4. 金融模型生命周期
在金融机构中，一个模型从想法到退役，并不是一条“开发完就上线”的直线，而是一条带有多个质量闸门的受控流水线。理解这条流水线的阶段划分与门禁介入点，是设计上线门禁与 Serving 联动机制的前提。本节将生命周期拆解为六个阶段，并明确每个阶段门禁系统应当“卡”在哪里、校验什么、留下什么证据。
核心原理：生命周期即证据链
金融模型生命周期的本质，是一条可追溯的证据链。监管与内控要求：模型上线前必须经过独立验证，上线后必须持续监控，退役时必须有据可查。门禁（Gate）不是单点检查，而是嵌入在阶段之间的“质量闸门”，只有当前阶段产出的证据满足预设标准，才允许进入下一阶段。
因此，门禁介入点的设计原则是：阶段交付物即门禁输入，下一阶段启动即门禁输出。开发阶段交付代码与训练数据，验证阶段交付验证报告，审批阶段交付审批单，部署阶段交付镜像与配置，监控阶段交付指标与告警，退役阶段交付下线记录。门禁系统读取这些交付物，判断是否放行。
方法流程：六阶段与五道门禁
下面以一张清单表格明确各阶段的关键交付物与门禁校验点。门禁编号 G1 至 G5 对应阶段之间的五个闸门。
| 阶段 | 关键交付物 | 门禁 | 校验内容 | 不通过后果 |
|---|---|---|---|---|
| 开发 | 训练代码、特征定义、数据血缘 | G1 | 代码规范、数据版本可追溯、无敏感数据泄露 | 退回开发，禁止进入验证 |
| 验证 | 独立验证报告、回测结果、压力测试 | G2 | 验证独立性、覆盖率、边界条件、稳定性 | 补充验证或重新开发 |
| 审批 | 审批单、风险意见、签字记录 | G3 | 审批权限、意见闭环、合规检查 | 禁止部署，Serving 不注册 |
| 部署 | 镜像、配置、灰度策略、回滚预案 | G4 | 镜像签名、配置一致性、灰度比例、回滚可用 | 阻断发布，回退到上一版本 |
| 监控 | 指标看板、告警规则、漂移检测 | G5 | 监控就绪、告警通道、漂移阈值、退役触发条件 | 暂停服务或降级运行 |
| 退役 | 下线记录、数据归档、影响评估 | — | 无残留调用、归档完整、通知下游 | 延迟退役，保留审计痕迹 |
案例/场景：一次门禁拦截的完整链路
某银行信贷评分模型完成开发，准备上线。开发团队提交部署申请，门禁系统按顺序执行校验。以下是门禁日志片段：
[GATE] 2025-03-11 10:22:01 G1 开发门禁 通过
- 代码仓库: credit-score-v2.3
- 数据血缘: 已关联 feature_store/credit_v2
- 敏感字段扫描: 无泄露
[GATE] 2025-03-11 10:25:14 G2 验证门禁 通过
- 验证报告: VR-2025-0311
- 独立性: 验证团队与开发团队无重叠
- 覆盖率: 92.4% (阈值 90%)
[GATE] 2025-03-11 10:30:02 G3 审批门禁 阻断
- 审批单: AP-2025-0311
- 缺失: 风险委员会签字
- 结论: 禁止部署，Serving 不注册模型版本
[GATE] 2025-03-11 14:10:33 G3 审批门禁 通过
- 补充签字: 风险委员会 已签
- 审批意见闭环: 是
[GATE] 2025-03-11 14:15:20 G4 部署门禁 通过
- 镜像签名: 校验通过
- 灰度策略: 5% → 20% → 100%
- 回滚预案: 已就绪
[GATE] 2025-03-11 14:20:00 Serving 注册成功
- 模型版本: credit-score-v2.3
- 流量入口: /api/v2/credit-score
- 监控回写: 已开启
该案例说明：门禁不是一次性检查，而是逐阶段、可阻断、可恢复的。G3 阻断后，Serving 层拒绝加载未授权版本，直到审批补齐才放行。这种联动避免了“先上线后补审批”的常见违规操作。
误区/复盘：门禁介入的常见错误
- 门禁后置：把门禁放在部署之后，导致未授权模型已对外服务。正确做法是门禁前置于 Serving 注册之前。
- 证据缺失：验证报告没有版本号，无法与代码对应。门禁应校验交付物与代码版本的绑定关系。
- 门禁形同虚设：审批门禁只检查“有没有签字”，不检查签字人权限。应校验审批角色与模型风险等级匹配。
- 监控脱节：部署后监控未就绪，模型已跑但无指标。G5 应作为上线后的持续门禁，而非一次性检查。
- 退役无门禁：模型下线不通知下游，导致调用方报错。退役阶段应有通知与归档门禁。
实践建议：将门禁规则配置化，例如用 YAML 定义每个门禁的校验项与阈值，便于审计与调整。门禁结果应写入不可篡改的审计日志，并与 Serving 的模型注册中心联动，实现“未过门禁，不可服务”。
注意：门禁介入点不是越多越好。过多门禁会拖慢交付节奏，过少则失去风控意义。建议按模型风险等级分级设置：高风险模型全门禁，低风险模型可简化 G1 与 G5。
综上，金融模型生命周期的六个阶段与五道门禁，构成了一条从开发到退役的受控通道。门禁系统与 Serving 的联动，确保了只有通过验证、审批和部署检查的模型版本才能对外提供服务，而监控与退役阶段则持续回写状态，形成闭环。掌握这条链路，是后续设计具体门禁规则与 Serving 接口的基础。