复后，之前因余额问题受影响的实例会恢复正常上报。

兜底保护暂停

现象：控制台顶部出现红色横幅，原文是：

兜底保护是系统防烧钱的最后一道保险丝：一个任务连续失败到上限（默认走「降级重试 → 升级转人工 → 告警退出」三级），系统就会主动停下循环，避免在同一个坑里无限烧钱。所以这条横幅出现，说明确实有东西坏了，不是误报。

怎么找到根因：

1. 看横幅里的原因和时间

   横幅会显示「原因：……」和「暂停时间：……」，先读这一行，它往往直接点名是哪个任务、哪类错误。

2. 到任务列表找「失败」的任务

   失败的任务就是嫌疑对象。看它的名称、引擎类型、创建时间。

3. 看那几轮的日志与验收结论

   到日志面板找到失败任务对应的轮次，看最后几步在做什么、报了什么错；再到验收记录页看它被判「返工」还是「驳回」，结论往往写明了哪条标准没过。

4. 判断是「任务本身有问题」还是「外部依赖不可用」

   如果是提示词太模糊、目标写错了，就去改任务描述；如果是外部服务连不上、密钥失效，就去修依赖。

5. 修完了，再点「恢复」或「启动」

   记住横幅里那句「跨重启保留」——重启服务不会自动解除兜底暂停，必须人工处理后再手动恢复。

服务器实例问题

现象：项目详情页的「服务器实例」页签数据不对，或提示实例未配置、实例离线。

先认识两类状态：实例状态和心跳状态。它们回答不同的问题——实例状态是「这台机器在不在」，心跳是「这台机器健不健康」。

你会用到的按钮（原文）：

常见情形与处置：

边缘客户端连不上

现象：电脑右下角托盘的边缘客户端图标状态不对，本地资料传不上去。

先认清一件事：边缘客户端界面全是英文的，托盘菜单很精简——状态行之外，只有 Open Logs（打开日志） 和 Quit（退出） 两项，状态文字也全是英文。这是当前版本的真实情况，不要去找中文菜单。

托盘状态文字对照：

排查顺序：网络 → 项目服务器地址 → 密钥。按这个顺序，不要跳步：

1. 先看网络

   这台电脑能不能正常上网？项目服务器所在的网络通不通？断网时客户端会按 1s → 2s → … → 60s 的指数退避自动重连，所以短暂 Reconnecting... 是正常的。本机断网期间没传完的文件，联网后会自动续传，不用重传。

2. 再看项目服务器地址

   确认客户端配置里的服务器地址没有变。如果实例被迁移过、或 IP 变了，旧地址就连不上——到项目详情页的「服务器实例」核对当前 IP 和端口，再更新客户端配置。

3. 最后看密钥 / 凭据

   如果服务器地址没错、网络也通，那多半是凭据问题（token 失效、密钥被重新生成）。注意：一旦平台上对某个实例重新生成了 HMAC Secret，用旧密钥的客户端就会认证失败（详见第五节密钥纪律）。

文档 / 知识库异常

现象：上传的文档卡在某个状态不动，或者变成「失败」；检索时答非所问。

知识文档有完整的处理链（后端共 10 个状态），先对照看懂它现在在哪一步：

处置步骤：

1. 「解析中 / 向量化中」卡很久：先等等

   大文档、扫描件、公式很多的 PDF 处理会慢，别几分钟就判死刑。只有确认变成「失败」才需要动作。

2. 变成「失败」：换格式重传

   最常见的原因是格式太复杂。把文档转成更「干净」的格式再传：PDF 转成 txt / md，扫描件先做一次 OCR，表格尽量用 xlsx。知识库上传的白名单是 .pdf / .txt / .md / .markdown / .docx / .xlsx（pptx 不支持，要传先另存成 PDF；伪装或损坏的文件会被当场拒收）。

3. 检查大小

   单文件有大小限制（上传入口会写明）。超限的文件先拆分，或压缩后再传。

4. 确认该不该走「待确认知识」

   部分资料不会直接入库，而是先进「待确认知识清单」等你人工确认，原文提示是「以下知识条目需人工确认后才会写入正式知识库并参与全局检索」。如果你觉得「传了却检索不到」，先来这里确认它是不是在等你在清单里点「确认入库」。

