由收件到保存：設計可追蹤的智能文件處理流程

即使擷取模型讀對每個欄位，整項文件服務仍可能失敗：同一文件被處理兩次、一份結果送錯隊列，系統更可能在目的地真正接收前便顯示完成。生產用智能文件處理不應只圍繞模型準確度設計，而要控制一份可追蹤文件由收件、準備、理解、驗證和覆核，到下游確認、保存及處置的完整生命週期。每次交接都要留下可定位、可解釋及可恢復的狀態，否則局部成功只會掩蓋營運失敗。

一連串文件工具怎樣才算可營運的流程？

要把工具組合變成可營運流程，最實用的方法是為每個邏輯階段訂立「階段合約」。合約寫明階段接受甚麼、產生甚麼持久成果、甚麼條件准許推進、失敗時送往哪裏，以及誰對結果負責。收件、預處理、分類、擷取、驗證、路由、人手覆核和保存可以部署在同一服務內，但各自的輸出與控制仍要清楚可見，否則團隊無法判斷錯誤在哪一個交接形成。

收件時應建立穩定文件識別碼，並在獲批准的保存規則下，把收到的原件、必要中間成果、處理版本、驗證結果、路由歷史、覆核紀錄和最終輸出連結起來。這不等於把所有副本無限期保存，而是讓獲授權的人在保存期內回答三個問題：目前哪一個狀態有效、哪項控制改變了結果，以及失敗後應從哪個持久節點安全恢復。

這張矩陣不是服務清單，而是跨職能工作坊的核對工具。請營運、資訊安全、私隱、紀錄管理及系統負責人逐格填寫，並要求每個持久輸出都能連回文件識別碼。空白格通常比技術選型更早揭露真正風險：例如只有「出錯便覆核」卻沒有隊列負責人，或寫了「已交付」卻沒有目的地確認。未解決的格子應成為設計決定、風險紀錄或推出前阻擋項。

文件應怎樣安全收件及準備，又不會失去原始證據？

文件應只經獲授權渠道進入流程，並在任何解析器或模型讀取內容前完成與威脅模型相稱的多層檢查。OWASP 指出，副檔名、上載者提供的內容類型或任何單一驗證都不足以獨立把關。實際合約可包括允許格式、類型及檔案簽章檢查、容量與解壓後大小限制、伺服器產生的儲存名稱、分隔儲存，以及適用的內容掃描；資訊安全團隊仍須決定完整控制組合。

• 記錄獲授權來源、收件時間、處理目的、文件識別碼及初始狀態。
• 按既定政策判斷重複提交，避免同一文件觸發兩次下游動作。
• 先保存收到的原件，再建立正規化頁面、衍生影像或OCR文字。
• 保留頁面次序、原生文字或OCR來源、版面資料及每次轉換版本。
• 把不支援、損毀、加密或可疑檔案送往拒收、隔離或重新提交路徑。
• 限制敏感文件及中間成果的存取範圍，避免工作副本成為旁路資料庫。

預處理的工作是產生可檢查、可重現的準備包，而不是悄悄改寫唯一副本。旋轉修正、原生PDF解析、OCR、頁面組合、閱讀次序和版面資料都應留下來源脈絡；模糊、昏暗、眩光、內容被截或頁序異常則成為路由證據。質素分析可能誤報，局部眩光亦未必令整頁無法閱讀，因此訊號不能當作絕對判決。若內容根本未被拍攝或已被截去，流程應要求重新收件或記錄例外，不能假裝已修復。

分類、資料擷取與驗證為何必須保持分明？

三者必須保持邏輯分明，因為它們回答不同問題：分類判斷這是甚麼文件及頁面邊界在哪裏；擷取依版本化綱要找出欄位、表格或實體；驗證則測試候選結果是否符合已聲明規則。即使部署把分類與擷取放進同一次模型呼叫，輸出仍應分別記錄類別、套裝邊界、分類法版本、所選綱要及可用信心。未知或混合類別要有具名去向，不應被迫套進最相近綱要。

擷取合約應同時保存原始字串與正規化值、聲明類型、表格或實體結構、遺漏項、處理器版本，以及可供核對的頁碼或幾何位置。這些資料讓驗證器分辨「沒有欄位」、「看不清」與「格式不符」，也讓覆核員回到正確來源。惟各工具未必為所有元素提供信心或座標，因此綱要須清楚標明哪些來源脈絡是必要條件，缺少時應走例外路徑而非虛構定位。

