定义运营契约
说明任务、预期输入、支持的输出、授权操作和服务依赖项。确定数据不完整或模型无法给出可接受结果时应如何处理。明确由谁审核异常并响应事件。始终报告成功的工作流会掩盖风险，也会让后续故障排查变得不必要地困难。
- ✓ 定义有用的成功与失败状态。
- ✓ 为业务关键步骤保留手动备用方案。
分别监控决策与执行
正确的建议可能在工具执行过程中失败；成功的 API 响应也可能包含错误变更。应在适当的隐私控制下记录这两类证据。分别衡量重试、被拒绝的操作、审核者覆盖操作以及下游错误。使用稳定标识符，使单项任务能够在模型、应用和外部服务之间追踪，同时避免存储过多个人信息。
- ✓ 针对可采取行动的故障发出警报，而非每个常规事件。
- ✓ 重试可能已完成的写入操作之前，先核对外部状态。
发布变更时附上评估记录
将提示词、策略、schema 和工具契约与代码一同进行版本管理。变更前测试有代表性的案例，变更后审查失败情况。保留回滚说明，并确认先前的权限仍然合适。Search Intel OS 可以说明 HGM 的编排方法；每项实际部署都应记录生产环境边界和已实施的组件。
- ✓ 将模型和供应商变更视为运营变更进行管理。
- ✓ 除运行成本外，还要跟踪维护工作量和业务质量。