5. RAG 答非所问：先确认文档「就绪」

   检索不到内容，八成是文档还在处理链中间。到知识库页确认目标文档状态是「就绪」；再确认知识库的层级对不对（公司级 / 项目级 / 共享——放错层会让它在另一个项目里检索不到）。

AI 做得不对（这不是故障）

现象：项目在正常跑，但你不满意它的产出。这是最常被误当成故障的一类情况——请先把它和真故障分开。

把「做得不对」再细分成四种，每种对应完全不同的动作：

三、错误提示怎么读

产品里的提示五花八门，但本质只有三类。学会归类，你就能在 10 秒内判断「这是不是我能解决的」。

三类错误的区分

重要：有一类「失败」其实是功能开关没开

在下表左列找到你看到的提示关键词，右列就是要去开的开关：

发现异常时，该记录什么

这一条平时不起眼，关键时刻能省你一小时。发现不对的那一刻，趁现场还在，先记下四样：

• 时间：几点几分发现的（越精确越好）
• 页面：哪个页面、哪个项目、哪个页签
• 提示原文：把报错/提示一字不改抄下来或截图
• 任务 ID：涉及哪个任务、哪一轮（有 ID 最好，没有就记任务名称）

这四样凑齐，无论你自己排查还是找人求助，效率都会高一个量级。附录 D 给了一张可打印的记录模板。

四、改坏了怎么办：回滚与恢复

「改坏了」分两种：一种是改错了配置 / 删错了东西，想退回去；另一种是项目中断了（等人、等批准、停机），想接着跑。两条路径不一样。

自动备份：你的后悔药

「自动备份」页分两个页签：「备份历史」和「备份配置」。

• 备份历史：列出历次备份（类型、大小、状态、校验和、起止时间）。每行有三个操作按钮：校验、还原、删除。手工触发一次备份，点立即备份。
• 备份配置：设置备份类型、Cron 表达式（如「0 3 * * *」表示每天凌晨 3 点）、保留天数、是否启用。

怎么用：出问题前，先确认这个开关是开的（对应功能开关 backup，见第三节）；出问题时，到备份历史里选一个出问题之前的备份点，点「还原」。还原前建议先点「校验」确认这个备份是完整的。

恢复评估：中断之后怎么接着跑

项目因为等人、等批准、停机而中断过，想继续时，系统不会盲目续接，而是先做一次恢复评估。

• 豁免期内（默认 2 天）：直接续接。中断时间很短，环境没变，系统直接从原中断点接着跑。
• 超过豁免期：做环境漂移评估。系统会检查这段时间里环境有没有变（依赖、凭据、数据结构、知识库等），然后给出一个结论。

评估结论有三种，含义如下：

去哪看：自动运营控制台 › 审计治理 › 恢复评估。表格列是「中断原因 / 中断天数 / 评估决策 / 恢复信息 / 评估时间」，「评估决策」那一列就是上面三种结论之一。

变更日志：改了什么、什么时候

同一页的「变更日志」页签，记录了项目里的关键变更——任务删除、预算调整、运行配置修改、目标调整、紧急停止等都会留痕。用途很直接：出问题时回查「是不是刚才有人改了什么」。这是排查「改了才坏」类问题最有效的入口。需要说明的是，这一版的变更日志还不带「操作人」列（「谁改的」目前要结合其它记录推断，补齐列属待排期）。

回滚 / 恢复的正确顺序

1. 先停

   暂停项目 / 暂停自动运营，先把「变化」停住。不先停就动手，现场会一直变，你永远追不上。

2. 看日志定位

   翻变更日志看最近改了什么；翻运行轮次 / 日志面板看最后跑到哪、报了什么。先定位，再决定退到哪个点。

3. 再回滚 / 恢复

   确认要回退，就用备份「还原」；中断情况则走「恢复评估」拿到结论。

4. 最后才恢复运行

   数据到位、环境确认后，再点「启动 / 恢复」让循环转起来。顺序反了（先启后修），基本等于没修。

五、安全红线

永远不要让 AI 代做的事

三层防护怎么配合

系统不是靠一句「小心点」来防风险的，而是三层配合。你要做的是知道每层在哪、别去拆它。

三通道之外还有一层紧急停止（KillSwitch）：当 AI 真的在做危险的事，你需要在几秒内全停。它位于审计治理页，确认框原文「紧急停止所有自动运营任务？此操作不可逆」。它是最后手段——不可逆意味着点了之后要重新走启动流程。能用「暂停」解决就别用它。

