创始人周度指标关账：口径版本、源水位与迟到更正

周一看到“上周激活用户 143”，周三补到一批离线事件后变成 157，月底退款同步又让收入下降。若经营周报总是打开页面时重算，创始人无法回答当时为什么招人、暂停渠道或调整预算；若把数字复制进表格后永不更新，又会让已知错误长期存在。关账的目的不是宣布数据永远正确，而是冻结某一代口径和可证明完整的输入，再通过显式更正保留前后关系。

AI 功能证据评分卡决定哪些产品证据值得投入，开发者 Launch 留出实验判断推广是否产生增量。本篇只治理跨产品、销售和财务输入的周度管理快照，不把指标高低解释为因果结论，也不替代计费或会计分录。

先冻结 metricDictionary.v1

每个管理指标发布不可变 founder.metricDictionary.v1：稳定 metricId、业务问题、单位、总体与排除条件、事件或表字段、去重身份、聚合函数、时区、窗口边界、币种换算版本、owner、允许迟到期和重大性阈值。查询文本还要绑定仓库 commit、执行镜像和参考数据摘要；只记录一句“活跃用户”不足以复算。

schema: founder.metricDictionary.v1
dictionary: operating-core@12
metricId: weekly-activated-workspaces
unit: workspace
population: workspace.created_at < period.end
qualifyingEvent: onboarding.completed@3
identity: [workspace_id, onboarding_generation]
window: {timezone: UTC, weekStarts: MONDAY}
allowedLatenessHours: 36
materialCorrection: {absolute: 5, relativePct: 2}
queryArtifact: sha256:5c9...

OpenTelemetry 的 Metrics Data Model 区分 metric stream 的 identity，并定义 temporality、start time 与 data point time；采用方仍必须锁定自己使用的语义和 SDK/collector 版本。counter 重启、累计值转 delta 或 label 改名都会改变结果，不能把同名时间序列自然视为同一业务指标。AI 用量计量账本负责可收费事件的幂等和结算，本周报只能引用其已发布水位，不能复制一套较松的 token 去重逻辑。

每个来源签发 sourceCheckpoint.v1，包含 source generation、最大已摄取位置、覆盖的 occurred-time 区间、抽取开始/结束时间、schema digest、行数和完整性状态。CloudEvents 的 id、source、type 可组成事件身份材料，但规范不替业务定义全局去重；重复、同 ID 异文和缺少顺序保证要在来源收据中分别计数。事件驱动架构解释投递机制，这里只接受上游已经封存的 checkpoint，不展开流式 watermark 算法。

一次关账只有一个接受点

周次用 RFC 3339 的明确 offset 和 [start,end) 瞬间表示，不能写“7 月第二周”后依赖查看者本地时区。weeklyClose.v1 绑定 period、dictionary digest、所有 source checkpoint、查询制品、输出表摘要、每项分母、异常列表和 reviewer。流程为 OPEN -> COLLECTING -> PRELIMINARY -> RECONCILING -> READY_TO_CLOSE -> CLOSED；来源未知进入 BLOCKED_SOURCE，重大差异未解释进入 EXCEPTION_REVIEW。

唯一接受点是 owner 对当前 close generation 签发 weeklyCloseReceipt.v1，并以 CAS 将 READY_TO_CLOSE 推进到 CLOSED。收据必须证明必需来源均达到规定水位、查询由固定制品执行、跨源恒等式通过且异常已获明确豁免。仪表盘渲染成功、定时任务结束或表格被分享都不算关账。关账后所有管理决策引用 closeId 和 metric value digest，而不是一条会漂移的 dashboard URL。AI 毛利版本化归因提供收入与 COGS 的版本化结果；周报引用其 generation，不自行重新分摊成本。

迟到数据不得原地改写 CLOSED。系统创建 weeklyCloseCorrection.v1，绑定原 close、发现时间、受影响指标、旧值、新值、原因、补入 checkpoint 和审批规则。小于重大性阈值的更正可进入下一周累计附注；超过阈值或改变已做决定的更正进入 CORRECTION_REVIEW，接受后生成新的 close generation，并把旧版标为 SUPERSEDED 而非删除。报告同时展示 as-reported 和 restated，避免团队拿最新值伪装成当时已知事实。

用错位、重复和人工改表攻击流程

测试夹具注入 CRM 延迟 48 小时、事件重复投递、同 CloudEvent identity 出现不同 payload、collector 重启导致累计 counter 回跳、退款在关账后到达、货币汇率表换代、UTC 边界事件、来源 checkpoint 倒退、查询 commit 被强推，以及有人直接修改导出表格。预期冲突进入隔离，水位倒退和制品不符阻断接受；重跑同一 generation 必须得到相同输出摘要。

门禁要求 100% 核心指标具有 owner、单位、总体、窗口和 query digest，100% 必需来源有可回读 checkpoint；同 identity 异文接受数为 0，人工未归属调整为 0，同输入重跑摘要一致率 100%。跨源控制总额差异不得超过预注册的 0.1%，超过则逐项解释；周报在 period end 后 48 小时内关账率至少 95%，重大更正在发现后一个工作日内进入评审，任何 UNKNOWN 不得被折算为 0。

上线先连续六周影子生成 close，不改变现有周会表格，只比较值、延迟和异常分桶；再让两项非财务指标由新收据成为展示来源。alias 按 close generation 原子切换，旧查询与表格在回滚窗口继续运行。若差异无法复算、关账延迟连续两周超标或更正丢失，停止签发新 receipt 并把展示 alias 切回上一代，已封存 close 仍保留。只有经历一次迟到数据更正和一次词典升级演练，才扩大到收入、毛利等高影响指标。