• 存在檢查：必要欄位或文件是否齊備。
• 類型與格式檢查：日期、貨幣、識別碼或文字形態是否符合綱要。
• 範圍檢查：數值是否落在已批准的業務界限內。
• 跨欄與跨文件檢查：相關值是否一致或符合聲明關係。
• 重複與參考檢查：是否重複處理，參考資料是否可用及屬正確版本。
• 信心與後果檢查：訊號是否足以進入既定路由，而不是直接宣告內容真確。

驗證通過只表示資料符合已寫下的檢查，不能證明來源文件真實，也不能證明其中陳述在實質上正確。模型信心同樣只是訊號：提高門檻一般會排除更多預測，可能提升精確率但降低召回率。直通處理與覆核門檻須按文件類別、欄位後果、下游用途及代表性標註文件評估，不能照搬供應商示例。涉及法律、臨床、信貸、保險、稅務或其他高後果判斷時，最終權限仍須留給具適當資格的人員。

文件流程的可靠程度，取決於最含糊的那一次交接。

成功、失敗及不確定結果應怎樣各自去到正確位置？

每種結果都應成為狀態機內可命名、可量度及有負責人的去向。直通交付、有限度重試、重新收件、隔離、專人處理、人手覆核和終止例外不能全部塞進一個「錯誤」隊列。每次轉移至少要帶有目前狀態、路由原因、優先次序、嘗試次數、目的地及預期確認，讓營運人員找出循環、孤兒個案、長期飢餓的低優先文件，以及可能造成重複下游動作的重試。

• 直通交付：驗證結果符合政策，並等待目的地確認。
• 有限度重試：只在已界定條件下採用另一處理方法，並限制次數。
• 重新收件：原始頁面缺失、被截或無法可靠閱讀。
• 隔離：輸入可疑、未獲授權或需要安全調查。
• 專人處理：文件類別、語言、結構或敏感度超出一般隊列能力。
• 人手覆核：信心、規則、質素或後果條件觸發已批准的覆核政策。
• 終止例外：重試與升級仍無法解決，並保存原因及通知責任。

可用的覆核工作包應只向獲授權覆核員提供完成任務所需內容，包括原始頁面、候選值、來源位置、未通過的控制、相關信心訊號、處理歷史及獲准操作。隊列本身亦是控制：必須有負責人、可量度隊齡、足夠處理能力、目標回應時間和未解決個案的升級路徑。若個案無人接手或缺乏證據，人手分支只會把自動化錯誤變成不可見的積壓。

覆核完成後，系統要保存覆核員身分、時間、原因、機器原值、修訂值、最終處置及重新進入流程的結果。人手修訂不應自動視為已批准訓練資料，仍須經質素和管治檢查。交付亦不能以「已發送」作終點：目的地確認接受輸出後才可標記完成；若確認逾時或被拒，流程須記錄具名交付失敗，並以防止重複動作的方式重試或升級。

擷取及覆核結束後，流程如何繼續受控？

流程要在擷取及覆核後保持受控，就要把保存、存取、處置、監察和變更管理視為服務的一部分。來源文件、衍生影像、擷取資料、覆核紀錄和營運日誌用途不同，不應自動套用同一保存期或權限。紀錄、私隱、資訊安全、法律及業務負責人須按文件類別、司法管轄區和現行義務，批准元數據、存取、暫停處置、移交、刪除及刪除證據要求；本文不提供通用保存年期。

營運監察要沿文件類別及流程版本切分，至少觀察處理量、目前狀態、各階段延遲、失敗原因、覆核隊齡、修訂模式及下游確認結果。只看整體擷取準確率會掩蓋不同故障：同一延遲可能源於模型、積壓隊列或目的地拒收；修訂率上升亦可能來自新文件版式、舊參考資料或規則變更。每項指標都應連到負責人、服務目標和調查路徑，而非只在儀表板上累積。

• 每個階段是否有負責人、可接受輸入及持久輸出？
• 推進條件是否可測試，失敗去向是否具名並可恢復？
• 原件、衍生檔、決定、修訂及最終輸出能否連回同一文件身分？
• 覆核隊列是否有證據、權限、容量、服務目標及升級路徑？
• 目的地是否會確認接受，重試是否會避免重複下游動作？
• 保存、存取、暫停處置、移交及刪除規則是否已獲適當負責人批准？
• 分類法、轉換、模型、綱要、規則及門檻是否有版本和推出前評估？

任何分類法、預處理方式、模型、擷取綱要、驗證規則或門檻改動，都可能改變下游個案分布，因此應保留版本並以具代表性的文件作推出前評估；測試範圍、批核人及回退準則由本地風險決定。選擇服務或訂立自動化目標前，先用階段矩陣完成一次跨職能審視。若任何階段仍欠負責人、可恢復狀態、可量度服務目標或明確失敗去向，流程便未準備好進入生產。