密钥与凭据纪律

项目详情页的「服务器实例」里有 HMAC Secret，旁边是「显示 / 复制 / 重新生成」三个按钮。它相当于平台与你的项目服务器之间通信的「对暗号」，一旦不一致，双方就互相不认。

• API Key 等凭据是加密存储的（AES-256-GCM），库里存的是密文，接口响应不含明文。
• 绝不把密钥写进对话、写进代码、提交到 git。想给 AI 用某个外部服务，走连接器配置，不要直接把 key 贴在提示词里。
• 明文查看会留审计记录——界面提示写得很清楚：「已掩码显示，点击「显示」查看明文（明文查看会记录审计日志）」。这是刻意设计，让你谨慎。

数据与隐私

• 客户 / 员工个人信息的处理边界：能不用真实个人信息就不用。要处理时，最小化范围、限定用途，不要让 AI 把敏感信息写进对外内容。
• 公开问答页（客户页面）绝不要放内部资料。客户页面用于对外的公开 AI 问答，创建时有一个「知识库白名单」字段，placeholder 是「不选则对项目全部知识库开放」——这是最容易出事的地方：你什么都不选，等于把项目所有知识库对公众开放。要开放什么，就明确勾选那一两个对外安全的库，其余的一个都不要放。
• 访问链接等同密码：创建成功时弹窗原文「请立即复制访问链接，token 仅本次展示，关闭后不可再查看」。它是免登录的公开入口，别随手转发。要作废，用「重置链接」——旧链接立即失效。
• Prompt 审计会记录对话内容：超管后台的 Prompt 审计可以查看项目里的提示词与对话，并支持导出。所以不要在对话里输入不该被记录的内容（密钥、身份证号、银行卡号等）。
• 给客户页面设限流：可以设「每分钟限流」和「每日上限」，避免被刷爆产生意外花费。

成本红线

另外记住：计费含估算成分，不是精确账单（详见 2.3）。所以控制成本要看趋势、看速率，不要纠结到分。

六、发布前检查清单

下面四张清单都可以直接打印或截图。养成「做完一遍再发出去」的习惯，能挡掉绝大多数低级事故。每一项都可以勾选。

对外内容发布前

• 事实核查：数字、名称、日期、链接都核对过，没有 AI 编造的「幻觉」内容
• 品牌口吻：语气、称呼、术语与公司一贯风格一致
• 联系方式与链接：邮箱、电话、网址点开可用，没有占位符残留
• 合规：内容里没有不能承诺的表述（价格、交期、效果、法律结论）
• 有无泄露内部信息：没有内部数据、成本、客户名单、密钥
• 谁批准：发布这个动作经过人工确认，不是 AI 自动发的

上线软件功能前

• 需求对不对：要做的功能与当初确认的 PRD / 需求一致
• 有没有验收记录：走了独立验收，结论是「通过」而非「返工」
• 备份是否开启：backup 开关是开的，且最近有一次成功备份
• 有没有影响线上的改动：这次改动会不会碰坏正在跑的东西
• 回滚方案：万一出事，退回到哪个备份点、怎么退，心里有数

发送邮件前

• 收件人是否正确：逐个核对，特别留意自动补全带进来的错地址
• 是不是群发误发：该单发的别群发，该密送的别群抄
• 内容是否含内部信息：内部报价、成本、员工信息不外泄
• 退订与合规：营销类邮件带退订方式，符合目标市场的合规要求
• 由谁发出：确认这不是 AI 自主外发，而是经过人工确认的

