# 治理控制包：患者消息路由

## Risk Register（风险登记册）

紧急消息的假阴性可能延误治疗；prompt 注入可能改变路由；过期临床指南可能误导审核；审核人过载
可能让审批变成走过场。每项风险都有领域负责人（owner），并对剩余风险作出决策。

## Data Map（数据地图）

只有消息文本、案件 ID、语言和最低限度的路由上下文会跨越应用边界。患者身份仍留在临床记录
系统中。载荷、trace、评估、审核、保留、删除和区域边界分别明确。

## Control Matrix（控制矩阵）

预防性（preventive）：检索前设置租户和角色门禁。检测性（detective）：监控紧急病例的假阴性。
纠正性（corrective）：停用自动路由并恢复人工分诊。治理性（governance）：发生重大变更后，由
隐私和临床负责人重新审批。

## Human Review（人工审核）

每个紧急、冲突、证据薄弱或新语言病例都会接受合格的（qualified）临床审核。证据包包含来源、
建议类别、标记和执行轨迹。队列 SLO（queue SLO）为五分钟，人员容量充足，并为批准、编辑、
拒绝和升级结果记录原因代码。

## Fallback（回退）

如果审核未达到队列 SLO 或来源新鲜度检查失败，回退机制会把案件发送到现有的人工紧急分诊队列
（manual urgent-triage queue），并阻止任何自动记录变更。

## Reassessment（重新评估）

用途、人群、模型、数据、权限、区域、政策、规模或已观察伤害的重大变更（material change）会
触发新一轮审核。这份治理包不会代替授权负责人宣称符合法律或临床要求。