花钱前

• 单价是否清楚：知道这一笔按什么单价、按什么用量算
• 有没有预算：项目设了预算，且还没到熔断
• 是否可事后核对：知道去哪看这笔花费（计费明细 / 项目账本 / 公司账本）
• 是否设了上限：敏感动作配了成本上限 / 权限租赁，防止单笔烧穿

七、什么时候该找人工支持

大部分问题你能自己解决，但下面这几类，别自己硬扛——它们要么涉及不可逆的数据风险，要么需要后台权限。

求助时要准备什么

把下面这份清单填好再求助，能大幅缩短解决时间。空着大半去问「我的项目坏了」，对方只能反问，一轮来回就浪费半天。

• 项目与公司：公司名 / 项目名 / 项目 ID
• 时间：问题第一次出现的时间（精确到分钟）
• 页面：在哪个页面、哪个页签、点了哪个按钮
• 现象原文：提示文案一字不改，或截图
• 状态快照：控制台状态 + 预算三个 tag + 任务分布
• 任务 / 轮次：涉及的任务名、任务 ID、轮次号
• 你已经做过什么：按本章哪一节的步骤试过、结果如何
• 最近改过什么：看变更日志，列出最近的配置 / 任务 / 预算改动

八、本章小结与下一步

这一章没有新知识，只有「怎么做」。把你真正用得上的记下来：

• 三条铁律：先看状态再动手；一次只改一个变量；花钱的问题优先于功能的问题。
• 三处体检报告：控制台（转不转 + 钱出没出事）→ 任务列表（分布）→ 日志面板（跑到哪、报什么）。三眼看懂，八成问题已定位。
• 八类故障四段式：项目不动、任务待执行、预算、兜底暂停、实例、边缘客户端、知识文档、AI 做得不对。前七类照步骤走，第八类先改描述再改配置。
• 错误提示三类：操作问题 / 功能没开 / 系统故障。看到「请确认……功能已启用」，去设置开开关，别当故障修。
• 回滚顺序：先停 → 再看日志定位 → 再回滚 / 恢复 → 最后才恢复运行。
• 安全红线：对外发布、发邮件、付款、删数据、改权限密钥、做承诺——永远不要交给 AI；能用「暂停」就别用「紧急停止」；客户页面的知识库白名单一定明确勾选。
• 发布前四张清单：对外内容 / 上线功能 / 发邮件 / 花钱，逐项打勾再出手。

下一步：如果你在排查时被某个术语卡住（不知道「熔断」「三通道」「权限租赁」到底指什么），去 第 20 章 · 术语表与路线图，附录有全书术语总表和 30/60/90 天落地节奏，帮你把这套系统真正用起来。如果你还没读过 第 18 章 · 100 问 FAQ，那是另一种查法——你带着一个问题去，拿一个答案走，和这一章的「照着步骤排查」正好互补。

附录 A · 症状 → 处置速查卡（打印版）

这一页可以单独打印贴墙。和第 18 章附录 B 的分工是：那里偏「第一步做什么」，这里偏「处置步骤」和「不要做什么」。左边症状照抄界面原文，右边一步步做。

附录 B · 全部界面错误 / 警示文案对照表

把手册和界面里能确认的兜底文案汇总在这里。左边是原文（可用来搜索、对照），往后是位置、含义、怎么办。遇到看不懂的提示，先来这里查。

附录 C · 安全红线一页纸

这一页适合打印出来贴在工位。它只讲两件事：什么绝不能让 AI 代做，什么必须人工审批。

附录 D · 故障排查记录模板

养成记录习惯，下一次遇到同类问题能省一大半时间。下面这张表可以复制去填，也可以打印几张备用。

每列怎么填：

• 时间：精确到分钟，方便事后和日志对齐。
• 页面 / 项目：哪个项目、哪个页面、哪个页签。
• 现象原文：提示文案照抄，不要转述成「它报错了」。
• 我做了什么：按本章哪一节的步骤做了哪些操作。一次只记一个变量。
• 结果：有效 / 无效 / 出现新问题。
• 结论：最终是哪个原因、以后怎么避免。这一列最值钱。

附录 E · 恢复与回滚决策树

「改坏了」时照这张表选动作。左边是当前情况，往右依次是推荐动作、风险、备选方案。